1. מערכות מידע ארגוניות הרצאה מס' 11: ניהול אבטחת מידע
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

2. תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

3. סוגי הסיכונים של מערכות מידע
אי זמינות המערכת
נזקי טבע
חבלות
תקלות חומרה/תוכנה
טעויות ו"באגים"
הונאות ומעילות
חשיפת מידע עסקי סודי
פגיעה בפרטיות עובדים לקוחות וכד...
כשלון פתוח מערכות - מספרים מחרידים
אי זמינות מערכות - בנק בלי מחשב
ביצועים גרועים
כשל טכנולוגי -תקלה ברשת
וירוסים
טעויות ובאגים - בתום לב
ע”י המשתמש GIGI
ע”י התוכניתן
מעילות והונאות - משתמש ותוכניתן
סיכוי רב יותר במחשב
מעילות והונאות במסחר אלקטרוני
טיפים אנונימיים בetrade
גניבת מידע - דיסקטים בכיס
פגיעה בפרטיות - חוק הגנת הפרטיות
פגיעה בפרטיות באינטרנט
ככל שארגון ממוחשב יותר – רמת הסיכון שלו עולה
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

4. ניהול סיכוני מחשב – אלטרנטיבה אחת...
ניהול סיכוני מחשב – אלטרנטיבה אחת...
ונאמר
אמן!
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

5. תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן
אבטחת מידע - מטרות
להבטיח למשאבי המחשב של הארגון את התכונות הבאות:
זמינות Availability
סודיות Confidentiality
איתנות Integrity
אותנטיות Authenticity
שמישות Utility
בעלות Possession
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

6. תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן
מרכיבי אבטחת מידע
תרבות ארגונית – מדיניות, נהלים, בעלי תפקידים
אבטחת גישה למשאבי מחשב
הצפנה וחתימה דיגיטלית
Firewall
Anti-Virus
תוכנית התאוששות מאסון (DRP)
בקרות פנימיות של מערכות מידע
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

7. מדיניות אבטחת מידע ארגונית
התוויה של צרכי אבטחת מידע
העלאת מודעות של העובדים לנושא
הקצאה נכונה של משאבי האבטחה
מסגרת לנהלים ולבקרות
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

8. דוגמה: מדיניות התקשרות מרחוק
"עובדים שנכנסים לרשת הארגון באמצעות מודם חיוג ידרשו לעבור תהליך אימות זהות מורחב לפני שגישתם תורשה"
"עובדים לא יותרו להכנס לרשת החיוג באמצעות מודם חיוג"
"שימוש בקווי חיוג לעבודה מרחוק יותר לאחר אימות זהות בתהליך הרגיל של הארגון"
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

9. תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן
בקרת גישה
תהליך סדרתי מובנה
דורש ניהול אינטנסיבי ומשאבים
אין 100% הצלחה
בקרת גישה:
הזדהות
אותנטיקציה
הרשאות
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

10. חדירה למחשב התקפות ישירות
“ מופעלות באופן ישיר על תהליך האותנטיזציה
התקפה קומבינטורית (Brute force)
קצת מתמטיקה: מספר אפשרויות לסיסמה Xn
n – אורך הסיסמא
X– מספר התווים בשימוש (ספרות, אותיות)
התקפה "אינטליגנטית" (Intelligent)
הנדסה חברתית
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

11. תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן
מניעת התקפה ישירה
ניהול סיסמאות
ניתוק אוטומטי אחרי 3-5 כשלונות
השהיית תגובה מכוונת
הגבלות זמן ומיקום
תיעוד ניסיונות גישה בקובץ יומן (LOG)
מניעת reuse
לדוגמה - הזנת סיסמה לדפדפן באינטרנט
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

12. תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן
מניעה - ניהול סיסמאות
שילוב אותיות וספרות, upercase -lower case
אורך מספיק (6 תווים ומעלה)
הימנעות ממילים או שמות עם משמעות
החלפת סיסמאות באופן תקופתי
מודעות העובדים לשמירה על סודיות
פתקים, מסירה לעמיתים וכו...
כלים ממוחשבים לניהול סיסמאות (מחוללים, checkers, aging)
מניעת Loose lips ("שפתיים משוחררות")
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

13. חדירה למחשב - התקפות עקיפות
ציתות Snooping -יירוט לסיסמא תוך כדי העברתה
תוכנות מעקב Spyware
הקלטה והשמעה Capture and replay (הפתרון האפשרי Timestamp)
Hijacking - חטיפת הSession מיד עם סיום האותנטיזציה. המשך עבודה בתחנה חדשה
Spoofing/Fishing - השגת סיסמה על ידי הקמת שרת דמה ומארב למשתמש חוקי אשר ימסור את הסיסמה
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

14. אבטחת גישה- שיטות זיהוי אותנטיות
מידע מזכרון
Something you know
מאפיינים
אישיים -ביומטריקה
Something
you are
סיסמא
PIN
אתגר-תגובה
פריט
רכוש
Something you have
מפתחות
כרטיס מגנטי
כרטיס חכם
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

15. ביומטריקה – אותנטיות גופנית
טביעת אצבע
אישונים
פנים
טביעת קול
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

16. תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן
Firewalls
חוצץ בין הרשת הפרטית לרשת הציבורית
מסנן את המסרים מן החוץ פנימה ומן הפנים החוצה:
בקרת הרשאות מסרים על פי כתובות מוסר ושולח
זיהוי התחזות לכתובת פנימית במסר שנשלח מבחוץ
זיהוי והשמדת מסרים זדוניים
אנטי וירוס
החבאת מבנה הרשת הפנימית מן
העולם החיצוני
יישום מדיניות אבטחת
המידע של הארגון
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

17. תוכנית התאוששות מאסון - מרכיבים
הערכת סיכונים
עיתוי הגיבוי והיקפו
ניסוי הגיבויים ושחזורים
אתר חיצוני לגיבוי ואבטחתו
מהירות ההתאוששות - אתרים חמים וקרים
מקור האתר - פנימי, קונסורטיום, שירותי גיבוי
ניוד תכניות לסביבת חומרה חדשה
גיבוי גם למסמכים, תיעוד עובדים
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

18. תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן
סביבת ההצפנה
מסר מוצפן
cipher
הצפנה
encryption
פענוח
decryption
נמען
receiver
שולח
sender
אלגוריתם
הצפנה
אלגוריתם
פענוח
רשת ציבורית/
אינטרנט
מסר
plaintext
מסר
plaintext
"אויבים"
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

19. שיטת הצפנה קלאסית – חילופי תווים
דוגמה:
הצפנה:mfucl chp jlunuhq pcheul
מפתח: computer
מה המסר?
clear and present danger
דוגמאות נוספות:
כתב אתב"ש
צופן הקיסר
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

20. “פיצוח” צופני חילוף תווים
ניסוי שיטתי Brute Search ?
-!26 אפשרויות ~ 1030
שכיחויות האותיות
שכיחות מילים קצרות ( I , AM, TO)
חוקיות פונטית לדוגמה: אין X בראש, שילוב QU
ניחוש היתר (בשיטת “גלגל המזל”)
ההגנה:
צופני חילוף מרובי אלפבית (Polyalphabetic)
לדוגמה צופנים שונים לאותיות זוגיות וללא זוגיות
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

21. שכיחות אותיות בטקסט אנגלית
E 14.0%
T 9.85%
A 7.49%
O 7.37%
S 6.95%
N 6.74%
I 6.65%
R 6.14%
W 1.69%
Y 1.64%
B 1.26%
V 1.16%
K 0.47%
X 0.28%
J 0.27%
Z 0.04%
שכיחות שווה (תאורטית) = 1/26 = %3.8
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

22. צפני חילוף מרובי אלפבית
תרגיל כיתה:
המפתח הוא: lev
המסר הוא : yehuda
מהו המסר המוצפן?
צופן Vigenere
חיבור מתמטי "גימטרי" של המסר עם המפתח, Mod 26 13 N A 14 O 1 B 15 P 2 C 16 Q 3 D 17 R 4 E 18 S 5 F 19 T 6 G 20 U 7 H 21 V 8 I 22 W 9 J 23 X 10 K 24 Y 11 L 25 Z 12 M A D U H E Y 3 20 7 4 24 V L 21 11 5 2 8 9 F B I J
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

23. מודל (DES (Data Encryption Standard
U.S. National Institute of Standards and Technology (NIST)
ההצפנה עם מפתח בן 64 ביטים
(56 אפקטיבים)
הצפנת בלוקים בגודל של 64 ביטים
יצירת 16 מפתחות משנה בגודל 48 ביטים
התחלה: חילופי מקומות בבלוק
16 מחזורים בהם מבוצע:
חילוף מקומות במפתח (תזוזת ביטים שמאלה)
פעולת חיבור (XOR) של חצי ימני של הבלוק עם מפתח המשנה התורן
חיבור התוצאה לחצי השמאלי והעברה לחצי הימני
חצי ימני ישן עובר כמות שהוא לחצי השמאלי
בסוף: חילופי מקום נוספים
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

24. גישות להצפנת מסרים ממוחשבים
שיטה סימטרית - מפתח סודי (DES). הבעיה: המפתח הסודי חייב להיות מופץ ולכן חשוף לגניבה
שיטה אסימטרית - מפתח פרטי/ מפתח ציבורי (מודל RSA). הבעיה: האלגוריתם איטי.
עקרון Kerchnoff: לא ניתן להסתמך על סודיות אלגוריתם ההצפנה רק על המפתח.
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

25. תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן
שימוש ב RSA
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן

26. תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן
אבטחת מידע - סיכום
ככל שהארגון ממוחשב יותר כך גם הוא חשוף יותר לסיכוני מערכות מידע שעלולים לפגוע בהמשכיות העסק
ככל שאמצעי אבטחת המידע משתכללים כך גם אמצעי ההתקפה. לכן נדרשת השקעה מתמדת ושדרוג מתמשך
אין לצפות להגיע להגנה מוחלטת אולם בהחלט להגנה סבירה
תוכניות אבטחת מידע חשובות מידי לשרידות ארגון מכדי להשאירן ליחידת מערכות מידע
תוכנית דעת, שנה"ל תשס"ז, מרצה יהודה הופמן