I och med samhällets ökande digitalisering stiger behoven för att kunna fastställa att säkerheten hos datornätverk ligger på en adekvat nivå. När det gäller informations- säkerhet fastnar fokus lätt på enskilda enheter men idag består i regel de flesta orga- nisationer av större datanätverk där information finns åtkomlig på ett flertal sätt. Denna rapport försöker utröna huruvida det går att kvantifierbart påvisa effektivite- ten hos de säkerhetsåtgärder som nätverkstekniker implementerar i syfte att höja säkerheten i en organisations datornätverk. För att mäta säkerhetsförbättringar kombineras en penetrationstestningsstandard med en hotmodelleringsmetod som sedan appliceras på ett nätverk i en laborations- miljö. I ett första skede appliceras dessa på ett sårbart nätverk för att ge en insikt om det ursprungliga säkerhetsläget. Därefter implementeras ett urval av skyddsåtgärder på det sårbara datornätverket vilka baserat på vilka säkerhetsbrister som har upp- täckts. I ett nästa steg appliceras både penetrationstester och hotmodellering återi- gen på samma sätt som tidigare och därefter jämförs resultaten från före och efter att sårbarheterna har åtgärdats. När resultaten jämförs påvisas de säkerhetshöjande åtgärdernas effekt. Tack vare kombinationen av både penetrationstester och hotmodellering tydliggörs även re- sultaten både bredare och mer djupgående än vad användandet av enbart en av me- toderna hade visat på. Dessa resultat visar att metoden med applikation av kombinerade penetrationstester och hotmodelleringar, både före och efter att säkerhetsluckor har åtgärdats, kan an-vändas som ett kvalitetsintyg för säkerhetsarbeten riktade mot datornätverk. / Following the increasing digitalization of society there is a growing need to ensure that the security of computer networks is at an adequate level. When it comes to net- work security, focus tend to fall on individual devices, but nowadays most organiza- tions consist of large computer networks where information is accessible in several different ways. This thesis attempts to determine whether it is possible to ensure the effectiveness of the security measures implemented by network engineers to improve an organisation’s security stance. In order to measure security, a combination of a penetration testing standard and threat modelling is applied to a network in a laboratory environment. First, these are applied to a vulnerable network. Then, a selection of protection measures are imple- mented on the vulnerable network based on the results from the methodology. In a next step, both penetration testing and threat modelling are reapplied. The com- bined results, before and after the vulnerabilities have been addressed, can then be compared to each other. When comparing the results, the impact of the security improving measures becomes clear. Due to the use of both penetration testing and threat modelling the results are further clarified compared to what the use of only one of the methods would have shown. These results shows that the method of combining penetration testing with threat modelling in two stages, both before and after security measures have been imple- mented, can be used as a quality certificate for security work directed at computernetworks.
| Identifer | oai:union.ndltd.org:UPSALLA1/oai:DiVA.org:kth-319505 |
| Date | January 2022 |
| Creators | Rios, Mauricio, Strandberg, Martin |
| Publisher | KTH, Hälsoinformatik och logistik |
| Source Sets | DiVA Archive at Upsalla University |
| Language | Swedish |
| Detected Language | Swedish |
| Type | Student thesis, info:eu-repo/semantics/bachelorThesis, text |
| Format | application/pdf |
| Rights | info:eu-repo/semantics/openAccess |
| Relation | TRITA-CBH-GRU ; 2022:260 |
Page generated in 0.0019 seconds