Moduł oferowany także w ramach programów studiów:
Informacje ogólne:
Nazwa:
Wprowadzenie do inżynierii bezpieczeństwa
Tok studiów:
2019/2020
Kod:
IINF-1-806-n
Wydział:
Informatyki, Elektroniki i Telekomunikacji
Poziom studiów:
Studia I stopnia
Specjalność:
-
Kierunek:
Informatyka
Semestr:
8
Profil:
Ogólnoakademicki (A)
Język wykładowy:
Polski
Forma studiów:
Niestacjonarne
Strona www:
 
Prowadzący moduł:
dr inż. Faber Łukasz (faber@agh.edu.pl)
Treści programowe zapewniające uzyskanie efektów uczenia się dla modułu zajęć

Opis efektów uczenia się dla modułu zajęć
Kod MEU Student, który zaliczył moduł zajęć zna i rozumie/potrafi/jest gotów do Powiązania z KEU Sposób weryfikacji i oceny efektów uczenia się osiągniętych przez studenta w ramach poszczególnych form zajęć i dla całego modułu zajęć
Wiedza: zna i rozumie
M_W001 Posiada wiedzę dotyczącą współczesnych problemów związanych z bezpieczeństwem systemów informatycznych INF1A_W09, INF1A_W10, INF1A_W05 Aktywność na zajęciach
M_W002 Zna i rozumie podstawowe aspekty bezpieczeństwa systemów operacyjnych INF1A_W05 Wykonanie ćwiczeń laboratoryjnych
M_W003 Posiada wiedzę niezbędną do samodzielnego zaprojektowania, wdrożenia i audytu polityki bezpieczeństwa w przedsiębiorstwie INF1A_W09 Aktywność na zajęciach,
Wykonanie ćwiczeń laboratoryjnych
M_W004 Zna i rozumie podstawowe aspekty bezpieczeństwa infrastruktury sieciowej i aplikacji webowych INF1A_W03 Wykonanie ćwiczeń laboratoryjnych
Umiejętności: potrafi
M_U001 Potrafi przeprowadzić test penetracyjny bezpieczeństwa systemu informatycznego INF1A_U04, INF1A_U10 Wykonanie ćwiczeń laboratoryjnych
M_U002 Potrafi skonfigurować bezpieczne środowisko udostępniania usług sieciowych i webowych INF1A_U05, INF1A_U04, INF1A_U08 Wykonanie ćwiczeń laboratoryjnych
Kompetencje społeczne: jest gotów do
M_K001 Rozumie znaczenie i społeczną wagę problemów zapewniania bezpieczeństwa systemom informatycznym. INF1A_K02 Aktywność na zajęciach
Liczba godzin zajęć w ramach poszczególnych form zajęć:
SUMA (godz.)
Wykład
Ćwicz. aud
Ćwicz. lab
Ćw. proj.
Konw.
Zaj. sem.
Zaj. prakt
Zaj. terenowe
Zaj. warsztatowe
Prace kontr. przejść.
Lektorat
32 16 0 16 0 0 0 0 0 0 0 0
Matryca kierunkowych efektów uczenia się w odniesieniu do form zajęć i sposobu zaliczenia, które pozwalają na ich uzyskanie
Kod MEU Student, który zaliczył moduł zajęć zna i rozumie/potrafi/jest gotów do Forma zajęć dydaktycznych
Wykład
Ćwicz. aud
Ćwicz. lab
Ćw. proj.
Konw.
Zaj. sem.
Zaj. prakt
Zaj. terenowe
Zaj. warsztatowe
Prace kontr. przejść.
Lektorat
Wiedza
M_W001 Posiada wiedzę dotyczącą współczesnych problemów związanych z bezpieczeństwem systemów informatycznych + - - - - - - - - - -
M_W002 Zna i rozumie podstawowe aspekty bezpieczeństwa systemów operacyjnych + - + - - - - - - - -
M_W003 Posiada wiedzę niezbędną do samodzielnego zaprojektowania, wdrożenia i audytu polityki bezpieczeństwa w przedsiębiorstwie + - + - - - - - - - -
M_W004 Zna i rozumie podstawowe aspekty bezpieczeństwa infrastruktury sieciowej i aplikacji webowych + - + - - - - - - - -
Umiejętności
M_U001 Potrafi przeprowadzić test penetracyjny bezpieczeństwa systemu informatycznego - - + - - - - - - - -
M_U002 Potrafi skonfigurować bezpieczne środowisko udostępniania usług sieciowych i webowych - - + - - - - - - - -
Kompetencje społeczne
M_K001 Rozumie znaczenie i społeczną wagę problemów zapewniania bezpieczeństwa systemom informatycznym. + - - - - - - - - - -
Nakład pracy studenta (bilans punktów ECTS)
Forma aktywności studenta Obciążenie studenta
Sumaryczne obciążenie pracą studenta 125 godz
Punkty ECTS za moduł 5 ECTS
Udział w zajęciach dydaktycznych/praktyka 32 godz
Przygotowanie do zajęć 30 godz
przygotowanie projektu, prezentacji, pracy pisemnej, sprawozdania 30 godz
Samodzielne studiowanie tematyki zajęć 28 godz
Dodatkowe godziny kontaktowe 5 godz
Szczegółowe treści kształcenia w ramach poszczególnych form zajęć (szczegółowy program wykładów i pozostałych zajęć)
Wykład (16h):

  1. Czym jest bezpieczeństwo?
    Podstawowe pojęcia i problemy. CIA triad.
  2. Testy penetracyjne..
    Pre-engagement interactions. Intelligence gathering. OSINT. Infiltracja. Footprinting/Fingerprinting. Identyfikacja mechanizmów ochrony. Nmap. Thread modeling. Vulnerability analysis. CVE i CVSS. Exploitation. Metasploit Framework. Post-exploitation. Reporting.
  3. Bezpieczeństwo infrastruktury i protokołów sieciowych.
    Podatności protokołów i urządzeń sieciowych. Ataki na sieci lokalne. Ataki globalne. Wyszukiwanie i skanowanie hostów. Ochrona przed atakami sieciowymi. Filtrowanie ruchu i firewalle. Tunele VPN i ipsec. Systemy IDS i IPS. DNSSEC. Szyfrowany DNS.
  4. Transport Layer Security.
    Public Key Infrastructure. HTTPS. Przykłady ataków. DTLS.
  5. Bezpieczeństwo aplikacji WWW.
    Anatomia aplikacji WWW. Problemy bezpieczeństwa aplikacji WWW. Wstrzykiwanie / Injections. XSS. CSRF. Path traversal. Niezabezpieczone API. Problemy z uwierzytelnianiem. Brak sprawdzania danych wejściowych. Enumeracja zasobów i mapowanie aplikacji. Przykłady katastrofalnych podatności. Zabezpieczenia aplikacji webowych. OWASP. Common Weakness Enumeration.
  6. Bezpieczeństwo systemów operacyjnych.
    Problemy bezpieczeństwa systemów operacyjnych. Mechanizmy ochrony systemów operacyjnych. Podatne komponenty systemów operacyjnych. Sandboxing. Seccomp. Wirtualizacja. Cgroups. Namespaces. Konteneryzacja
  7. Zarządzanie identyfikacją i dostępem.
    Najważniejsze pojęcia. Identyfikacja i uwierzytelnianie. Hasła. Autoryzacja (kontrola dostępu). Modele kontroli dostępu. Dostęp do plików. LSM i SELinux. Centralizacja, Single Sign-On i federacja. Protokoły i API uwierzytelniania
  8. Sprzętowe wspomaganie i ochrona przed nieautoryzowanym dostępem.
    Smartcards i HSM. PKCS #11 – Cryptographic Token Interface. Secure boot. Trusted platform module. YubiKey
  9. Złośliwe oprogramowanie.
  10. Podatności oprogramowania.
    Buffer overflow. Arithmetic overflow. Unchecked Return Value. Brak blokowania. Race conditions.
  11. Elementy bezpieczeństwa fizycznego.

Ćwiczenia laboratoryjne (16h):

  1. Wprowadzenie do testów penetracyjnych – skanowanie sieci. [4 godz.]
  2. Wprowadzenie do testów penetracyjnych – systemy operacyjne, usługi sieciowe. [4 godz.]
  3. Wprowadzenie do testów penetracyjnych – aplikacje typu web. [4 godz.]
  4. Sprzętowe wsparcie kryptografii i bezpieczeństwa: TPM, HSM, UEFI. [2 godz.]

Pozostałe informacje
Metody i techniki kształcenia:
  • Wykład: Treści prezentowane na wykładzie są przekazywane w formie prezentacji multimedialnej w połączeniu z klasycznym wykładem tablicowym wzbogaconymi o pokazy odnoszące się do prezentowanych zagadnień.
  • Ćwiczenia laboratoryjne: W trakcie zajęć laboratoryjnych studenci samodzielnie rozwiązują zadany problem praktyczny, dobierając odpowiednie narzędzia. Prowadzący stymuluje grupę do refleksji nad problemem, tak by otrzymane wyniki miały wysoką wartość merytoryczną.
Warunki i sposób zaliczenia poszczególnych form zajęć, w tym zasady zaliczeń poprawkowych, a także warunki dopuszczenia do egzaminu:

Każdy temat laboratorium oceniane jest w systemie punktowym.
Ocena z laboratorium jest ilorazem sumy punktów za poszczególne zajęcia laboratoryjne przez maksymalną sumaryczną ilość punktów. Następnie następuje konwersja wartości procentowej do oceny wg regulaminu studiów.

Wymagane jest uzyskanie ponad 50% możliwych punktów za każde zajęcia laboratoryjne.

Zasady udziału w zajęciach:
  • Wykład:
    – Obecność obowiązkowa: Nie
    – Zasady udziału w zajęciach: Studenci uczestniczą w zajęciach poznając kolejne treści nauczania zgodnie z syllabusem przedmiotu. Studenci winni na bieżąco zadawać pytania i wyjaśniać wątpliwości. Rejestracja audiowizualna wykładu wymaga zgody prowadzącego.
  • Ćwiczenia laboratoryjne:
    – Obecność obowiązkowa: Tak
    – Zasady udziału w zajęciach: Studenci wykonują ćwiczenia laboratoryjne zgodnie z materiałami udostępnionymi przez prowadzącego. Student jest zobowiązany do przygotowania się w przedmiocie wykonywanego ćwiczenia, co może zostać zweryfikowane kolokwium w formie ustnej lub pisemnej. Zaliczenie zajęć odbywa się na podstawie zaprezentowania rozwiązania postawionego problemu.
Sposób obliczania oceny końcowej:

Ocena końcowa z przedmiotu jest równa ocenie z laboratorium

Sposób i tryb wyrównywania zaległości powstałych wskutek nieobecności studenta na zajęciach:

Jedną nieobecność usprawiedliwioną student może odrobić w uzgodnionym z prowadzącym czasie.
Nieobecności nieusprawiedliwione skutkują niezaliczeniem zajęć.

Wymagania wstępne i dodatkowe, z uwzględnieniem sekwencyjności modułów :

Zalecane jest uczestnictwo w przedmiocie Kryptografia.

Zalecana literatura i pomoce naukowe:
  1. Ross Anderson: Security Engineering, 2nd edition; Wiley, 2008
  2. Jason Luttgens, Matthew Pepe, Kevin Mandia: Incydenty bezpieczeństwa. Metody reagowania w informatyce śledczej; Helion, 2016
  3. Joseph Muniz, Aamir Lakhani: Kali Linux. Testy penetracyjne; Helion, 2014

Dodatkowe informacje o literaturze, zwłaszcza o artykułach dotyczących aktualnych wydarzeń, podawane są przez prowadzącego na wykładzie i w treści instrukcji do laboratoriów.

Publikacje naukowe osób prowadzących zajęcia związane z tematyką modułu:

Nie podano dodatkowych publikacji

Informacje dodatkowe:

Brak