PREPOZNAVANJE ZNAKOVA

SIGURNOSNIH INCIDENATA

Predmet: SIGURNOST INFORMACIJSKIH SUSTAVA

Program: ELEKTRONIČKE I INFORMATIČKE TEHNOLOGIJE U POMORSTVU
 Sadržaj predavanja

Uvod

Prepoznavanje znakova sigurnosnih incidenata

Priprema sustava za prepoznavanje incidenata

Integritet sustava za prepoznavanje neovlaštenih aktivnosti

Nadgledanje i kontrola aktivnosti

Fizičke forme neovlaštenih aktivnosti

Praćenje dogañanja

© PFRI, SIS 2/41

 Uvod

ukoliko sumnjamo ili smo obaviješteni da nam je sigurnost
računalnog sustava ugrožena, potrebno je utvrditi:
je li napad u procesu ili se već dogodio
je li napad uspješno izvršen
nivo kompromitiranja sustava

prepoznavanje sigurnosnih incidenata, odnosno
prepoznavanje eksploatacije sigurnosnih rizika može biti
rutinsko, pomalo izazovno ili ekstremno teško

moderni informacijski sustavi su veliki, kompleksni i
nesavršeni dinamički sustavi s mnogo mjesta i mogućnosti
za napadače za prikrivanje tragova

© PFRI, SIS 3/41

 Uvod

nadgledanje može biti komplicirano iz razloga što napadači
često prikrivaju svoje aktivnosti mijenjajući sustav koji
ugrožavaju

takoñer, napad je moguće izvršiti bez upozorenja, odnosno
da sve izgleda kao da funkcionara normalno

smisao sigurnosnih mjera i mehanizama jest sprječavanje
neovlaštenih aktivnosti

budući da mjere i mehanizmi prevencije nisu savršeni,
postoji potreba za strategijom rukovoñenja incidentima, a
koja uključuje pripremu, prepoznavanje i odgovor

u okviru ove teme, koncentriramo se na pripremu i otkrivanje
sigurnosnih incidenata
© PFRI, SIS 4/41
 Prepoznavanje znakova
sigurnosnih incidenata

u slučaju da ne znamo da se računalni napad ili pokušaj
napada dogodio, jako je teško ili gotovo nemoguće
naknadno utvrditi je li sigurnost sustava kompromitirana

ukoliko informacije neophodne za prepoznavanje
neovlaštenih aktivnosti nisu sakupljene, nije moguće
ustanoviti koji su resursi sustava ugroženi te koje su
karakteristike narušene - povjerljivost, integritet ili
raspoloživost

© PFRI, SIS 5/41

 Prepoznavanje znakova
sigurnosnih incidenata

pristup prepoznavanju sigurnosnih incidenata sastoji se od:
promatranja sustava s ciljem pronalaženja bilo čega
neočekivanog i sumnjivog
istraživanje bilo čega neočekivanog i sumnjivog na
sustavu
ukoliko je istraživanjem utvrñena neovlaštena aktivnost,
pokretanje hitnih sigurnosnih procedura za odgovor na
sigurnosni incident

proces otkrivanja incidenata doima se jednostavnim

meñutim implementacija je intenzivna aktivnost koja
zahtjeva kontinuiranu i automatiziranu podršku te
svakodnevne napore administratora sustava
© PFRI, SIS 6/41
 Prepoznavanje znakova
sigurnosnih incidenata

raspon tehnika otkrivanja neovlaštenih aktivnosti može se
mijenjati s promjenama prijetnji sigurnosti sustava,
konfiguracijama sustava ili zahtjeva sigurnosti IS-a

sljedećih pet područja potrebno je uzeti u obzir:

adekvatna priprema koja uključuje odreñivanje potrebnih

sigurnosnih politika i procedura
integritet sustava za prepoznavanje neovlaštenih aktivnosti
nadgledanje neočekivanog i sumnjivog ponašanja na
sustavu
nadgledanje i sprječavanje fizičke forme neovlaštenih
aktivnosti
biti u toku s dogañanjima, uključujući istraživanje izvještaja
od strane korisnika ili drugih izvora te poduzimanje
© PFRI, SIS odgovarajućih akcija u slučaju neovlaštenih aktivnosti 7/41
 Prepoznavanje znakova incidenata -
priprema sustava

jedan od najvažnijih dijelova zaštite sigurnosti računalnih
sustava jest priprema sustava za prepoznavanje incidenata

pripremu sustava provodimo radi djelotvornijeg i efikasnijeg
rukovanja sigurnosnim incidentima te povratka u stanje
sustava prije sigurnosnog incidenta

dva osnovna aspekta pripreme sustava su:
uspostavljanje sigurnosnih politika i procedura
odreñivanje karakterističnih podataka sustava

© PFRI, SIS 8/41

 Prepoznavanje znakova incidenata -
priprema sustava, politike i procedure

sigurnosna politika definira pravila kojima reguliramo načine
po kojima upravljamo i štitimo resurse IS-ova

jedna od prvih sugestija sigurnosne politike unutar

prepoznavanja znakova sigurnosnih incidenata jest

dokumentiranje važnih informacija o resursima sustava te
prijetnji tim važnim resursima

procedure pripreme za sigurnosne incidente uključuju akcije

neophodne za promatranje sustava s namjerom otkrivanja

neočekivanog ponašanja, uključujući neovlaštene aktivnosti

može biti u formi nadgledanja, istraživanja i zapisivanja

dogañaja

svi koji su uključeni u zaštitu sustava u mogućnosti su

utvrditi operacijske korake koje su obvezni poduzeti

© PFRI, SIS 9/41
 Prepoznavanje znakova incidenata -
priprema sustava, politike i procedure

ti koraci procedura znatno podižu razinu sigurnost resursa

sigurnosna politika i procedure koje su dokumentirane i opće
poznate služe za obavještavanje korisnika o njihovim
obavezama vezanim za zaštitu sigurnosti sustava

pod korisnicima, u ovom slučaju, podrazumijevamo sve one
koji pristupaju, administriraju i upravljaju sustavom

njihova uloga u prepoznavanju znakova neovlaštenih
aktivnosti na sustavu je vrlo važna

© PFRI, SIS 10/41

 Prepoznavanje znakova incidenata -
priprema sustava, karakteristični podaci

sakupljanje podataka generiranih od strane sustava, mreže,
aplikacije ili korisničke aktivnosti esencijalno je važno za
analizu sigurnosti resursa sustava i za otkrivanje znakova
sumnjivog i neočekivanog ponašanja

knjige praćenja dogañaja (log datoteke) sadrže informacije o
prošloj aktivnosti

potrebno je odrediti mehanizme snimke stanja sustava i
tipove prikupljanja informacija (sustav, pristup podacima,
procesi, odreñene aplikacije itd.) dostupne za svaki pojedini
resurs, te odreñivanje podataka zapisanih svakim logom

© PFRI, SIS 11/41

 Prepoznavanje znakova incidenata -
priprema sustava, karakteristični podaci

u pojedinim situacijama potrebno je korištenje dodatnih
mehanizama za sakupljanje informacija, na primjer virusno
pretraživanje, pregledavanje ranjivosti sustava itd.

log datoteke često su jedini zapisi sumnjivog ponašanja

pogreške u konfiguraciji mehanizama za pohranu važnih
informacija te njihovo korištenje za pokretanje mehanizama
upozorenja, eliminira sposobnost otkrivanja pokušaja
neovlaštenih aktivnosti

© PFRI, SIS 12/41

 Integritet sustava za prepoznavanje
neovlaštenih aktivnosti

prigodom pretraživanja sustava za znakovima neovlaštenih
aktivnosti ili pri istraživanju sustava općenito, potrebno je
koristiti provjerene i referencirane programske pakete
(sadrže provjerene kopije programa koje nisu mijenjane) i
izraditi čisti boot (startanje sustava s poznate kopije
operacijskog sustava)

u dodatku za izvršne programe, potrebno je da provjereni
programski paket sadržava sve ljuske operacijskog sustava,
konfiguracijske i podatkovne datoteke, te alate sustava o
kojima ovisi program

izbjegavati korištenje i pouzdavanje u programe koji
pripadaju kompromitiranome sustavu
© PFRI, SIS 13/41
 Integritet sustava za prepoznavanje
neovlaštenih aktivnosti

esencijalno je važno korištenje samo programa za kojeg
pouzdano znamo da je ispravan i pouzdan u izvještavanju
takvih informacija

napadači često zamjenjuju programe koji sadrže sposobnost
otkrivanja njihove prisutnosti sa zamjenskim kojim prikrivaju
ili uklanjaju takve informacije

takoñer zamjenjuju programe, biblioteke i druge korisne
programe potrebne za izvršavanje administratorskih alata

ukoliko je program korišten za prepoznavanje neovlaštenih
aktivnosti korumpiran ili zamijenjen s drugim, očito je da nije
moguće pouzdati se u dobivene rezultate

© PFRI, SIS 14/41

 Integritet sustava za prepoznavanje
neovlaštenih aktivnosti

provjeravanje korištenja samo provjerenog programa može
biti vrlo teško

napadači su u mogućnosti napraviti promjene na sustavu
tako da ponašanje sustava i dalje izgleda normalno i
očekivano

na primjer, napadač ukoliko zamijeni naredbu "ps" na UNIX
sustavima onom koja ne prikazuje odreñeni, napadačev
proces

© PFRI, SIS 15/41

 Nadgledanje i kontrola aktivnosti

pod nadgledanjem i kontrolom aktivnosti podrazumijevamo
upravljanje aktivnostima koje nisu očekivane, tj. nisu u
skladu sa sigurnosnom politikom, s ciljem prepoznavanja i
sprječavanja sigurnosnih incidenata

općenito, aktivnosti možemo podijeliti na aktivnosti na:
sustavu
mreži
datotekama i direktorijima

© PFRI, SIS 16/41

 Nadgledanje i kontrola aktivnosti -
aktivnosti na sustavu

podrazumijevaju performanse sustava, procese i korisnike

programi koji se izvode na mrežnim sustavima obično
uključuju različite operacijske sustave i mrežne servise,
korisničke programe i aplikacije posebne namijene

svaki proces izvršava se s odreñenim privilegijima koje
odreñuju kojim resursima sustava, programima i
podatkovnim datotekama smiju pristupati te što smiju izvršiti

ponašanje procesa pri izvršavanju predstavljeno je
operacijama koje izvršavaju, načinu na koji se operacije
izvršavaju te resursima sustava koje koriste pri izvršenju

operacije uključuju računanje, transakcije s datotekama,
ureñaje i druge procese, te komunikaciju s procesima na
udaljenim sustavima preko mreže
© PFRI, SIS 17/41
 Nadgledanje i kontrola aktivnosti -
aktivnosti na sustavu

korisničke aktivnosti uključuju prijavu i odjavu za rad,
predstavljanje i druge identifikacijske transakcije, procese
koje izvršavaju i datoteke kojima pristupaju

vrlo je važna provjera da je ponašanje sustava očekivano i
da su procesi koji se izvršavaju na sustavu dostupni samo
za ovlaštene aktivnosti korisnika, administratora i funkcijama
sustava

neočekivane ili anomalijske performanse sustava mogu
ukazati da napadač neovlašteno koristi sustav za ostvarenje
vlastitih namjera

postoji mogućnost pokušaja ugrožavanja drugih sustava
unutar ili izvan mreže, ili da se na sustavu izvršava
prisluškivač mrežnog prometa
© PFRI, SIS 18/41
 Nadgledanje i kontrola aktivnosti -
aktivnosti na sustavu

procesi koji pokazuju neočekivano ponašanje ponekad
ukazuju na izvršavanje neovlaštene aktivnosti

napadači su u mogućnosti prekinuti izvršavanje programa ili
servisa te na taj način zaustaviti produkciju sustava

na primjer, ukoliko napadač uspješno zaustavi izvršavanje
procesa za kontrolu pristupa koji se izvršava na sustavu
vatrozida, u mogućnosti su pristupi lokalnoj mreži na način
koji bi u normalnoj situaciji bio blokiran

u sigurnosnu politiku trebalo bi uključiti sljedeće:
zahtijevanje obavještenja korisnika sustava o
nadgledanju procesa i korisničke aktivnosti

© PFRI, SIS 19/41

 Nadgledanje i kontrola aktivnosti -
aktivnosti na sustavu
odreñivanje zaduženja i odgovornosti osoba zaduženih
za izvršavanje nadgledanja i kontrole sustava, procesa i
korisničke aktivnosti
odreñivanje formi neočekivanog ponašanja koje je
potrebno nadgledati, zahtijevanje od strane korisnika
izvještavanje o neočekivanom ponašanju
odreñivanje koji programe i podatke korisnici i
administratori smiju instalirati i koristiti, te eksplicitne
procedure i uvjete za to
odreñivanje programa koje korisnici i administratori smiju
izvršavati i pod kojim uvjetima

© PFRI, SIS 20/41

 Nadgledanje i kontrola aktivnosti -
aktivnosti na mreži

neočekivano mrežno ponašanje predstavljaju promjene u
performansama mreže (varijacija količine prometa unutar
odreñenog vremena), promet od i prema neočekivanoj
lokaciji, konekcije uspostavljene u neobično vrijeme, česti
neuspješni pokušaji uspostavljanja veze, neovlašteno
pretraživanje i ispitivanje

podatke o mrežnoj aktivnosti (promet, performanse itd.)
možemo sakupljati iz više izvora kao što su log datoteke
(usmjerivači, vatrozidi itd.), statističkim izvještajima mrežnih
performansi i administratorskih ispitivanja (ICMP ping,
ispitivanje aktivnih portova itd.)

© PFRI, SIS 21/41

 Nadgledanje i kontrola aktivnosti -
aktivnosti na mreži

log datoteke mrežnog prometa mogu sadržavati dokaze o
neuobičajenim, sumnjivim ili neočekivanim aktivnostima,
ukazujući da netko ugrožava ili pokušava ugroziti sigurnost
sustava

redovitim nadgledanjem log datoteka moguće je otkriti
izviñanje i ispitivanje napadača koje prethodi napadu na
sustav

moguće je i otkrivanje pokušaja ili uspješnih neovlaštenih
aktivnosti ubrzo nakon izvršenja

© PFRI, SIS 22/41

 Nadgledanje i kontrola aktivnosti -
aktivnosti na mreži

u sigurnosnu politiku trebalo bi uključiti sljedeće:
zahtijevanje obavještenja korisnika sustava o
nadgledanju mrežnog prometa
odreñivanje koji od podatkovnih nizova će biti promatrani
i za koje potrebe
odreñivanje zaduženja i odgovornosti osoba zaduženih
za rukovanje obavijestima generiranim alatima za
logiranje i nadgledanje
odreñivanje formi neočekivanog ponašanja koje su
korisnici obvezni nadgledati te zahtijevanje od strane
korisnika izvještavanje o neočekivanom ponašanju

© PFRI, SIS 23/41

 Nadgledanje i kontrola aktivnosti -
aktivnosti na datotekama i direktorijima

neočekivane promjene na direktorijima i datotekama, a
posebno u situacijama kada je pristup zabranjen, mogu
upozoriti na neovlaštene aktivnosti

promjene uključuju modifikacije, kreiranje ili brisanje
direktorija ili datoteka

ono što čini neočekivanom promjenom ovisi o tome tko je
promjenu izvršio, gdje, kada i na koji način

napadači obično kreiraju, zamjenjuju, mijenjaju, oštećuju i
uništavaju datoteke na sustavu, a prema kojima su ostvarili
pristup

© PFRI, SIS 24/41

 Nadgledanje i kontrola aktivnosti -
aktivnosti na datotekama i direktorijima

s namjerom skrivanja prisutnosti na sustavu, vrlo je često da
napadači zamjenjuju programe sustava s zamjenskim koji
izvršavaju iste funkcije, ali izostavljaju informacije koje bi
mogle otkriti njihove zlonamjerne aktivnosti

takoñer često mijenjaju log datoteke sustava s namjerom
uklanjanja tragova njihove aktivnosti

skrivanjem svoje prisutnosti na kompromitiranome sustavu
napadači produžuju vrijeme koje imaju za neovlašteno
korištenje sustava

u mnogo slučajeva prisutnost napadača na sustavu
otkrivena je tek nakon nekoliko mjeseci

© PFRI, SIS 25/41

 Nadgledanje i kontrola aktivnosti -
aktivnosti na datotekama i direktorijima

napadači su u mogućnosti i kreirati nove datoteke na
sustavu

na primjer, instalacijom backdoor programa ili alata koji
služe za ostvarenje privilegiranog pristupa sustavu

napadači se koriste slobodnim memorijskim prostorom za
pohranu svojih alata i drugih rukotvorina

privatne podatkovne datoteke i datoteke s kritičnim
informacijama najčešće su mete napada

informacije o organizaciji dostupne preko javnih mreža i
Interneta takoñer su česta meta napada

© PFRI, SIS 26/41

 Nadgledanje i kontrola aktivnosti -
aktivnosti na datotekama i direktorijima

u sigurnosnu politiku trebalo bi uključiti sljedeće:
zahtijevanje obavještenja korisnika sustava o
nadgledanju neočekivanih aktivnosti nad datotekama i
direktorijima
odreñivanje zaduženja i odgovornosti osoba zaduženih
za nadgledanje neočekivanih aktivnosti nad datotekama i
direktorijima
zahtijevanje od strane korisnika izvještavanje o
neočekivanim promjenama datoteka i direktorija

© PFRI, SIS 27/41

 Fizičke forme neovlaštenih aktivnosti

podrazumijevamo neovlaštene aktivnosti kod kojih su
dijelovi računalnog sustava izloženi fizičkom
kompromitiranju u obliku krañe, uništenja, korupcije ili
neovlaštenog korištenja

postoje dva aspekta prepoznavanja fizičkih neovlaštenih
aktivnosti:
istraživanje neovlaštenog sklopovlja priključenog na
sustav
nadgledanje fizičkih resursa zbog znakova neovlaštenog
pristupa

© PFRI, SIS 28/41

 Fizičke forme neovlaštenih aktivnosti -
neovlašteno sklopovlje

neovlašteno sklopovlje uključuje računala priključena na
mrežni segment ili hub, perifernu komunikaciju ili
ulazno/izlaznu opremu kao što su modemi, terminali, pisači,
diskovi ili trake

napadači ako su u mogućnosti ostvariti fizički pristup
lokalnoj mreži, u mogućnosti su instalirati vlastitu opremu i
programe

alternativno, napadači su u mogućnosti iskoristiti nesigurnu,
nelegitimnu opremu dodanu od strane legitimnih korisnika
sustava za ostvarenje pristupa sustavu

na primjer, legitimni korisnik instalira modem s namjerom
udaljenog pristupa računalu u uredu
© PFRI, SIS 29/41
 Fizičke forme neovlaštenih aktivnosti -
neovlašteno sklopovlje

napadači koriste automatizirane alate za prepoznavanje
modema priključenih na javne telefonske linije

ukoliko konfiguracija modemskog pristupa i prometa kroz
njega nije osigurana, napadač je u mogućnosti koristiti
modem kao backdoor za ostvarenje pristupa lokalnoj mreži,
zaobilazeći mehanizme prevencije postavljene za restrikciju
vanjskih konekcija na lokalnu mrežu

neosigurane izlazne i izmjenjive ureñaje, kao što su pisači i
diskovi, napadači su u mogućnosti iskoristiti za generiranje
kopija, uništenje ili krañu povjerljivih informacija

© PFRI, SIS 30/41

 Fizičke forme neovlaštenih aktivnosti -
neovlašteno sklopovlje

u sigurnosnu politiku trebalo bi uključiti sljedeće:
zahtijevanje podržavanja dokumentacije o sklopovskom
inventaru
zahtijevanje podržavanja dokumentacije o mrežnoj
topologiji
odreñivanje zaduženja i odgovornosti osoba zaduženih
za izvršavanje fizičke revizije instaliranog sklopovlja i
programske podrške, te evidentiranja uspostavljenih
mrežnih konekcija
odreñivanje što je od sklopovlja i programske podrške
dozvoljeno korisnicima da instaliraju na svojim stolnim
računalima
© PFRI, SIS 31/41
 Fizičke forme neovlaštenih aktivnosti -
neovlašteni pristup

premda smo skloni razmišljanju da su informacije u mrežnim
računalnim sustavima su u elektroničkoj formi, potrebno je
zapamtiti da informacije pohranjujemo na fizičkim medijima
(diskovi, CD/DVD ROM itd.), koji su izloženi fizičkom
kompromitiranju u obliku krañe, uništenja, korupcije ili
neovlaštenog dupliciranja

kako bi osigurali sustav, nužno je i fizičko osiguranje
komponenti periodičkim nadgledanjem iz razloga mogućeg
fizičkog kompromitiranja

ukoliko je dokument ili medij za elektroničku pohranu
podataka ukraden, povjerljivost i raspoloživost sadržanih
informacija na mediju je izgubljena
© PFRI, SIS 32/41
 Fizičke forme neovlaštenih aktivnosti -
neovlašteni pristup

ako je i moguće izvršiti oporavak informacija, nismo u
mogućnosti znati mjeru do koje je sadržaj kopiran ili razglašen

takoñer, nismo u mogućnosti znati jesu li sadržane informacije
korumpirane ili promijenjene

ukoliko su kompromitirane informacije kritične za sigurnost
sustava (korisničke zaporke, lokalne mrežne adrese,
konfiguracijski podaci sustava), cijeli sustav potencijalno je
pod prijetnjom daljnjeg ugrožavanja sigurnosti

vrlo je važno promptno detektiranje pokušaja fizičkih
neovlaštenih aktivnosti i pristupa

u mnogim organizacijama odreñene osobe su odgovorne za
fizičku sigurnost sustava
© PFRI, SIS 33/41
 Fizičke forme neovlaštenih aktivnosti -
neovlašteni pristup

u sigurnosnu politiku trebalo bi uključiti sljedeće:
zahtijevanje označavanja svih fizičkih računalnih resursa
odreñivanje procedure u slučaju prepoznavanja fizičke
neovlaštene aktivnosti

© PFRI, SIS 34/41

 Praćenje dogañanja

većina znakova asocirana sigurnosnim incidentima,
jednostavne su anomalije kao što su sklopovski propusti ili
sumnjiva ponašanja sustava ili korisnika

praćenje informacija kojim su opisani dogañaji vrlo je korisno
za prepoznavanje sigurnosnih incidenata te za
pravovremeno poduzimanje odgovarajućih akcija

u nastavku obrañena su dva dodatna važna aspekta
sigurnosti sustava:
pregledavanje izvještaja korisnika i vanjskih kontakta
poduzimanje odgovarajućih akcija

© PFRI, SIS 35/41

 Praćenje dogañanja -
izvještaji korisnika i vanjskih kontakta

ukoliko su procedure sigurnosno svjesno kreirane, korisnici
sustava prijavljuju sumnjive dogañaje i ponašanje

administratori sustava i mreže trebali bi koristiti te izvještaje
pored informacija koje sami sakupljaju s ciljem lakšeg
prepoznavanja mogućih neovlaštenih aktivnosti

potrebno je i korištenje informacija vanjskih izvora, na
primjer izvještaji timova za sigurnosne incidente, kao pomoći
u odlučivanju je li potrebno povećati nadgledanje i
analiziranje incidenta

pomoću izvještavanja od strane korisnika i vanjskih kontakta
povećava sposobnost prepoznavanja neovlaštenih aktivnosti
te potencijalno omogućuje prepoznavanje incidenata o
kojima nismo upoznati
© PFRI, SIS 36/41
 Praćenje dogañanja -
izvještaji korisnika i vanjskih kontakta

razlog tome je što su korisnici sustava često svjesniji
očekivanog, normalnog ponašanja na njihovoj osobnoj
računalnoj okolini od samih administratora sustava

mnogo incidenata otkriveno je tek nakon što je netko sa
svakodnevnim iskustvom korištenja odreñenog sustava
primijetio nešto neobično

korisnici su podložni na napade koji koriste tehniku
socijalnog inženjeringa te je potrebno da prepoznaju takve
situacije

napadači obično kompromitiraju više sustava pri izvršavanju
napada na meti - združivanjem korisničkih izvještaja o
sumnjivom ponašanju na sustavu, moguće je odrediti i širinu
sigurnosnog incidenta
© PFRI, SIS 37/41
 Praćenje dogañanja -
izvještaji korisnika i vanjskih kontakta

ukoliko administratori iz jedne organizacije otkriju da je
sigurnosni incident u njihovoj organizaciji povezan s drugom
organizacijom, takoñer mogu kontaktirati tu organizaciju te
im pomoći u prepoznavanju sigurnosnih incidenata

preporučljivo je pažljivo proučiti svaki pojedini izvještaj
primljen od strane timova za sigurnosne incidente s ciljem
prepoznavanja eventualnih neovlaštenih aktivnosti na
sustavu

ukoliko mrežna okolina podržava spajanje na vanjske
mreže, moguće je da je sustav kompromitiran na način da
služi kao nesvjestan sudionik u velikom napadu (distriburani
napadi na raspoloživost resursa) protiv odreñene ili više
domena
© PFRI, SIS 38/41
 Praćenje dogañanja -
izvještaji korisnika i vanjskih kontakta

u sigurnosnu politiku trebalo bi uključiti sljedeće:
zahtijevanje izvješćivanja o neočekivanom i sumnjivom
ponašanju na sustavu od strane korisnika
zahtijevanje izvješćivanja o fizičkim neovlaštenim
aktivnostima na sustavu od strane korisnika
zahtijevanje od administratora sustava pažljivo
istraživanje svakog pojedinog izvještaja sumnjive
aktivnosti
zahtijevanje od administratora sustava obavještavanje
korisnika sustava o svakoj predviñenoj promjeni na
sustavu, uključujući konfiguraciju programske podrške,
pohrane i pristupa podacima, revizije procedura itd.
© PFRI, SIS 39/41
 Praćenje dogañanja -
poduzimanje odgovarajućih akcija

nakon zapisivanja i istraživanja neočekivanih aktivnosti te
utvrñenja neovlaštene aktivnost, potrebno je pokrenuti akcije
prema kreiranim procedurama za odgovor na sigurnosne
incidente

ukoliko se nakon utvrñivanja sigurnosnog incidenta ne
poduzmu odgovarajući koraci, prouzročene negativne
posljedice napada ostaju trajne

negativne posljedice uključuju gubitak integriteta,
raspoloživosti i povjerljivosti resursa sustava

takoñer, nepoduzimanje aktivnosti znatno povećava
sigurnosni rizik sustava u budućnosti

© PFRI, SIS 40/41

 Praćenje dogañanja -
poduzimanje odgovarajućih akcija

u sigurnosnu politiku trebalo bi uključiti sljedeće:
odreñivanje akcija koje je potrebno poduzeti nakon
utvrñivanja neočekivane, neobične i sumnjive aktivnosti
zahtijevanje izvršavanja propisanih akcija
odreñivanje zaduženja i odgovornosti osoba zaduženih
za izvršavanje propisanih akcija

© PFRI, SIS 41/41