• Save
Technology Risk Management of Web Applications — A Case Study
Upcoming SlideShare
Loading in...5
×
 

Technology Risk Management of Web Applications — A Case Study

on

  • 1,497 views

 

Statistics

Views

Total Views
1,497
Views on SlideShare
1,381
Embed Views
116

Actions

Likes
1
Downloads
0
Comments
0

2 Embeds 116

http://sobiegraj.com 115
http://www.slideshare.net 1

Accessibility

Categories

Upload Details

Uploaded via as Microsoft PowerPoint

Usage Rights

© All Rights Reserved

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Processing…
Post Comment
Edit your comment

Technology Risk Management of Web Applications — A Case Study Technology Risk Management of Web Applications — A Case Study Presentation Transcript

  • Zarządzanie ryzykiem technologicznym aplikacji webowych Studium przypadku Grill IT Wrocław, 12 października 2007 Michał Sobiegraj, CISSP
  • CzyToDziała
      • Usługa podobna do CzyToDziala.pl
    • Przypadek jest fikcyjny!
    /31
  • Po co zarządzać ryzykiem?
    • Koncentrujemy się na dostępności
      • Ile jest niezależnych serwerów?
      • Jak wygląda dystrybucja geograficzna?
      • Ile jest niezależnych łącz?
      • Niezależne zasilanie?
      • Serwery DNS?
      • Backup?
      • Dlaczego?
    /31
  • Zarządzanie ryzykiem technologicznym aplikacji webowych
    • Formuły
      • Spodziewana strata
      • Bilans kosztów/zysków
    • Aktywa
    • Zagrożenia
    • Podatności
    • Środki zaradcze
    • Bilans kosztów/zysków
    • Pytania
    /31
  • Spodziewana strata
    • SLE (Single Loss Expectancy) – przewidywana wartość pojedynczej straty
          • AV (Asset Value) – wartość aktywa
          • EF (Exposure Factor) – część AV, która zostanie utracona podczas pojedynczego incydentu
    • ALE (Annualised Loss Expectancy)
          • ARO (Annual Rate of Occurance) – ilość wystąpień na rok
    /31
  • Bilans kosztów/zysków
    • ROSI (Return On Security Investment)
        • ALE (Annualised Loss Expectancy) – Przewidywana wartość strat w ciągu roku
        • ALE SG – Przewidywana wartość strat w ciągu roku przy zastosowaniu środków zaradczych (Safe Guards)
    0 /31
  • Zarządzanie ryzykiem technologicznym aplikacji webowych
    • Formuły
    • Aktywa
      • Identyfikacja
      • Właściciel biznesowy
      • Wartość
    • Zagrożenia
    • Podatności
    • Środki zaradcze
    • Bilans kosztów/zysków
    • Pytania
    /31
  • Aktywa (1) – Identyfikacja
    • Często mapowane z procesu biznesowego
      • Szczegółowość zależy od bilansu kosztów/zysków
      • System testowania dostępności
      • System wysyłania alarmów
        • Podsystem wysyłania maili
        • Podsystem wysyłania SMSów
      • System serwowania raportów
      • System do fakturowania
    /31
  • Aktywa (2) – Właściciel biznesowy
    • Odpowiedzialny za aktywa
      • Odbiorca analizy ryzyka
      • Ponosi koszty związane z aktywem
    • Małe przedsięwzięcia
      • Zwykle przedsiębiorca
      • Być może delegowana osoba
      • Przedsiębiorca i tak jest ostatecznie odpowiedzialny
      • ?
    /31
  • Aktywa (3) – Wartość (1)
    • Czyli?
      • Ile będzie kosztowało odtworzenie systemu?
      • Ile będzie kosztować odtworzenie utraconych danych?
      • Ile będzie kosztować niedostępność systemu?
      • Ile będzie kosztować niedostępność danych?
      • Ile konkurencja zyska na niedostępności?
      • Ile będzie kosztować utrata reputacji?
      • SLA z naszymi klientami
      • AV
    /31
  • Aktywa (3) – Wartość (2)
    • Kwantyfikacja
      • Wartości monetarne
      • 1/2/3, etc
    • Wyczucie ;-)
    • Algorytm
      • Dostosowany do konkretnych warunków
      • Skomplikowanie zależy od bilansów kosztów/zysków
    • Spójna!
    /31
  • Aktywa (3) – Wartość (3)
      • System testowania dostępności
        • Odtworzenie systemu
          • Serwery: 20.000PLN
          • Oprogramowanie i dane: 20.000PLN
        • Kary umowne wynikające z SLA: 40.000PLN
        • Utrata reputacji (chyba, że się nikt nie zorientuje ;-) : 20.000PLN
        • AV: 100.000PLN
      • System wysyłania alarmów
        • Jak wyżej – główny system
        • AV: 100.000PLN
    /31
  • Aktywa (3) – Wartość (4)
      • System serwowania raportów
        • Odtworzenie systemu
          • Serwery
          • Oprogramowanie
        • Niedostępność danych w czasie awarii
        • Kary umowne wynikające z SLA
        • Utrata reputacji
        • Całkowita utrata danych
        • AV: 20.000 PLN
      • System do fakturowania
        • Odtworzenie systemu
        • Odtworzenie danych z kopii papierowych
        • AV: 3.000 PLN
    /31
  • Zarządzanie ryzykiem technologicznym aplikacji webowych
    • Formuły
    • Aktywa
    • Zagrożenia
      • Identyfikacja i ocena
    • Podatności
    • Środki zaradcze
    • Bilans kosztów/zysków
    • Pytania
    /31
  • Zagrożenia (1)
    • Spowodowane przez człowieka
      • Atak
        • Z zewnątrz
        • Od wewnątrz
        • exploity, bomba, etc.
      • Błąd
    • Techniczne
      • Utrata zasilania
      • Uszkodzenie serwera
      • Uszkodzenie dysku
      • ...
      • Naturalne – Mogą skutkować zagrożeniami technicznymi
      • Huragan
      • Powódź
      • ...
    /31
  • Zagrożenia (2) – Identyfikacja i ocena
    • Dla każdego zidentyfikowanego aktywa
    • Czy zagrożenie ma zastosowanie (Applicability)
      • Np. pojawienie się Tsunami w Polsce jest dość mało prawdopodobne
    • Prawdopodobieństwo
      • Ile razy na rok? ( ARO )
      • Z danych statystycznych
      • Z SLA z dostarczycielem usługi, etc.
    /31
  • Zagrożenia (3)
    • System testowania dostępności
      • Utrata zasilania: ARO == 3
      • Uszkodzenie serwera: ARO == 1
      • Uszkodzenie dysku: ARO == 1/3
    • System serwowania raportów
      • Utrata zasilania: ARO == 3
      • Uszkodzenie serwera: ARO == 2
      • Uszkodzenie dysku: ARO == 1
    /31
  • Zarządzanie ryzykiem technologicznym aplikacji webowych
    • Formuły
    • Aktywa
    • Zagrożenia
    • Podatności
      • Rodzaje
      • EF
    • Środki zaradcze
    • Bilans kosztów/zysków
    • Pytania
    /31
  • Podatności (1) – Rodzaje (1)
    • Podatności na atak
      • Szczególnie istotne w aplikacjach webowych
      • SQL Injection, XSS, XSRF, ...
      • Wymaga specjalistycznej wiedzy
      • Ograniczenie problemu: frameworks
        • Redukcja przestrzeni podatnej na błędy
        • Bugtraq
        • Exploity 0-day
    /31
  • Podatności (2) – Rodzaje (2)
    • Podatności na zagrożenia techniczne i fizyczne
      • Brak kopii zapasowych
      • Niewłaściwa strategia tworzenia kopii zapasowych
      • Brak redundancji serwerów
      • Brak redundancji łącz
      • etc...
    • W połączeniu z zagrożeniami determinują EF
    /31
  • Podatności (3) – EF
    • System testowania dostępności
      • Utrata zasilania
        • Brak redundancji serwerów ( EF == 3% )
          • Kary umowne wynikające z SLA: 2000PLN
          • Utrata reputacji: 1000PLN
      • Uszkodzenie dysku
        • Jeden serwer i brak kopii zapasowych ( EF == 28% )
          • Dysk: 1000PLN
          • Odtworzenie systemu: 20000PLN
          • Kary umowne wynikające z SLA: 5000PLN
          • Utrata reputacji: 2000PLN
        • Brak redundancji serwerów i kopia zapasowa ( EF == 4,5% )
          • Dysk: 1000PLN
          • Kary umowne wynikające z SLA: 2000PLN
          • Odtworzenie systemu z kopii zapasowych: 500PLN
          • Utrata reputacji: 1000PLN
    /31
  • Spodziewane straty
      • System testowania dostępności
        • Utrata zasilania
          • Brak redundancji serwerów
        • Uszkodzenie dysku
          • Jeden serwer i brak kopii zapasowych
          • Brak redundancji serwerów i kopia zapasowa
    /31
  • Zarządzanie ryzykiem technologicznym aplikacji webowych
    • Formuły
    • Aktywa
    • Zagrożenia
    • Podatności
    • Środki zaradcze
    • Bilans kosztów/zysków
    • Pytania
    /31
  • Środki zaradcze (1)
    • Eliminują lub zmniejszają podatności
      • Redundancja maszyn
      • Redundancja łącz
      • Zmiana strategii wykonywania kopii zapasowych
      • Zastosowanie macierzy dyskowej
      • ...
    • Zmniejszają zagrożenia
      • Przeniesienie serwerowni (tsunami)
      • ...
    • Kosztują
    • Wpływają na wartość EF
    /31
  • Środki zaradcze (2)
    • System testowania dostępności
      • Utrata zasilania
        • 2 redundantne serwery
          • Brak kar umownych wynikające z SLA
          • Bark utraty reputacji
          • EF == 0
          • Ryzyko na poziomie akceptowalnym (nie zerowe)
          • Koszt inwestycji: 20.000PLN
    /31
  • Środki zaradcze (3)
      • Uszkodzenie dysku
        • Jeden serwer i kopia zapasowa
          • Dysk: 1.000PLN
          • Odtworzenie systemu: 500PLN
          • Kary umowne wynikające z SLA: 2.000PLN
          • Utrata reputacji: 2.000PLN
          • EF: 5,5%
          • Koszt inwestycji: 5.000PLN
        • 2 redundantne serwery i kopia zapasowa
          • Dysk: 1.000PLN
          • Brak kar umownych wynikające z SLA
          • Bark utrata reputacji
          • EF: 1%
          • Koszt inwestycji: 20.000PLN
    /31
  • Spodziewane straty SG
      • System testowania dostępności
        • Utrata zasilania
          • Brak redundancji serwerów
        • Uszkodzenie dysku
          • Jeden serwer i brak kopii zapasowych
          • Brak redundancji serwerów i kopia zapasowa
    /31
  • Zarządzanie ryzykiem technologicznym aplikacji webowych
    • Formuły
    • Aktywa
    • Zagrożenia
    • Podatności
    • Środki zaradcze
    • Bilans kosztów/zysków
    • Pytania
    /31
  • Bilans kosztów/zysków (1)
    • System testowania dostępności
      • Utrata zasilania
        • Brak redundancji serwerów ( SG: drugi serwer )
        • Nie zwróci się w ciągu roku
    0 /31
    • System testowania dostępności
      • Uszkodzenie dysku
        • Jeden serwer i brak kopii zapasowych ( SG: kopia zapasowa )
        • Brak redundancji serwerów i kopia zapasowa ( SG: drugi serwer )
    /31
  • Pytania
    • ???
    [email_address] /31