CYBERBEZPIECZENSTWO - KLUCZ ODPOWIEDZI I SAMOOCENA NR 2 Dotyczy zestawu na 4 dni po 2 godziny lekcyjne MAKSYMALNA LICZBA PUNKTOW: 10 ====================================================================== ZASADY SAMOOCENY ====================================================================== 1. Najpierw wykonaj caly zestaw cwiczen bez korzystania z tego pliku. 2. Dopiero po wykonaniu zadania porownaj swoje odpowiedzi z kluczem. 3. Nie musisz miec identycznych slow. Liczy sie poprawne rozumowanie i prawidlowy wniosek. 4. Wyniki narzedzi internetowych zmieniaja sie w czasie. Nie porownuj bezmyslnie liczby wykryc, dat ani ocen. Porownuj sposob analizy i interpretacje. 5. Kazdy z 10 obszarow jest wart maksymalnie 1 punkt. 6. Na koncu podaj prowadzacemu TYLKO laczna liczbe punktow 0-10. ====================================================================== PUNKTACJA ====================================================================== DZIEN 1: maks. 2 pkt DZIEN 2: maks. 2 pkt DZIEN 3: maks. 3 pkt DZIEN 4: maks. 3 pkt RAZEM: 10 pkt ====================================================================== DZIEN 1 - ODPOWIEDZI ====================================================================== ---------------------------------------------------------------------- 1. ANATOMIA URL I TYPOSQUATTING Maksymalnie: 1 pkt ---------------------------------------------------------------------- CWICZENIE 1: A) https://www.pkobp.pl/?www.onet.pl protokol: https host: www.pkobp.pl query: www.onet.pl faktyczna domena nie zmienia sie przez znak "?" B) https://www.pkobp.pl.evil.example/login host: www.pkobp.pl.evil.example Domena kontrolujaca ten przyklad znajduje sie pod: evil.example Napis "www.pkobp.pl" jest tylko czescia subdomeny. C) https://evil.example/login?continue=https://www.pkobp.pl/ host: evil.example Adres banku znajduje sie tylko w parametrze "continue". D) https://www.pkobp.pl@evil.example/ host: evil.example Tekst przed "@" nie jest hostem. E) https://login.example/reset?user=adam#formularz host: login.example sciezka: /reset query: user=adam fragment: formularz CWICZENIE 2: micros0ft.example - zamiana litery "o" na cyfre "0" paypa1.example - zamiana litery "l" na cyfre "1" allegro-login.example - dodanie znanej marki i slowa "login" pko-bp-secure.example - dodanie slowa wzbudzajacego zaufanie microsoft.com.login.example - mylaca subdomena xn--... - IDN / Punycode NAJWAZNIEJSZY WNIOSEK: Nie sprawdzamy, czy nazwa znanej firmy wystepuje gdzies w adresie. Sprawdzamy faktyczny host i domene. PRZYZNAJ SOBIE: 1 pkt - poprawnie rozpoznales hosty A-D, - rozumiesz role znaku "?", - rozpoznales minimum 4 techniki podobnych domen. 0,5 pkt - zrobiles wiekszosc poprawnie, ale pomyliles host w jednym lub dwoch trudniejszych przykladach. 0 pkt - nadal traktujesz znana nazwe wystepujaca "gdzies w URL" jako dowod, ze adres nalezy do tej firmy. MOJ WYNIK: ____ / 1 pkt ---------------------------------------------------------------------- 2. HTTPS, CERTYFIKAT I ANALIZA PHISHINGU Maksymalnie: 1 pkt ---------------------------------------------------------------------- POPRAWNE WNIOSKI O HTTPS: HTTPS oznacza szyfrowane polaczenie i weryfikacje certyfikatu dla hosta. HTTPS nie oznacza automatycznie: - uczciwego wlasciciela, - braku phishingu, - braku zlosliwej tresci. Let's Encrypt oraz inni wystawcy moga wydawac certyfikaty automatycznie. Sam fakt, ze certyfikat jest poprawny, nie oznacza dobrej reputacji serwisu. Przy certyfikacie warto sprawdzic: - host / SAN, - wystawce, - okres waznosci, - zgodnosc nazwy, - lancuch zaufania. Sam issuer nie potwierdza intencji wlasciciela strony. SCENARIUSZ "WYGASAJACA DOMENA": Poprawne sygnaly ostrzegawcze: - podejrzany adres nadawcy, - domena ovh-support.example, - presja czasu, - grozba natychmiastowego wylaczenia, - link nie prowadzi do oficjalnej domeny OVH, - "ovh.com" jest tylko elementem subdomeny, - prawdziwy adres OVH znajduje sie jedynie w parametrze, - wezwanie do natychmiastowej platnosci. Poprawna weryfikacja: Nie klikac. Samodzielnie otworzyc znany panel rejestratora lub wpisac jego oficjalny adres w przegladarce i sprawdzic status uslugi. PRZYZNAJ SOBIE: 1 pkt - poprawnie wyjasniasz HTTPS, - sprawdziles podstawowe pola certyfikatu, - wskazales minimum 6 sygnalow w scenariuszu, - podales bezpieczna metode niezaleznej weryfikacji. 0,5 pkt - rozumiesz glowna idee, ale pominoles kilka elementow. 0 pkt - uznajesz sama klodke / HTTPS za dowod uczciwosci strony. MOJ WYNIK: ____ / 1 pkt ====================================================================== DZIEN 2 - ODPOWIEDZI ====================================================================== ---------------------------------------------------------------------- 3. VIRUSTOTAL - DOMENA, URL I HASH PLIKU Maksymalnie: 1 pkt ---------------------------------------------------------------------- POPRAWNE WNIOSKI: VirusTotal moze zawierac informacje o: - domenach, - URL, - IP, - plikach, - hashach, - relacjach, - reputacji i wynikach wielu silnikow. Nie nalezy oceniac obiektu tylko przez licznik detekcji. EICAR: SHA-256: 275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f To plik testowy EICAR, a nie prawdziwe malware. Wiele silnikow powinno wykrywac go jako test EICAR. Dokladna liczba wykryc zmienia sie w czasie i NIE jest elementem klucza. Wazny wniosek: Wysoka liczba detekcji nie zawsze oznacza realny zlosliwy program. Trzeba znac kontekst badanego obiektu. PRZYZNAJ SOBIE: 1 pkt - przeanalizowales domene i URL, - znalazles przynajmniej jedna relacje lub informacje historyczna, - wyszukales EICAR po hashu bez pobierania pliku, - potrafisz wyjasnic ograniczenia licznika detekcji. 0,5 pkt - wykonales tylko czesc analizy, ale rozumiesz ograniczenia narzedzia. 0 pkt - traktujesz licznik wykryc jako automatyczny i ostateczny werdykt. MOJ WYNIK: ____ / 1 pkt ---------------------------------------------------------------------- 4. CERT POLSKA - LISTA OSTRZEZEN I ZASTOSOWANIE Maksymalnie: 1 pkt ---------------------------------------------------------------------- POPRAWNE WNIOSKI: Lista CERT Polska zawiera aktualnie identyfikowane niebezpieczne domeny. Domen z listy NIE otwieramy. Mozna je pasywnie analizowac np. w VirusTotal. Mozliwa sytuacja: CERT ma domene na liscie, a VirusTotal ma malo danych lub 0 detekcji. Nie jest to sprzecznosc. Moze oznaczac np.: - bardzo nowa kampanie, - opoznienie pomiedzy zrodlami, - rozna metode klasyfikacji. PRZYKLADOWE FORMATY: TXT - prosty skrypt, jedna domena na linie. JSON - integracja z aplikacja, automatyzacja. hosts - lokalne mapowanie/blokowanie nazw. RPZ - filtrowanie na serwerze DNS wspierajacym Response Policy Zone. .rsc - zastosowanie w RouterOS/MikroTik. CSV/TSV - import i przetwarzanie tabelaryczne. DLACZEGO NIE BLOKOWAC BEZMYSLNIE IP: - domena moze zmieniac IP, - moze korzystac z CDN, - IP moze byc wspoldzielone przez wiele poprawnych stron. PRZYZNAJ SOBIE: 1 pkt - przeanalizowales minimum 3 domeny z listy bez ich otwierania, - porownales je z VirusTotal, - poprawnie dopasowales minimum 4 formaty do zastosowan, - potrafisz wyjasnic, dlaczego blokada domeny i IP to nie to samo. 0,5 pkt - wykonales tylko czesc zadania. 0 pkt - otwierales aktywne domeny z listy lub nie rozumiesz celu feedu. MOJ WYNIK: ____ / 1 pkt ====================================================================== DZIEN 3 - ODPOWIEDZI ====================================================================== ---------------------------------------------------------------------- 5. ZONEMASTER I AUDYT DNS Maksymalnie: 1 pkt ---------------------------------------------------------------------- Zonemaster sprawdza konfiguracje DNS, m.in.: - podstawowa dostepnosc, - adresy nameserverow, - delegacje, - zgodnosc odpowiedzi, - nameservery, - DNSSEC, - zawartosc strefy, np. SOA i MX. Nie jest to skaner podatnosci aplikacji WWW. WARNING: Nie musi oznaczac przejecia lub krytycznej podatnosci. Moze oznaczac odstepstwo od zalecenia lub konfiguracje wymagajaca uwagi. ERROR: Wskazuje powazniejszy problem w konkretnym tescie, ale nadal trzeba przeczytac opis i ocenic jego realny skutek. DNSSEC: Zapewnia kryptograficzna weryfikacje autentycznosci danych DNS. Nie szyfruje zapytan DNS. PRZYZNAJ SOBIE: 1 pkt - wykonales test minimum 2 domen, - przeczytales minimum 2 komunikaty, - potrafisz wyjasnic przynajmniej delegacje i DNSSEC, - wiesz, ze Zonemaster nie jest pentestem WWW. 0,5 pkt - wykonales test, ale interpretacja byla bardzo pobiezna. 0 pkt - ograniczyles sie do koloru lub liczby ostrzezen bez sprawdzenia znaczenia. MOJ WYNIK: ____ / 1 pkt ---------------------------------------------------------------------- 6. SPF, DKIM, DMARC I BEZPIECZNA POCZTA Maksymalnie: 1 pkt ---------------------------------------------------------------------- SPF: v=spf1 - wersja SPF. include:_spf.example.net - wykorzystanie zasad SPF z innej domeny. ip4:192.0.2.10 - wskazany adres IPv4 jest autoryzowany zgodnie z tym fragmentem rekordu. -all - hard fail dla pozostalych zrodel, ktore nie pasuja do poprzednich zasad. DMARC: v=DMARC1 - wersja DMARC. p=reject - polityka sugerujaca odrzucenie wiadomosci, ktore nie przechodza DMARC. rua=mailto:dmarc@example.com - adres raportow zbiorczych. adkim=s - strict alignment dla DKIM. aspf=s - strict alignment dla SPF. DKIM: selector1 - selector okreslajacy, ktory klucz publiczny ma byc uzyty. _domainkey - standardowy element nazwy rekordu DKIM. Dlaczego pelny test DKIM wymaga wiadomosci: Selector jest przekazywany w podpisie DKIM konkretnej wiadomosci. Bez niego nie zawsze wiadomo, jakiego rekordu nalezy szukac. Bezpieczna Poczta CERT Polska: Test domeny: - SPF - DMARC - SSL Dokladniejszy test przez e-mail: - SPF - DKIM - DMARC - SSL PRZYZNAJ SOBIE: 1 pkt - rozumiesz role wszystkich trzech mechanizmow, - poprawnie odczytales rekordy, - wykonales test domeny, - potrafisz wyjasnic, dlaczego DKIM jest latwiej sprawdzic na konkretnej wiadomosci. 0,5 pkt - mylisz pojedyncze szczegoly, ale rozumiesz ogolny mechanizm. 0 pkt - nie potrafisz odroznic SPF, DKIM i DMARC. MOJ WYNIK: ____ / 1 pkt ---------------------------------------------------------------------- 7. ANALIZA NAGLOWKA E-MAIL Maksymalnie: 1 pkt ---------------------------------------------------------------------- DANY NAGLOWEK: From: faktury@firma.example Reply-To: payment@billing.example Return-Path: bounce@mailer.example SPF: pass dla mailer.example DKIM: pass dla mailer.example DMARC: fail dla domeny widocznej w From, czyli firma.example DLACZEGO SPF I DKIM MOGA BYC PASS, A DMARC FAIL: SPF i DKIM uwierzytelnily domene mailer.example. Uzytkownik widzi jednak: firma.example DMARC sprawdza zgodnosc/alignment domen uwierzytelnionych przez SPF/DKIM z domena widoczna w From. Tutaj alignment nie zostal spelniony. DODATKOWY SYGNAL: Reply-To prowadzi do innej domeny billing.example. PRZYZNAJ SOBIE: 1 pkt - poprawnie wskazales wszystkie domeny, - rozumiesz DMARC alignment, - zauwazyles Reply-To, - potrafisz wyjasnic jednoczesne SPF=pass, DKIM=pass i DMARC=fail. 0,5 pkt - poprawnie znalazles wiekszosc danych, ale alignment nie jest jeszcze jasny. 0 pkt - uznales SPF=pass za dowod, ze widoczne pole From jest autentyczne. MOJ WYNIK: ____ / 1 pkt ====================================================================== DZIEN 4 - ODPOWIEDZI ====================================================================== ---------------------------------------------------------------------- 8. OSINT, WHOIS/RDAP I CERTIFICATE TRANSPARENCY Maksymalnie: 1 pkt ---------------------------------------------------------------------- POPRAWNE WNIOSKI: WHOIS/RDAP moze ujawniac m.in.: - rejestratora, - daty, - nameservery, - statusy domeny. Nie wszystkie dane wlasciciela musza byc publiczne. Certificate Transparency: Publiczne logi zawieraja informacje o wydawanych certyfikatach. Moga ujawniac: - nazwy hostow, - subdomeny, - historyczne nazwy uslug. Wpis w CT: NIE oznacza, ze host nadal dziala. NIE oznacza, ze nazwa jest nadal uzywana. NIE jest gwarantowanym, pelnym inwentarzem calej organizacji. Wyszukiwarka i archiwum: site: - ograniczenie wynikow do domeny. filetype:pdf - dokumenty PDF. "fraza" - wyszukiwanie dokladnej frazy. Internet Archive: Moze zachowywac historyczne kopie stron. PRZYZNAJ SOBIE: 1 pkt - wykonales RDAP/WHOIS, - znalazles informacje w CT, - znalazles publiczny dokument lub dane przez operatory, - sprawdziles archiwalna wersje strony, - potrafisz wyjasnic ograniczenia tych danych. 0,5 pkt - wykonales tylko czesc OSINT. 0 pkt - traktujesz dane historyczne jako pewny opis aktualnej infrastruktury. MOJ WYNIK: ____ / 1 pkt ---------------------------------------------------------------------- 9. SECURITY HEADERS Maksymalnie: 1 pkt ---------------------------------------------------------------------- Security Headers sprawdza wybrane naglowki odpowiedzi HTTP. Przyklady: Strict-Transport-Security / HSTS - wymusza korzystanie z HTTPS przez przegladarke zgodnie z polityka. Content-Security-Policy / CSP - ogranicza zrodla, z ktorych przegladarka moze ladowac zasoby. X-Content-Type-Options - ogranicza MIME sniffing. X-Frame-Options - ogranicza osadzanie strony w ramkach i pomaga przeciw clickjackingowi. Referrer-Policy - kontroluje informacje przekazywane w naglowku Referer. Permissions-Policy - kontroluje dostep strony do wybranych funkcji przegladarki. NAJWAZNIEJSZY WNIOSEK: A+ nie oznacza: "strona nie ma podatnosci". F nie oznacza: "strona zostala zhakowana". Ocena dotyczy konfiguracji okreslonych naglowkow HTTP. PRZYZNAJ SOBIE: 1 pkt - wykonales test, - potrafisz wyjasnic minimum 4 naglowki, - rozumiesz ograniczenie oceny A-F. 0,5 pkt - wykonales test, ale nie potrafisz jeszcze interpretowac wiekszosci naglowkow. 0 pkt - traktujesz ocene jako pelny wynik bezpieczenstwa serwisu. MOJ WYNIK: ____ / 1 pkt ---------------------------------------------------------------------- 10. FINALNY MINI-AUDYT Maksymalnie: 1 pkt ---------------------------------------------------------------------- Nie ma jednego zestawu poprawnych wynikow, poniewaz domeny i konfiguracje zmieniaja sie w czasie. Oceniany jest PROCES. Poprawny mini-audyt powinien obejmowac: A. URL / tozsamosc domeny B. HTTPS / certyfikat C. VirusTotal D. Liste Ostrzezen CERT Polska E. DNS / Zonemaster F. poczte: MX, SPF, DKIM, DMARC G. Certificate Transparency H. Security Headers I. podstawowy OSINT J. wniosek koncowy DOBRY WNIOSEK: Nie brzmi: "Wszystko jest bezpieczne, bo VirusTotal pokazuje zero." Powinien brzmiec podobnie do: "Nie znaleziono jednoznacznych oznak naduzycia w sprawdzonych zrodlach. Konfiguracja DNS/poczty ma okreslone mocne i slabe strony. Wynik nie jest gwarancja braku podatnosci, poniewaz wykonano jedynie podstawowy, zewnetrzny audyt pasywny." STATUS: OK - brak istotnych nieprawidlowosci w badanym obszarze. UWAGA - znaleziono konfiguracje, brak lub niespojnosc wymagajaca analizy. RYZYKO - znaleziono istotny sygnal zagrozenia lub powazny problem konfiguracyjny. BRAK DANYCH - brak wystarczajacych informacji do oceny. PRZYZNAJ SOBIE: 1 pkt - wypelniles minimum 8 z 10 sekcji, - kazdy status ma krotkie uzasadnienie, - koncowa ocena opiera sie na kilku zrodlach, - wskazales ograniczenia audytu. 0,5 pkt - audyt jest niepelny, ale wykorzystales minimum 5 roznych narzedzi/zrodel i przedstawiles logiczny wniosek. 0 pkt - koncowy werdykt opiera sie na jednym narzedziu albo nie ma uzasadnienia. MOJ WYNIK: ____ / 1 pkt ====================================================================== ARKUSZ SAMOOCENY ====================================================================== DZIEN 1 1. Anatomia URL i typosquatting: ____ / 1 2. HTTPS, certyfikat i phishing: ____ / 1 SUMA DZIEN 1: ____ / 2 DZIEN 2 3. VirusTotal: ____ / 1 4. CERT Polska - Lista Ostrzezen: ____ / 1 SUMA DZIEN 2: ____ / 2 DZIEN 3 5. Zonemaster / DNS: ____ / 1 6. SPF / DKIM / DMARC: ____ / 1 7. Naglowki e-mail: ____ / 1 SUMA DZIEN 3: ____ / 3 DZIEN 4 8. OSINT / CT / archiwum: ____ / 1 9. Security Headers: ____ / 1 10. Finalny mini-audyt: ____ / 1 SUMA DZIEN 4: ____ / 3 ====================================================================== WYNIK KONCOWY ====================================================================== LACZNIE: ____ / 10 pkt PROWADZACEMU PODAJ TYLKO: ____ / 10 pkt ====================================================================== INTERPRETACJA DLA SIEBIE ====================================================================== 9-10 pkt Bardzo dobrze. Potrafie laczyc wyniki kilku narzedzi i uzasadniac wnioski. 7-8,5 pkt Dobrze. Rozumiem proces, ale pojedyncze elementy wymagaja jeszcze praktyki. 5-6,5 pkt Podstawy opanowane. Potrafie wykonac analize, ale interpretacja nie zawsze jest jeszcze pewna. 3-4,5 pkt Do powtorki. Znam czesc narzedzi, ale zbyt latwo opieram werdykt na pojedynczym wyniku. 0-2,5 pkt Warto ponownie wykonac cwiczenia i skupic sie na rozumieniu wynikow, a nie tylko na klikaniu w narzedzia. ====================================================================== TRZY PYTANIA TYLKO DLA SIEBIE ====================================================================== 1. Ktore narzedzie potrafie juz wykorzystac samodzielnie? ____________________________________________________________ 2. Ktory element audytu byl dla mnie najtrudniejszy? ____________________________________________________________ 3. Czy potrafie podac przyklad sytuacji, w ktorej dwa narzedzia daja rozne wyniki, ale oba wyniki moga byc prawidlowe? ____________________________________________________________ ====================================================================== KONIEC KLUCZA I SAMOOCENY ======================================================================