---
# System prepended metadata

title: NSB cvika

---

NSB cvika
=

<!----------------------------------------------------------------------------->

# NSB test 1

- X

<!----------------------------------------------------------------------------->

# NSB test 2

<!----------------------------------------------------------------------------->

## Prednáška 1

### DHCP

#### Spoofing
- Útok, který může klientskému počítači: 
    - Ukradení IP adresy, určené jinému zařízení
        - Získání přístupových práv určené pro dané zařízení
    - Vložení vlastního DNS serveru
    - Přesměrování výchozí brány
    - Falešný server DHCP
- Obrana Router Advertisement Guard je obdobou DHCP Snooping

#### Snooping 
- Ochrana proti spoofingu

#### Overflow
- Vyčerpání všech možných adres, které je možné v dané podsíti využít

### ARP
- IP adresa (L3) <-> MAC adresa (L4)
- Využívají switche

#### Spoofing
- Podvrhávání Solicitious ARP Response zpráv
- Dynamic ARP Inspection sleduje vazbu mezi MAC, IP a portem
- Dva výsledky útoku
    - DoS na danou IP adresu
    - MitM přes útočníkovu síťovou kartu
- Obranou proti ARP spoofing je Dynamic ARP Inspection

### CAM

#### Overflow
- Zaplnění CAM tabulky routeru
- Útočník se tváří jako různé počítače, má různé MAC adresy
- Router neví kam posílat další packety, musí posílat všem
- Obranou proti CAM Overflow je Port Security
    - Povolené pouze předkonfigurované adresy MAC
    - Omezen počet adres MAC na port
    - Chrání před MAC adres flooding
- Útočník ví o veškeré komunikaci, která přes router probíhá

<!----------------------------------------------------------------------------->

## Prednáška 2 / Cvika 1

### RADIUS - Remote Authentication Dial In User Service
- Radius podporuje autentizaci, autorizaci i účtování
- Nástupcem Radiusu by měl být Diametr
- Autentizace CHAP nepřenáší heslo po síti
- Uživatel se nepřipojuje na Radius server
- Uživatel se připojuje na Radius klienta
- Protokol je rozšiřitelný o další atributy
- Autentizace PAP přenáší heslo po síti

### OPIE - One time Passwords In Everything

### Kerberos
- Kerberos komunikace medzi KDC a serverem probíha prěs klienta
- Kerberos je závislý na časové synchronizaci klientů a serverů
- Kerberos nevyžaduje zabezpečenou komunikační síť
- Kerberos používá symetrickou kryptografii
- Kerberos pro šifrování používá sdílené klíče (ne veřejný a privátní klíč)
- Architektura
    - AS - Autentizační server
    - SS - Servisní středisko
    - TGS - Ticket-granting server – řídicí server
    - TGT - Ticket granting ticket – tiket opravňující uživatele ke komunikaci s řídícím serverem
- KDC - důvěryhodná strana, která zajišťuje autentizaci a přidělování lístků pro přístup ke službám
- TGS - součást třetí důvěryhodné strany, která zajišťuje přidělování lístků pro přístup ke službám

### EAP 

- EAP-TLS
    - pro ověření klientský i serverový certifikát

- EAP-FAST
    - It is used in wireless networks and point-to-point connections to perform session authentication. Its purpose is to replace the LEAP (lightweight extensible authentication protocol).

- PEAP
    - Ověření v jednom směru serverový certifikát a ve druhém jinou EAP metodu

<!----------------------------------------------------------------------------->

## Prednáška 3

### IDS - Intrusion Detection System

- Neodeslaný alarm při normální síťové aktivitě se oznažuje pravý negativní
- Složené signatury vyžadují uchovávání stavových informací
- Neodeslaný alarm při útoku se neoznačuje jako falešný pozitivní
- Atomické signatury nevyžadují kontrolu více pakutů najednou

### IPS - Intrusion Prevention Systems
- ...

<!----------------------------------------------------------------------------->

## Test - skupina A

1) Jsou následující tvzení o AAA jsou pravdivá? (3)
     - Who knows.
2) Jak se nazývá systém, který jste v 1. laboratoři konfigurovali na jednorázová hesla? (Zkratkou)
    - OPIE -> budeme mať RADIUS, Kerberos? 
3) Co platí o útocích v lokálních sítích? (3)
    - Obranou proti CAM Overflow je Port Security
    - Dynamic ARP Inspection sleduje vazbu mezi MAC, IP a portem
    - Obrana Router Advertisement Guard je obdobou DHCP Snooping
5) Co platí o Intrusion Detection System (IDS)? (2)
    - Jedná sa o pasívny obranný mechanizmus. Sú to systémy schopné detegovať útoky v sieti.
6) Jaké jsou vlastnosti Host-based IDS?
    - Detekcie sa týkajú iba jednotlivých počítačov/staníc.
    - Vyžadujú software na kazdom počítači.
    - Jedná sa buď o špecializovaný sw, alebo je to súčasť operačného systému.
    - Agent IDS posiela výstrahy centralnej stanici.
7) Jak se nazývá útok, který šifruje uživatelské soubory a pro jejich dešifrování vyžaduje zaplacení poplatku?
    - Ransomware

<!----------------------------------------------------------------------------->

## Test - skupina B (hypoteticky)

1) Co platí o Intrusion Protection System (IDS)? (2)
    - Jedná sa o aktívne sieťové prvky schopné detegovať a zastaviť útok proti sieťovým zdrojom. 

5) Jaké jsou vlastnosti Network-based IDS?
    - Používá síťový provoz pro detekci útoků, šíření malware.
    - Jedná se o specializované zařízení.
    - Vstupné dáta získava napríklad zo senzorov.

8) Jak se v Kerberosu označuje součást třetí důvěryhodné strany, která zajišťuje přidělování lístků pro přístup ke službám? (Anglická zkratka)
    - TGS

10) Jak se nazývá útok, který může klientskému počítači podvrhnout IP adresu výchozí brány?
    - DHCP spoofing

<!----------------------------------------------------------------------------->

# NSB test 3

<!----------------------------------------------------------------------------->

## Zadání 19/20

1) Pro Biba u Mandatory Access Control (MAC) platí:
    - **Subjekt na vyšší úrovni může zapisovat do objektu, ale ne číst**
    - Subjekt na nižší úrovni může zapisovat do objektu, ale ne číst
    - Objekt na vyšší úrovni může zapisovat do subjektu, ale ne číst
    - Objekt na nižší úrovni může zapisovat do subjektu, ale ne číst

2) Co platí o POSIX ACLS?
    - **ACL maska se nevztahuje na unixového vlastníka a na ostatní**
    - ACL maska se vztahuje jen na ACL skupiny, ne na ACL vlastníky
    - ACL maska určuje minimální práva pro ACL skupiny
    - ACL nahrazují standardní unixová práva

3) Co platí o auditu Basic Security Module (BSM)? (3)
    - **Superuživatel může logování zastavit i obnovit**
    - **Pro audit vytvářených souborů lze použít třídu fc**
    - **Soubor audit_user obsahuje, co se má u koho zaznamenávat**
    - Pro audit vytvářených souborů lze použít událost cf
    - Prefix*- znamená, že se nemají zaznamenávat úspěšné záznamy

4) Co znamená zápis -lo,ex u BSM Auditu? (2)
    - **Jedná se o výběrový výraz**
    - **Zaznamenávají se neúspěšné pokusy o přihlášení a úspěšné a neúspěšné spuštění příkazů**
    - Jedná se o označení jednotlivých sledovaných událostí
    - Zaznamenávají se jen úspěšné pokusy o přihlášení a úspěšné a neúspěšné spuštění příkazů
    - Zaznamenávají se jen neúspěšné pokusy o přihlášení a jen úspěšné spuštění příkazů

5) Co platí pro jednorázová hesla OTP a S/Key? (2)
    - **Na serveru se nemusí nic utajovat včetně hesel**
    - **Přihlašování je odolné vůči odposlouchávání**
    - Přihlašování je odolné vůči man-in-the-middle
    - U OTP je hashovací funkce pevně stanovena

6) Která klíčová slova patří mezi řídicí příznaky v systému PAM? (3)
    - **required**
    - **sufficient**
    - **binding**
    - needed
    - obligatory
    - used

<!----------------------------------------------------------------------------->

## Zadání 18/19

1) Co platí o auditu Basic Security Module (BSM)?
    * **Události se ukládají uživatelským procesem auditd**
    * **Příkaz audit umožňuje uzavřít aktuální auditovací soubor a otevřít nový**
    * **Pro výběr podmnožiny záznamů z auditu se používá auditreduce**
    * Události se ukládají uživatelským procesem praudit
    * Události se ukládají jádrem operačního systému

2) Do jakých skupin se zařazují související události v auditu BSM? (Česky, mn. č.)
    * Třídy

3) Co platí pro jednorázová hesla OTP a S/Key?
    * **U S/Key je hashovací funkce pevně stanovena**
    * **Na serveru se nemusí nic utajovat včetně hesel**
    * Přihlašování není odolné vůči odposlouchávání
    * Přihlašování je odolné vůči man-in-the-middle

4) Co platí o POSIX ACLs?
    * **Jednou z ACL položek je vždy i ACL maska**
    * ACL maska je nepovinná položka
    * ACL kromě práv rwx přidávají i další oprávnění, například zápis jen na konec (append)
    * ACL nahrazují standardní unixová práva

5) Pro Biba u Mandatory Access Control (MAC) platí:
    * **Pokud subjekt nemá žádnou úroveň, nemůže číst ani zapisovat**
    * Pokud objekt nemá žádnou úroveň, může číst i zapisovat
    * Pokud subjekt má shodnou úroveň, nemůže číst ani zapisovat
    * Pokud objekt má shodnou úroveň, nemůže číst ani zapisovat

6) Co umožňuje Generic Routing Encapsulation (GRE)?
    * **Tunelování protokolů síťové vrstvy přes síťovou vrstvu**
    * Zabezpečení spojení proti odposlouchávání
    * Emulaci přepínání okruhů na paketově přepínaných sítích
    * Vytvoření vícebodové virtuální privátní sítě

<!----------------------------------------------------------------------------->

## Zadání 17/18

1) Co platí o Multiprotocol Label Switching (MPLS) VPN?
    * **Využívá možnosti zřetězit v MPLS více návěští (labels) za sebou**
    * MPLS VPN se používá jako přístupová VPN pro koncové uživatele
    * Přenášená data jsou zašifrována protokolem DES, 3DES nebo AES
    * MPLS VPN vkládá návěští (labels) mezi síťovou a transportní vrstvu

2) Co platí o IPsec? (2)
    * Authentication Header (AH) zajišťuje důvěrnost dat
    * Transportní režim přidává novou IP hlavičku
    * **Authentication Header (AH) zajišťuje integritu dat**
    * **Tunelový režim přidává novou IP hlavičku**

3) Co platí pro Kerberos?
    * **Kerberos pro šifrování používá sdílené klíče**
    * Kerberos pro šifrování používá veřejný a privátní klíč
    * Kerberos vyžaduje zabezpečenou komunikační síť
    * Kerberos doména se anglicky označuje slovem principal

4) Co platí o jednotlivých VPN? (3)
    * **Temné vlákno (dark fiber) je VPN na vrstvě L1**
    * **GRE je VPN na vrstvě L3**
    * Temné vlákno (dark fiber) je VPN na vrstvě L0
    * MPLS je VPN na vrstvě L3
    *  **MPLS je VPN na vrstvě L2**
    * GRE je VPN na vrstvě L2

5) Jak se v Kerberosu označuje třetí důvěryhodná strana, která zajišťuje autentizaci a přidělování lístků pro přístup ke službám? (Anglická zkratka)
    * KDC

<!----------------------------------------------------------------------------->

# NSB test 4

<!----------------------------------------------------------------------------->

## Zadání 19/20 A

1) Co platí o Intrusion Detection System (IDS)? (2)
    - Atomické signatury vyžadují kontrolu více paketů najednou 
    - **Neodeslaný alarm při normální síťové aktivitě se označuje jako pravý negativní** 
    - **Složené signatury vyžadují uchovávání stavových informací** 
    - Neodeslaný alarm při útoku se označuje jako falešný pozitivní zodpovězeno 

2) Co platí o firewallech? (2) 
    - Při zablokovaných příchozích paketech pro fungování pingu povolit zpětnou cestu jen pro cílovou adresu nestačí 
    - **Firewally mohou kromě prostého zahazování paketů odpovídat i pakety typu ICMP nebo s příznakem RST**
    - **Při zablokovaných příchozích paketech pro fungování tracercute povolit zpětnou cestu jen pro cílovou adresu nestačí**
    - Stavové filtry jsou vždy výhodnější než paketové 

3) Co platí o statickém překladu adres MAT/PAT)? 
    - Jedná se o záznamy v převodní tabulce, které vznikají na základě odchozího datového provozu
    - **Umožňuje navazovat spojení z vnější sítě do vnitřní, které by jinak nešlo uskutečnit** 
    - Často se používá pro sdílení zátěže mezi servery 
    - Umožňuje skrýt funkci překladu adres před uživatelem 

4) Jak se anglickým termínem nazývá politika řízení provozu, při které se při překročení stanovené rychlosti data ukládají do fronty? 
    - **Shaping**

5) Co platí pro demilitarizované zóny (DMZ)? (2)
    - Z vnější sítě je možné přistupovat jen do vnitřní sítě, do DMZ ne
    - **Z vnitřní sítě je možné přistupovat do DMZ a do vnější sítě**
    - Z vnitřní sítě je možné přistupovat jen do vnější sítě, do DMZ ne
    - Z vnější sítě není možné přistupovat ani do vnitřní sítě, ani do DMZ
    - **Z vnější sítě je možné přistupovat jen do DMZ, do vnitřní sítě ne**

6) Co u TCP wrappers znamená UNKNOWN?
    - **Neznámý doménový název zdrojové IP adresy**
    - Neznámá zdrojová IP adresa
    - Neznámá cílová IP adresa
    - Neznámý zdrojový port

7) Které dvě podmínky aplikované přes logický AND umožňují rozpoznání první fáze navazováni TCP spojení? (2)
    - Je RST
    - Je ACK
    - Není RST
    - Není SYN
    - **Je SYN**
    - **Není ACK**

8) K čemu slouží reputačni systémy?
    - K detekci uživatelů, kteří využívají danou službu
    - **K zjištěni duvěry pro využití dané služby**
    - K zvýšeni výkonnosti IPS systému
    - K blokování neaktualizovaných operačních systémů

<!----------------------------------------------------------------------------->

## Zadání 19/20 B

1) Které dvě podmínky aplikované přes logický OR se používají pro rozpoznání navázaného TCP spojení (vše kromě první fáze)? (2)
    - **Je ACK**
    - **Je RST**
    - Je SYN 
    - Není SYN 
    - Není ACK 
    - Není RST 

2) Co platí o statickém překladu adres (NAT/PAT)? 
    - **Jedná se o pevně definované záznamy v převodní tabulce**
    - Umožňuje navazovat spojení z vnitřní sítě do vnější, které by jinak nešlo uskutečnit 
    - Často se používá pro sdílení zátěže mezi servery 
    - Umožňuje skrýt funkci překladu adres před uživatelem 

3) Co u TCP wrappers znamená KNOWN? 
    - **Známý doménový název zdrojové IP adresy** 
    - Známá zdrojová IP adresa 
    - Známá cílová IP adresa 
    - Známý cílový port 

4) Co platí o firewallech? (2) 
    - **Při zablokovaných příchozích paketech stačí pro ping povolit zpětnou cestu jen pro cílovou adresu** 
    - **Firewally mohou kromě prostého zahazování paketů odpovídat i pakety typu ICMP nebo s příznakem RST** 
    - Stavové filtry jsou vždy výhodnější, než paketové 
    - Při zablokovaných příchozích paketech stačí pro traceroute povolit zpětnou cestu jen pro cílovou adresu 

5) Co platí o politikách řízení provozu? (2) 
    - **U Class Based Queuing (CBQ) je možné preferovat různé datové toky před jinými v zadaném poměru**
    - **Random Early Detection (RED) se používá k předcházení zahlcení pásma síťového připojení**
    - U Class Based Queuing (CBQ) jsou fronty s vyšší prioritou vždy obslouženy dříve, než fronty s nižší prioritou 
    - U Class Based Queuing (CBQ) jsou fronty s nižší prioritou vždy obslouženy dříve, než fronty s vyšší prioritou 

6) Co platí o Intrusion Detection System (IDS)? (2) 
    - **Odeslaný alarm při normální síťové aktivitě se označuje jako falešný pozitivní** 
    - **Atomické signatury slouží pro detekci útoků v jednotlivých paketech**
    - Neodeslaný alarm při útoku se označuje jako pravý negativní 
    - Složené signatury nevyžadují uchovávání stavových informací 

7) Jaké jsou vlastnosti Host-based IDS? 
    - **Vyžaduje agenta běžícího na koncovém systému**
    - Zasílá výstrahy ostatním Host-based IDS agentům 
    - Kontroluje síťový provoz mezi snrťérovači 
    - Snižuje u koncového systému nároky na výpočetní prostředky 

8) Jak se anglickým termínem nazývá politika řízení provozu, při které se při překročení stanovené rychlosti data hned zahazují? 
    - **Policing** 

<!----------------------------------------------------------------------------->

## Zadání 18/19

1) Co u TCP wrappers znamená KNOWN?
    - **Známý doménový název zdrojové IP adresy**
    - Známá zdrojová IP adresa
    - Známá cílová IP adresa
    - Známý cílový port

2) Jaké jsou vlastnosti Host-based IDS?
    - **Vyžaduje agenta běžícího na koncovém systému**
    - Zasílá výstrahy ostatním Host-based IDS agentům
    - Kontroluje síťový provoz mezi směrovači
    - Snižuje u koncového systému nároky na výpočetní prostředky

3) Co platí o Encapsulation Security Payload (ESP)?
    - **Zapouzdřuje a chrání data IP datagramu**
    - **Nezajišťuje ochranu vnější IP hlavičky**
    - Pro šifrování se používá algoritmus RSA nebo DSA
    - ESP nelze používat v tunelovém režimu

4) Co platí pro demilitarizované zóny (DMZ)?
    - **Z vnitřní sítě je možné přistupovat do DMZ a do vnější sítě**
    - **Z vnější sítě je možné přistupovat jen do DMZ, do vnitřní sítě ne**
    - Z vnitřní sítě je možné přistupovat jen do vnější sítě, do DMZ ne
    - Z vnější sítě je možné přistupovat jen do vnitřní sítě, do DMZ ne
    - Z vnější sítě není možné přistupovat ani do vnitřní sítě, ani do DMZ

5) Co platí o Intrusion Detection System (IDS)?
    - **Odeslaný alarm při normální síťové aktivitě se označuje jako falešný pozitivní**
    - **Atomické signatury slouží pro detekci útoků v jednotlivých paketech**
    - Neodeslaný alarm při útoku se označuje jako pravý negativní
    - **Složené signatury vyžadují kontrolu více paketů najednou - původně špatná odpověď, po diskuzi uznal i tuto**

6) Co platí o IPsec?
    - **Authentication Header (AH) zajišťuje integritu dat**
    - **Transportní režim zachovává původní IP hlavičku**
    - Authentication Header (AH) zajišťuje důvěrnost dat
    - Tunelový režim zachovává původní IP hlavičku

<!----------------------------------------------------------------------------->

# NSB test 5

<!----------------------------------------------------------------------------->

## Zadání 18/19

1) Co platí o firewallech?
    - **Při zablokovaných příchozích paketech pro fungování traceroute povolit zpětnou cestu jen pro cílovou adresu nestačí**
    - **Firewally mohou kromě prostého zahazování paketů odpovídat i pakety typu ICMP nebo s příznakem RST**
    - Stavové filtry jsou vždy výhodnější než paketové
    - Při zablokovaných příchozích paketech pro fungování pingu povolit zpětnou cestu jen pro cílovou adresu nestačí

2) Kterou jednotkou se označuje výška zařízení v datových rozvaděčích?
    - **U, Rack Unit**

3) Jak se anglickým termínem nazývá politika řízení provozu, při které se při překročení stanovené rychlosti data ukládají do fronty?
    - **Shaping** (uznal i **Queuing** nakonec)

4) Které dvě podmínky aplikované přes logický AND umožňují rozpoznání první fáze navazování TCP spojení?
    - **Je SYN**
    - **Není ACK**
    - Není SYN
    - Je ACK
    - Je RST
    - Není RST

5) Co platí o statickém překladu adres (NAT/PAT)?
    - **Umožňuje navazovat spojení z vnější sítě do vnitřní, které by jinak nešlo uskutečnit**
    - Jedná se o záznamy v převodní tabulce, které vznikají na základě odchozího datového provozu
    - Často se používá pro sdílení zátěže mezi servery
    - Umožňuje skrýt funkci překladu adres před uživatelem

6) Co platí o politikách řízení provozu?
    - **U Class Based Queuing (CBQ) je možné preferovat různé datové toky před jinými v zadaném poměru**
    - **Random Early Detection (RED) se používá k předcházení zahlcení pásma síťového připojení**
    - U Class Based Queuing (CBQ) jsou fronty s vyšší prioritou vždy obslouženy dříve, než fronty s nižší prioritou
    - U Class Based Queuing (CBQ) jsou fronty s nižší prioritou vždy obslouženy dříve, než fronty s vyšší prioritou

<!----------------------------------------------------------------------------->

## Zadání 17/18

1) Co platí o statickém překladu adres (NAT/PAT)?
    - **Jedná se o pevně definované záznamy v tabulce**
    - Umožňuje navazovat spojení z vnitřní sítě do vnější, které by jinak nešlo uskutečnit
    - Často se používá pro sdílení zátěže mezi servery
    - Umožňuje skrýt funkci překladu adres před uživatelem

2) Co platí pro demilitarizované zóny (DMZ)? (2)
    - **Z vnitřní sítě je možné přistupovat do DMZ a do vnější sítě**
    - **Z vnější sítě je možné přistupovat jen do DMZ, do vnitřní sítě ne**
    - Z vnější sítě je možné přistupovat jen do vnitřní sítě, do DMZ ne
    - Z vnitřní sítě je možné přistupovat jen do vnější sítě, do DMZ ne
    - Z vnější sítě není možné přistupovat ani do DMZ, ani do vnitřní sítě

3) Jakou zkratkou se označují zařízení, která umožňují pomocí jedné klávesnice, myší a monitoru ovládat celou skupinu serverů?
    - **KVM**

4) Co platí o politikách řízení provozu? (2)
    - **U Class Based Queuing (CBQ) je možné preferovat různé datové taky před jinými v zadaném poměru**
    - **Random Early Detection (RED) se používá pro předcházení zahlcení pásma síťového připojení**
    - U Class Based Queuing (CBQ) jsou fronty s vyšší prioritou vždy obslouženy dříve, než fronty s nižší prioritou
    - U Class Based Queuing (CBQ) jsou fronty s nižší prioritou vždy obslouženy dříve, než fronty s vyšší prioritou

5) Co u TCP wrappers znamená UNKNOWN?
    - **Neznámý doménový název zdrojové IP adresy**
    - Neznámá zdrojová IP adresa
    - Neznámá cílová IP adresa
    - Neznámý zdrojový port

6) Jak se anglickým termíne nazývá politika řízení provozu, při které se při překročení stanovené rychlosti data ihned zahazují?
    - **Policing**
