Two-Factor Authentication - dwuskładnikowe potwierdzenie tożsamości użytkownika.
Indeks pojęć
Pojęcia, definicje, koncepcje i skróty z kursu Podstawy bezpieczeństwa sieci komputerowych
Indeks obejmuje 125 formalnych definicji pojęciowych, kluczowe terminy merytoryczne oraz ponad 400 skrótów i akronimów inżynierskich ze wszystkich 6 wykładów kursu. Wpisz frazę w polu filtru lub kliknij literę / wykład, aby natychmiast zawęzić listę.
Wszystkie wykłady
W1: Wprowadzenie
W2: Kryptografia
W3: Dostęp i zapory
W4: Sieci VPN
W5: Ataki sieciowe
W6: Internet rzeczy (IoT)
Wyświetlanie: 848 haseł w indeksie.
A
Authentication, Authorization, Accounting - trójstopniowy model kontroli dostępu do sieci.
ACL
W3 · slajd 1/20 | W3 · slajd 2/20 | W3 · slajd 8/20 | W3 · slajd 9/20 | W3 · slajd 15/20 | W3 · slajd 16/20 | W6 · slajd 10/25
Access Control List - lista kontroli dostępu definiująca reguły przepuszczania lub blokowania ruchu.
zaawansowane, trwałe zagrożenie teleinformatyczne realizowane przez wysoce wykwalifikowaną grupę adwersarzy, najczęściej finansowaną lub kierowaną przez agencje wywiadowcze państw. Charakteryzuje się wykorzystaniem podatności 0-day, technik ukrywania obecności oraz precyzyjnym profilowaniem celu.
Authenticated Encryption with Associated Data - szyfrowanie z jednoczesnym uwierzytelnieniem danych.
AES
W2 · slajd 1/20 | W2 · slajd 2/20 | W2 · slajd 3/20 | W2 · slajd 4/20 | W2 · slajd 5/20 | W2 · slajd 6/20 | W2 · slajd 11/20 | W2 · slajd 20/20 | W4 · slajd 3/19 | W5 · slajd 12/20 | W6 · slajd 5/25 | W6 · slajd 11/25
Advanced Encryption Standard - nowoczesny symetryczny szyfr blokowy o kluczach 128/192/256 bitów.
symetryczny szyfr blokowy zatwierdzony w 2001 roku przez NIST jako standard FIPS 197. Zastąpił przestarzały algorytm DES i stanowi obecnie powszechny standard ochrony danych w protokołach sieciowych, bazach danych i dyskach.
analiza danych z inteligentnych liczników prądu ujawnia godziny obecności i codzienne nawyki domowników.
Authentication Header - protokół IPsec zapewniający integralność i autentyczność bez szyfrowania.
bezpieczne pobieranie skompresowanych obrazów firmware przez sieć bezprzewodową.
serwery fizyczne, macierze dyskowe, routery, przełączniki oraz okablowanie strukturalne.
bazy danych, własność intelektualna, kod źródłowy, tajemnice przedsiębiorstwa i reputacja.
natychmiastowe porzucenie złośliwego pakietu (Drop), zresetowanie sesji TCP (RST) lub blokada IP na zaporze.
każdy materialny lub niematerialny zasób organizacji podlegający ochronie, którego utrata, uszkodzenie lub ujawnienie spowodowałoby wymierne straty finansowe, operacyjne lub prawne. Inwentaryzacja aktywów stanowi punkt wyjścia dla każdego audytu bezpieczeństwa.
Annualized Loss Expectancy - roczna oczekiwana strata finansowa w szacowaniu ryzyka.
jeden z pierwszych i najpopularniejszych asymetrycznych algorytmów kryptograficznych, zaprojektowany w 1977 roku przez Rona Rivesta, Adiego Shamira i Leonarda Adlemana, wykorzystujący trudność rozkładu wielkich liczb złożonych na czynniki pierwsze.
Slajd omawia konstrukcję algorytmu RSA, wymagane długości kluczy oraz alternatywę w postaci krzywych eliptycznych (ECC).
Slajd charakteryzuje architekturę szyfru AES (Rijndael), długości kluczy oraz tryby pracy ze szczególnym uwzględnieniem AES-GCM.
Slajd przedstawia metodykę badania bezpieczeństwa obrazów binarnych mikrokontrolerów i routerów.
uruchamianie wyekstrahowanych usług sieciowych w środowisku zwirtualizowanym bez fizycznego sprzętu.
model wyliczający roczną oczekiwaną stratę finansową: ALE = SLE * ARO.
macierz prawdopodobieństwo-wpływ klasyfikująca ryzyka na poziomy: niskie, średnie, wysokie i krytyczne.
odczyt kluczy kryptograficznych poprzez precyzyjny pomiar wahań poboru prądu (DPA) lub emisji EM.
Slajd omawia standardy kryminalistyki cyfrowej ze szczególnym uwzględnieniem zasady lotności danych (RFC 3227).
Slajd omawia 7 faz modelu Cyber Kill Chain oraz ich powiązanie z taktykami macierzy MITRE ATT&CK.
termin inżynierski związany ze środowiskiem API.
kody jednorazowe generowane lokalnie przez funkcję HMAC na podstawie wspólnego sekretu i czasu.
APT
W1 · slajd 6/20 | W1 · slajd 9/20 | W1 · slajd 10/20 | W5 · slajd 1/20 | W5 · slajd 2/20 | W5 · slajd 10/20 | W5 · slajd 16/20 | W5 · slajd 20/20
Advanced Persistent Threat - zaawansowane, długofalowe zagrożenie sponsorowane przez państwo.
standardy Modbus, DNP3 czy Profinet powstały dekady temu i nie posiadają żadnego szyfrowania ani haseł.
Slajd analizuje komponenty architektury IPsec: protokoły AH i ESP oraz protokół negocjacji IKE.
zintegrowany zespół algorytmów, protokołów i procedur zarządzania kluczami wdrożony w organizacji w celu zapewnienia poufności, integralności, autentyczności i niezaprzeczalności danych w spoczynku (at rest) oraz w tranzycie (in transit).
OpenVPN działa w userspace, wykorzystując wirtualne sterowniki jądra TUN (L3) lub TAP (L2).
połączenie modelu AAA, zapór stanowych/NGFW, segmentacji VLAN i 802.1X tworzy szczelną obronę w głąb.
Suplicant (klient końcowy), Authenticator (przełącznik sieciowy) oraz Authentication Server (RADIUS).
model strukturalny dzielący złożony ekosystem Internetu rzeczy na odrębne, współpracujące płaszczyzny technologiczne: percepcji fizycznej, transportu sieciowego, analityki chmurowej oraz prezentacji aplikacyjnej.
Slajd przedstawia strukturę warstwową systemów IoT oraz punkty styku podatne na kompromitację.
strategiczny model cyberbezpieczeństwa zakładający brak domyślnego zaufania do jakiegokolwiek użytkownika, urządzenia lub usługi, bez względu na ich fizyczną lub sieciową lokalizację. Wymaga rygorystycznej, nieustannej weryfikacji tożsamości i integralności każdego połączenia.
dziesiątki tysięcy przejętych urządzeń (kamery IoT, routery, komputery) sterowanych przez serwery C2.
Annualized Rate of Occurrence - szacowana roczna częstotliwość występowania danego zdarzenia.
Address Resolution Protocol - protokół odwzorowujący adresy logiczne IP na adresy fizyczne MAC.
dane zaszyfrowane kluczem publicznym mogą zostać odszyfrowane wyłącznie odpowiadającym kluczem prywatnym.
Slajd analizuje techniki ataków Man-in-the-Middle ze szczególnym uwzględnieniem zdejmowania szyfrowania HTTPS.
technika ataku sieciowego, w której napastnik w sposób niewidoczny przechwytuje, podsłuchuje lub modyfikuje komunikację pomiędzy dwiema stronami, podszywając się pod każdą z nich przy użyciu własnych kluczy kryptograficznych.
zalewanie przełącznika milionami fałszywych adresów MAC w celu wymuszenia pracy w trybie huba (Fail-Open).
automatyczne testowanie milionów par login:hasło wyciekłych z innych portali internetowych.
zatrucie serwera DNS lub podsłuch zapytań i podmienianie prawdziwego adresu IP banku na fałszywy serwer intruza.
Slajd charakteryzuje ataki sprzętowe: analizę poboru mocy (DPA), wstrzykiwanie błędów oraz obudowy antysabotażowe.
Slajd omawia istotę ataków Denial of Service oraz mechanizmy wyczerpywania zasobów systemowych.
celowanie w sieci energetyczne, transport, telekomunikację oraz sektor finansowy w konfliktach hybrydowych.
próby zdalnej zmiany stężenia chemikaliów uzdatniających wodę (np. incydent w Oldsmar na Florydzie).
nagranie prawidłowego sygnału radiowego (np. otwarcie bramy) i ponowne nadanie ramki.
precyzyjnie targetowane ataki na kadrę zarządzającą i dyrektorów finansowych w celu wyłudzenia przelewów (BEC).
wysyłanie zapytań DNS/NTP ze sfałszowanym adresem IP ofiary; serwery odsyłają ofierze gigantyczne odpowiedzi.
chwilowy spadek napięcia (glitching) powodujący pominięcie instrukcji weryfikacji hasła.
zalewanie użytkownika dziesiątkami powiadomień PUSH w nocy w nadziei na przypadkową akceptację.
Slajd analizuje proces monitorowania telemetrii VPN w celu identyfikacji skompromitowanych poświadczeń użytkowników.
Slajd przedstawia zasady gromadzenia danych telemetrycznych oraz ich centralizacji w systemach zarządzania informacją o zdarzeniach.
systematyczny proces gromadzenia, przechowywania oraz analizowania dzienników zdarzeń (logów), metadanych przepływów sieciowych oraz konfiguracji urządzeń w celu weryfikacji zgodności z polityką bezpieczeństwa i wykrywania incydentów.
pewność, że podmiot lub zasób jest w rzeczywistości tym, za kogo się podaje.
pakiety należące do ustanowionej sesji (state: ESTABLISHED) przechodzą automatycznie bez osobnych reguł.
skanowanie milionów adresów IP w czasie rzeczywistym w poszukiwaniu niezałatanych podatności zero-day.
nowoczesne protokoły (ACME - Let's Encrypt) automatyzują odnawianie certyfikatów serwerowych.
samodzielny program skanujący sieć w poszukiwaniu podatnych usług i infekujący je bez jakiejkolwiek akcji człowieka.
określenie zakresu uprawnień: jakie komendy, zasoby i segmenty sieci są dostępne dla danej tożsamości.
B
podrzucanie zainfekowanych nośników USB oraz wchodzenie do strzeżonych stref za uprawnionym pracownikiem.
porównywanie zawartości pakietów ze wzorcami znanych exploitów (np. reguły Snort, Suricata).
zespół środków ochrony materialnej, budowlanej i środowiskowej zapobiegający nieuprawnionemu dostępowi fizycznemu, uszkodzeniu, kradzieży lub zakłóceniu pracy urządzeń teleinformatycznych oraz powiązanej infrastruktury zasilająco-chłodzącej.
Slajd omawia fizyczne aspekty zabezpieczenia urządzeń sieciowych przed sabotażem, kradzieżą i czynnikami środowiskowymi.
proces zachowania poufności, integralności oraz dostępności informacji, z uwzględnieniem takich właściwości jak autentyczność, rozliczalność i niezaprzeczalność. Obejmuje zabezpieczenia organizacyjne, fizyczne oraz techniczne chroniące dane przed zniszczeniem lub nieuprawnionym dostępem.
rygorystyczne uwierzytelnianie dwustronne oparte na certyfikatach cyfrowych X.509 i kluczach TLS-Auth.
zespół mechanizmów kryptograficznych chroniących bezprzewodowe łącza transmisyjne (Wi-Fi, BLE, Zigbee, LoRaWAN) przed podsłuchem, wstrzykiwaniem sfałszowanych ramek, atakami powtórzeniowymi oraz zagłuszaniem pasma (Jamming).
Slajd wprowadza w problematykę zabezpieczania Internetu rzeczy oraz analizuje mechanizmy botnetów IoT.
Slajd omawia krytyczne aspekty bezpieczeństwa Internetu rzeczy medycznych (Internet of Medical Things).
Slajd analizuje specyfikę przemysłowego Internetu rzeczy oraz reguły ochrony infrastruktury krytycznej SCADA/PLC.
wykorzystanie efemerycznych kluczy ECDHE zapobiega odszyfrowaniu nagranego ruchu w przyszłości.
weryfikacja podpisu cyfrowego firmware'u przez bootloader przed uruchomieniem jądra.
podatności w pompach insulinowych, rozrusznikach serca i kardiowerterach mogą umożliwić uśmiercenie pacjenta.
termin inżynierski związany ze środowiskiem BGP.
etyczni hakerzy i testerzy penetracyjni działający na zlecenie i za pisemną zgodą właściciela systemu.
metodologia pozyskiwania i analizowania informacji ze źródeł jawnych, publicznie dostępnych (strony WWW, portale społecznościowe, bazy DNS, repozytoria kodu), wykorzystywana w fazie przygotowania do audytu lub ataku.
Slajd prezentuje literaturę specjalistyczną, oficjalne normy ISO/NIST oraz dokumenty standaryzacyjne w dziedzinie cyberbezpieczeństwa.
termin inżynierski związany ze środowiskiem Binwalk.
ukrywanie działania własnego algorytmu daje złudne poczucie bezpieczeństwa i prowadzi do katastrofy.
Bluetooth Low Energy - energooszczędny wariant standardu Bluetooth do łączności bliskiego zasięgu.
wyłączenie Universal Plug and Play na routerze brzegowym uniemożliwia urządzeniom samowolne otwieranie portów na świat.
podatności procedury parowania (Just Works) oraz ataki śledzenia urządzeń po adresie MAC.
robaki takie jak WannaCry, Conficker czy Blaster potrafiły zainfekować setki tysięcy maszyn w kilkanaście minut.
sieć zainfekowanych urządzeń Internetu rzeczy (kamer przemysłowych, ruterów, telewizorów Smart), kontrolowana zdalnie przez cyberprzestępców bez wiedzy właścicieli, wykorzystywana do przeprowadzania zmasowanych ataków DDoS.
Slajd analizuje mechanizm powstawania botnetów IoT na przykładzie przełomowego ataku malware Mirai.
ruch używa standardowego portu 443 TCP/HTTPS, co umożliwia połączenie z hoteli i sieci z restrykcyjnym firewallem.
brak ekranu i klawiatury utrudnia konfigurację, zmianę haseł i instalację certyfikatów.
nadawca i odbiorca nie muszą wcześniej ustalać żadnego wspólnego sekretu ani się znać.
rekonesans pasywny nie generuje żadnych pakietów w logach ofiary i jest całkowicie niewykrywalny.
miliony tanich urządzeń nie posiadają w kodzie żadnego mechanizmu wgrywania poprawek.
urządzenie medyczne nie może zresetować się w celu instalacji poprawki podczas operacji pacjenta.
skoro obie strony posiadają identyczny klucz, każda z nich mogła wygenerować dany szyfrogram.
przechowywanie kluczy prywatnych i haseł Wi-Fi czystym tekstem w niezaszyfrowanej pamięci Flash.
sam hasz nie chroni przed aktywnym intruzem, który może podmienić plik i wyliczyć dla niego nowy hasz.
zapora bezstanowa nie wie, czy dany pakiet jest odpowiedzią na wcześniejsze zapytanie, czy nowym atakiem.
klucz publiczny może być swobodnie publikowany w książkach telefonicznych, na stronach WWW i serwerach.
mikrosegmentacja i dynamiczne zapory blokują skanowanie sąsiednich serwerów przez zainfekowaną stację.
komputery bezkrytycznie akceptują nieproszone odpowiedzi ARP (Gratuitous ARP) rozsyłane w sieci.
węzeł pośredniczący pomiędzy lokalną siecią urządzeń ograniczonych (sensorów, aktuatorów) a nadrzędną siecią IP lub chmurą, realizujący funkcje translacji protokołów, agregacji danych, zarządzania bezpieczeństwem i filtrowania ruchu.
publicznie dostępny interfejs logowania jest nieustannie skanowany przez botnety ze słownikami haseł.
ciągłe, angażujące szkolenia i kontrolowane testy phishingowe jako kluczowy element obrony.
C
C2
W1 · slajd 10/20 | W1 · slajd 11/20 | W5 · slajd 1/20 | W5 · slajd 2/20 | W5 · slajd 11/20 | W6 · slajd 7/25
Command and Control - serwery sterujące infrastrukturą złośliwego oprogramowania.
Certificate Authority - zaufany urząd certyfikacji wystawiający i podpisujący certyfikaty cyfrowe.
Cipher Block Chaining - tryb wiązania bloków szyfrogramu z wektorem inicjalizacyjnym IV.
spowodowanie awarii systemu lub takiego obciążenia zasobów, aby uniemożliwić obsługę uprawnionych klientów.
umieszczenie serwerów dostępnych z publicznego internetu (WWW, poczta, DNS) w odizolowanym segmencie.
przesyłanie informacji o każdym nawiązaniu, zerwaniu i błędzie sesji do systemu SIEM.
przejęcie jednego konta administratora chmury pozwala na jednoczesne zainfekowanie całej floty urządzeń.
CERT
W1 · slajd 6/20 | W1 · slajd 9/20 | W1 · slajd 11/20 | W1 · slajd 16/20 | W1 · slajd 18/20 | W5 · slajd 13/20 | W5 · slajd 14/20
Computer Emergency Response Team - zespół reagowania na zdarzenia naruszające bezpieczeństwo.
elektroniczny dokument poświadczający powiązanie klucza publicznego z tożsamością jego właściciela, cyfrowo podpisany przez uprawniony urząd certyfikacji zgodnie ze standardem ITU-T X.509. Stanowi podstawę bezpieczeństwa protokołów HTTPS, S/MIME i IPsec.
CIA
W1 · slajd 1/20 | W1 · slajd 2/20 | W1 · slajd 3/20 | W1 · slajd 20/20 | W2 · slajd 1/20 | W2 · slajd 9/20 | W2 · slajd 12/20 | W2 · slajd 13/20 | W2 · slajd 14/20 | W4 · slajd 3/19 | W6 · slajd 24/25
Confidentiality, Integrity, Availability - triada poufności, integralności i dostępności.
monitoring telemetryczny w SOC, testy penetracyjne oraz ciągłe szkolenia eliminujące błędy ludzkie.
odchodzenie od zaufania obwodowego na rzecz mikrosegmentacji i ciągłej autoryzacji tożsamości.
natychmiastowe zerwanie tunelu w przypadku wykrycia wyłączenia agenta EDR na komputerze.
analiza tożsamości, stanu stacji roboczej (zaktualizowany EDR), lokalizacji oraz zachowania w locie.
każde kliknięcie i żądanie HTTP jest dynamicznie weryfikowane pod kątem uprawnień i stanu stacji.
bezpieczeństwo to nie stan, lecz ciągły proces analizy ryzyka, monitorowania w SOC i reagowania na incydenty.
redundantne zasilacze (Dual PSU), systemy UPS, agregaty prądotwórcze oraz precyzyjna klimatyzacja.
nieustanny nadzór nad zdarzeniami sieciowymi i wykrywanie anomalii w czasie rzeczywistym.
inteligentne głośniki, opaski fitness i kamery rejestrują dźwięk, parametry zdrowotne i lokalizację.
termin inżynierski związany ze środowiskiem CISA.
Constrained Application Protocol - lekki protokół REST-owy oparty na UDP dla urządzeń o małej mocy.
przedmiot fizyczny w posiadaniu użytkownika: smartfon z aplikacją TOTP, karta procesorowa, klucz FIDO2.
tajna informacja znana wyłącznie użytkownikowi: hasło, kod PIN, odpowiedź na pytanie zabezpieczające.
unikalne cechy biometryczne człowieka: odcisk palca, skan tęczówki oka, geometria twarzy.
termin inżynierski związany ze środowiskiem CPU.
CRA
W1 · slajd 14/20 | W5 · slajd 19/20 | W6 · slajd 1/25 | W6 · slajd 4/25 | W6 · slajd 15/25 | W6 · slajd 18/25 | W6 · slajd 22/25
Cyber Resilience Act - unijne rozporządzenie nakładające wymogi bezpieczeństwa na produkty cyfrowe.
rodzaj zautomatyzowanego cyberataku polegającego na masowym testowaniu wykradzionych baz loginów i haseł w wielu serwisach internetowych, wykorzystujący powszechny błąd ponownego używania tych samych haseł przez użytkowników.
Certificate Revocation List - lista unieważnionych certyfikatów publikowana okresowo przez CA.
Computer Security Incident Response Team - zespół reagowania na incydenty bezpieczeństwa komputerowego.
CVE
W1 · slajd 1a/20 | W1 · slajd 5/20 | W1 · slajd 6/20 | W1 · slajd 8/20 | W1 · slajd 18/20 | W6 · slajd 4/25 | W6 · slajd 16/25
Common Vulnerabilities and Exposures - słownik powszechnie znanych podatności bezpieczeństwa.
Common Vulnerability Scoring System - ujednolicony system punktacji powagi podatności.
model ramowy opracowany przez Lockheed Martin identyfikujący kolejne fazy, które adwersarz musi zrealizować, aby przeprowadzić udany cyberatak na organizację. Przerwanie łańcucha na dowolnym etapie udaremnia osiągnięcie celu przez intruza.
rozporządzenie Unii Europejskiej ustanawiające zharmonizowane wymogi cyberbezpieczeństwa dla produktów z elementami cyfrowymi (sprzętu i oprogramowania), wymuszające projektowanie bezpieczeństwa od podstaw (Security by Design) oraz wieloletnie wsparcie aktualizacjami.
celowe, nieuprawnione działanie w przestrzeni cyfrowej skierowane przeciwko systemom teleinformatycznym, urządzeniom sieciowym lub użytkownikom, mające na celu naruszenie poufności, integralności lub dostępności chronionych danych.
zespół działań inżynierskich i organizacyjnych zapewniający ciągłość działania, odporność na sabotaż oraz ochronę prywatności mieszkańców w połączonych systemach zarządzania infrastrukturą miejską.
informacja stała się najcenniejszym aktywem operacyjnym podlegającym bezpośrednim atakom.
cyberprzestępcy łamiący zabezpieczenia w celach zysku finansowego, sabotażu lub kradzieży danych.
ponad 85% udanych ataków sieciowych rozpoczyna się od błędu użytkownika lub manipulacji emocjonalnej.
ponad 90% incydentów naruszenia bezpieczeństwa rozpoczyna się od e-maila phishingowego.
mitygacja (wdrożenie kontroli), transfer (ubezpieczenie), unikanie (wycofanie usługi) oraz akceptacja.
Slajd definiuje pojęcie bezpieczeństwa informacji oraz jego kluczową rolę w nowoczesnej infrastrukturze organizacji.
Slajd analizuje wpływ zachowań użytkowników na poziom ochrony organizacji oraz metody budowania kultury bezpieczeństwa.
kategoria mechanizmu weryfikacji tożsamości oparta na jednym z trzech atrybutów: wiedzy (np. hasło), posiadania (np. token sprzętowy) lub cechy biometrycznej (np. skan linii papilarnych).
D
Dynamic ARP Inspection - mechanizm przełącznika weryfikujący poprawność pakietów ARP.
Distributed Denial of Service - rozproszony atak odmowy usługi prowadzony z wielu maszyn.
analiza kodu maszynowego w celu znalezienia ukrytych tylnych furtek, haseł roota i błędów w C/C++.
zastąpienie centralnego serwera chmurowego rozproszoną siecią węzłów weryfikujących transakcje.
analiza tematów (topics) i ładunków (payloads) komunikatów przesyłanych do brokera MQTT.
umieszczenie wszystkich telewizorów Smart, kamer i żarówek w osobnym segmencie logicznym L2.
strategia bezpieczeństwa teleinformatycznego polegająca na wdrożeniu wielu niezależnych, komplementarnych warstw kontroli ochronnych w całym środowisku IT. W przypadku przełamania jednej warstwy kolejne mechanizmy powstrzymują lub opóźniają dalszą ekspansję intruza.
Slajd omawia koncepcję obrony w głąb, eliminującą pojedyncze punkty awarii zabezpieczeń w strukturze przedsiębiorstwa.
każdy element infrastruktury, danych lub procesów mający realną wartość dla funkcjonowania firmy.
Advanced Persistent Threat - wysoce zorganizowane zespoły dysponujące wielomilionowymi budżetami państwowymi.
zmiana zaledwie jednego bitu w danych wejściowych powoduje zmianę ponad 50% bitów w skrócie.
proces regulujący, które podmioty mogą nawiązywać połączenia i jakie operacje mogą wykonywać.
nauka zajmująca się przekształcaniem danych w postać nieczytelną dla niepowołanych obserwatorów.
proces zapewnienia poufności, integralności i dostępności danych przetwarzanych w systemach.
zespół procedur, sprzętu, oprogramowania i ludzi zarządzających cyklem życia certyfikatów cyfrowych.
słabość w kodzie, architekturze systemu lub procedurze mogąca zostać wyeksploatowana przez adwersarza.
użytkownik, proces lub urządzenie otrzymuje wyłącznie uprawnienia niezbędne do wykonania konkretnego zadania.
kierowanie ruchu firmowego przez tunel VPN, a ruchu prywatnego bezpośrednio do domowego łącza internetowego.
technika przesyłania pakietów jednego protokołu wewnątrz ładunku innego protokołu sieciowego.
kod wymagający nosiciela (pliku wykonywalnego) oraz interakcji użytkownika (uruchomienie programu) do infekcji.
atak cybernetyczny mający na celu czasowe lub trwałe uniemożliwienie korzystania z zasobów komputera, usługi sieciowej lub całego systemu teleinformatycznego uprawnionym użytkownikom poprzez przeciążenie zasobów sprzętowych lub przepustowości łącza.
alarmowanie, gdy to samo konto loguje się w odstępie 10 minut z Warszawy i Tokio.
analiza niuansów implementacji stosu TCP/IP w odpowiedziach na nietypowe kombinacje flag.
wysyłanie zapytań aplikacyjnych i porównywanie odpowiedzi z bazą w celu identyfikacji wersji serwera.
Diffie-Hellman - rewolucyjny protokół bezpiecznego uzgadniania klucza sesji przez sieć otwartą.
termin inżynierski związany ze środowiskiem DHCP.
odmiana ataku DoS przeprowadzana jednocześnie z bardzo wielu rozproszonych geograficznie urządzeń komputerowych (najczęściej kontrolowanych przez botnet), uniemożliwiająca proste filtrowanie ruchu po pojedynczym adresie IP.
Distributed Ledger Technology - technologia rozproszonego rejestru (np. blockchain).
Demilitarized Zone - strefa zdemilitaryzowana izolująca usługi publiczne od sieci wewnętrznej.
Domain Name System - hierarchiczny system translacji nazw domenowych na adresy IP.
Domain Name System Security Extensions - kryptograficzne rozszerzenia autentyczności DNS.
Slajd przedstawia uzupełniające filary ochrony danych: autentyczność, rozliczalność oraz niezaprzeczalność.
na końcu każdej listy znajduje się niewidoczna reguła odrzucająca cały niedopasowany ruch.
brak zmiany fabrycznych haseł umożliwia botnetom (np. Mirai) błyskawiczne przejmowanie milionów urządzeń.
wszystko, co nie jest jawnie dozwolone w regułach zapory lub polityki, jest automatycznie odrzucane.
Denial of Service - atak mający na celu uniemożliwienie działania usługi lub serwera.
kamery monitoringu i sensory drogowe są zainstalowane w miejscach publicznych poza kontrolą fizyczną.
zapewnienie terminowego i nieprzerwanego dostępu do zasobów dla uprawnionych użytkowników.
termin inżynierski związany ze środowiskiem DPA.
termin inżynierski związany ze środowiskiem DPI.
termin inżynierski związany ze środowiskiem DRP.
pracownik otrzymuje wirtualny adres IP z puli korporacyjnej, stając się logicznym elementem LAN-u.
po zalogowaniu serwer RADIUS instruuje przełącznik, do którego konkretnego VLAN-u przypisać port.
rozszerzenie obowiązków cyberbezpieczeństwa na podmioty kluczowe i ważne w gospodarce cyfrowej.
stosowanie rozwiązań od różnych dostawców i na różnych poziomach stosu ISO/OSI.
dobór narzędzia do potrzeb: WireGuard do łączy stałych, SSL VPN do pracy w podróży, ZTNA dla aplikacji.
Slajd analizuje dylemat architektoniczny pomiędzy pełnym tunelowaniem a dzieleniem ruchu internetowego.
E
Extensible Authentication Protocol - elastyczny szkielet uwierzytelniania w sieciach LAN i bezprzewodowych.
Electronic Codebook - niebezpieczny tryb pracy szyfru blokowego nieukrywający wzorców danych.
ECC
W2 · slajd 8/20 | W2 · slajd 9/20 | W2 · slajd 10/20 | W2 · slajd 20/20 | W4 · slajd 18/19 | W6 · slajd 23/25
Elliptic Curve Cryptography - kryptografia krzywych eliptycznych oferująca wysoką wydajność.
Elliptic Curve Diffie-Hellman - wariant protokołu Diffiego-Hellmana na krzywych eliptycznych.
Elliptic Curve Digital Signature Algorithm - algorytm podpisu cyfrowego na krzywych eliptycznych.
Endpoint Detection and Response - zaawansowane wykrywanie i reagowanie na stacjach końcowych.
Slajd omawia podstawowe zasady bezpiecznego korzystania ze sprzętu Internetu rzeczy w gospodarstwach domowych i biurach.
pożądana właściwość kryptograficznych funkcji skrótu oraz szyfrów blokowych polegająca na tym, że najmniejsza modyfikacja tekstu wejściowego wywołuje drastyczną, chaotyczną zmianę całego wygenerowanego szyfrogramu lub skrótu.
dziesiątki miliardów sensorów, kamer, liczników i aparatury połączone z siecią Internet.
automatyczne skanowanie pliku binarnego pod kątem skompresowanych systemów plików (SquashFS, cramfs).
termin inżynierski związany ze środowiskiem ENISA.
proces hermetyzacji kompletnego pakietu sieciowego (wraz z jego oryginalnymi nagłówkami) wewnątrz pola danych (payload) nowego pakietu sieciowego, opatrując go nowym nagłówkiem transportowym umożliwiającym tranzyt przez sieć publiczną.
Encapsulating Security Payload - protokół IPsec zapewniający poufność, integralność i autentyczność.
European Telecommunications Standards Institute - europejski instytut norm telekomunikacyjnych.
specjalista do spraw bezpieczeństwa teleinformatycznego posiadający formalną zgodę właściciela na testowanie odporności systemów przy użyciu metod stosowanych przez cyberprzestępców, w celu wykrycia i załatania luk przed ich złośliwym wykorzystaniem.
Slajd omawia dylematy etyczne i prawne związane z posiadaniem uprawnień uprzywilejowanych w systemach korporacyjnych.
IKEv2 zastąpił archaiczny IKEv1, oferując znacznie mniejszą liczbę komunikatów i wbudowane mechanizmy NAT-T.
przejście od ociężałego IPsec i OpenVPN ku minimalistycznemu WireGuardowi oraz architekturze ZTNA.
Slajd porównuje klasyczny model tunelowania sieciowego z nowoczesnym podejściem Zero Trust Network Access.
F
termin inżynierski związany ze środowiskiem FDA.
Fast Identity Online 2 - standard bezpiecznego uwierzytelniania bezhasłowego opartego na asymetrii.
ponad 80% incydentów motywowanych jest bezpośrednią chęcią wyłudzenia okupu lub kradzieży środków.
intruz z bezpośrednim dostępem do urządzenia może zresetować hasło przez port konsolowy.
międzynarodowy format cyfrowego dokumentu potwierdzającego własność klucza publicznego.
bezpieczeństwo systemu zależy wyłącznie od tajności klucza, a nie od utajnienia konstrukcji algorytmu.
Firmware Over-The-Air - specyficzny proces zdalnej aktualizacji firmware'u urządzeń wbudowanych.
globalna baza taksonomiczna kategoryzująca taktyki, techniki i procedury (TTP) stosowane przez grupy APT.
operacje matematyczne łatwe do wykonania w przód, lecz niewykonalne wstecz bez znajomości sekretnej zapadni.
G
Galois/Counter Mode - wysoce wydajny tryb pracy szyfrów blokowych zapewniający poufność i autentyczność.
General Data Protection Regulation - ogólne rozporządzenie UE o ochronie danych osobowych.
termin inżynierski związany ze środowiskiem Ghidra.
botnet sparaliżował dostawcę DNS Dyn, odcinając dostęp do serwisów Twitter, GitHub i Netflix.
Slajd analizuje najczęstsze punkty wejścia wykorzystywane przez intruzów do przejęcia mikrokontrolerów.
Slajd charakteryzuje strukturę, zasoby oraz techniki operacyjne grup APT prowadzących wieloletni cyberwywiad.
H
praktyka wykorzystywania technik hakerskich i cyberataków do promowania celów politycznych, społecznych lub ideologicznych. Działania te obejmują m.in. ataki odmowy usługi (DDoS), kradzież i publikację kompromitujących dokumentów (doxing) oraz podmianę stron internetowych (defacement).
łamanie zabezpieczeń motywowane ideologią, polityką, protestem społecznym lub przekonaniami religijnymi.
Root CA (główny urząd z certyfikatem samopodpisanym) certyfikuje urzędy pośrednie (Intermediate CA).
zbiór podstawowych, codziennych nawyków i praktyk konfiguracyjnych stosowanych przez użytkowników urządzeń inteligentnych w celu minimalizacji ryzyka włamania, podsłuchu lub dołączenia sprzętu do botnetu.
regularne wycofywanie przestarzałych algorytmów (DES, MD5, SHA-1, RSA 1024) na rzecz nowoczesnych standardów.
termin inżynierski związany ze środowiskiem HMAC.
żaden pojedynczy mechanizm nie gwarantuje ochrony; niezbędna jest wielowarstwowa obrona w głąb.
przynęta teleinformatyczna będąca celowo niezabezpieczonym lub pozornie podatnym zasobem sieciowym, skonfigurowana w celu zwabienia atakujących, wczesnego wykrycia intruzów w sieci oraz zbadania ich taktyk, technik i procedur (TTP).
Slajd analizuje wykorzystanie systemów pułapkowych (Honeypots) do wczesnego ostrzegania i analizy taktyk intruzów.
Hardware Security Module - dedykowany moduł sprzętowy do bezpiecznego generowania kluczy.
HTTP Strict Transport Security - nagłówek wymuszający bezpieczne połączenie HTTPS.
I
rozpoznawanie rodzaju aplikacji (np. YouTube, Facebook, BitTorrent) wewnątrz standardowych portów 80/443.
wiązanie reguł zapory z tożsamością z Active Directory, a nie tylko ze zmiennym adresem IP.
IDS
W1 · slajd 12/20 | W1 · slajd 13/20 | W3 · slajd 12/20 | W3 · slajd 13/20 | W5 · slajd 3/20 | W6 · slajd 14/25
Intrusion Detection System - system wykrywania intruzów i anomalii w ruchu sieciowym.
termin inżynierski związany ze środowiskiem IEEE.
międzynarodowy standard definiujący unikalną, kryptograficznie weryfikowalną tożsamość urządzenia wbudowanego, powiązaną ze sprzętowym korzeniem zaufania w celu bezpiecznego dołączania do sieci.
Industrial Internet of Things - przemysłowy Internet rzeczy stosowany w fabrykach i infrastrukturze.
Internet Key Exchange - protokół automatycznego uzgadniania parametrów bezpieczeństwa SA.
Internet Key Exchange version 2 - nowoczesny protokół IKE ze wsparciem mobilności MOBIKE.
dziedzina nauk sądowych i inżynierii bezpieczeństwa zajmująca się identyfikacją, zabezpieczaniem, analizowaniem oraz prezentowaniem cyfrowego materiału dowodowego pochodzącego z urządzeń komputerowych i sieciowych z zachowaniem rygorów procesowych.
Slajd przedstawia architekturę PKI, role poszczególnych komponentów oraz łańcuchy zaufania.
analiza nagłówków w izolacji: adres IP źródła i celu, porty TCP/UDP, typ protokołu.
deszyfrowanie, skanowanie antywirusowe i ponowne szyfrowanie ruchu HTTPS w celu wykrycia ukrytego malware.
gwarancja dokładności, kompletności i nienaruszalności danych przed nieautoryzowaną modyfikacją.
Slajd omawia matematyczne właściwości kryptograficznych funkcji skrótu oraz ich zastosowanie w weryfikacji nienaruszalności danych.
automatyczne wyzwalanie płatności lub procedur alarmowych w przypadku przekroczenia parametrów.
TUN tuneluje pakiety IP (najpopularniejszy), TAP emuluje przełącznik Ethernet (przenosi pakiety rozgłoszeniowe).
ekosystem urządzeń fizycznych wyposażonych w sensory, oprogramowanie i interfejsy sieciowe, zdolnych do gromadzenia oraz automatycznej wymiany danych za pośrednictwem sieci IP bez bezpośredniej ingerencji człowieka.
dynamiczna, globalna sieć połączonych fizycznych urządzeń, pojazdów, budynków i innych obiektów wyposażonych w sensory, oprogramowanie i interfejsy sieciowe, umożliwiające gromadzenie, przetwarzanie i wymianę danych.
kategoria urządzeń medycznych wyposażonych w interfejsy bezprzewodowe lub sieciowe, służących do monitorowania parametrów życiowych, dozowania leków lub bezpośredniego podtrzymywania funkcji życiowych pacjentów.
system bezpieczeństwa monitorujący ruch sieciowy lub zdarzenia w systemie operacyjnym w celu wykrycia podejrzanej aktywności, naruszeń polityki bezpieczeństwa lub znanych wzorców ataków, generujący alerty dla administratorów bez ingerencji w transmisję.
zaawansowany system bezpieczeństwa wpięty bezpośrednio w tor transmisyjny sieci (inline), który w czasie rzeczywistym analizuje przepływające pakiety i aktywnie blokuje wykryte cyberataki poprzez ich odrzucenie lub modyfikację.
dyscyplina projektowania odpornych kanałów komunikacji łącząca kryptografię symetryczną i asymetryczną, protokoły enkapsulacji pakietowej oraz systemy ciągłej weryfikacji tożsamości i integralności urządzeń końcowych.
zespół technik manipulacyjnych stosowanych przez napastników w celu nakłonienia ofiary do podjęcia określonych działań (np. otwarcia zainfekowanego załącznika, podania poufnego hasła) lub ujawnienia poufnych informacji biznesowych.
proces analizowania skompilowanego oprogramowania układowego urządzenia wbudowanego w celu zrekonstruowania jego architektury, identyfikacji ukrytych funkcji (backdoorów) oraz wykrycia podatności programistycznych.
Indicator of Compromise - wskaźnik kompromitacji (hasz malware, złośliwy IP, domena C2).
Internet of Medical Things - sieć połączonych urządzeń i sensorów medycznych ratujących życie.
IoT
W5 · slajd 9/20 | W5 · slajd 19/20 | W5 · slajd 20/20 | W6 · slajd 1/25 | W6 · slajd 2/25 | W6 · slajd 7/25 | W6 · slajd 10/25 | W6 · slajd 11/25 | W6 · slajd 13/25 | W6 · slajd 16/25 | W6 · slajd 18/25 | W6 · slajd 19/25 | W6 · slajd 20/25 | W6 · slajd 21/25 | W6 · slajd 22/25
Internet of Things - Internet rzeczy, podatne urządzenia brzegowe i sensory.
wyspecjalizowany system wykrywania intruzów zdolny do analizowania specyficznych protokołów komunikacyjnych Internetu rzeczy (MQTT, CoAP, Modbus) oraz identyfikowania anomalii w profilach behawioralnych sensorów i urządzeń wykonawczych.
IPS
W1 · slajd 12/20 | W3 · slajd 11/20 | W3 · slajd 12/20 | W3 · slajd 13/20 | W3 · slajd 14/20 | W5 · slajd 3/20 | W6 · slajd 14/25
Intrusion Prevention System - system aktywnego zapobiegania włamaniom blokujący ataki.
IPsec
W4 · slajd 1/19 | W4 · slajd 2/19 | W4 · slajd 3/19 | W4 · slajd 5/19 | W4 · slajd 6/19 | W4 · slajd 7/19 | W4 · slajd 15/19 | W4 · slajd 19/19 | W6 · slajd 13/25
Internet Protocol Security - pakiet protokołów zapewniający bezpieczeństwo w warstwie sieci L3.
zbiór otwartych standardów opracowanych przez IETF, implementujących kryptograficzne mechanizmy zapewniania poufności, integralności i autentyczności pakietów w warstwie sieciowej (IP) modelu ISO/OSI.
Information Security Management System - system zarządzania bezpieczeństwem informacji wg ISO 27001.
ISO
W1 · slajd 1/20 | W1 · slajd 1a/20 | W1 · slajd 2/20 | W1 · slajd 4/20 | W1 · slajd 7/20 | W1 · slajd 13/20 | W1 · slajd 15/20 | W1 · slajd 20/20 | W2 · slajd 3/20 | W2 · slajd 12/20 | W2 · slajd 14/20 | W3 · slajd 6/20 | W3 · slajd 18/20 | W3 · slajd 19/20 | W6 · slajd 25/25
International Organization for Standardization - międzynarodowa organizacja normalizacyjna.
termin inżynierski związany ze środowiskiem ISP.
celowo podatny zasób w sieci (serwer, usługa, plik), który nie pełni żadnej rzeczywistej funkcji produkcyjnej.
wymóg podania co najmniej dwóch składników z różnych kategorii w celu zalogowania.
podział jednego fizycznego przełącznika na wiele niezależnych sieci logicznych (VLAN).
sensory nie posiadają bezpośrednich adresów IP w internecie, co uniemożliwia ich bezpośrednie skanowanie.
główny urząd CA pracuje offline w sejfie, chroniąc klucz główny przed atakami sieciowymi.
podłączanie urządzeń Smart Home do domowej sieci dla gości (Guest Network), z dala od komputerów i dysków NAS.
przejęcie jednego komputera w dziale marketingu nie pozwala intruzowi na dostęp do serwerów księgowości.
Slajd omawia koncepcję strefy zdemilitaryzowanej (DMZ) oraz topologie jedno- i dwuzaporowe.
bezwzględny nakaz umieszczania wszystkich urządzeń IoT w dedykowanym, odciętym segmencie sieci.
J
Slajd analizuje przepływ danych przy zapewnianiu poufności za pomocą kluczy asymetrycznych.
z hasza nie da się matematycznie odzyskać oryginalnej treści wiadomości.
Joint Test Action Group - standardowy interfejs sprzętowy do testowania i programowania mikrokontrolerów.
K
zbiór recenzowanych norm inżynierskich, podręczników akademickich oraz wytycznych operacyjnych stanowiących formalne źródło metodyki projektowania, audytu i obrony systemów teleinformatycznych.
urządzenia niespełniające norm bezpieczeństwa tracą oznaczenie CE i podlegają wycofaniu z rynku.
globalny rejestr Common Vulnerabilities and Exposures unifikujący identyfikację znanych podatności.
Slajd omawia klasyfikację badaczy bezpieczeństwa i intruzów w oparciu o motywacje, etykę oraz legalność działań.
sprzętowe moduły bezpieczeństwa organizowane w pary wysokiej dostępności (HA) z automatycznym failoverem.
Slajd przedstawia taksonomię kontroli bezpieczeństwa z uwzględnieniem kryterium funkcjonalnego oraz wykonawczego.
podział na zagrożenia wewnętrzne (nieuważni lub nielojalni pracownicy) oraz zewnętrzne (przestępczość, APT).
oprogramowanie zainstalowane na stacji roboczej (Agent) łączy się z centralnym koncentratorem VPN w firmie.
każdy, kto chce wysłać poufną wiadomość do Boba, szyfruje ją kluczem publicznym Boba.
kryptografia asymetryczna wiążąca proces logowania z domeną, w 100% odporna na phishing.
przestrzeganie zasad etycznych określonych przez organizacje branżowe, takie jak (ISC)², ISACA czy SANS.
kolejność zabezpieczania: 1. Pamięć RAM i rejestry, 2. Stan sieci, 3. Dyski, 4. Kopie zapasowe.
pakiety są porównywane z regułami od góry do dołu; pierwsze dopasowanie kończy przetwarzanie.
żadne narzędzie nie działa w izolacji; pełne bezpieczeństwo wymaga synergii AES, RSA/ECC, SHA i PKI.
cyberataki stały się dochodowym biznesem opartym na modelach usługowych (Cybercrime-as-a-Service).
zintegrowany system organizacyjno-techniczny łączący świadomość personelu, rygorystyczne procedury zarządzania ryzykiem, zaawansowane mechanizmy kryptograficzne oraz ciągły monitoring telemetryczny w celu zapewnienia trwałej odporności infrastruktury cyfrowej.
bezpieczeństwo to ciągły proces obejmujący ludzi, procedury organizacyjne oraz technologie.
rodzaj złośliwego oprogramowania, które podszywa się pod legalną i bezpieczną aplikację, aby nakłonić użytkownika do jej uruchomienia, w ukryciu realizując szkodliwe funkcje, takie jak instalacja tylnej furtki (backdoora) lub kradzież tożsamości.
Slajd przedstawia standard architektury Zero Trust zgodnie z wytycznymi normy NIST SP 800-207.
tajny mechanizm w kodzie pozwalający na ominięcie standardowych procedur uwierzytelniania.
cyfrowy dowód tożsamości wiążący tożsamość podmiotu z jego kluczem, podpisany przez zaufany podmiot.
powiązanie kluczy publicznych bezpośrednio z dozwolonymi adresami IP (AllowedIPs) w tablicy routingu.
Slajd przedstawia strukturę modelu AAA stanowiącego ramy zarządzania dostępem w urządzeniach sieciowych.
Slajd omawia zasady tworzenia bezpiecznych systemów ze szczególnym uwzględnieniem reguły Kerckhoffsa i Least Privilege.
Slajd wyjaśnia mechanizm enkapsulacji pakietów oraz ukrywanie adresacji prywatnej przed ruterami tranzytowymi.
użytkownik uzyskuje dostęp wyłącznie do pojedynczej, autoryzowanej aplikacji biznesowej.
zwiększenie poufności (np. złożone szyfrowanie) może negatywnie wpływać na dostępność i wydajność systemów.
Slajd omawia architekturę koni trojańskich (RAT) oraz techniki omijania zapór przez kanały zwrotne (Reverse Shell).
zakłada, że sieć wewnętrzna jest tak samo niebezpieczna jak publiczny internet.
brak weryfikacji stanu hosta może doprowadzić do błyskawicznego rozprzestrzenienia się ataku Ransomware.
wymóg dopuszczenia szerokiego zakresu portów dynamicznych (1024-65535) dla ruchu powrotnego.
bierne oczekiwanie na incydent zastępuje ciągłe poszukiwanie zagrożeń (Threat Hunting).
ani symetria, ani sama asymetria nie rozwiązują problemu tożsamości bez zaufanego arbitra.
bezpieczna weryfikacja wymaga podpisania skrótu kluczem asymetrycznym lub użycia kodów HMAC.
połączenie zapory stanowej, VPN, antywirusa bramowego, filtra WWW, antyspamu i IPS w jednej obudowie.
określony środek techniczny, administracyjny lub fizyczny wdrożony w celu modyfikacji ryzyka, zapobieżenia incydentowi, jego wykrycia lub zminimalizowania wywołanych przezeń strat operacyjnych zgodnie z normą ISO/IEC 27002.
zespół procedur, polityk oraz środków technicznych decydujących o przyznaniu, ograniczeniu lub odmowie dostępu podmiotów (użytkowników, procesów, urządzeń) do chronionych zasobów systemu lub sieci teleinformatycznej.
karty zbliżeniowe, biometria oraz rejestracja wejść eliminują obecność osób niepowołanych.
Slajd omawia mechanizmy Network Access Control badające stan bezpieczeństwa hosta przed dopuszczeniem do sieci.
Slajd omawia istotę kontroli dostępu jako mechanizmu decydującego o dopuszczeniu użytkowników i urządzeń do sieci.
identyfikują i alarmują o trwających lub przeszłych incydentach (np. IDS, systemy SIEM, logi).
przywracają stan normalny po wystąpieniu awarii lub włamania (np. kopie zapasowe, procedury DRP).
blokują próby naruszenia reguł przed wystąpieniem incydentu (np. firewall, szyfrowanie, MFA).
integracja mechanizmów tożsamości z zaporami sieciowymi i punktami dostępowymi Wi-Fi.
integracja sterowania ruchem drogowym, monitoringu miejskiego, dystrybucji wody i oświetlenia.
tworzenie kopii bit-po-bicie z wykorzystaniem sprzętowego blokera zapisu (Write-Blocker).
powiązanie czasu aktywacji tunelu z uruchomieniem niebezpiecznych procesów na hoście końcowym.
dla 1000 użytkowników potrzeba niemal 500 000 odrębnych kluczy, co jest niemożliwe do utrzymania.
złośliwe oprogramowanie typu Infostealer wykrada zapisane profile VPN i certyfikaty użytkowników.
dziedzina zajmująca się łamaniem szyfrów oraz poszukiwaniem słabości w algorytmach i implementacjach.
dziedzina wiedzy i technologii zajmująca się metodami zabezpieczania informacji przed nieuprawnionym dostępem, modyfikacją lub sfałszowaniem za pomocą przekształceń matematycznych. Stanowi kluczowy filar inżynierii bezpieczeństwa sieciowego.
gałąź kryptografii wykorzystująca pary matematycznie powiązanych kluczy: klucz publiczny (służący do szyfrowania wiadomości lub weryfikacji podpisu) oraz klucz prywatny (służący do deszyfrowania lub składania podpisu).
protokół łączący algorytmy asymetryczne (wykorzystywane do bezpiecznego uwierzytelnienia stron i uzgodnienia jednorazowego klucza sesji) z algorytmami symetrycznymi (służącymi do szybkiego szyfrowania właściwego ładunku danych).
Slajd prezentuje architekturę systemów hybrydowych stanowiących fundament protokołów TLS, SSH oraz PGP/GPG.
łączenie tradycyjnego algorytmu ECDH z post-kwantowym Kyber w celu zachowania zgodności i podwójnej ochrony.
Slajd omawia wyłoniony przez NIST standard kryptografii lekkiej dedykowany dla mikrokontrolerów.
rodzina algorytmów kryptograficznych (głównie opartych na trudności problemów w wielowymiarowych sieciach kratowych), zaprojektowanych tak, aby były odporne na kryptoanalizę realizowaną zarówno przez klasyczne, jak i wielkoskalowe komputery kwantowe.
Slajd omawia wyzwania związane z komputerami kwantowymi oraz wdrażanie algorytmów PQC w protokołach tunelowania.
rodzina algorytmów kryptograficznych, w których operacje szyfrowania i deszyfrowania realizowane są za pomocą tego samego klucza (lub łatwo wyliczalnych kluczy równoważnych). Wymaga bezpiecznego przekazania klucza obu stronom komunikacji.
deterministyczny algorytm matematyczny przekształcający dowolny strumień danych o zmiennej długości w unikalny ciąg bitów o stałej długości (digest). Posiada cechę jednokierunkowości oraz odporności na kolizje.
cecha architektury systemu teleinformatycznego umożliwiająca szybką i bezproblemową migrację na nowe algorytmy kryptograficzne oraz zwiększenie długości kluczy bez konieczności kosztownej wymiany sprzętu lub modyfikacji kodu źródłowego.
atakujący szyfruje pliki na dyskach i udziałach sieciowych, żądając okupu w kryptowalucie za klucz prywatny.
nadrzędna dyscyplina naukowa łącząca kryptografię (tworzenie bezpiecznych systemów szyfrowania) oraz kryptoanalizę (badanie odporności i łamanie zabezpieczeń bez znajomości klucza).
aby uwierzytelnienie było wieloskładnikowe, metody muszą pochodzić z różnych kategorii (np. hasło + klucz USB).
rozbieżność zegarów uniemożliwia ustalenie kolejności zdarzeń podczas analizy powłamaniowej.
KSC
W1 · slajd 4/20 | W1 · slajd 8/20 | W1 · slajd 10/20 | W1 · slajd 16/20 | W1 · slajd 17/20 | W5 · slajd 10/20 | W5 · slajd 13/20 | W6 · slajd 18/25
Krajowy System Cyberbezpieczeństwa - polska ustawa wdrażająca wymagania dyrektyw unijnych.
zbiór wartości, postaw i zachowań w organizacji promujących proaktywne podejście do ochrony aktywów cyfrowych na każdym szczeblu hierarchii, od pracowników operacyjnych po członków zarządu.
w sieci z N uczestnikami każdy z każdym wymaga unikalnego klucza: K = N(N-1)/2.
stacje niespełniające polityki trafiają do odizolowanego segmentu remediacyjnego.
L
termin inżynierski związany ze środowiskiem LAN.
formalny rejestr dokumentujący każdą osobę mającą kontakt z dowodem w celu uznania w sądzie.
w przypadku kompromitacji wystarczy wygenerować nowy klucz bez konieczności przepisywania oprogramowania.
złożone reguły wymuszające częstą rotację prowadzą do zapisywania haseł na kartkach pod klawiaturą.
Mirai przejął ponad 600 000 kamer i routerów za pomocą banalnej listy fabrycznych loginów.
okresowo publikowane pliki zawierające numery seryjne skompromitowanych certyfikatów.
Slajd prezentuje kanon literatury przedmiotu z zakresu cyberbezpieczeństwa, inżynierii sieciowej oraz testów penetracyjnych.
zbiór recenzowanych publikacji naukowych, norm inżynierskich oraz monografii specjalistycznych stanowiących podstawę teoretyczną i metodyczną w dziedzinie bezpieczeństwa teleinformatycznego. Służy ugruntowaniu wiedzy akademickiej i weryfikacji dobrych praktyk projektowych.
natychmiastowe alarmowanie w przypadku próby wydania komendy aktualizacji do wszystkich węzłów naraz.
wstępna agregacja danych, eliminacja szumu oraz filtrowanie anomalii przed wysłaniem do chmury.
Long Range Wide Area Network - protokół bezprzewodowy dalekiego zasięgu o niskim poborze energii.
M
termin inżynierski związany ze środowiskiem MAC.
opiera się na problemach trudnych obliczeniowo: faktoryzacji, logarytmie dyskretnym i krzywych eliptycznych.
wykorzystanie operacji potęgowania modularnego $g^a \bmod p$, łatwego w jedną stronę i trudnego do odwrócenia.
trudność faktoryzacji iloczynu dwóch gigantycznych liczb pierwszych: $N = p \times q$.
Message Digest 5 - całkowicie złamana kryptograficznie, niebezpieczna funkcja skrótu 128-bit.
termin inżynierski związany ze środowiskiem MDR.
kryptograficzne kodowanie stanu sesji w numerze sekwencyjnym pakietu, eliminujące alokację RAM-u przed ACK.
nagłówek HTTP Strict Transport Security wymuszający HTTPS oraz kryptograficzna weryfikacja rekordów DNS.
Common Vulnerability Scoring System oceniający powagę błędu w skali 0.0 - 10.0 na podstawie wektora ataku.
MFA
W1 · slajd 2/20 | W1 · slajd 15/20 | W1 · slajd 16/20 | W3 · slajd 1/20 | W3 · slajd 3/20 | W3 · slajd 4/20 | W3 · slajd 5/20 | W3 · slajd 7/20 | W3 · slajd 20/20 | W4 · slajd 4/19 | W4 · slajd 12/19 | W4 · slajd 14/19 | W4 · slajd 16/19 | W5 · slajd 13/20 | W5 · slajd 15/20 | W5 · slajd 17/20 | W6 · slajd 17/25
Multi-Factor Authentication - uwierzytelnianie wieloskładnikowe podnoszące odporność tożsamości.
polityka wymuszająca wieloskładnikowe uwierzytelnianie tożsamości podczas nawiązywania zdalnego połączenia VPN, chroniąca brzeg sieci korporacyjnej przed skutkami kradzieży danych logowania.
praktyka projektowania bezpieczeństwa sieciowego polegająca na dzieleniu centrum danych i sieci korporacyjnej na małe, ściśle izolowane strefy bezpieczeństwa aż do poziomu pojedynczych obciążeń (workload), uniemożliwiająca nieautoryzowany ruch boczny.
podział sieci na miniaturowe, izolowane strefy zaporowe uniemożliwiające swobodny ruch boczny.
kamery IP, sensory przemysłowe, czujniki Smart Home i aparatura medyczna podłączone do internetu.
zaledwie około 4000 linii kodu w porównaniu do ponad 100 000 linii w OpenVPN i IPsec, co ułatwia audyt.
wyłączanie zbędnych portów, protokołów i usług na każdym szczeblu infrastruktury.
urządzenia wyposażone w zaledwie kilkadziesiąt kilobajtów pamięci RAM i kilkaset KB Flash.
doskonała wydajność w mikrokontrolerach 8-bitowych i 32-bitowych oraz znacznikach RFID.
Man-in-the-Middle - aktywny atak polegający na podsłuchu i modyfikacji ruchu między stronami.
termin inżynierski związany ze środowiskiem MITRE.
termin inżynierski związany ze środowiskiem ML-KEM.
rozszerzenie protokołu IKEv2 zdefiniowane w dokumencie RFC 4555, umożliwiające stacjom mobilnym dynamiczną zmianę adresu IP końcówki tunelu bez konieczności ponownego renegocjowania parametrów bezpieczeństwa.
architektura zarządzania bezpieczeństwem teleinformatycznym składająca się z trzech etapów: Authentication (uwierzytelnianie tożsamości), Authorization (weryfikacja uprawnień do konkretnych zasobów) oraz Accounting (rozliczanie i rejestrowanie aktywności użytkownika).
hierarchiczny podział na poziomy: od poziomu 0 (czujniki), przez sterowniki PLC, aż po strefę DMZ i IT.
uprawnienia są przypisywane do ról zawodowych w organizacji, a nie bezpośrednio do osób.
handel wykradzionymi poświadczeniami i bazami klientów na nielegalnych forach darknetu.
brama konwertuje lekkie protokoły radiowe (Zigbee, BLE) na standardowy stos TCP/IP i Ethernet.
Slajd analizuje ekonomiczne podłoże współczesnej cyberprzestępczości ze szczególnym uwzględnieniem modelu Ransomware-as-a-Service.
Message Queuing Telemetry Transport - lekki protokół publikuj/subskrybuj dla urządzeń IoT.
N
Network Access Control - system weryfikacji tożsamości i stanu bezpieczeństwa stacji końcowej.
Slajd omawia techniki skanowania portów za pomocą programu Nmap ze szczególnym uwzględnieniem techniki SYN Stealth Scan.
operacje matematyczne na wielkich liczbach są od 100 do 1000 razy wolniejsze niż w szyfrach symetrycznych.
Network Address Translation - translacja adresów sieciowych pomiędzy siecią prywatną a publiczną.
działa bezpośrednio w przestrzeni jądra (kernel-space), eliminując narzut przełączania kontekstu.
protokół automatycznego uwierzytelniania stron i ustanawiania skojarzeń bezpieczeństwa SA.
system bezpieczeństwa sieciowego wymuszający zgodność podłączanych urządzeń końcowych ze zdefiniowanymi politykami bezpieczeństwa organizacji (np. obecność aktualizacji systemu, aktywny antywirus) przed przyznaniem dostępu do zasobów sieciowych.
nawet jeśli pracownik wpisze hasło na fałszywej stronie, intruz nie zaloguje się bez drugiego składnika.
NGFW
W3 · slajd 11/20 | W3 · slajd 13/20 | W3 · slajd 14/20 | W3 · slajd 15/20 | W3 · slajd 20/20 | W4 · slajd 13/19 | W4 · slajd 17/19
Next-Generation Firewall - zaawansowana zapora filtrująca ruch na poziomie aplikacji L7.
elektroniczny notes kodowy szyfruje identyczne bloki w ten sam sposób, ujawniając strukturę danych.
anomalia behawioralna wykrywana przez systemy bezpieczeństwa SIEM/UEBA polegająca na odnotowaniu dwóch udanych logowań na to samo konto użytkownika z lokalizacji geograficznych oddalonych od siebie o dystans niemożliwy do pokonania w danym przedziale czasu.
ochrona serwera logów przed modyfikacją przez intruza próbującego zatrzeć ślady włamania.
tradycyjne reguły nie rozumieją składni protokołów binarnych specyficznych dla IoT.
działanie w warstwie 3 modelu ISO/OSI zapewnia transparentną ochronę dowolnego protokołu (TCP, UDP, ICMP).
właściwość zapewniająca dowód wykonania określonego działania lub wysłania komunikatu, uniemożliwiająca podmiotowi skuteczne zaprzeczenie swojemu udziałowi w operacji. W systemach cyfrowych jest realizowana za pomocą kryptograficznego podpisu elektronicznego.
zapis sumy kontrolnej odczytów sensorycznych w łańcuchu bloków uniemożliwia ich sfałszowanie wstecz.
Network and Information Security Directive 2 - unijna dyrektywa o cyberodporności podmiotów kluczowych.
brak jednostek wsparcia kryptograficznego (AES-NI) uniemożliwia tradycyjne uściski dłoni RSA 4096-bit.
producenci optymalizują koszt produkcji i czas wprowadzenia na rynek (Time-to-Market), ignorując ochronę.
NIST
W1 · slajd 1/20 | W1 · slajd 1a/20 | W1 · slajd 2/20 | W1 · slajd 3/20 | W1 · slajd 4/20 | W1 · slajd 5/20 | W1 · slajd 6/20 | W1 · slajd 13/20 | W1 · slajd 14/20 | W2 · slajd 3/20 | W2 · slajd 10/20 | W2 · slajd 13/20 | W3 · slajd 4/20 | W3 · slajd 7/20 | W4 · slajd 18/19 | W5 · slajd 15/20 | W6 · slajd 1/25 | W6 · slajd 11/25 | W6 · slajd 23/25 | W6 · slajd 25/25
National Institute of Standards and Technology - amerykański instytut standardów i technologii.
de facto standard inżynierski w dziedzinie audytu sieciowego i skanowania bezpieczeństwa, służący do wykrywania hostów w sieci, identyfikacji otwartych portów TCP/UDP, rozpoznawania wersji działających usług oraz systemów operacyjnych.
standard bezpieczeństwa konsumenckiego IoT: bezwzględny zakaz domyślnych haseł i obowiązkowe wsparcie aktualizacji.
ISO/IEC 27001 (ISMS), ISO/IEC 27005 (Ryzyko), NIST SP 800-53, NIST SP 800-207 (Zero Trust).
Slajd charakteryzuje architekturę protokołu WireGuard jako nowoczesnego następcy IPsec i OpenVPN.
brak negocjacji słabych szyfrów; sztywny dobór: ChaCha20-Poly1305, Curve25519, BLAKE2s oraz Noise Protocol.
Network Time Protocol - protokół precyzyjnej synchronizacji czasu niezbędny w korelacji logów.
wymóg przepisania dwucyfrowej liczby wyświetlanej na ekranie komputera do aplikacji autoryzującej.
National Vulnerability Database - rządowa baza danych podatności prowadzona przez NIST.
O
producent musi zgłaszać aktywnie wykorzystywane luki do agencji ENISA w ciągu 24 godzin.
podsłuchanie ruchu zaszyfrowanego (HTTPS, SSH, IPsec) ujawnia jedynie bezużyteczny szum bitowy.
wielowarstwowa strategia integracji kontroli dostępu, inspekcji ruchu pakietowego, segmentacji logicznej oraz ciągłego monitorowania telemetrycznego w celu zapewnienia poufności, integralności i dostępności usług teleinformatycznych organizacji.
skuteczna ochrona wymaga synergii wiedzy o technikach adwersarzy (MITRE), procedur (NIST) i narzędzi.
automatyczne niszczenie kluczy kryptograficznych w pamięci przy próbie otwarcia obudowy.
Slajd przedstawia metodykę identyfikacji, szacowania oraz kontroli ryzyka w oparciu o standard ISO/IEC 27005.
skanowanie stacji przed otwarciem tunelu: weryfikacja antywirusa, łatek OS i zapory lokalnej.
blokowanie ataków DoS skierowanych przeciwko centralnemu serwerowi rozsyłającemu zdarzenia.
przełącznik weryfikuje zgodność pakietów ARP z bazą DHCP Snooping i blokuje sfałszowane ramki.
bezwzględny wymóg sprzętowego klucza FIDO2 dla wszystkich administratorów domenowych i sieciowych.
odrzucanie sfałszowanych pakietów z flagami FIN/RST niepasującymi do żadnej otwartej sesji.
mechanizm numerów sekwencyjnych (Anti-Replay Window) odrzucający duplikaty pakietów.
mechanizm bezpieczeństwa w protokołach VPN polegający na numerowaniu każdego przesyłanego pakietu i weryfikacji okna sekwencyjnego, uniemożliwiający intruzowi przechwycenie i ponowne wstrzyknięcie prawidłowego pakietu w celu oszukania systemu.
kierowanie ruchu przez wieloterabitowe centra filtrujące (np. Cloudflare, Akamai) odrzucające zły ruch.
szpitalne sieci Wi-Fi przesyłające dane telemetryczne pacjentów muszą stosować silne szyfrowanie.
Online Certificate Status Protocol - protokół weryfikacji statusu certyfikatu w czasie rzeczywistym.
jedyną skuteczną obroną są niezmienne kopie zapasowe (Write Once, Read Many) odizolowane od sieci (Air Gap).
zdolność organizacji do ciągłego przewidywania, wytrzymywania, powstrzymywania oraz szybkiego odzyskiwania pełnej sprawności operacyjnej po wystąpieniu niekorzystnych cyberataków, awarii technicznych lub katastrof cyfrowych.
niewykonalność znalezienia dwóch różnych dokumentów dających ten sam wynikowy skrót.
etyczna praktyka zgłaszania podatności, w której badacz przekazuje szczegóły luki bezpośrednio producentowi lub zespołowi CSIRT, powstrzymując się od publikacji publicznej przez ustalony czas niezbędny do wytworzenia i przetestowania poprawki.
nowoczesne regulacje przenoszą bezpośrednią odpowiedzialność osobistą za stan cyberbezpieczeństwa na kadrę zarządzającą.
brak mocy obliczeniowej mikrokontrolerów uniemożliwia uruchomienie zaawansowanych algorytmów krypto i antywirusa.
w małych czujnikach AES zajmuje zbyt dużo bramek logicznych i zużywa zbyt wiele energii.
połączenie w warstwie 3 daje dostęp do całej puli adresowej podsieci, ułatwiając ruch boczny intruza.
w razie kompromitacji konta intruz nie ma praw do przejęcia sąsiednich serwerów ani całej domeny.
w przypadku udanego ataku na serwer WWW intruz zostaje uwięziony w DMZ bez dostępu do stacji pracowników.
wieloplatformowe, otwartoźródłowe oprogramowanie VPN implementujące bezpieczne tunele w warstwie 2 lub 3 w oparciu o niestandardowy protokół bezpieczeństwa wykorzystujący bibliotekę kryptograficzną OpenSSL i sterowniki TUN/TAP.
sprzęt i oprogramowanie dedykowane do monitorowania, sterowania oraz bezpośredniej kontroli fizycznych urządzeń przemysłowych, zaworów, pomp i procesów technologicznych w zakładach produkcyjnych i infrastrukturze krytycznej.
serwer WWW dołącza podpisany przez CA dowód ważności certyfikatu bezpośrednio w uścisku TLS.
Open Source Intelligence - biały wywiad oparty na publicznie dostępnych źródłach informacji.
ruch wideo (YouTube, Teams, Netflix) nie obciąża łącza centrali firmy ani koncentratora VPN.
Operational Technology - technologie operacyjne sterujące fizycznymi procesami przemysłowymi.
Over-The-Air - zdalna, bezprzewodowa aktualizacja oprogramowania układowego (firmware).
fizyczne piny na płytce drukowanej PCB pozwalające na zrzucenie oprogramowania Flash.
publiczna sieć WAN jest z natury niezabezpieczona, podatna na podsłuch i manipulację pakietami.
Open Worldwide Application Security Project - globalna fundacja bezpieczeństwa aplikacji.
P
każdy użytkownik generuje matematycznie powiązaną parę: klucz publiczny (ogólnodostępny) i klucz prywatny (tajny).
metoda oszustwa internetowego, w której przestępca podszywa się pod zaufaną osobę lub renomowaną instytucję w celu skłonienia ofiary do ujawnienia poufnych informacji (haseł, numerów kart) lub zainfekowania urządzenia złośliwym załącznikiem.
masowe e-maile podszywające się pod znane marki vs precyzyjnie spersonalizowane ataki na kadrę kierowniczą.
PKI
W2 · slajd 1/20 | W2 · slajd 5/20 | W2 · slajd 8/20 | W2 · slajd 15/20 | W2 · slajd 16/20 | W2 · slajd 17/20 | W2 · slajd 18/20 | W2 · slajd 20/20 | W4 · slajd 9/19 | W6 · slajd 6/25 | W6 · slajd 12/25 | W6 · slajd 20/25
Public Key Infrastructure - infrastruktura klucza publicznego zarządzająca certyfikatami X.509.
Programmable Logic Controller - programowalny sterownik logiczny zarządzający maszynami.
porównanie hasza pobranego instalatora z wartością podaną przez twórcę potwierdza brak infekcji.
wada lub słabość w projekcie, implementacji, konfiguracji lub zarządzaniu systemem teleinformatycznym, która może zostać wykorzystana przez źródło zagrożenia do naruszenia poufności, integralności lub dostępności danych.
bazowy protokół DH nie uwierzytelnia stron, co pozwala intruzowi podszyć się pod obu rozmówców.
statyczne hasło wpisane na fałszywej stronie natychmiast trafia w ręce cyberprzestępców.
skąd Bob ma pewność, że otrzymany klucz publiczny faktycznie należy do Alice, a nie do intruza Ewy?
Slajd przedstawia źródła powstawania luk w zabezpieczeniach oraz międzynarodowe systemy ich rejestracji CVE i CVSS.
ryzyko przejęcia wiadomości SMS przez ataki SIM-Swap oraz słabości protokołu SS7 operatorów.
błędy zarządzania pamięcią w językach C/C++ podatne na wykonanie złośliwego kodu.
luki znane i wykorzystywane przez atakujących, dla których producent nie wydał jeszcze poprawki.
konstrukcja kryptograficzna oparta na asymetrycznym szyfrowaniu skrótu wiadomości za pomocą klucza prywatnego nadawcy, umożliwiająca odbiorcy bezsporną weryfikację autentyczności pochodzenia dokumentu oraz jego integralności przy użyciu klucza publicznego.
Slajd analizuje formalny, dwuetapowy algorytm składania i weryfikacji podpisu cyfrowego z użyciem haszowania i asymetrii.
technika przechwytywania i analizowania pakietów danych przesyłanych przez medium transmisyjne za pomocą oprogramowania pracującego w trybie promiscuous mode, wykorzystywana do diagnostyki sieciowej lub nieuprawnionej kradzieży danych.
Slajd omawia pojęcie aktywa teleinformatycznego, proces jego inwentaryzacji oraz wycenę wartości biznesowej.
Slajd definiuje aparat pojęciowy inżynierii kryptograficznej oraz relacje pomiędzy kryptografią a kryptoanalizą.
kryptosystem składa się z tekstu jawnego, szyfrogramu, algorytmu oraz klucza kryptograficznego.
Slajd podsumowuje kluczowe koncepcje pierwszego wykładu oraz zapowiada tematykę ochrony danych metodami kryptograficznymi.
Slajd integruje wiedzę z całego semestru: od fundamentów, przez kryptografię i zapory, aż po zaawansowane ekosystemy IoT.
Slajd syntetyzuje wiedzę o wektorach ataków sieciowych i zapowiada finałowy Wykład 6 dedykowany bezpieczeństwu IoT.
Slajd syntetyzuje wiedzę o ochronie sieci brzegowej i wewnętrznej oraz zapowiada tematykę Wirtualnych Sieci Prywatnych (VPN).
Slajd podsumowuje rolę poszczególnych prymitywów kryptograficznych oraz zapowiada kolejny wykład o zaporach sieciowych i AAA.
Slajd syntetyzuje wiedzę o bezpiecznym tunelowaniu i zapowiada Wykład 5 poświęcony atakom sieciowym i reakcji na incydenty.
przed zaszyfrowaniem dane są kradzione; odmowa zapłaty grozi ich publicznym ujawnieniem w sieci Tor.
wyróżnia się szyfry blokowe (operujące na porcjach bitów, np. 128-bit) oraz strumieniowe (bity w locie).
kontrole techniczne (sprzęt, soft), administracyjne (polityki, szkolenia) oraz fizyczne (zamki, zasilanie).
ten sam klucz kryptograficzny jest używany zarówno do szyfrowania, jak i deszyfrowania.
uszkodzenie sprzętowe bramy UTM odcina całą organizację od internetu i wyłącza wszystkie zabezpieczenia.
podstawowa reguła bezpieczeństwa nakazująca domyślne blokowanie wszelkiego ruchu niewymienionego w regułach.
trzy kopie, dwa różne nośniki, jedna kopia poza siedzibą firmy w odizolowanym środowisku (Air Gap).
uzależnienie dostępu od lokalizacji geograficznej, certyfikatu urządzenia i poziomu ryzyka.
każdy pakiet musi fizycznie przepłynąć przez moduł filtrujący IPS przed dotarciem do celu.
PoLP
W3 · slajd 1/20 | W3 · slajd 6/20 | W3 · slajd 7/20 | W4 · slajd 17/19 | W5 · slajd 15/20 | W6 · slajd 17/25
Principle of Least Privilege - zasada przyznawania wyłącznie minimalnych uprawnień niezbędnych do pracy.
fizyczny interfejs sprzętowy (np. JTAG, UART) wyprowadzony na obwodzie drukowanym urządzenia, służący inżynierom do testowania i programowania układu. Pozostawiony bez zabezpieczeń stwarza krytyczną furtkę do bezpośredniego przejęcia kontroli nad procesorem.
porty Access (do stacji roboczych bez tagów) vs porty Trunk (przesyłające wiele oznakowanych VLAN-ów między switchami).
zapewnienie, że dostęp do informacji mają wyłącznie podmioty do tego formalnie uprawnione.
mechanizm ochrony danych, w którym nadawca szyfruje treść kluczem publicznym odbiorcy, gwarantując, że jedynym podmiotem zdolnym do odzyskania tekstu jawnego jest prawowity posiadacz skojarzonego klucza prywatnego.
intruz znajduje się logicznie pomiędzy nadawcą a odbiorcą, kontrolując dwukierunkowy przepływ pakietów.
pobranie ze strony producenta lub bezpośredni zrzut programatorem ze zlutowanej kości SPI Flash.
Post-Quantum Cryptography - kryptografia post-kwantowa odporna na ataki komputerów kwantowych.
Slajd analizuje proces zdalnej aktualizacji oprogramowania układowego (FOTA) oraz sprzętową weryfikację integralności.
jak przekazać tajny klucz odbiorcy przez podsłuchiwany internet bez jego ujawnienia?
klasyczny dylemat kryptografii symetrycznej polegający na konieczności bezpiecznego uzgodnienia wspólnego tajnego klucza pomiędzy stronami komunikującymi się przez niezaufany, publiczny kanał telekomunikacyjny bez fizycznego spotkania.
wysoki odsetek False Positive wymagający ciągłego dostrajania reguł przez analityków SOC.
tunelowanie protokołu TCP wewnątrz innego połączenia TCP może powodować załamanie wydajności (TCP Meltdown).
serwer w chmurze musi mieć pewność, że odpytuje autentyczny czujnik, a nie emulator intruza.
w IKEv1 zmiana stacji bazowej LTE lub przejście z Wi-Fi na modem komórkowy zrywało tunel VPN.
Slajd analizuje przyczyny nieskuteczności tradycyjnych haseł statycznych w obliczu nowoczesnych wektorów ataków.
formalne platformy nagradzające badaczy za odpowiedzialne i poufne zgłaszanie wykrytych luk bezpieczeństwa.
uwzględnianie wymagań bezpieczeństwa od fazy specyfikacji architektury, a nie jako nakładki na końcu.
oferuje wyłącznie integralność i autentyczność bez szyfrowania; niekompatybilny z ruterami NAT.
pierwszy opublikowany asymetryczny protokół kryptograficzny umożliwiający dwóm stronom bezpieczne wygenerowanie wspólnego sekretu za pośrednictwem niezabezpieczonego kanału telekomunikacyjnego, stanowiący fundament protokołów TLS i IPsec.
zapewnia pełną poufność (szyfrowanie), integralność, autentyczność oraz ochronę przed powtórzeniami.
Slajd przedstawia zalety protokołu IKEv2 ze szczególnym uwzględnieniem technologii MOBIKE (RFC 4555).
odpytywanie serwera CA w czasie rzeczywistym o bieżący status pojedynczego certyfikatu.
standard przesyłania komunikatów tekstowych o zdarzeniach z routerów, zapór i serwerów na centralny serwer logów.
popularny standard Smart Home często używa uniwersalnego klucza parowania (Well-Known Key).
wykorzystanie protokołu BGP przez tunele IPsec (interfejsy VTI) do automatycznego omijania awarii.
powszechna realizacja modelu za pomocą standardów RADIUS (otwarty) oraz TACACS+ (standard Cisco).
Slajd omawia wyzwania związane z masowym gromadzeniem prywatnych danych sensorycznych na serwerach dostawców chmury.
ochrona danych osobowych i behawioralnych generowanych przez urządzenia połączone przed nieuprawnionym gromadzeniem, profilowaniem, udostępnianiem stronom trzecim lub nielegalnym wykorzystaniem komercyjnym.
komputer ofiary kieruje pakiety do intruza zamiast do routera, umożliwiając pełny podsłuch i modyfikację.
Slajd omawia przełomowy algorytm Diffiego-Hellmana, wykorzystujący trudność problemu logarytmu dyskretnego.
Whitfield Diffie i Martin Hellman stworzyli protokół umożliwiający uzgodnienie klucza bez jego przesyłania.
zbiór wszystkich możliwych wartości klucza; im większa przestrzeń, tym trudniejszy atak brute-force.
wielu producentów taniego sprzętu przesyła nieszyfrowaną telemetrię do serwerów poza obszar UE.
krzywe eliptyczne (np. secp256r1, Curve25519) oferują ten sam poziom ochrony przy kluczu zaledwie 256-bitowym.
tunele są zestawiane pomiędzy routerami brzegowymi; pracownicy nie instalują żadnych agentów.
kradzież klucza prywatnego, odejście pracownika, błąd w danych podmiotu lub zmiana domeny.
Slajd przedstawia perspektywy i wyzwania adaptacji kryptografii post-kwantowej (PQC) do mikrokontrolerów.
wykorzystywanie naturalnych odruchów ludzkich: autorytetu, presji czasu, strachu, chciwości oraz empatii.
całościowy system prawno-organizacyjny i technologiczny zapewniający bezpieczne tworzenie, dystrybucję, weryfikację oraz unieważnianie certyfikatów cyfrowych w oparciu o hierarchiczną strukturę zaufanych urzędów certyfikacji.
podręczniki dotyczące kryptografii stosowanej, sieci komputerowych oraz analizy powłamaniowej.
emulacja podstawowych portów (np. cowrie dla SSH) zbierająca hasła i adresy IP botnetów.
prawdziwe wirtualne systemy operacyjne umożliwiające analizę pełnego arsenału zaawansowanych grup APT.
R
Registration Authority - punkt rejestracji weryfikujący tożsamość wnioskodawcy certyfikatu.
termin inżynierski związany ze środowiskiem RaaS.
Remote Authentication Dial-In User Service - scentralizowany protokół uwierzytelniania AAA.
termin inżynierski związany ze środowiskiem RAM.
Slajd przedstawia europejskie i krajowe otoczenie regulacyjne nakładające rygorystyczne obowiązki na administratorów sieci.
klasa złośliwego oprogramowania blokująca użytkownikowi lub organizacji dostęp do systemów komputerowych bądź uniemożliwiająca odczyt danych poprzez ich silne zaszyfrowanie, połączona z żądaniem wpłaty okupu w zamian za obietnicę dostarczenia klucza deszyfrującego.
model biznesowy cyberprzestępczości zorganizowanej, w którym autorzy oprogramowania wymuszającego okup licencjonują swój kod dystrybutorom (afiliantom) w zamian za określony procent z wyłudzonych płatności w kryptowalutach.
Slajd analizuje cykl ataku ransomware, wykorzystanie kryptografii hybrydowej oraz strategię podwójnego szantażu.
Remote Access Trojan - koń trojański zapewniający intruzowi zdalne sterowanie hostem.
Role-Based Access Control - kontrola dostępu oparta na przypisanych rolach w organizacji.
Slajd przedstawia formalny, czterofazowy cykl reagowania na incydenty komputerowe w zespołach CSIRT/SOC.
centralne logowanie operacji umożliwiające późniejszą rekonstrukcję przebiegu incydentów.
bezpośrednie wysyłanie pakietów sondujących do routerów i serwerów celu w celu wykrycia otwartych bram.
zbieranie informacji z ogólnodostępnych źródeł (Whois, rejestry DNS, LinkedIn, serwisy Shodan i Censys).
Slajd przedstawia techniki wywiadowcze stosowane przez audytorów i intruzów w pierwszej fazie ataku.
typ wirtualnej sieci prywatnej łączący pojedyncze, rozproszone geograficznie urządzenia końcowe (laptopy, smartfony pracowników) z centralną siecią korporacyjną za pośrednictwem dedykowanego oprogramowania klienckiego i bramy dostępowej.
urządzenia IoT mogą łączyć się wyłącznie z autoryzowanymi serwerami w chmurze; zakaz ruchu do komputerów LAN.
termin inżynierski związany ze środowiskiem RFC.
samoreplikujący się program złośliwy zdolny do autonomicznego rozprzestrzeniania się pomiędzy węzłami sieciowymi poprzez aktywne wykorzystywanie luk w oprogramowaniu i usługach systemowych, nie wymagający obecności pliku-nosiciela ani działania użytkownika.
Rozporządzenie o Ochronie Danych Osobowych - unijne prawo regulujące przetwarzanie danych.
ogólne rozporządzenie nakładające wymóg ochrony danych osobowych, zgłaszania naruszeń w 72h i wysokie kary.
Slajd omawia funkcjonalność dedykowanych bram brzegowych łączących lekkie sieci sensorowe z chmurą.
Slajd przedstawia organizację, strukturę kadrową oraz platformy technologiczne nowoczesnego centrum operacji bezpieczeństwa.
w przeciwieństwie do huba, switch izoluje ruch i przesyła pakiety tylko do portu docelowego.
niezbędny element łączności rozproszonej, wymagający jednak rygorystycznej kontroli hostów (NAC, MFA).
urządzenie lub oprogramowanie kontrolujące ruch sieciowy na podstawie zdefiniowanego zestawu reguł bezpieczeństwa.
ruch pomiędzy różnymi sieciami VLAN musi przejść przez router lub przełącznik L3 z aktywną listą ACL.
funkcja prawdopodobieństwa wystąpienia zagrożenia oraz skali jego potencjalnego wpływu biznesowego.
możliwość jednoznacznego powiązania każdego działania w systemie z konkretnym użytkownikiem.
rejestrowanie aktywności: śledzenie czasu logowania, transferu danych oraz wydawanych poleceń administracyjnych.
algorytmy oparte na sieciach kratowych (ML-KEM) wymagają znacznie większych kluczy i pamięci niż ECC.
w sieciach IT priorytetem jest poufność (C); w sieciach przemysłowych OT absolutnym priorytetem jest dostępność (A) i bezpieczeństwo fizyczne.
ujednolicony standard operacyjnej odporności cyfrowej dla całego europejskiego sektora bankowo-finansowego.
Slajd analizuje architekturę ataków Distributed DoS oraz technikę odbicia i wzmocnienia (Reflection Amplification).
wykorzystanie kryptograficznie zabezpieczonych baz danych rozproszonych do zapewnienia niezaprzeczalności, integralności pomiarów telemetrycznych oraz zdecentralizowanego uwierzytelniania urządzeń bez centralnego punktu zaufania.
możliwość zabezpieczenia wielu domen i adresów IP jednym certyfikatem.
umożliwia aktualizację adresów IP punktów końcowych tunelu bez przerywania aktywnej sesji IPsec.
Slajd analizuje budowę i właściwości najpopularniejszego otwartego rozwiązania VPN opartego na bibliotece OpenSSL.
RSA
W2 · slajd 1/20 | W2 · slajd 2/20 | W2 · slajd 3/20 | W2 · slajd 8/20 | W2 · slajd 9/20 | W2 · slajd 10/20 | W2 · slajd 11/20 | W2 · slajd 15/20 | W2 · slajd 20/20 | W4 · slajd 18/19 | W5 · slajd 12/20
Rivest-Shamir-Adleman - klasyczny asymetryczny algorytm oparty na faktoryzacji dużych liczb.
Reset Flag - flaga protokołu TCP nakazująca natychmiastowe zerwanie połączenia.
termin inżynierski związany ze środowiskiem RTOS.
izolowanie sieci gościnnych, urządzeń IoT i serwerów produkcyjnych za pomocą VLAN-ów i zapór NGFW.
obowiązek certyfikacji bezpieczeństwa teleinformatycznego przed dopuszczeniem wyrobu medycznego.
błędne zaklasyfikowanie prawidłowego ruchu biznesowego jako ataku skutkuje przerwaniem krytycznych usług.
obca osoba wpinająca laptop do gniazda ściennego w sali konferencyjnej zyskuje dostęp do LAN-u.
potencjalna strata wynikająca ze zmaterializowania się zagrożenia wykorzystującego podatność określonego aktywa. Wymiar ryzyka determinowany jest przez iloczyn prawdopodobieństwa wystąpienia incydentu i skali jego negatywnych konsekwencji dla organizacji.
przerwanie zasilania podczas zapisu pamięci Flash niszczy urządzenie, co zniechęca producentów do łatek.
aktywne sondowanie generuje alarmy w systemach IDS/IPS i może skutkować automatyczną blokadą adresu IP.
S
bezpośrednia, fizyczna ingerencja napastnika w układ elektroniczny urządzenia, obejmująca modyfikację obwodów drukowanych, wylutowywanie pamięci, analizę kanałów bocznych lub impulsowe zakłócanie zasilania w celu ominięcia zabezpieczeń logicznych.
Supervisory Control and Data Acquisition - nadrzędny system sterowania i akwizycji danych.
Ewa przechwytuje transmisję, podmienia klucz Alice na własny i deszyfruje całą dalszą komunikację.
osoby o niskich kompetencjach technicznych uruchamiające cudze skrypty i exploit-kity bez zrozumienia ich działania.
Slajd analizuje zagrożenia generowane przez amatorów korzystających z gotowych narzędzi oraz grupy motywowane politycznie.
mechanizm sprzętowo-programowy weryfikujący podpis cyfrowy oprogramowania układowego (firmware) przy użyciu klucza publicznego zapisanego w bezpiecznym elemencie (eFuse / TPM) przed przekazaniem mu kontroli nad procesorem.
podejście inżynieryjne w projektowaniu oprogramowania i infrastruktury sieciowej zakładające, że bezpieczeństwo stanowi integralną, fundamentalną cechę systemu planowaną od pierwszego etapu prac projektowych, eliminując konieczność kosztownego łatania gotowego produktu.
scentralizowana jednostka organizacyjna w przedsiębiorstwie odpowiedzialna za ciągłe monitorowanie, wykrywanie, analizowanie oraz reagowanie na incydenty bezpieczeństwa teleinformatycznego przy użyciu zaawansowanych narzędzi technologicznych i procedur operacyjnych.
architektoniczne wydzielenie urządzeń Internetu rzeczy do dedykowanej, odizolowanej wirtualnej sieci lokalnej (VLAN) zabezpieczonej regułami zapory ogniowej, uniemożliwiające atakującemu penetrację głównych zasobów sieci domowej lub firmowej.
Slajd przedstawia zasady izolacji domen rozgłoszeniowych w warstwie drugiej (L2) za pomocą wirtualnych sieci LAN.
wdrożenie zasady PoLP: operator ma wgląd w telemetrię, lecz nie może wgrywać nowego oprogramowania.
izolacja sieci niezaufanej (WAN/Internet) od sieci chronionej (LAN) oraz strefy usług publicznych (DMZ).
SHA
W2 · slajd 2/20 | W2 · slajd 12/20 | W2 · slajd 13/20 | W2 · slajd 15/20 | W4 · slajd 3/19 | W6 · slajd 20/25
Secure Hash Algorithm - rodzina kryptograficznych funkcji skrótu (SHA-256, SHA-512, SHA-3).
SIEM
W1 · slajd 3/20 | W1 · slajd 9/20 | W1 · slajd 13/20 | W1 · slajd 19/20 | W3 · slajd 2/20 | W3 · slajd 12/20 | W3 · slajd 18/20 | W4 · slajd 16/19 | W5 · slajd 14/20 | W5 · slajd 16/20 | W5 · slajd 18/20
Security Information and Event Management - system agregacji i korelacji zdarzeń bezpieczeństwa.
automatyczne testowanie znanych podatności (np. nmap --script vuln) bezpośrednio ze skanera.
wariant wirtualnej sieci prywatnej łączący dwie lub więcej fizycznie oddalonych sieci lokalnych (np. centralę firmy z fabryką lub oddziałem) za pośrednictwem routerów brzegowych, w sposób całkowicie transparentny dla urządzeń końcowych w obu lokalizacjach.
wysłanie pakietu SYN; po otrzymaniu SYN-ACK odsyłany jest RST, co zapobiega pełnemu nawiązaniu sesji.
Slajd omawia lukę zaufania w asymetrii oraz konieczność bezpiecznego powiązania klucza z tożsamością właściciela.
Single Loss Expectancy - oczekiwana strata finansowa przy pojedynczym incydencie.
termin inżynierski związany ze środowiskiem SMB.
Slajd analizuje mechanizm podsłuchu transmisji sieciowej oraz narzędzia analizy protokołów Wireshark i tcpdump.
Security Orchestration, Automation and Response - platforma automatyzacji reagowania na incydenty.
SOC
W1 · slajd 3/20 | W1 · slajd 9/20 | W1 · slajd 10/20 | W1 · slajd 11/20 | W1 · slajd 15/20 | W1 · slajd 16/20 | W1 · slajd 19/20 | W1 · slajd 20/20 | W3 · slajd 12/20 | W3 · slajd 18/20 | W4 · slajd 11/19 | W4 · slajd 16/19 | W5 · slajd 1/20 | W5 · slajd 11/20 | W5 · slajd 13/20 | W5 · slajd 14/20 | W5 · slajd 16/20 | W5 · slajd 18/20 | W5 · slajd 20/20 | W6 · slajd 24/25
Security Operations Center - centrum operacji bezpieczeństwa monitorujące sieć 24/7.
Slajd charakteryzuje wektory inżynierii społecznej oraz techniki budowania fałszywego zaufania u ofiary.
Slajd omawia techniki socjotechniczne (phishing, pretexting, vishing) bazujące na zaufaniu, strachu oraz pośpiechu.
Slajd charakteryzuje ograniczenia fizyczne mikrokontrolerów uniemożliwiające stosowanie tradycyjnych zabezpieczeń.
Slajd omawia mechanizm zatruwania pamięci podręcznej ARP oraz sprzętową obronę Dynamic ARP Inspection (DAI).
termin inżynierski związany ze środowiskiem SSH.
Secure Sockets Layer - historyczny protokół kryptograficzny zastąpiony przez standard TLS.
technologia wirtualnych sieci prywatnych wykorzystująca protokół Transport Layer Security (TLS) do zabezpieczenia transmisji, charakteryzująca się łatwością przechodzenia przez zapory sieciowe i serwery proxy oraz możliwością pracy bez dedykowanego klienta.
Slajd omawia technologię SSL/TLS VPN operującą na standardowym porcie HTTPS (443 TCP).
bez względu na to, czy wejściem jest jedno słowo, czy obraz ISO o wielkości 50 GB, skrót ma stałą długość (np. 256 bitów).
tunel działa w sposób ciągły, przesyłając ruch pomiędzy całymi podsieciami lokalnymi.
do momentu pomyślnej weryfikacji tożsamości port przepuszcza wyłącznie pakiety EAPoL (blokada IP/ARP).
tryb Galois/Counter Mode łączący wysoką prędkość z automatycznym uwierzytelnieniem integralności.
wykorzystanie kryptografii klucza publicznego trwale powiązanej z domeną serwisu WWW.
Secure Device Identifier - fabrycznie wypalony w bezpiecznym elemencie certyfikat tożsamości sprzętu.
protokół kontroli dostępu do sieci w warstwie łącza danych (L2) oparty na architekturze portowej, wymagający pomyślnego uwierzytelnienia urządzenia (np. certyfikatem lub poświadczeniami domenowymi) przed odblokowaniem portu przełącznika lub punktu dostępowego Wi-Fi.
zwycięzca globalnego konkursu na algorytm szyfrowania uwierzytelnionego (AEAD) dla mikrokontrolerów.
ramy ISO 27001, NIS 2 oraz RODO wyznaczają obowiązkowe standardy odporności cyfrowej.
Slajd omawia rewolucję prawną nakładającą bezpośrednią odpowiedzialność za cyberbezpieczeństwo na producentów sprzętu.
wdrożenie nowych algorytmów opartych na sieciach kratowych: ML-KEM (Kyber) do wymiany kluczy.
służby wywiadowcze nagrywają zaszyfrowany ruch VPN, by odszyfrować go za 10 lat.
Slajd przedstawia podstawową regułę ochrony sieci lokalnej przed zainfekowanym sprzętem Smart Home i sensorami.
wydzielony fizycznie lub logicznie segment sieci teleinformatycznej pośredniczący pomiędzy niezaufanym internetem a chronioną siecią wewnętrzną, zawierający serwery świadczące usługi publiczne. Chroni zasoby korporacyjne w przypadku kompromitacji serwera zewnętrznego.
szyfr blokowy operujący na 128-bitowych blokach danych z kluczami o długości 128, 192 lub 256 bitów.
stopień zrozumienia przez pracowników organizacji zagrożeń cybernetycznych, obowiązujących polityk bezpieczeństwa oraz właściwych reakcji na podejrzane zdarzenia i incydenty teleinformatyczne. Stanowi fundament niematerialnej ochrony zasobów.
wymiana urządzeń, dla których producent zakończył wsparcie i przestał wydawać łatki bezpieczeństwa.
zrozumienie relacji aktywów, podatności i zagrożeń pozwala na racjonalne projektowanie obrony.
termin inżynierski związany ze środowiskiem SYN.
rozwiązuje problem dystrybucji kluczy symetrycznych i omija powolność algorytmów asymetrycznych.
agregacja logów ze wszystkich urządzeń, automatyczna korelacja reguł oraz automatyzacja procedur reakcji.
Slajd analizuje zasady działania systemów IDS operujących w trybie pasywnym na kopiach strumieni sieciowych.
Slajd omawia działanie systemów IPS umieszczonych w trybie inline, zdolnych do natychmiastowego zrywania połączeń.
osoby ujawniające podatności bez uprzedniej zgody, lecz często bez bezpośrednich zamiarów przestępczych.
regularne testy pracowników z bezpiecznego rozpoznawania podejrzanych linków i nagłówków wiadomości.
zaszyfrowany ciąg bitów wyglądający jak szum pseudolosowy, nieczytelny bez klucza.
Slajd przedstawia koncepcję par kluczy oraz funkcje jednokierunkowe z zapadnią (trapdoor one-way functions).
Slajd przedstawia zasadę działania algorytmów symetrycznych oraz ich wyjątkową wydajność w przetwarzaniu masowym.
T
zapora rejestruje aktywne połączenia, śledząc sekwencję uścisku dłoni TCP (SYN, SYN-ACK, ACK).
TCP
W3 · slajd 9/20 | W3 · slajd 10/20 | W3 · slajd 13/20 | W4 · slajd 8/19 | W5 · slajd 4/20 | W5 · slajd 8/20
termin inżynierski związany ze środowiskiem TCP.
koń trojański inicjuje połączenie wychodzące do serwera C2 na porcie 443, bez trudu omijając zaporę ogniową.
zmuszenie przeglądarki ofiary do komunikacji po nieszyfrowanym protokole HTTP zamiast HTTPS.
Slajd analizuje możliwości wykorzystania architektury DLT w eliminacji pojedynczych punktów awarii w sieciach sensorowych.
oryginalna, niezaszyfrowana wiadomość zrozumiała dla odbiorcy i nadawcy.
zbieranie metadanych o przepływach pakietów (kto, z kim, kiedy, ile bajtów) bez rejestrowania treści.
TLS
W2 · slajd 5/20 | W2 · slajd 7/20 | W2 · slajd 8/20 | W2 · slajd 11/20 | W2 · slajd 16/20 | W2 · slajd 17/20 | W2 · slajd 18/20 | W2 · slajd 19/20 | W3 · slajd 11/20 | W4 · slajd 4/19 | W4 · slajd 8/19 | W4 · slajd 9/19 | W5 · slajd 5/20 | W5 · slajd 7/20 | W6 · slajd 3/25 | W6 · slajd 8/25 | W6 · slajd 12/25 | W6 · slajd 13/25
Transport Layer Security - protokół bezpiecznej transmisji kryptograficznej w sieci WWW.
Time-based One-Time Password - jednorazowe hasło generowane w oparciu o znacznik czasu (RFC 6238).
w erze chmury i IoT granica sieci zniknęła; fundamentem staje się model Zero Trust i silne MFA.
Trusted Platform Module - sprzętowy moduł kryptograficzny realizujący korzeń zaufania (Root of Trust).
model bezpieczeństwa teleinformatycznego definiujący trzy fundamentalne cele ochronne: poufność (zapobieganie nieuprawnionemu ujawnieniu), integralność (zapobieganie nieautoryzowanym zmianom) oraz dostępność (zapewnienie gotowości operacyjnej zasobu na żądanie).
Slajd omawia koncepcję triady CIA stanowiącej uniwersalny punkt wyjścia do modelowania bezpieczeństwa teleinformatycznego.
umożliwiają intruzowi pełną kontrolę: podgląd kamery, mikrofonu, zrzuty ekranu i kradzież plików.
infiltracja sieci trwająca miesiącami lub latami bez wywoływania alarmów w systemach.
karta sieciowa ignoruje filtr adresu MAC i przekazuje do systemu wszystkie ramki z medium.
urządzenie analizuje ruch pobierany z portu lustrzanego SPAN lub sprzętowego TAP-a bez wpływu na opóźnienia.
szyfruje wyłącznie ładunek L4; oryginalny nagłówek IP pozostaje odsłonięty (host-to-host).
cały pakiet IP jest szyfrowany i opakowywany w zupełnie nowy zewnętrzny nagłówek IP.
sposób działania protokołu IPsec, w którym kompletny oryginalny pakiet IP (wraz z nagłówkiem) jest szyfrowany i umieszczany jako ładunek wewnątrz nowego pakietu IP z nowym nagłówkiem publicznym, gwarantując anonimizację topologii sieci wewnętrznej.
Slajd porównuje tryb transportowy i tunelowy pod kątem struktury enkapsulacji oraz bezpieczeństwa topologii.
Slajd omawia taksonomię czynników uwierzytelniających: wiedzę, posiadanie oraz cechy biometryczne.
podpis cyfrowy jednocześnie potwierdza tożsamość autora, integralność pliku oraz zapewnia niezaprzeczalność.
Tier 1 (triage alertów), Tier 2 (głębokie badanie incydentu) oraz Tier 3 (Threat Hunting).
Network TUNnel - wirtualny interfejs sieciowy warstwy 3 (IP) w systemach operacyjnych.
szyfrowanie zabezpiecza dane przed podsłuchem w internecie, lecz nie chroni przed złośliwym oprogramowaniem na stacji.
Slajd analizuje implementację wymogów triady CIA w ramach wirtualnych sieci prywatnych.
zasada Just-in-Time Access przyznająca uprawnienia administratora na określony czas z pełnym logowaniem.
masowe ataki DDoS paraliżujące portale rządowe oraz defacement podmieniający treść stron WWW.
U
Universal 2nd Factor - otwarty standard sprzętowych tokenów bezpieczeństwa USB/NFC.
Universal Asynchronous Receiver-Transmitter - szeregowy interfejs komunikacyjny powszechny w IoT.
termin inżynierski związany ze środowiskiem UDP.
najwyższy standard bezpieczeństwa stosujący dwa odrębne firewalle różnych producentów na zewnątrz i wewnątrz DMZ.
zasoby korporacyjne nie posiadają otwartych portów publicznych i są niewidoczne w skanerach Shodan.
Slajd przedstawia mechanizmy odwoływania certyfikatów przed upływem terminu ważności: listy CRL, zapytania OCSP oraz OCSP Stapling.
formalna operacja przedterminowego wycofania ważności certyfikatu cyfrowego przed upływem zadeklarowanego czasu życia, uniemożliwiająca dalsze zaufanie do powiązanego klucza publicznego. Realizowana za pośrednictwem list CRL lub protokołu OCSP.
kompleksowe rozwiązanie bezpieczeństwa sieciowego łączące w ramach jednego urządzenia sprzętowego lub wirtualnego wiele funkcji ochronnych: zaporę ogniową, system zapobiegania włamaniom (IPS), bramowy antywirus, filtr treści URL oraz serwer VPN.
rozporządzenie nakładające obowiązek bezpieczeństwa na wszystkie produkty cyfrowe trafiające na rynek UE.
tysiące urządzeń działających z domyślnymi danymi logowania (admin/admin, root/root).
termin inżynierski związany ze środowiskiem UPnP.
dostęp do poufnej korespondencji, haseł i baz danych wymaga najwyższych standardów uczciwości.
Uninterruptible Power Supply - zasilacz bezprzerwowy gwarantujący ciągłość pracy urządzeń sieciowych.
Slajd analizuje budowę certyfikatu X.509 v3 oraz proces weryfikacji tożsamości przez punkt rejestracji RA.
Slajd przedstawia ideę urządzeń all-in-one konsolidujących wiele funkcji ochronnych w pojedynczym urządzeniu.
urządzenie sieciowe o skrajnie ograniczonych zasobach obliczeniowych, pamięciowych (RAM/Flash) oraz energetycznych (zasilanie bateryjne), dla którego tradycyjne protokoły internetowe (np. HTTP, TLS, RSA) są zbyt obciążające.
Unified Threat Management - zintegrowana brama łącząca firewall, antywirus, IPS i VPN.
weryfikacja tożsamości podmiotu: potwierdzenie, czy użytkownik jest tym, za kogo się podaje.
brak zaufania na podstawie adresu IP; każda transakcja wymaga tokena tożsamości z MFA.
Slajd przedstawia mechanizmy wzajemnego uwierzytelniania urządzeń brzegowych z wykorzystaniem infrastruktury PKI.
Slajd prezentuje architekturę systemów MFA ze szczególnym uwzględnieniem odporności na nowoczesne ataki socjotechniczne.
Slajd omawia konieczność rygorystycznej ochrony paneli administracyjnych nadrzędnych platform chmurowych.
Slajd omawia konieczność wdrożenia MFA na bramach VPN oraz eliminację podatności na ataki typu MFA Fatigue.
V
standard logicznego dzielenia fizycznej sieci lokalnej w warstwie 2 modelu ISO/OSI na niezależne domeny rozgłoszeniowe zgodnie ze standardem IEEE 802.1Q, uniemożliwiający bezpośrednią komunikację pomiędzy segmentami bez udziału routera lub zapory.
wyłudzanie danych uwierzytelniających i haseł jednorazowych przez rozmowy telefoniczne i wiadomości SMS.
VLAN
W1 · slajd 12/20 | W3 · slajd 8/20 | W3 · slajd 9/20 | W3 · slajd 15/20 | W3 · slajd 16/20 | W3 · slajd 17/20 | W3 · slajd 20/20 | W4 · slajd 12/19 | W5 · slajd 19/20 | W6 · slajd 10/25 | W6 · slajd 22/25
Virtual Local Area Network - wirtualna sieć lokalna izolująca ruch w warstwie 2.
VPN
W3 · slajd 14/20 | W4 · slajd 1/19 | W4 · slajd 2/19 | W4 · slajd 4/19 | W4 · slajd 5/19 | W4 · slajd 7/19 | W4 · slajd 8/19 | W4 · slajd 9/19 | W4 · slajd 10/19 | W4 · slajd 11/19 | W4 · slajd 13/19 | W4 · slajd 15/19 | W4 · slajd 16/19 | W4 · slajd 17/19 | W4 · slajd 19/19
termin inżynierski związany ze środowiskiem VPN.
Slajd omawia architekturę Site-to-Site VPN integrującą oddziały przedsiębiorstwa w jednolitą przestrzeń adresową.
Slajd charakteryzuje architekturę Remote Access VPN dedykowaną dla pracowników mobilnych i rozproszonych zespołów.
termin inżynierski związany ze środowiskiem VTI.
W
Slajd omawia matematyczne i logistyczne ograniczenia kryptografii symetrycznej w środowiskach rozproszonych.
dostęp do portali webowych, poczty i aplikacji intranetowych bezpośrednio przez przeglądarkę WWW.
automatycznie instalowany agent rozszerzający tunelowanie na wszystkie aplikacje stacji roboczej.
panele zarządzania WWW, aplikacje mobilne na smartfony i interfejsy API.
fizyczne sensory, przetworniki i aktuatory zbierające sygnały ze środowiska.
bazy danych szeregów czasowych, serwery brokerskie MQTT i platformy analityczne.
protokoły transmisji bezprzewodowej i przewodowej przesyłające dane telemetryczne.
ochrona fizyczna, zabezpieczenia obwodu (firewalle), segmentacja LAN, ochrona hosta, ochrona aplikacji i danych.
automatyczne żądanie dodatkowej weryfikacji przy próbie logowania z nowego urządzenia lub kraju.
włączenie wszystkich modułów głębokiej inspekcji może drastycznie obniżyć przepustowość łącza.
analiza heurystyczna pobieranych plików w odizolowanym środowisku chmurowym przed ich dostarczeniem.
ścieżka lub metoda techniczna, którą intruz wykorzystuje do uzyskania dostępu do zasobu.
Slajd analizuje zjawisko efektu lawinowego oraz metody weryfikacji integralności oprogramowania i sum kontrolnych.
oryginalny pakiet z prywatną adresacją podsieci LAN (RFC 1918), niewidoczny dla pośredników.
każde otwarte połączenie zajmuje pamięć w tablicy stanów; podatność na ataki typu SYN Flood.
przekształcenia oparte na substytucji (S-Box) i permutacji bajtów (od 10 do 14 rund w zależności od klucza).
obowiązkowa integracja z serwerem tożsamości (Active Directory, Azure AD, RADIUS) oraz MFA.
niezwykle prosty, szybki i nowoczesny protokół wirtualnych sieci prywatnych zaimplementowany bezpośrednio w jądrze systemu Linux, wykorzystujący najnowsze osiągnięcia kryptograficzne i model trasowania opartego na kluczach (Cryptokey Routing).
technologia teleinformatyczna umożliwiająca utworzenie bezpiecznego, szyfrowanego połączenia logicznego (tunelu) pomiędzy węzłami sieciowymi lub całymi sieciami lokalnymi za pośrednictwem publicznej, niezaufanej infrastruktury transmisyjnej (np. Internetu).
mimo braku zaawansowania generują ogromny szum w logach sieciowych i potrafią sparaliżować niezabezpieczone usługi.
przełamanie urządzenia IoT to nie tylko kradzież danych, lecz realne zagrożenie pożarowe lub awaria maszyn.
Slajd definiuje pojęcie ekosystemu Internetu rzeczy oraz skalę zagrożeń wynikających z masowej liczby urządzeń brzegowych.
Slajd przedstawia genezę kryptografii oraz jej ewolucję od starożytnych metod przestawieniowych do współczesnych systemów cyfrowych.
Slajd przedstawia przesłanki biznesowe oraz wyzwania bezpieczeństwa związane z tworzeniem Wirtualnych Sieci Prywatnych.
Slajd przedstawia współczesny krajobraz cyberzagrożeń oraz przejście od wandalizmu do zorganizowanej przestępczości cyfrowej.
konieczność bezpiecznego połączenia tysięcy pracowników zdalnych z zasobami korporacyjnymi.
natywna implementacja IKEv2 w nowoczesnych systemach mobilnych (iOS, Android, Windows) gwarantuje stabilność.
w przypadku awarii zasilania IPS moduł mechaniczny łączy kable, zapobiegając odcięciu firmy od sieci.
nowe botnety wykorzystują automatyczne exploity na luki zero-day w routerach domowych.
zapytanie NTP `monlist` generuje odpowiedź 500 razy większą niż zapytanie, paraliżując łącza 100 Gbps+.
obie strony łączą swoje klucze prywatne z publicznymi wartościami partnera, uzyskując ten sam wynik.
płynne przekazywanie potwierdzonych incydentów do wyspecjalizowanych zespołów reagowania powłamaniowego.
zalecane użycie UDP dla maksymalnej wydajności lub TCP 443 w celu omijania restrykcyjnych zapór sieciowych.
podział zasobów na kategorie krytyczności w celu proporcjonalnego alokowania budżetu ochronnego.
generowanie wolumenu ruchu przewyższającego przepustowość fizycznego interfejsu sieciowego.
zalewanie serwera pakietami TCP SYN z fałszywych IP, blokujące tablicę połączeń w stanie syn-rcvd.
każdy plik szyfrowany jest szybkim kluczem AES, który następnie szyfruje się kluczem publicznym RSA intruza.
alarmowanie o nagłych skokach transferu, skanowaniu portów lub nietypowych godzinach logowania.
identyfikacja masowej eksfiltracji danych przez stację roboczą w godzinach nocnych.
Slajd przedstawia adaptację systemów IDS/IPS do monitorowania środowisk zdominowanych przez protokoły MQTT i CoAP.
wyłączenie zarządzania urządzeniem z publicznego internetu, jeśli nie jest to bezwzględnie wymagane.
nawet sam nadawca po zaszyfrowaniu nie może odczytać wiadomości; potrafi to wyłącznie posiadacz klucza prywatnego.
nawet w przypadku ujawnienia hasła pracownika atakujący nie sforsuje bramy bez tokena fizycznego.
jedyną skuteczną obroną przed robakami sieciowymi jest automatyczne wdrażanie łatek (Patch Management).
systemy sterowania ruchem muszą być bezwzględnie odcięte od publicznych sieci miejskich Wi-Fi.
konieczność anonimizacji danych, jawnej zgody na przetwarzanie oraz zapewnienia prawa do bycia zapomnianym.
poza szyfrowaniem danych adwersarze grożą ich publikacją oraz atakami DDoS na klientów.
obowiązkowe stosowanie tokenów sprzętowych FIDO2 przy dostępie do paneli zarządzania flotą (IoT Fleet).
algorytmy symetryczne są o rzędy wielkości szybsze od asymetrycznych i wspierane sprzętowo (AES-NI).
potęgowanie liczb tysiącbitowych drastycznie obciąża procesor serwera przy masowych połączeniach.
raporty i przewodniki techniczne publikowane przez ENISA, CISA, CERT Polska oraz NASK.
tradycyjny blockchain jest zbyt wolny dla IoT; stosowanie lekkich struktur skierowanych grafów acyklicznych (DAG).
konieczność zaprojektowania wyspecjalizowanych koprocesorów PQC dla mikrokontrolerów o poborze kilku miliwatów.
zarówno serwer, jak i sensor weryfikują nawzajem swoje certyfikaty X.509 przed wymianą danych.
Z
Slajd omawia zabezpieczanie gniazd RJ-45 przed podłączeniem obcych urządzeń za pomocą standardu IEEE 802.1X.
Slajd omawia taksonomię zagrożeń sieciowych, motywacje podmiotów zagrażających oraz mechanizmy propagacji ataków.
atakujący musi znaleźć zaledwie jedną lukę w systemie, podczas gdy obrońca musi zabezpieczyć wszystkie aktywa.
świadome cyberataki intruzów vs błędy konfiguracji, awarie zasilania i katastrofy naturalne.
ataki takie jak Stuxnet czy Industroyer pokazały możliwość fizycznego niszczenia turbin i stacji elektroenergetycznych.
ataki DDoS nasycające łącza, awarie macierzy, blokady serwerów HSM oraz ransomware szyfrujący dane.
Slajd analizuje konsekwencje ataków na zintegrowane systemy miejskie: sygnalizację świetlną, sieci wodne i oświetlenie.
Slajd omawia słabości transmisji bezprzewodowej stosowanej w sieciach sensorowych i automatyce budynkowej.
Slajd analizuje niebezpieczeństwa wynikające z wpuszczania niezaufanych urządzeń domowych do sieci korporacyjnej.
potencjalna przyczyna niepożądanego incydentu, która może doprowadzić do wyrządzenia szkody w systemie lub organizacji poprzez naruszenie reguł bezpieczeństwa. Do zaistnienia incydentu niezbędna jest obecność korespondującej podatności.
zagrożenie to potencjalne zdarzenie, które może wyrządzić szkodę, wykorzystując istniejącą podatność.
komputer kwantowy błyskawicznie złamie powszechnie stosowaną asymetrię RSA, DH oraz ECC.
komputer ma jednoczesne połączenie z internetem i siecią LAN; brak inspekcji przez korporacyjny firewall.
urządzenia wbudowane pracujące w infrastrukturze przez 20 lat (np. liczniki energii) doczekają ery kwantowej.
fale radiowe rozchodzą się w przestrzeni, umożliwiając pasywny podsłuch spoza budynku.
manipulacja fazami świateł na skrzyżowaniach może wywołać paraliż komunikacyjny i wypadki.
ryzyko polegające na wykorzystaniu zainfekowanego lub nieodpowiednio zabezpieczonego komputera pracownika zdalnego jako wektora ataku na chronioną sieć wewnętrzną firmy po ustanowieniu zaufanego tunelu VPN.
odciążenie słabych sensorów poprzez zestawianie szyfrowanych tuneli TLS/IPsec bezpośrednio z bramy.
bezwzględny zakaz testowania i skanowania systemów bez formalnej, pisemnej zgody zarządu (Rule of Engagement).
klucze 1024-bitowe uznano za złamane; współczesne minimum inżynierskie to 2048 lub 3072 bity.
w instytucjach finansowych i rządowych nakazuje się pełne tunelowanie (cały ruch przechodzi przez centralę).
publicznie znane algorytmy (AES, RSA) podlegają wieloletniej, globalnej analizie tysięcy kryptoanalityków.
niższy koszt zakupu, pojedynczy interfejs zarządzania oraz uproszczone licencjonowanie.
architektura zakłada, że dowolna pojedyncza linia obrony może zostać sforsowana przez atakującego.
inżynieria zakłada, że intruz lub złośliwy kod znajduje się już wewnątrz sieci lokalnej.
stosowanie zamków mechanicznych oraz przełączników antysabotażowych (tamper switch) alarmujących o otwarciu.
Slajd omawia filar dostępności w kontekście infrastruktury kryptograficznej oraz ochrony przed atakami paraliżującymi.
wczesna generacja zapór ogniowych badająca każdy pakiet danych w sposób całkowicie odizolowany, porównując informacje z nagłówków warstwy 3 i 4 (IP, porty) ze statyczną listą reguł bez śledzenia kontekstu ani stanu nawiązanego połączenia.
zaawansowana platforma filtrująca łącząca tradycyjne funkcje zapory stanowej z głęboką inspekcją pakietów (DPI) w warstwie aplikacji, kontrolą użytkowników, zintegrowanym systemem IPS oraz sprzętową deszyfracją ruchu TLS.
Slajd omawia ewolucję zapór do poziomu aplikacji L7 oraz identyfikację ruchu niezależnie od używanego portu.
Slajd omawia fundamentalną rolę zapory ogniowej w kontrolowaniu przepływu pakietów pomiędzy strefami zaufania.
technologia zapory ogniowej monitorująca kontekst i stan logiczny prowadzonych połączeń sieciowych. Przechowuje w pamięci RAM dynamiczną tablicę stanów, weryfikując zgodność każdego pakietu ze specyfikacją protokołu i historią danej sesji.
Slajd analizuje budowę i ograniczenia najprostszych filtrów pakietowych operujących w warstwie sieci i transportu.
Slajd przedstawia mechanizm Stateful Packet Inspection (SPI) zapobiegający wstrzykiwaniu niepowiązanych pakietów.
w kolejnej części omówimy matematyczne fundamenty poufności: kryptografię symetryczną i asymetryczną.
w kolejnej części omówimy mechanizmy zarządzania dostępem, uwierzytelnianie AAA oraz zapory ogniowe (firewalle).
w kolejnej części omówimy bezpieczną komunikację zdalną: tunele VPN (IPsec, WireGuard, OpenVPN).
w kolejnej części omówimy anatomię ataków sieciowych: skanowanie, DoS/DDoS, ARP Poisoning, Malware oraz CSIRT.
w ostatniej części skupimy się na architekturze i cyberbezpieczeństwie Internetu rzeczy (IoT).
protokoły EST (Enrollment over Secure Transport) automatyzujące odnawianie kluczy w terenie.
scentralizowany system chmurowy służący do monitorowania, konfigurowania oraz masowego aktualizowania tysięcy rozproszonych geograficznie urządzeń końcowych, wymagający najwyższych standardów kontroli dostępu.
utrata klucza prywatnego szyfrującego macierz oznacza nieodwracalne zniszczenie wszystkich danych.
nawet najlepszy firewall jest bezużyteczny bez regularnego przeglądu reguł i analizy logów w SIEM.
centralne wymuszanie reguł zapory i trasowania na stacjach roboczych przez bramę dostępową.
głównym celem nie jest całkowita eliminacja zagrożeń, lecz redukcja ryzyka do poziomu akceptowalnego.
wymóg jednoznacznej identyfikacji każdego pracownika, urządzenia końcowego oraz procesu w sieci.
każde żądanie dostępu jest dynamicznie uwierzytelniane, autoryzowane i szyfrowane.
ruch z internetu może trafiać do DMZ, lecz serwery z DMZ mają bezwzględny zakaz inicjowania ruchu do sieci LAN.
złośliwy kod ukryty wewnątrz pozornie pożytecznej aplikacji (np. darmowej gry, cracka, aktualizacji flasha).
bezpieczeństwo systemu musi zależeć wyłącznie od tajności klucza, a nie od ukrywania konstrukcji algorytmu.
Slajd omawia fundamentalną regułę Kerckhoffsa oraz niebezpieczeństwo stosowania antywzorca Security through Obscurity.
podmiot posiada wyłącznie te uprawnienia, które są bezwzględnie konieczne do wykonania zadania.
Slajd omawia koncepcję Principle of Least Privilege oraz modele kontroli dostępu oparte na rolach (RBAC).
każde inteligentne urządzenie należy traktować jako potencjalnie skompromitowane.
wymóg wieloletniej pracy na pojedynczym ogniwie wyklucza ciągłe operacje kryptograficzne.
oficjalne dokumenty RFC organizacji IETF, wytyczne OWASP oraz standardy ETSI.
tunele VPN eliminują gigantyczne koszty dedykowanych łączy fizycznych między miastami.
ochrona protokołów HTTPS, tuneli VPN (IPsec/WireGuard), uwierzytelniania SSH oraz baz danych.
idealne do szyfrowania całych dysków (BitLocker, LUKS) oraz tuneli transmisyjnych (IPsec, TLS).
bezpieczna łączność pomiędzy dwoma znanymi serwerami lub jako podstawa dla protokołów GRE/L2TP.
standard w połączeniach bram sieciowych Site-to-Site i Remote Access ukrywający adresację wewnętrzną.
bezpieczne spięcie lokalnego centrum danych (On-Premises) z chmurą publiczną (AWS, Azure, GCP).
dzięki prostocie algorytmu filtry bezstanowe (ACL) są realizowane sprzętowo w układach ASIC routerów.
intruz wmawia ofierze, że jego adres MAC jest bramą domyślną, a bramie, że jest ofiarą.
atak w warstwie 2 modelu ISO/OSI polegający na rozsyłaniu sfałszowanych komunikatów protokołu ARP w sieci lokalnej, prowadzący do nieprawidłowego powiązania adresu IP bramy lub innego hosta z adresem fizycznym MAC atakującego.
systemy operacyjne i przeglądarki posiadają preinstalowaną bazę zaufanych certyfikatów Root CA.
dane podmiotu (Subject), klucz publiczny, okres ważności, dane wystawcy (Issuer) oraz podpis CA.
rozwiązanie bezpieczeństwa tworzące logiczną, opartą na tożsamości i kontekście granicę dostępu wokół aplikacji, zastępujące tradycyjny dostęp sieciowy VPN modelem mikrosegmentacji per-aplikacja bez udostępniania warstwy sieciowej.
Slajd omawia rolę modelu Zero Trust w powstrzymywaniu intruza po przełamaniu perymetru zewnętrznego.
ponieważ honeypot nie ma zastosowania biznesowego, jakakolwiek próba połączenia jest w 100% atakiem.
zawiera publiczne, routowalne w internecie adresy IP punktów końcowych tunelu (bram VPN).
stan pełnego dostosowania procedur operacyjnych, polityk i środków technicznych organizacji do obowiązujących przepisów prawa, norm branżowych oraz wytycznych organów nadzorczych w obszarze cyberbezpieczeństwa.
wdrożenie systemowego podejścia do ochrony w oparciu o międzynarodowe standardy ISO/IEC 27001.
przepisy RODO, NIS 2 i KSC bezwzględnie nakazują szyfrowanie transmisji danych poufnych.
Ascon-128 jednocześnie zapewnia poufność danych oraz weryfikację ich integralności w jednym przebiegu.
precyzyjne kopiowanie wyglądu stron logowania banków, Microsoft 365, kurierów i portali społecznościowych.
zainfekowany laptop domowy po zestawieniu tunelu staje się bezpośrednią bramą dla intruza do wnętrza LAN-u.
użytkownicy stosują to samo hasło w dziesiątkach serwisów prywatnych i służbowych.
twórcy złośliwego kodu udostępniają platformę afiliantom, pobierając prowizję od okupu.
samowolne korzystanie przez pracowników z nieautoryzowanych aplikacji i dysków chmurowych poza kontrolą działu IT.
stare funkcje są skompromitowane kolizyjnie; współczesnym standardem są rodziny SHA-2 (SHA-256) oraz SHA-3.
Slajd porównuje klasyczne wirusy komputerowe z autonomicznymi robakami sieciowymi infekującymi systemy bez udziału człowieka.
zbyt restrykcyjne i skomplikowane polityki skłaniają użytkowników do ich świadomego obchodzenia.
bezwzględny wymóg zmiany fabrycznego hasła na unikalne, silne hasło zaraz po wyjęciu urządzenia z pudełka.
dodatkowe nagłówki tunelu zmniejszają efektywny rozmiar ładunku, co wymaga optymalizacji MSS.
właściwe zabezpieczenie ulotnych dowodów w RAM decyduje o wykryciu sprawcy i usunięciu tylnych furtek.
dodanie 4-bajtowego nagłówka zawierającego 12-bitowy identyfikator VLAN ID (zakres 1-4094).
heterogeniczne środowisko stosujące odmienne systemy operacyjne czasu rzeczywistego (RTOS).
wyciągnięcie kluczy szyfrujących, haseł i złośliwych procesów przed wyłączeniem komputera z prądu.
Zero Trust Network Access - model bezpieczeństwa zakładający brak zaufania do dowolnego węzła.
mechanizmy kryptograficzne stanowią podstawę poufności (szyfry), integralności (hasze) i autentyczności (podpis).