Lisansüstü Ders Planı

Transkript

1 KURUMSAL BİLGİ GÜVENLİĞİ Lisansüstü Ders Planı Prof. Dr. Şeref SAĞIROĞLU Gazi Üniversitesi Mühendislik Fakültesi Bilgisayar Mühendisliği Bölümü Maltepe/Ankara Kurumsal Bilgi Güvenliğine Giriş: Bilgi, Bilgi Sistemleri Güvenliği, Bilgi Güvenliği Unsurları, Bilgi Güvenliği Gelişimi ve Güvenlik Sınıflandırması; Kurumsal Bilgi Güvenliği Erişim Kontrol Sistemleri ve Yöntemleri Güvenlik Mimarileri ve Modelleri, Doğrulama ve yetkilendirme teknikleri Erişim Kontrol Yöntemleri, Tehditler ve Korunma Yöntemleri; 1/21 2/21 Ağ ve Haberleşme Güvenliği Ağ güvenliği Teknolojileri (Firewall, IDS, IPS, vb); Haberleşme Güvenliği Teknolojileri (Şifreleme, Steganografi vb.), Elektronik imza Tehditler ve Korunma yöntemleri Bilgisayar Güvenliği Evaluation criteria: Trusted Computer Security Evaluation Criteria, (TCSEC), Information Technology Security Evaluation Criteria; 3/21 Yazılım Güvenliği Güvenli Yazılım Geliştirme Esasları, Web uygulamalarının güvenliği, Tehditler ve Korunma yöntemleri; İnsan Güvenliği Kişisel Güvenlik, eğitim ve bilinçlendirme; Toplum Mühendisliği; 4/21 Bilgi Güvenliği Yönetimi Güvenlik Standartları (ISO/IEC Serisi, ISO/IEC 15408,Ortak Kriterler, vb), Kurumsal Bilgi Varlıkları ve Sınıflandırma, Politikalar, prosedürler, standartlar ve kılavuzlar, Risk analizi ve Risk yönetimi, Belgelendirme; Bilişim Hukuku ve Suçları, Uluslararası ve Ulusal Yasalar, Yönetmelikler ve Mevzuatlar 5/21 Sızma Testleri Sızma Test Aşamaları Sızmalarda kullanılan Yöntemler Sızmalarda test araçları Araştırma ve Uygulama Projeleri Proje raporu (uygulama veya araştırma, isteyenler için her ikisi de) Proje sunumu 6/21 1

2 Kurumsal Bilgi Güvenliği? Kurumsal bilgi varlıklarının gizliliğine, bütünlüğüne ve erişilebilirliğine yapılan saldırılar karşısında çoğunlukla aciz kalınması sonucunda ciddi ve giderilmeyecek maddi ve manevi kayıplar meydana gelmektedir kurumların kayıplarının en aza indirgenmesi meydana gelen güvenlik ihlallerinin en aza indirgenmesi kurumsal bilgi güvenliğine büyük gözle veya tek bir çatıdan bakılabilmesi bilgi güvenliğinin sağlanmasında standartlaşmayı sağlamak Bilgi güvenliği farkındalığını oluşturmak Bilişim teknolojisini kullanan her seviyedeki personel, kurum ve kuruluşlarda bilişim güvenliği kavramını ve farkındalığını oluşturmak, Malımızı, itibarımızı, saygınlığımızı ve geleceğimizi korumak YAPILMAZSA? Kurumsal/Kişisel imajlar zedelenir. Kuruma olan güven sarsılır. Büyük maddi kayıplar oluşabilir. İş gücü ve zaman kaybına neden olabilir. Sistemleri eski durumuna getirilmesi için yüksek maliyetlere gerek duyulabilir. Beklenilmeyen sonuçlarla karşılaşılabilinir. 7/21 8/21 Dersin Amacı Dersin İşleniş Metodolojisi KBG yi öğrenme ve uygulayabilme becerisini kazandırma, KBG teorik ve pratik olarak (mümkün olduğunca) öğrenmenizi sağlamak, Araştırma becerilerinizi geliştirme, Kurumsal bilgi güvenliğinin nasıl sağlanacağını öğrenme ve geliştirme Teorik anlatım Haftalık ödevler Dönem araştırma ödevi Rapor + Sunum Dönem uygulama ödevi Rapor + sunum 9/21 10/21 Değerlendirme 1 Vize + 1 Dönem Ödevi+ Haftalık ödevler Vize Notlar Kapalı 1 Dönem Ödevi (Araştırma + Uygulama ödevi) Ders Geçme Notu: Vize (%80Vize+Haftalık ödevler%20)/2 + (Final=Dönem ödevi=rapor%70+sunum%30)/2 11/21 Ödevler hazırlanırken dikkat edilmesi gereken hususlar Kapsamlı bir araştırma olmasına Özgün olmasına Öğrenciye katkısının sonuçta değerlendirilmesine Faydalanılan kaynakların rapor içerisinde bulunması ve atıf yapılmasına, Raporun sunumunun hazırlanması ve sunulması Araştırma raporlarının en az 20, Uygulama ödevlerinin en az 10 sayfa olarak hazırlanması Raporların ve sunumların 2 yazılı kopya olarak sunulması Raporlarda faydalanılan kaynakların soft kopyaları, raporların word dokümanları, sunumlar ve geliştirilen yazılımın/yazılımların kaynak kodları ve exeleri uygulama ödevi sonuna bir CD içerisine kaydedilmiş olarak sunulmalıdır. 12/21 2

3 Öğrenciden beklenen temel beceriler Bilgi güvenliği konusuna ilgi duymalı Temel bilgisayar bilgisine sahip olması Nasıl araştırma yapacağını bilmeli Literatürü takip edebilmeli Ödev ve rapor hazırlamayı iyi bilmeli Sunum becerisi bulunmalı Yabancı dil bilmeli 13/21 Dersi alan her öğrenci; DERSİN HEDEFİ Anlatılan konuları öğrenecek, KBG yi öğrenecek ve uygulayabilecek, Güncel açıkları öğrenecek ve karşı tedbirleri bilecek Yeni teknikleri öğrenip uygulayabilecek, KBG literatürünü takip edebilecek, KBG nin bilincinin yaygınlaşmasına katkıda bulunabilecek, Konuyla ilgili uygulama geliştirme konusunda kendini geliştirmiş olacak, Literatüre de katkıda bulunabilecek. 14/21 DÖNEM ÖDEVLERİ Konu Başlıkları 15/21 SmartBoard -- Encrypted BBS with Secure Server Secure Message Passing for High-Performance Distributed Computing Security and Usability of Card-Based Ciphers Security Policy and Mechanisms for Electronic Personal Health Records NetWatch: Taking Back the Internet Analyzing Network Traffic from a Class B Darknet Flingetty: Secure Multiparty Computation for a Dating Match-up System Quantum Cryptography: A Viability and Security Analysis Proposed Standard for DVD Security Secure Peer-to-Peer Backup Systems Anonymous Routing in a Peer-to-Peer Network esnack Analysis of Password Recovery Schemes Secure Corporate IM An Incentives-based Framework for Secure Peer-to-Peer Media Continual Authentication with Keystroke Dynamics Enhanced User Authentication Through Keystroke Biometrics Two Perspectives on PGP Usability An Investigation of Current Methodologies in Buffer Overflow Attack and Prevention The Security of Time User Tracking on Trusting Networks SEC: SSH like client 16/21 Digital Money-- Fault Tolerant Multibank System Security Policy Models An Overview of Biometric Technologies and their Real World Applications Netbook Secure Sockets Layer 3.0: Overiew and Analysis Secure Perfectly Forward Secure Wizard Cryp: An All-or-Nothing Encryption Scheme for Secure Multi-user Information Distribution Frosty the Random Number Generator Impact of Quantum Theory on Cryptography Cartemis:Secure Electronic Wallet Technology Preventing Media Piracy Netscape's "What's Related" Service and Privacy/Security Issues Secure Electronic Poker PGP vs S/MIME A Study of SSH ATM A trusted machine? Secure Mobile Code Framework Pseudonyms and Credential Transfer Electronic Payment Schemes echeck:a Safety-Oriented Electronic Check Scheme Computing with Encrypted Data 17/21 A Secure Media Distribution Framework How to Make the User Authentication Process in MS Passport More Secure Blinded Distributed Computing Security of Wireless Networks and Mobile Devices Cracking Digital Satellite TV User Authentication in Cryptographic File Systems Steganography in Spam Proactive Cryptography Applications in Smart Cards Execution-Based Software Protection Steganography in TCP timestamps Rethinking Software Piracy: Active Software Rights Verification for Effective Control of Piracy Reputation-Based Certificate Authorities Cookie authentication Analyzing the Security of Wireless Networks Threshold Signatures and Open Source Honeypots Security and Privacy Issues of Microsoft Passport Security Aspects of Unicode Digital Signatures for Physical Mail Differential Fault Analysis of RC5 Secure Instant Messengers 18/21 3

4 A Review of AES Candidates A Payword Implementation An Analysis of TIMEBOMB Purple: Japanese ciphers in WWII Identity Theft Approaches to MIXNets SmartCards: Back from the Dead Payment via GSM Mobile phones Digital Multimedia Copyright Protection Security Analysis of Electronic Postage Systems Security of Network Attached Storage Software Bugging Design of a secure Pilot-based Authentication System Intrusion Detection Systems Cellular Telephone Security A Computer Testing System Copyright Protection Mechanisms in DVD + divx CGI Security Issues Network Access Controls 19/21 Receipt-Free Secure Elections A well-hidden module for remote control of Linux machines The feasibility of quantum computation Network Security for Chat Programs Electronic Voting New MIT Card MIT Tech Cash Peer-to-Peer Security Anti-spam techniques Wireless security: attacks and protection. Study of Firewalls. You can look into some existing firewalls such as Linux Iptables. Security of P2P networks. Security of Sensor Netoworks. Stack overflow, buffer overflow, format-string vulnerabilities, and how to prevent them? How to protect code confidentiality for defending piracy? How to make sure the integrity of codes so you know code has not been modified by any means? The common methods of spyware, spams and study how to avoid them. Database security, Web security, etc. Cryptanalysis: study any methods and the complexity to break common cryptographic systems (such as DES, AES, Blowfish, RC5, RC4 RSA, ECC). The study of message authentication and hash functions: cryptanalysis, develop some new ones. 20/21 The study of various anti-virus techniques. The study of intrusion detection system. Pick some example systems. The study of security of mobile codes: proof-carrying codes, code signing, type checking, constrained execution, etc. Legal, privacy and ethical issues related to security. The issues related to administrating security: security planning, risk analysis, security policy. The applications and protocols of cryptography: you can design your own method for specific applications. For example some existing ones such as Kerberos, X. 509, PGP, S/Mine. The issues on IP security. The issues on Penetration Testing. The issues on Web security. The issues on wireless security. The study of key distributions and managements. Case study of virus, warms, etc. and suggestion of protections. For example, how to prevent stack-overflow. The management issues for security. If you are an IT security manager, how do you develop an efficient and effective security policies. Watermarking study. New cryptosystems survey and study such as Quantum Cryptography. 21/21 Security in Database, distributed systems. Implementation issue (in hardware and software) for security-related algorithms. Security and Encryption Techniques for Multimedia Systems Security Standards and Implementation Information Security Policies Enterprise Information Security Management Systems Web Application Security Web Services Security Java EE security Software Security Database Security 22/21 Ders Materyali ve Yardımcı Kaynaklar Ders Materyali ve Yardımcı Kaynaklar Cole, E., Krutz, R., Conley, J.W., Security Assessments, Testing, and Evaluation, Network Security Bible, Wiley Publishing Inc., Indianapolis, (2005). Abrams, D., M., FAA System Security Testing and Evaluation, Mitre Center for Advanced Aviation System Development McLean, Virginia (2003). Layton, P., T., Penetration Studies A Technical Overview, SANS Institute Mathew, T., Ethical Hacking and Countermeasures EC-Council E- Business Certification Series Copyright by EC-Council Developer Publisher OSB Publisher ISBN No Klevinsky, T., J., Laliberte, S., Gupta, A., Hack I.T.: Security Through Penetration Testing, Publisher: Addison Wesley First Edition February 01, 2002ISBN: , 544 pages. Bilgi Teknolojisi Bilgi Güvenliği için uygulama prensibi TS ISO/IEC Standartı Türk Standartları Enstitüsü, 2005 Cryptography And Network Security Principles And Practices" Stallings Will, Prentice Hall, /21 Ş. Sağıroğlu, "Bilgi ve Bilgisayar Güvenliği Ders Notları" "Security Engineering", R. Anderson, , Willey, New York, M. Welschenbach, "Cryptography in C and C++", X, APress, Springer, A. Nash, W. Duane, C. Joseph, D. Brink "PKI: Implementing and Manging E-Security",, McGraw-Hill, W. Stallings, "Cryptography And Network Security Principles And Practices" , Prentice Hall, D. Yılmaz, "Bilişim Korsanlığı ve Korunma Yöntemleri", Hayat Yayınları, J. Whittaker, H. Thompson "How to Break Software Security, , Addison Wesley, 1 May, /21 4

5 Ders Materyali ve Yardımcı Kaynaklar Security Engineering, R. Anderson, Wiley, New York, 2001 Ş. Sağıroğlu, M. Alkan, Her Yönüyle Elektronik İmza, Grafiker Yayınları, 2006, Ankara.", G. Canbek, Ş. Sağıroğlu, Bilgi ve Bilgisayar Güvenliği: Casus Yazılımlar ve Korunma Yöntemleri, Grafiker Ltd. Şti. Aralık Bilgi ve Bilgisayar Güvenliği Ders Notları, 2007 "İlgili Web Siteleri" D Salomon, "Data Privacy: Encryption and Information Hiding, , 480 pages, Springer-Verlag New York Inc., K.S. Schmeh, "Cryptography and Public Key Infrastructure on the Internet, X, John Wiley and Sons Ltd, Peter Thorsteinson, ".NET Security and Cryptography (The Integrated.Net Series From Object Innovations), x, Prentice Hall Ptr, "İlgili Web Siteleri" 25/21 5