Modul G: Kibernetska varnost informacijsko-komunikacijskih sistemov

Opis predmeta

Uvod v kibernetsko varnost; pregled varnostnih groženj, varnostne zahteve za omrežja in storitve. Varnostna analiza; zaščitni ukrepi; standardi, organizacije in organi na področju varnosti.

Kriptografska zaščita: simetrični in asimetrični algoritmi, zgoščevalne funkcije, digitalno podpisovanje in upravljanje ključev, digitalna potrdila; infrastruktura javnih ključev (PKI)

Varnost omrežij: vrste groženj in napadov (zavrnitev storitve, ponarejanje, prestrezanje in preusmerjanje prometa, napadi na celovitost sporočil, napadi na usmerjanje, analiza prometa); ranljivosti omrežnih protokolov in naprav; varnost dostopovne, omrežne in transportne plasti sklada TCP/IP. Obrambni mehanizmi in metode zaščite na dostopovni, omrežni in transportni plasti; požarni zidovi in filtriranje prometa.

Navidezna zasebna omrežja (VPN): varnostni protokoli, zasnova ter prednosti in slabosti različnih pristopov.

Tehnike in orodja za iskanje ranljivosti in odkrivanje vdorov na omrežnem nivoju. Obrambni mehanizmi in protiukrepi (npr. nadzor omrežja, zaznavanje vdorov, požarni zidovi, zaščita pred ponarejanjem in DoS, kibernetske vabe).

Operativno upravljanje varnosti omrežja (npr. varnostne politike, konfiguracija nadzora dostopa do omrežja).

Varnost brezžičnih omrežij.

Varnost v mobilnih omrežjih.

Varnost operacijskega sistema; uporabniški in jedrni način; uporabniške pravice. Škodljiva programska oprema in »rootkiti«. Ranljivosti sistemskih storitev in ranljivosti v dobavni verigi (študije primerov).

Varnost programske opreme: varnost spletnega prometa in spletnih strežnikov; varnost protokola za prenos hiperteksta (HTTP); varne povezave SSL/TLS; avtentikacija v spletnih storitvah; preverjanje pristnosti in digitalna potrdila. Varnost aplikacij in brskalnikov; upravljanje sej; ranljivosti in zaščita aplikacij (injiciranje SQL, napadi XSS in CSRF); Varnost na strani odjemalca (piškotki, HTTPS, vtičniki, sledenje uporabnikom, politika istega izvora); Varnostna orodja na strani strežnika (npr. WAF, rate limiting, SIEM, centralno logiranje); Pristopi in orodja za iskanje ranljivosti (npr. fuzzing). Varnost elektronske pošte in varne/večnamenske internetne poštne razširitve (S/MIME). Varnost in zaščita storitve DNS.

Varne prakse razvoja programske opreme in njen življenjski cikel; upravljanje ranljivosti; analiza sestave programske opreme. Statični varnostni testi aplikacij (SAST), dinamični varnostni testi aplikacij (DAST).

Predmet učimo na programih

Aplikativna elektrotehnika 1. stopnja

Cilji in kompetence

Cilj predmeta je študentu podati celovit pregled tehničnih vidikov kibernetske varnosti: varnost strojne opreme računalnika in periferne opreme, varnost operacijskega sistema, varnost omrežne opreme in omrežnih storitev na osnovi TCP/IP, tipičnih topologij in arhitektur, varen razvoj programske opreme, tipični vektorji napada na programsko opremo, tehnologije za nadzor in zaščito varnosti končnih vozlišč in omrežne opreme ter analiza napadov. Predmet bo študentom dal dobro osnovo za samostojno delo na področju načrtovanja varnih arhitektur, omrežij, programske opreme in storitev, in jih tako pripravil na karierne izzive tako v vlogi inženirja, varnostnega analitika ali vodje.

Metode poučevanja in učenja

Predavanja, na katerih se študent seznani s teoretičnimi osnovami, ter avditorne ali laboratorijske vaje, kjer probleme spozna tudi praktično in jih v timu rešuje skozi projektno delo. E-izobraževanje.

Predvideni študijski rezultati

Po uspešno opravljenem predmetu bodo študentje zmožni:

Prepoznati in odpraviti slabe načrtovalske in razvojne prakse pri načrtovanju in razvoju IKT sistemov
Izvesti varnostni pregled IKT sistema (programske opreme, storitev, omrežja) in predlagati predloge za ublažitev napadov
Načrtovati in vzpostaviti sistem za spremljanje kibernetskih groženj v IKT okolju
Razumeti zahteve in potrebe različnih deležnikov in organizacij na področju kibernetske varnosti

Temeljni viri in literatura

Brooks, C. J., Grow, C., Craig, P. A., Short, D., Cybersecurity Essentials, 1st ed., Sybex, 2018
Kaufman, C., Perlman R., Speciner, M., Perlner, R., Network Security: Private Communication in a Public World, 3rd ed., Addison-Wesley Professional, 2022
Stallings, W., Cryptography and Network Security: Principles and Practice, 8th ed., ‎Pearson, 2019
Silberschatz, A., Galvin, P.B., Gagne, G., Operating System Concepts, 10th ed, John Wiley &Sons, 2021
McGraw, G., Software Security: Building Security In; 1st ed. Addison-Wesley Professional, 2006
Hoffman, A., Web Application Security: Exploitation and Countermeasures for Modern Web Applications, 1st ed., O'Reilly Media, 2020