| Abstract | Sigurnost informacija postaje sve važniji dio poslovanja tvrtki zbog izloženosti njihovih informacijskih sustava rastućoj količini napada. Radi njihove količine, podatci se moraju pohranjivati u digitalnom obliku, a zbog potrebe za dostupnosti, postoji prijetnja da će napadač podatcima pristupiti, promijeniti ih ili ih učiniti nedostupnima za ovlaštene korisnike. Kao i prije informatizacije poslovanja, banke su i sada privlačna meta zbog velikih količina informacija, uključujući mogućnost prijenosa novca u većim količinama nego što je bilo moguće fizičkim pljačkama. Djelatnici pristupaju internim aplikacijama s više lokacija, uz središnju obradu i pohranu podataka, dok se dio poslovanja elektronički izlaže klijentima. Interne aplikacije djeluju nad većim skupom podataka i imaju definirana veća prava nego vanjske, no izloženim aplikacijama pristupa veći broj korisnika te potencijalno i napadača. Cilj rada je analizirati i usporediti arhitekture, sigurnosne zahtjeve, prijetnje i napade na aplikacije u distribuiranim sustavima i aplikacije za elektroničko poslovanje, kako bi se ukazalo na dijeljenje i specifične elemente. Usporedba tih elemenata je posebno zanimljiva u slučaju kada obje aplikacije dijele poslovnu logiku i podatke, te je rad usmjeriti na taj slučaj. Analiza aplikacija je izvedena na primjeru sustava za platni promet i internetskog bankarstva. U radu su prvo definirani osnovni sigurnosni zahtjevi – autentifikacija, autorizacija, povjerljivost, cjelovitost, raspoloživost, neporecivost i odgovornost. S obzirom na aplikacije koje su analizirane, dane su i osnovne informacije o internom sustavu banke. Zatim je definiran aplikacijski okvir kojim su razvijene interne aplikacije, te je predstavljen pristup analizi aplikaciji i modeliranju prijetnji nad njima. Temeljni dio rada čine analize aplikacija u distribuiranim sustavima i aplikacija za elektroničko poslovanje, predstavljenih aplikacijom za platni promet i internetskim bankarstvom, te njihova usporedba. Zajedničke prijetnje proizlaze iz oslanjanja na zajedničku infrastrukturu. Uzrok prijetnji aplikacijama u distribuiranim sustavima su poslovni procesi koji su ključni dio poslovanja tvrtke te korisnici koji mogu imati pristup dijelovima sustava van aplikacije. U slučaju aplikacija za elektroničko poslovanje, prijetnje proizlaze iz računala i komunikacijskih kanala kojima korisnik pristupa sustavu, a koji nisu pod kontrolom tvrtke. Slijeđenje sigurnosnih standarda i preporuka te stalno praćenje informacijskog sustava i svih njegovih elemenata i korisnika je nužano, ali ne i dovoljno. U sve većem i brzo mijenjajućem digitalnom svijetu, napadači imaju sve više meta i dovoljan im je samo jedan propust za proboj sustava. Informacije o napadima, kako tehničkoj izvedbi, tako i ciljevima, su ključne za obranu, no žrtve napada ih često taje, omogućujući daljnje napade istim ili sličnim tehnikama na druge mete. Za postizanje informacijske sigurnosti potrebna je pravovremena i adekvatna razmjena informacija među sudionicima digitalnog poslovanja, pogotovo onima koji pripadaju istom poslovnom sektoru, jer će imati slične procese i biti meta istim napadačima. |
| Abstract (english) | As a result of the exposure of companies’ information systems to a growing amount of attacks, information security is becoming an increasingly important business element. Considering the volume of the data, it has to be stored digitally, and since it needs to be accessible it is exposed to the threat of an attacker accessing the data, modifying it or making it unavailable to the authorized users. As before, banks are still lucrative targets due to the large amounts of information they collect and the possibility to transfer larger amount of funds then in a physical heist. Employees access internal applications from multiple locations, with central data processing and storage, while the company exposes a part of its business to customers. Internal applications affect larger data sets and have more permissive rights than external facing ones, but exposed applications are open to more users and attackers. Goal of the thesis is the analysis and comparison of architecture, security requirements, threats and attacks against applications in distributed system and applications for electronic commerce, to highlight shared and individual elements. Case of special interest, which we’ll focus on, is a comparison of elements when both applications share business logic and data. Analysis of the applications is performed on an example of a payment system and online banking. In the thesis we defined elementary security requirements – authentication, authorization, confidentiality, integrity, accountability, availability and non-repudiation. Considering the application that will be analyzed, we provided basic information about the bank’s internal system. We proceeded to define framework used for development of internal application, and outline the approaches to application analysis and modeling of their threats. The main part of the thesis consists of analysis of applications in distributed systems and applications for electronic commerce, represented by application for payment systems and online banking, and their comparison. Common threats arise from the shared infrastructure. Threats to the application in distributed systems are rooted in their processes, which are a critical part of the business activity, and users who might have access to parts of the system outside of the application. In case of electronic commerce applications, threats arise from computers and channels users use to access the system, which aren’t under company’s control. Adhering to security standards and best practices as well as continual monitoring of the information system and its parts and users is a necessary, but not sufficient. In growing and fast changing digital world, attackers have more and more targets and one lapse is enough to breach a system. Information regarding attacks, both their approach and their goals, are crucial for mounting defenses, but victims often keep them private, allowing further attacks on other targets. Timely and suitable information exchange between parties in digital conduct is required to achieve information security. This is especially important for parties within a certain sector, as they share processes and are targeted by the same attackers. |
