Tilgangskontroll

Tilgangskontroll regulerer hvem som har tilgang til hvilke ressurser.

DAC (Discretionary Access Control): Ressurseier bestemmer tilgang (Unix-filrettigheter). Fleksibel, men brukere kan videredelegere rettigheter.
MAC (Mandatory Access Control): Systemet håndhever tilgangspolicy basert på klassifiseringsnivå. Brukes i militær/statlig kontekst (SELinux). Bell-LaPadula-modellen (no read up, no write down) er klassisk eksempel.
RBAC (Role-Based Access Control): Rettigheter knyttes til roller, ikke individer. Svært mye brukt i bedriftssystemer.
ABAC (Attribute-Based Access Control): Policy evalueres basert på attributter ved bruker, ressurs og kontekst. Brukes i skyplattformer.

Brannmurer

Packet filter: Filtrerer på IP-adresse, port, protokoll. Stateless. Rask men begrenset.
Stateful inspection: Sporer TCP-tilstandsmaskinen. Blokkerer pakker utenfor forventet sekvens.
Application-layer (proxy) firewall: Forstår applikasjonsprotokoller (HTTP, DNS). Kan blokkere basert på innhold.
NGFW (Next-Generation Firewall): Stateful + deep packet inspection + IPS + applikasjonskontroll.

IDS og IPS

IDS (Intrusion Detection System) varsler. IPS (Intrusion Prevention System) blokkerer aktivt.

Signaturbasert: Matcher kjente angrepsignaturer. Rask, lav falsk positiv for kjente angrep. Hjelper ikke mot 0-days.
Anomali-basert: Modellerer normal atferd og varsler ved avvik. Kan oppdage nye angrep, men høyere falsk positiv-rate.

Webapplikasjonssårbarheter — OWASP

SQL-injeksjon: Angriper injiserer SQL-kode via brukerinput som tolkes som SQL av databasen.

Sårbar: SELECT * FROM users WHERE name='$input'
Input: ' OR '1'='1
Resultat: SELECT * FROM users WHERE name='' OR '1'='1'  ← returnerer alle

Løsning: Parameteriserte spørringer (prepared statements) — input er alltid data, aldri SQL-kode.

XSS (Cross-Site Scripting): Angriper injiserer JavaScript som kjøres i offerets nettleser i kontekst av en legitim nettside. To typer:

Reflected XSS: Kode i URL reflekteres tilbake av server. Offer klikker link.
Stored XSS: Ondsinnet kode lagres i database (f.eks. kommentarfelt), vises til alle besøkende.

Løsning: Output encoding (HTML escape), Content Security Policy (CSP).

CSRF (Cross-Site Request Forgery): En ondsinnet nettside tvinger offerets browser til å sende en autentisert forespørsel til en annen nettside (der offeret er logget inn). Løsning: CSRF-tokens, SameSite cookie-attributt.

HTTPS og HSTS

HTTPS = HTTP over TLS. HSTS (HTTP Strict Transport Security): HTTP-header som forteller nettleseren å kontakte nettsiden kun via HTTPS. Forhindrer SSL-stripping-angrep der MitM nedgraderer HTTPS til HTTP.

Malware og angrepskategorier

Virus: Infiserer eksisterende programmer, sprer seg ved kjøring.
Worm: Selvreplikerer over nettverk uten å trenge vertsapplikasjon.
Trojan: Skjuler seg i tilsynelatende legitim programvare.
Ransomware: Krypterer offerets filer, krever løsepenger for dekrypteringsnøkkel.
Rootkit: Skjuler sin eksistens på kompromittert system.

Eksempel 1 — SQL-injeksjon og prepared statement

Usikker PHP-kode: $sql = "SELECT * FROM users WHERE user='$_GET[user]'". Angriper sender admin'--.

Resulterende SQL: SELECT * FROM users WHERE user='admin'--'. Kommentaren ignorerer resten. Returnerer admin-bruker uten passord.

Sikker kode: $stmt = $pdo->prepare("SELECT * FROM users WHERE user=?"); $stmt->execute([$_GET['user']]);. Input er nå alltid data, aldri SQL.

Studieguide: Nettverks- og webapplikasjonssikkerhet