IN2120

Informasjonssikkerhet

beskyttelse av konfidensialitet, integritet og tilgjengelighet til informasjon

Cybersikkerhet

vern av systemer, nettverk og tjenester som er koblet til internett og andre digitale nettverk

CIA-triaden

tre grunnpilarer i informasjonssikkerhet: konfidensialitet, integritet og tilgjengelighet

Trussel

en potensiell årsak til en uønsket hendelse som kan skade verdier

Sårbarhet

en svakhet som kan utnyttes av en trusselaktør

Risiko

produktet av sannsynlighet og konsekvens for en uønsket hendelse

Konfidensialitet

at bare autoriserte får tilgang til informasjon

Integritet

at informasjon ikke er utilsiktet eller uautorisert endret

Tilgjengelighet

at informasjon og tjenester er tilgjengelige når de trengs

Ansvarlighet

at handlinger kan spores til en identitet

Symmetrisk kryptering

kryptering der samme nøkkel brukes til både kryptering og dekryptering

Asymmetrisk kryptering

kryptering med nøkkelpar (offentlig og privat nøkkel)

Hash-funksjon

énveis funksjon som mapper data til en fast lengde, brukt for integritetskontroll

Digitale signaturer

bruk av privat nøkkel til å signere data og offentlig nøkkel til å verifisere, gir integritet, autentisitet og ofte ikke-benekting

Nøkkelutveksling

metode for å etablere en delt hemmelighet mellom parter

Integritetsbeskyttelse (MAC)

kryptografisk kontrollsum som avslører om data er endret

Ikke-benekting

egenskap som gjør at avsender ikke kan nekte for å ha sendt en melding i ettertid

Brute force-angrep

systematisk utprøving av alle mulige nøkler eller passord

PKI

infrastruktur av sertifikater, sertifikatutstedere, nøkler og prosedyrer for å håndtere offentlige nøkler

Sertifikat

digitalt dokument som binder en offentlig nøkkel til en identitet, signert av en CA

CA

betrodd tredjepart som utsteder, fornyer og tilbakekaller sertifikater

CRL

liste over sertifikater som er tilbakekalt

OCSP

protokoll for å sjekke om et sertifikat er gyldig eller tilbakekalt i sanntid

Root CA

øverste nivå i en sertifikatkjede som hele tilliten bygger på

Intermediate CA

mellomliggende sertifikatutsteder som utsteder sertifikater på vegne av en root CA

Sertifikatkjede

kjede av sertifikater fra endesertifikat opp til en rot det stoles på

Key escrow / nøkkeldeponering

ordning der nøkler lagres hos en tredjepart for senere gjenoppretting

Trusselaktør

person eller gruppe som kan gjennomføre et angrep

Angrepsvektor

vei inn i systemet som angriperen bruker

Skadevare

programvare laget for å skade, utnytte eller ta kontroll over systemer

Phishing

sosial manipulering for å lure brukere til å gi fra seg sensitiv informasjon eller gjøre skadelige handlinger

Spear-phishing

målrettet phishing mot bestemte personer eller organisasjoner

Ransomware

skadevare som krypterer filer og krever løsepenger for å dekryptere dem

Botnett

nettverk av kompromitterte maskiner som fjernstyres samlet

Zero-day-sårbarhet

sårbarhet som ikke er offentlig kjent og som mangler patch

Penetrasjonstesting

kontrollert etisk hacking for å finne sårbarheter før angripere gjør det

Reconnaissance

innsamling av informasjon om mål før et angrep

Exploitation

selve utnyttelsen av en sårbarhet for å få tilgang eller økte rettigheter

Privilege escalation

å øke rettigheter fra lavt nivå til høyere nivå (for eksempel fra vanlig bruker til administrator)

Post-exploitation

aktivitet etter at angriper har fått tilgang, for eksempel datauthenting eller videre spredning

Lateral movement

bevegelse fra én kompromittert maskin til andre i samme nettverk

Red teaming

helhetlig test av organisasjonens evne til å oppdage og respondere på realistiske angrep

Sikkerhetsmekanismer i operativsystemer

mekanismer som tilgangskontroll, prosessisolasjon og minnebeskyttelse

Sikkerhetsdomener

logiske soner der ressurser med likt tillitsnivå grupperes for å begrense skade

Fysisk sikkerhet

tiltak for å beskytte bygg, rom og utstyr mot uautorisert tilgang og skade

Least privilege

prinsipp om at brukere og prosesser kun skal ha minimale nødvendige rettigheter

Defense in depth

flere uavhengige lag med sikkerhetstiltak for å tåle at ett lag svikter

Hardening

redusere angrepsflaten ved å fjerne unødvendige tjenester, kontoer og standardinnstillinger

Styringssystem for informasjonssikkerhet (ISMS)

helhetlig system for å styre, overvåke og forbedre informasjonssikkerhet

Risikostyring

kontinuerlig prosess for å identifisere, analysere, evaluere og håndtere risiko

ISO/IEC 27001

internasjonal standard som stiller krav til et ISMS

Tiltak

konkrete sikkerhetstiltak som velges basert på risiko

Trusselvurdering

vurdering av hvilke trusler som er relevante og hvor sannsynlige de er

Sannsynlighet og konsekvens

to hoveddimensjoner som brukes til å vurdere risiko

Risikoaksept

å akseptere en risiko uten å gjennomføre ekstra tiltak

Risikoreduserende tiltak

tiltak som reduserer sannsynlighet eller konsekvens for uønskede hendelser

Autentisering

prosess for å verifisere at noen er den de utgir seg for å være

Autorisasjon

prosess for å avgjøre hvilke handlinger og ressurser en bruker har lov til å få tilgang til

IAM

systemer og prosesser for å håndtere identiteter og tilganger gjennom hele livssyklusen

Brannmur

komponent som filtrerer nettverkstrafikk basert på regler

VPN

kryptert tunnel gjennom et usikkert nettverk

MFA

autentisering med to eller flere uavhengige faktorer

Single Sign-On

løsning der brukere logger inn én gang og får tilgang til flere systemer

Zero Trust

tilnærming der ingen enheter eller brukere stoles på kun fordi de er «på innsiden» av nettverket

Segmentering

oppdeling av nettverk i soner for å begrense spredning ved innbrudd

Cyberoperasjon

planlagt aktivitet i cyberdomenet for å oppnå militære, politiske eller andre mål

Cyberkrigføring

bruk av cyberoperasjoner som del av væpnet konflikt

CTI

strukturert etterretning om trusler, indikatorer og TTP-er som kan brukes til å oppdage og stoppe angrep

Cybervåpen

verktøy og metoder for spionasje eller sabotasje i cyberdomenet, ofte basert på utnyttelse av sårbarheter og skadevare

Cyberavskrekking

strategi der en stat signaliserer evne og vilje til å gjengjelde cyberangrep for å avskrekke motparten

Leveransekjedeangrep

angrep der en leverandør kompromitteres for å ramme kunder via varer eller tjenester

Innebygd sikkerhet

prinsipp der sikkerhet bygges inn fra starten av i design og utvikling

Supply chain-angrep

angrep som utnytter tredjepartsleverandører eller programvarekjeden for å nå sluttmålet

ICS/SCADA

industrielle kontrollsystemer som styrer fysiske prosesser og ofte har svak sikkerhet

Safety vs security

safety handler om å forhindre ulykker og utilsiktet skade, security om å beskytte mot bevisste angrep

Passnøkkel

phishing-resistent autentisering med enhetsbundet nøkkel i stedet for passord, knyttet til et spesifikt domene