Ciele
- Organizácia predmetu
- Rozbor reálneho bezpečnostného incidentu
- Štyri princípy na konkrétnom softvéri
Úvod
Cvičenie nadväzuje na prednášku týždňa 2 (Úvod do softvérovej bezpečnosti).
Postup
Krok 1: Organizácia predmetu
Úloha 1.1
Oboznámte sa so systémom hodnotenia predmetu: 10 týždenných modulových testov po 1 bode (test na látku týždňa sa otvára na Moodle v pondelok nasledujúceho týždňa, zatvára v nedeľu; viac ako 3 nevyplnené testy = 0 b za testy), 2 praktické zadania po 15 bodoch, spolu 40 bodov za semester + 60 bodov skúška.
Krok 2: Rozbor reálneho bezpečnostného incidentu
Úloha 2.1
Vo dvojiciach si vyberte jeden verejne zdokumentovaný bezpečnostný incident (napríklad únik dát spoločnosti Equifax v roku 2017, Log4Shell v roku 2021 alebo útok na Colonial Pipeline v roku 2021). Zistite, aká konkrétna technická príčina ho umožnila, ako dlho zostal nepovšimnutý a aké mal následky. Výsledok zhrňte do troch viet.
Poznámka
Sústreďte sa na príčinu, nie na priebeh útoku. Pri väčšine veľkých incidentov je príčinou obyčajná zanedbaná vec, nie nová a sofistikovaná technika.
Krok 3: Štyri princípy na konkrétnom softvéri
Úloha 3.1
Vyberte si softvér, ktorý sami denne používate, a pre každý zo štyroch princípov softvérovej bezpečnosti uveďte jeden konkrétny príklad toho, ako sa daný princíp v tomto softvéri prejavuje alebo naopak porušuje.
Záver
Zhrňte s vyučujúcim kľúčové poznatky cvičenia a otvorte priestor na otázky.
Doplňujúce úlohy
Úloha A.1
Nájdite jeden verejne známy bezpečnostný incident a stručne opíšte, ktorý z jeho dôsledkov (produktivita, prestíž, dôvera, financie) považujete za najzávažnejší a prečo.
Úloha A.2
Porovnajte, koľko by stálo odstránenie tej istej chyby pri revízii kódu pred nasadením a koľko po tom, ako ju zneužije útočník. Uveďte aspoň tri nákladové položky, ktoré v druhom prípade pribudnú.