Kybernetická bezpečnost – rozcestník

Rozcestník kategorie: o čem předmět je, kdy se podle ŠVP učí, co si z něj určitě zapamatovat, kde je které téma a které maturitní okruhy pokrývá.

O předmětu

• Jak se chránit v kyberprostoru: pojmy (riziko, hrozba, zranitelnost), motivy útočníků, fáze a druhy útoků, kryptografie a certifikáty, správa identit a účtů, ochrana koncových zařízení.
• Ve 4. ročníku zabezpečení webových aplikací (SQL injection, XSS, CSRF), bezpečnost sítí z pohledu protokolů a síťových prvků, monitorování provozu, IPS a práce bezpečnostního dohledového centra (SOC).
• Útoky se zkoušejí jen v izolovaném cvičném prostředí (TryHackMe), nikdy na cizích systémech.
• Navazuje na operační systémy (účty, oprávnění, malware, zálohy), počítačové sítě (protokoly, firewall) a webové programování.

Ročníky a hodiny podle ŠVP

Plné znění výstupů je v přehledu ŠVP.

Co si určitě zapamatovat

• Hrozba = možná příčina škody (útočník, malware, živel), zranitelnost = slabina systému (neaktualizovaný software, slabé heslo), riziko = pravděpodobnost, že hrozba zranitelnost využije, krát dopad.
• Útok míří na důvěrnost (únik dat), integritu (neoprávněná změna) nebo dostupnost (znepřístupnění služby) – trojice CIA. Motivy útočníků: peníze, špionáž, hacktivismus, sabotáž a kybernetická válka, osobní důvody.
• Cyber Kill Chain: průzkum → příprava zbraně → doručení → exploitace → instalace → řízení a kontrola (C2) → naplnění cíle.
• Typy útoků: malware, DoS/DDoS (přetížení; DDoS z mnoha zdrojů, často z botnetu), phishing (podvodná zpráva lákající údaje), spoofing (podvržená IP, e-mail, DNS), code injection (SQL injection), supply chain, insider, DNS tunneling (data ukrytá v DNS dotazech), útoky přes IoT, sociální inženýrství.
• Kryptografie je obor, šifrování jedna z jeho technik. Symetrické – jeden sdílený klíč, rychlé (AES). Asymetrické – veřejný a soukromý klíč (RSA, založené na obtížnosti faktorizace). HTTPS asymetricky vymění jednorázový symetrický klíč a jím šifruje provoz.
• PKI: certifikační autorita ověří totožnost a podepíše certifikát (identita + veřejný klíč + platnost); prohlížeč věří kořenovým autoritám.
• Hash je jednosměrný otisk pevné délky; hesla se ukládají jako hash se solí (bcrypt, v PHP password_hash), nikdy čitelně.
• Identifikace („kdo jsi?“) → autentizace („opravdu jsi to ty?“ – co znáš, co máš, čím jsi; MFA kombinuje aspoň dva faktory) → autorizace („co smíš?“). Princip minimálních oprávnění – účet má jen práva nezbytná pro svou práci.
• Webové útoky: SQL injection (' OR '1'='1' --) – obrana parametrizované dotazy; XSS uložený (stored) a odražený (reflected) – obrana escapování výstupu a Content-Security-Policy; CSRF – obrana token a cookie SameSite. Nikdy nevěřit vstupu od uživatele.
• Síť: firewall filtruje podle adres, portů a protokolů se zásadou default deny; IDS útok jen hlásí, IPS ho v cestě provozu i blokuje (podle signatur); SIEM sbírá a koreluje logy; SOC = tým, který bezpečnost nepřetržitě hlídá.
• Nástroje: ping (dostupnost, ICMP), traceroute/tracert (cesta k cíli), nmap (otevřené porty a služby), Wireshark (zachycení a rozbor paketů).

Témata kategorie

• Základy kybernetické bezpečnosti – kyberprostor a jeho vrstvy, soukromí, triáda CIA, riziko, hrozba, zranitelnost, digitální stopa, koncové body
• Kybernetické útoky – Kill Chain, kategorie a typy útoků, SQL injection v praxi
• Základy kryptografie a šifrování – historické šifry, symetrické a asymetrické šifrování, RSA, PKI a certifikáty, hashovací funkce, digitální podpis
• Správa identit a řízení účtů – IAAA, autentizace a MFA, hashování hesel, správa identit, least privilege, práva ve Windows a Linuxu
• Zabezpečení sítí, aplikací a monitorování – XSS, SQL injection, CSRF, OWASP Top 10, protokol HTTP, protokoly a síťové prvky z pohledu bezpečnosti, monitorování, IPS, logy, SOC, TryHackMe

Související stránky v jiných kategoriích: malware, antiviry, firewall, hesla a jejich lámání, oprávnění ve Windows, SSH s klíčem, bezpečnost, správa a diagnostika sítě, DNS.

Maturitní okruhy

Kompletní seznam je v maturitních okruzích IT. Této kategorie se týkají okruhy 16–20:

Samostatný materiál zatím chybí k Diffie-Hellmanově výměně klíčů a ke statické a dynamické analýze malwaru.

Co je jen okrajové

• Úrovně analytiků SOC a podrobnosti SIEM, NetFlow – stačí vědět, co SOC a SIEM dělají.
• Doporučovací systémy a bublina filtrů – patří do ŠVP, ale maturitní okruhy je nezahrnují.
• Anonymizace (VPN, Tor) – stačí princip.
• Konkrétní nástroje TryHackMe (Burp Suite, přepínače nmapu) – k procvičování, ne k učení zpaměti.