de it fr

676 Sicherheit von Applikationen und Serverdiensten untersuchen und bewerten

Modul
Sicherheit von Applikationen und Serverdiensten untersuchen und bewerten
Kompetenz
Untersucht die Applikationen und Serverdienste in den Entwicklungs-, Test- und Betriebsumgebungen einer Organisation, bewertet deren Reifegrad bezüglich Informationssicherheit und empfiehlt Verbesserungsmassnahmen für die Applikations- und Serversicherheit.
Handlungsziele
1 Ermittelt die Server- und Applikationslandschaft einer Organisation und dokumentiert die Architektur in geeigneter Form.
  Handlungsnotwendige Kenntnisse:
1 Kennt die gebräuchlichen Anwendungsprotokolle in TCP/IP-Netzwerken (z.B. HTTP, Mailprotokolle, DHCP, DNS, Verzeichnisdienste, Dateitransferprotokolle, Netzwerkmanagementprotokolle).
2 Kennt die grundlegenden Architekturkonzepte in Netzwerken (Client-Server, Peer to Peer, Machine-to-Machine) und kann deren Merkmale und Relevanz für die Informationssicherheit erläutern.
3 Kennt unterschiedliche Cloudlösungen (z.B. Private Cloud, Public Cloud, Hybrid Cloud, Community Cloud) und Servicemodelle (IaaS, PaaS, SaaS) und kann deren Merkmale und Unterschiede für die Informationssicherheit erläutern.
4 Kennt Darstellungsformen zur Dokumentation von Server- und Applikationsarchitekturen (z.B. Schichtenmodell, Blockdiagramm, relevante UML-Strukturdiagramme).
 
2 Überprüft die Sicherheit der Server- und Applikationslandschaft oder Teilen davon mit geeigneten Methoden.
  Handlungsnotwendige Kenntnisse:
1 Kennt die Empfehlungen bezüglich Sicherheit und Tests von Webapplikationen aus dem de-facto Standard des Open Web Application Security Projects (OWASP) und dem Open Source Security Testing Methodology Manual (OSSTMM).
2 Kennt relevante Bedrohungen und Angriffsvektoren auf Server und Applikationen (z.B. Schadsoftware, fehlerhafte Konfiguration, DDoS-Attacken, Cross-Site-Scripting, Script-Injection, Session-Hijacking, DNS-Attacken).
3 Kennt den Unterschied zwischen Schwachstellentests (Vulnerability-Scan) und Penetrationstests (Pen Tests) und kann gebräuchliche Methoden und Werkzeuge zur Überprüfung der Server- und Applikationssicherheit benennen.
 
3 Bewertet die Sicherheit der Server- und Applikationslandschaft auf der Ebene der Prozesse und identifiziert mögliche Verbesserungen.
  Handlungsnotwendige Kenntnisse:
1 Kennt die sicherheitsrelevanten Anforderungen an die Trennung von Entwicklungs-, Test- und Betriebsumgebungen.
2 Kennt die sicherheitsrelevanten Anforderungen an die Administration von Serverdiensten und Applikationen und die Handhabung von Quellcode in Entwicklungsumgebungen (z.B. Zugangssteuerung und Schlüsselverwaltung).
3 Kennt die sicherheitsrelevanten Anforderungen an die Überwachung von Serverdiensten und Applikationen und die relevanten gesetzlichen oder regulatorischen Vorgaben (z.B. Ereignisprotokollierung, Datenschutz bei der Aufzeichnung sensibler Daten, Verhältnismässigkeit, Aufbewahrungsdauer der aufgezeichneten Daten).
4 Kennt die sicherheitsrelevanten Anforderungen an das Release-, Update- und End-of-Life-Management von Serverdiensten und Applikationen.
 
4 Bewertet die Sicherheit der Server- und Applikationslandschaft aus technischer Sicht und identifiziert mögliche Verbesserungen.
  Handlungsnotwendige Kenntnisse:
1 Kennt technische Massnahmen gegen Schadsoftware (z.B. Virenscanner, Antimalware-Lösungen) und gegen E-Mail-Spam oder Schadsoftware in E-Mails (z.B. White-, Black- und Greylisting auf Mailservern, Relay-Server, Einschränkungen bei E-Mail Anhängen, blockieren von Makros in Office-Dokumenten).
2 Kennt die Einsatzmöglichkeiten, Voraussetzungen und Grenzen von technischen Lösungen (Appliance) zur Erkennung von Angriffen (z.B. WAF, IDS, IPS, Honeypot, ATP) und von Security Information und Event Management Lösungen (SIEM).
3 Kennt technische Massnahmen zur Steuerung des Zugriffs auf Serverdienste, Applikationen und Entwicklungsumgebungen (z.B. ACL, Benutzerauthentifizierung, Mehrfaktor-Authentifizierung).
4 Kennt unterschiedliche Systeme zur Steuerung des physischen Zutritts zu Serverinfrastrukturen (z.B. Schlüssel, Badge, biometrische Systeme).
 
5 Bewertet die Server- und Applikationslandschaft in Bezug auf den Einsatz von kryptografischen Massnahmen und identifiziert mögliche Verbesserungen.
  Handlungsnotwendige Kenntnisse:
1 Kennt die Grundlagen der symmetrischen, asymmetrischen und hybriden Verschlüsselung und kann die Unterschiede erläutern.
2 Kennt die gebräuchlichen kryptografischen Verfahren (z.B. RSA, ECDHE, ECDSA, SHA, 3DES, AES) und deren typische Einsatzgebiete in Applikationen (z.B. Verschlüsselung von Dateien und Datenbanken).
3 Kennt das Verschlüsselungsprotokoll TLS für die sichere Datenübertragung und die gängigen Einsatzzwecke (z.B. HTTPS, SMTPS, SIPS, FTPS, SFTP, LDAPS).
4 Kennt den Zweck von Cipher Suiten beim Aufbau von sicheren Verbindungen und deren typische Anwendungsgebiete (z.B. HTTPS, SMTPS).
5 Kennt die gebräuchlichen Standards für die End-to-End-Verschlüsselung von E-Mails (z.B. PGP, GPG S/MIME).
 
6 Erarbeitet auf der Basis der identifizierten Schwachstellen einen Massnahmenkatalog für die Verbesserung der Server- und Applikationssicherheit, formuliert eine Empfehlung und präsentiert diese den Entscheidungsträgern.
  Handlungsnotwendige Kenntnisse:
1 Kennt die Inhalte und die Gliederung eines strukturierten Massnahmenkatalogs (z.B. Massnahme, Zeitbedarf, Zuständigkeit, Mehrwert, Kostenschätzung).
2 Kennt die Inhalte und die Gliederung einer guten Präsentation und kann den Einfluss relevanter Haltungen auf die Überzeugungsarbeit erläutern.
 
Kompetenzfeld
System Management
Objekt
Komplexe physikalische oder virtualisierte Serverlandschaft mit unterschiedlichen Applikationen und dem Fokus auf der Sitzungs-, Darstellungs- und Anwendungsschicht (OSI-Layer 5 bis 7).
Niveau
6
Voraussetzung
Systemsicherheit implementieren (182), Applikationssicherheit implementieren (183)
Anzahl Lektionen
40
Anerkennung
Eidg. Diplom Informatiker/in
Publiziert: 22.10.2018 08:31:43
Zu dieser Modulversion sind keine Leistungsbeurteilungsvorgaben vorhanden.
Zurück