Innebygd informasjonssikkerhet

Question 1

Hvilken faser kan vi beskrive programvareutviklingsprosessen med?

Answer 1

1. Opplæring
2. Krav (til informasjonssikkerhet og personvern)
3. Design (sikker design)
4. Koding (sikker koding)
5. Test (Sikkerhetstesting)
6. Produksjonssetting
7. Forvaltning

Question 2

Hva er trusselmodellering?

Answer 2

Det går ut på å finne de mest relevante måtene et system kan misbrukes og
angripes på (for å kunne beskytte seg mot disse angrepene).

I trusselmodelleringen må et utviklingsteam må identifisere relevante
trusselscenarioer.

Question 3

Hva er STRIDE?

Answer 3

STRIDE er et populært rammeverk utviklet av Microsoft.

Question 4

Hvilken kategorier er beskrevet i STRIDE?

Answer 4

Spoofing

Tampering

Repudiation

Information disclosure

Denial of service

Elevation of privilege

Question 5

Hvilken sårbarheter finner vi i OWASP Top 10 (2017)?

Answer 5

1. Injection
2. Broken Authentication
3. Sensitive Data Exposure
4. XML External Entitites (XXE)
5. Broken Access Control
6. Security Misconfiguration
7. Cross-Site Scripting (XSS)
8. Insecure Deserialization
9. Using Components with Known
   Vulnerabilities
10. Insufficient Logging & Monitoring

OWASP Top 10 - 2021:
1. Broken Access Control
2. Cryptographic Failures
3. Injection
4. Insecure Design
5. Security Misconfiguration
6. Vulnerable and Outdated Components
7. Identification and Authentication Failures
8. Software and Data Integrity Failures 
9. Security Logging and Monitoring 
     Failures
10. Server-Side Request Forgery (SSRF)

Question 6

Hva er spoofing iht. STRIDE rammeverket?

Answer 6

Spoofing -> Identitetstyveri

• Kan en angriper få uautorisert tilgang ved å stjele en annens identitet?
• Brudd på autentisitet.

Question 7

Hva er tampering iht. STRIDE rammeverket?

Answer 7

Tampering -> Kompromittering

• Kan en angriper endre data som prosesseres av systemet?
• Brudd på integritet.

Question 8

Hva er repudiation iht. STRIDE rammeverket?

Answer 8

Repudiation -> Avvisning

• Kan en angriper benekte misbruk, uten at vi kan bevise misbruket?
• Brudd på uavviselighet.

Question 9

Hva er information disclosure iht. STRIDE rammeverket?

Answer 9

Information Disclosure -> Datatyveri og -lekkasje

• Kan en angriper få tilgang til konfidensielle og personlige data?
• Brudd på konfidensialitet.

Question 10

Hva er denail of service iht. STRIDE rammeverket?

Answer 10

Denial of service -> Tjenestenekt

• Kan en angriper blokkere eller minske tilgjengligheten av systemet?
• Brudd på tilgjenglighet.

Question 11

Hva er elevation of privilege iht. STRIDE rammeverket?

Answer 11

Elevation of privilege -> Utvidede tilganger

• Kan en angriper oppnå utvidede tilganger som en privilegert bruker?
• Brudd på tilgangskontroll.