IT-Sicherheit. Leseprobe. Hans-Rudolf Wenger. Wings Software Developments Tel

Transkript

1 IT-Sicherheit ECDL -Modul Hans-Rudolf Wenger Leseprobe Wings Software Developments Tel Chaltenbodenstrasse 4 b info@wings.ch CH Schindellegi

2 Version Autor 2013 A Hans-Rudolf Wenger Art. Nr SG SL FG gebunden lose, 4-fach gelocht Farbdruck, gebunden Dateien für die Übungen finden Sie auf unserer Homepage Approbation ECDL Diese Unterlagen sind offiziell von der ECDL approbiert und werden für die Ausbildung zum ECDL empfohlen. Ausführliche Informationen zu ECDL und eine Übersicht der ECDL Prüfungszentren finden Sie hier: ECDL-Grusswort Sehr geehrte Leserin, sehr geehrter Leser, Sie haben eine gute Entscheidung getroffen. Mit dem Erwerb dieses Buches sind Sie auf dem richtigen Weg, Ihre bisherigen digitalen Fertigkeiten zu optimieren. Denn die nachfolgenden Lerninhalte stellen einen wichtigen Baustein im Zertifizierungsprogramm des ECDL (European Computer Driving Licence / Europäischen Computer Führerschein) dar. In nahezu allen Berufszweigen werden solide Computer-Kenntnisse vorausgesetzt. Dass der Erwerb des ECDL die richtige Antwort auf diese Anforderung ist, beweisen die mehr als 13 Millionen Teilnehmer/innen in 148 Ländern, die das international anerkannte Zertifikat besitzen oder anstreben. Wer über den ECDL als Nachweis fundierter ICT- Kompetenz verfügt, hat einen klaren Wettbewerbsvorsprung auf dem Arbeitsmarkt. Möchten Sie wissen, wie es um Ihre digitalen Fähigkeiten bestellt ist? Über die ECDL Diagnosetests können Sie bequem via Internet von zu Hause aus prüfen, wo Ihre Stärken liegen und wo noch Defizite bestehen. Mit den Demotests können Sie sich ansehen, wie eine ECDL Prüfung aufgebaut ist und welche Art der Fragestellung Sie in den praxisorientierten Tests vorfinden. Aktuelle Informationen dazu finden Sie auf Sie haben die Möglichkeit, an ECDL 300 Prüfungsstandorten bzw. Test Centern in der Schweiz und dem Fürstentum Liechtenstein Ihr erworbenes ICT-Wissen zu vertiefen und zertifizieren zu lassen. Die ECDL Prüfungen sind modular aufgebaut und kommen damit modernen und flexiblen Ausbildungsformen entgegen. Heute stehen Ihnen 13 ECDL Module zur Auswahl. Mit einer einmaligen Registrierung können Sie diese sowie künftig verfügbare ECDL Module absolvieren. Nach dem Ablegen der vier ECDL Base Module in einem unserer Test Center erhalten Sie das Zertifikat ECDL Base. Dieses können Sie mit drei ECDL Standard Modulen nach Wahl zum ECDL Standard Zertifikat ausbauen. Für fortgeschrittene Office-Anwender eigenen sich die vier ECDL Advanced Module. Weitere Informationen zum ECDL sowie eine Übersicht der ECDL Test Center finden Sie auf Wir sind sicher, dass Sie Ihre mit dem ECDL nachgewiesene ICT-Qualifikation künftig in Ihrem Arbeitsleben gewinnbringend einsetzen können. Viel Erfolg wünschen Ihnen Max Lüthi Julia van Wijnkoop Geschäftsleitung ECDL Switzerland AG Copyright Wings Software Developments, alle Rechte vorbehalten. Diese Kursunterlagen sind urheberrechtlich geschützt. Die Vervielfältigung der Texte und Bilder, auch auszugsweise, ist ohne schriftliche Zustimmung von Wings Software Developments urheberrechtswidrig und strafbar. Auch Übersetzungen, Mikroverfilmung und Verarbeitung mit elektronischen Systemen sind ohne ausdrückliche Zustimmung von Wings Software Developments nicht erlaubt.

3 ECDL-Modul IT-Sicherheit Inhalt Inhaltsverzeichnis Einführung Erläuterungen zum Lehrmittel Erläuterungen zum Inhalt ECDL ein Standard 2 Grundbegriffe zur Sicherheit Datenbedrohung Zwischen Daten und Informationen unterscheiden Daten und Informationen Cybercrime (Computerkriminalität) Hacking, Cracking und ethisches Hacking Bedrohung für Daten durch höhere Gewalt Menschliche Fehler Wert von Informationen Identitätsdiebstahl und Identitätsmissbrauch Sensible Firmendaten schützen Verschlüsselung und Passwörter Vertraulichkeit Integrität Verfügbarkeit Rechtliche Grundlagen für Datenschutz Sicherheitsstrategien und Richtlinien Persönliche Sicherheit Social Engineering was ist das? Methoden des Social Engineering Identitätsdiebstahl und Identitätsmissbrauch verstehen Folgen von Identitätsdiebstahl und Identitätsmissbrauch kennen Methoden des Identitätsdiebstahls Sicherheit für Dateien Makro-Sicherheitseinstellungen verstehen Makrosicherheitseinstellungen und ihre Auswirkungen Mit einem Passwort Dateien schützen Vorteile und die Grenzen von Daten-Verschlüsselung Repetitionsfragen - Grundbegriffe zur Sicherheit 14 Malware Definition und Funktionsweise Was ist Malware Möglichkeiten zum Verbergen von Malware kennen Malware Typen Schutz vor Malware Funktionsweise und die Grenzen von Antiviren-Software Mit Antiviren-Software scannen Scans mit Antiviren-Software planen Den Begriff Quarantäne verstehen Software-Updates und Virensignaturen Repetitionsfragen - Malware 24

4 Inhalt ECDL-Modul IT-Sicherheit Sicherheit im Netzwerk Netzwerke Netzwerktypen Die Aufgaben der Netzwerk-Administration verstehen Firewall Netzwerkverbindungen Möglichkeiten zur Verbindung mit einem Netzwerk kennen Netzwerk- und Datensicherheit Sicherheit im drahtlosen Netz Drahtlose Netze mit einem Passwort zu schützen Verschiedene Verfahren zum Schutz von drahtlosen Netzwerken kennen Gefahr eines ungeschützten drahtlosen Netzwerkes Verbindung zu einem drahtlosen Netzwerk herstellen Zugriffskontrolle Anmeldung mit Benutzername und Passwort Richtlinien für ein gutes Passwort Biometrische Verfahren zur Zugangskontrolle Repetitionsfragen - Sicherheit im Netzwerk 36 Sichere Web-Nutzung Browser verwenden Wann brauche ich einen sicheren Webzugang? Merkmale einer sicheren Website Pharming Digitales Zertifikat Einmal-Kennwort Einstellungen zu Formulardaten aktivieren/deaktivieren Temporäre Internetdateien speichern Was sind Cookies? Einstellungen für Cookies vornehmen Spuren im Browser löschen Software zur Inhaltskontrolle kennen Soziale Netzwerke Gefahren im sozialen Netzwerk kennen Privatsphäre schützen Gefahren von sozialen Netzwerken kennen Repetitionsfragen - Sichere Web Nutzung 66 Kommunikation Verschlüsselung und Digitale-Signatur Arglistige und unerwünschte s Phishing (gefälschte Webseiten) Attachments Instant Messaging Was ist Instant Messaging (IM) Schwachstellen bei der Sicherheit von IM IM Vertraulichkeit sicherstellen Repetitionsfragen - Kommunikation 76

5 ECDL-Modul IT-Sicherheit Inhalt Sicheres Daten-Management Daten sichern und Backups erstellen Massnahmen zur physischen Sicherung von Geräten Sicherungskopie (Backup) Konzept zur Datensicherung Backup erstellen Daten wiederherstellen und überprüfen Sichere Datenvernichtung Sinn und Zweck einer endgültigen Vernichtung von Daten Unterschied zwischen Löschen und Vernichtung von Daten Methoden zur endgültigen Vernichtung von Daten Repetitionsfragen - Sicheres Daten-Management 95

6 ECDL-Modul IT-Sicherheit 1 1 Einführung 1.1 Erläuterungen zum Lehrmittel Dieses Lehrmittel eignet sich als Lehrgang, indem Sie es fortlaufend durcharbeiten. Dank dem Index am Dokumentende dient es auch als Nachschlagewerk. Symbole im Lehrmittel Repetition Begriffe Tipps, Hinweise Vertiefende Informationen Repetitionsfragen dienen zur Festigung von wichtigen Begriffen und der Lernzielkontrolle. Sie können damit Ihren Wissensstand testen und allfällige Lücken füllen. Wichtige Begriffe und Erläuterungen, die in der Computerpraxis und in Zusammenhang mit der Anwendung auftauchen. Versuchen Sie, sich diese einzuprägen. Beachten Sie die Tipps. Die erlangten Erkenntnisse verhelfen Ihnen zu einem effizienten Arbeitsstil. Hintergrundinformationen, die Ihnen zu erweiterten Kenntnissen in der Anwendung verhelfen. Darstellung von Tasten, -Kombinationen und Befehlen Spezielle Tasten Tastenkombinationen Befehle, Kontextmenü-Befehle <Tab>, <Shift>, <Ctrl>, <Return> <Ctrl>+C, <Alt>+<F9> Start, Absatz, Schattierung Tabulator, Umschalten, Steuerung, Eingabe etc. Beispiel: Bei gedrückter Taste <Ctrl> wird zusätzlich C gedrückt. Befehlsfolge: Register, Gruppe, Befehl Notizen

7 2 ECDL-Modul IT-Sicherheit 1.2 Erläuterungen zum Inhalt > ECDL ein Standard Ursprünglich eine europäische Initiative mit dem Ziel, einen einheitlichen Standard für die Informatik-Anwendung in Europa zu schaffen, hat sich die ECDL weit über die Grenzen Europas hinaus verbreitet und erfreut sich mittlerweile weltweit hoher Anerkennung. > Übersicht ECDL Standard Der ECDL Standard besteht aus den vier Base sowie aus drei frei wählbaren Standard Modulen. Mit dem gesamten Umfang von ECDL Standard weisen Sie nach, dass Sie: > Weltweit gebräuchliche Anwendungen beherrschen und das Werkzeug Computer effizient nutzen können. > Mit den Weiterentwicklungen in der Informationstechnologie mühelos Schritt halten können und über die Grundlage für weiterführende IT-Ausbildungen verfügen. > ECDL Standard-Modul «IT-Security» Das vorliegende Lehrmittel ist ein Teil von ECDL Standard und basiert auf dem Syllabus Version 1.0. Es dient zur Erarbeitung der Modulziele und des dazu nötigen Fachwissens. Die Lernziele sind in Kategorien und Fähigkeiten aufgeteilt. Prüfungsinhalt Grundbegriffe zu Sicherheit Malware Sicherheit im Netzwerk Sichere Webnutzung Kommunikation Sicheres Datenmanagement Datenbedrohungen kennen, den Wert von Informationen verstehen und Massnahmen zum Schutz kennen. Den Begriff Malware verstehen und die verschiedenen Typen kennen. Schutzmassnahmen treffen und diese aktuell halten. Die verschiedenen Netzwerktypen kennen und verstehen. Firewall und den Schutz von Drahtlosnetzwerken einrichten und die Benutzeranmeldung verstehen. Den Browser richtig konfigurieren, damit die Privatsphäre gewahrt bleibt. Merkmale einer sicheren Website kennen. Verstehen, weshalb ein verschlüsselt und entschlüsselt wird. Massnahmen zur Sicherung von Daten kennen und Backup erstellen. Daten aus einer Sicherung wiederherstellen. Sinn und Zweck einer endgültigen Vernichtung von Daten verstehen.

8 ECDL-Modul IT-Sicherheit 39 5 Sichere Web-Nutzung Wenn wir uns im Internet bewegen, sind wir ständig Gefahren ausgesetzt, denn die normale Kommunikation im Web ist offen, das heisst, die Texte, Webseitenaufrufe, etc. werden in Klartext übermittelt, sodass jeder, der es interessant findet, mitverfolgen kann, was im Web kommuniziert wird. Wenn eine Webseite es erlaubt und dafür programmiert ist, kann verschlüsselt gearbeitet werden, sodass die Kommunikation von Unbefugten nicht mehr eingesehen werden kann. 5.1 Browser verwenden Neben einigen weniger verbreiteten Browsern, stehen uns Mozilla Firefox, Internet Explorer, Google Chrome, Opera und Safari zur Auswahl, um uns im Internet zu bewegen. Über die Browserauswahl können Sie den gewünschten Browser installieren. Einige dieser Browser eignen sich für ganz spezielle Nutzungen im Internet Wann brauche ich einen sicheren Webzugang? Je nach Ihren Tätigkeiten im Internet ist auf eine verschlüsselte Kommunikation zu achten. Geben Sie niemals persönliche Informationen auf einer ungesicherten Webseite ein. Selbst Ihren Namen oder Benutzernamen, um in irgendeinen Onlineshop zu gelangen, sollten Sie nur auf einer sicheren Webseite eingeben Merkmale einer sicheren Website Eine sichere Webseite wird durch ein s im https: gekennzeichnet und es wird ein Schloss als Symbol abgebildet. Der Internetexplorer färbt die Webadresse zusätzlich grün ein. Wird die Identifizierung der Webseite mit einer Warnmeldung begleitet, ist grösste Vorsicht angebracht! Gehen Sie nicht leichtsinnig mit solchen Meldungen um Pharming Pharming, eine Weiterentwicklung des klassischen Phishings, ist eine Betrugsmethode, die durch das Internet verbreitet wird. Sie basiert auf einer Manipulation der DNS-Anfragen von Webbrowsern, um den Benutzer auf gefälschte Webseiten umzuleiten. Der DNS-Dienst ermöglicht es uns, eine Webseite über einen Namen aufzurufen, obwohl jeder Webseite eine IP-Nummer zugrunde liegt. Pharming ist der Oberbegriff für verschiedene Arten von DNS-Angriffen. Diese Angriffe versuchen unter Zuhilfenahme eines Trojanischen Pferdes oder eines Virus eine gezielte Manipulation des Systems vorzunehmen, mit der Konsequenz, dass von diesem System gezielt gefälschte Websites angezeigt werden, obwohl die Adresse korrekt eingegeben wurde. Benutzer können so beispielsweise auf täuschend echt nachgebildete Seiten einer Bank geleitet werden.

9 40 ECDL-Modul IT-Sicherheit Durch aktualisierte und richtig konfigurierte Sicherheitssoftware (aktiver Hintergrundwächter, aktive Firewall) sollten sich solche Manipulationen verhindern lassen Digitales Zertifikat Ein digitales Zertifikat ist ein digitales Verfahren zur Identifizierung, vergleichbar mit einem Ausweis oder Führerschein. Ein digitales Zertifikat enthält Informationen über Identitäten und andere unterstützende Informationen. Ein digitales Zertifikat wird von einer Zertifizierungsstelle ausgestellt. Mit der Ausstellung eines digitalen Zertifikats garantiert die Zertifizierungsstelle die Gültigkeit der Zertifikatsinformationen. Darüber hinaus ist ein digitales Zertifikat nur innerhalb eines bestimmten Zeitraums gültig. Eine Nachricht oder eine Webseite kann anhand des Schlüsselpaares des Erstellers, bestehend aus dem privaten und dem öffentlichen Schlüssel, überprüft und authentifiziert werden. Zur Unterstützung der Kryptografie mit öffentlichen Schlüsseln stellen digitale Zertifikate zuverlässige Funktionen für die Verteilung und den Zugriff auf öffentliche Schlüssel bereit. Wenn ein Ersteller eine Nachricht oder Webseite diese signiert, gibt er oder sie den zugehörigen privaten Schlüssel für den im digitalen Zertifikat verfügbaren öffentlichen Schlüssel an. Wenn der Betrachter nun die digitale Signatur überprüfen möchte, kann er den erforderlichen öffentlichen Schlüssel aus dem digitalen Zertifikat abrufen. In der folgenden Abbildung ist der Ablauf der Signierung mithilfe digitaler Zertifikate dargestellt. 1. Erfassen der Nachricht 2. Berechnen des Hashwertes der Nachricht 3. Abrufen des privaten Schlüssels aus dem digitalen Zertifikat des Absenders 4. Verschlüsseln des Hashwertes mit dem privaten Schlüssel des Absenders 5. Anhängen des verschlüsselten Hashwertes an die Nachricht als digitale Signatur 6. Senden der Nachricht In der folgenden Abbildung ist der Ablauf der Überprüfung mithilfe digitaler Zertifikate dargestellt. 1. Empfangen der Nachricht 2. Abrufen der digitalen Signatur mit dem verschlüsselten Hashwert aus der Nachricht 3. Abrufen der Nachricht 4. Berechnen des Hashwertes der Nachricht 5. Abrufen des öffentlichen Schlüssels des Absenders aus dem digitalen Zertifikat des Absenders 6. Entschlüsseln des verschlüsselten Hashwertes mit dem öffentlichen Schlüssel des Absenders 7. Vergleichen des entschlüsselten Hashwertes mit dem gerade berechneten Hashwert 8. Die Nachricht ist gültig, wenn die Werte übereinstimmen. Aus den gezeigten Abläufen wird ersichtlich, dass das digitale Zertifikat zur Überprüfung der digitalen Signatur einen Zugriff auf die öffentlichen Schlüssel gestattet.

10 ECDL-Modul IT-Sicherheit 41 Weit verbreitet sind Public-Key-Zertifikate nach dem Standard X.509, welche die Identität des Inhabers und weitere Eigenschaften eines öffentlichen kryptographischen Schlüssels bestätigen. In der Zertifikatverwaltung können Sie Details zu Zertifikaten anzeigen, Zertifikate ändern, löschen oder neue anfordern. Die Zertifikatverwaltung öffnet sich, indem Sie auf die Schaltfläche Start klicken, certmgr.msc in das Feld Suche eingeben und dann die EINGABETASTE drücken. Über die einzelnen Ordner gelangen Sie zu den diversen Angaben über die aktuellen Zertifikate. Eine weitere Möglichkeit Zertifikate einzusehen, besteht im Internet Explorer über das Symbol Extras und dann Internetoptionen. Dort im Register Inhalte im Bereich Zertifikate über den Schalter Zertifikate gelangen Sie zu den aktuellen Zertifikaten Einmal-Kennwort Ein typisches Einmal-Kennwort wird im E-Banking verwendet. Dort wird nach dem ersten Einloggen meistens ein Kennwort (TAN) zur Bestätigung der Transaktion oder des Zugriffs auf die Kontodaten angefordert. Das Kennwort kann je nach Bank anders übermittelt werden. Per SMS, spezieller TAN-Generatoren, oder mit einer Kennwortliste die dem Bankkunden per Post zugestellt wurde. Das Kennwort alleine reicht nicht aus, um den Zugang zu den Bankdaten zu erlangen. Es gibt auch andere Situationen, bei denen ein nur einmal gültiges Passwort eingegeben werden muss. So bei den meisten Fernwartungs-Tools, damit der Techniker nach einer abgeschlossenen Fernwartung später nicht einfach auf das System zugreifen kann. Bei jeder neuen Fernwartung muss dieser sich mit einem anderen Kennwort, das der Hilfesuchende ihm jeweils mitteilt, den Zugang aktivieren. Für den Zugang in ein öffentliches Wi-Fi-Netz erhält man nach der Angabe seiner mobilen Telefonnummer meistens auch ein einmaliges Kennwort, um den Zugang zu erhalten. Dadurch ist eine Identifikation des Nutzers über die angegebene Telefonnummer möglich.

11 42 ECDL-Modul IT-Sicherheit Einstellungen zu Formulardaten aktivieren/deaktivieren Wenn wir im Internet unsere persönlichen Daten auf einer sicheren Webseite eingeben, kann es sein, dass unsere Eingaben wie von Zauberhand automatisch vorgeschlagen werden. Diese Eingabeunterstützung wird Autovervollständigung genannt. Diese Automation kann eine Sicherheitslücke darstellen, denn es werden persönliche Daten automatisch aufgerufen, die für einen Hacker von grossem Interesse sein könnten. Vorgänge Auto- Vervollständigen Die Einstellungen für diese Automation finden Sie im Internet Explorer über das Symbol Extras und dann Internetoptionen dort im Register Inhalte im Bereich AutoVervollständigen und dort den Schalter Einstellungen. Unter AutoVervollständigen verwenden für haben Sie die Möglichkeit verschiedene Anpassungen vorzunehmen. Adressleiste Formulare Hier können Sie das Verhalten des Internet Explorers bei der Eingabe von Web-Adressen, dem Suchverhalten etc. festlegen. In den meisten Fällen hinterlassen diese Informationen keine sicherheitsrelevanten Informationen, die von Hackern genutzt werden könnten. Je nach Sicherheitsanspruch können diese aber auch deaktiviert werden. Auf Formularen werden oft persönliche Daten eingetragen, die für Hacker durchaus interessant sein können. Daher kann empfohlen werden, diese zu deaktivieren, was dann dazu führt, dass sich die Felder nicht mehr automatisch ergänzen.

12 ECDL-Modul IT-Sicherheit 43 Benutzernamen und Kennwörter für Formulare Diese Option sollte ausgeschalten sein, da sonst die eingegebenen Passwörter im System gespeichert werden und somit für Hacker unter Umständen eingesehen werden können. Über den Schalter Kennwörter verwalten gelangen Sie in die Anmeldeinformationsverwaltung. Hier können Sie die verschiedenen Passwörter, die im System hinterlegt sind, mit einem Klick auf Einblenden und nach einer Bestätigung des Admin Kennwortes anschauen. Mit einem Klick auf Entfernen wird das Kennwort gelöscht. Notizen

13 66 ECDL-Modul IT-Sicherheit 5.1 Repetitionsfragen - Sichere Web Nutzung 1. Woran erkenne ich einen sicheren Webzugang? 2. Was ist ein digitales Zertifikat? 3. Was ist ein Einmal-Kennwort? 4. Wo kann ich das automatische Vervollständigen von Formulardaten ein- oder ausschalten? 5. Weshalb sollte der Speicherplatz für temporäre Internetdateien möglichst klein gehalten werden? 6. Was sind Cookies? 7. Weshalb sollten Sie die Spuren in Ihrem Browser nach einer Banktransaktion löschen? 8. Was ist ein Tracking-Schutz? 9. Was für Möglichkeiten zum Jugendschutz kennen Sie? 10. Auf was ist bei sozialen Netzwerken für Ihre Sicherheit zu beachten? 11. Was ist Cyber-Grooming?