课题A：选择业务连续性和灾难恢复流程业务连续性和灾难恢复业务连续性（Business continuity）也称为操作连续性（continuity of operations/COOP），是一组能使组织在面临某些不利事件时保持正常业务操作的流程。灾难恢复（Disaster recovery）是业务连续性的一个主要组成部分，其重点工作是在灾难对组织产生影响后，修复，重建，恢复和更换系统，人员和其他资产。灾难恢复过程灾难恢复过程包括几个步骤，以便能够在发生破坏性事件后正确的恢复业务操作。灾难恢复步骤描述通知利益相关者应当将业务关键型灾难告知利益相关者。这些人员可能包括高级管理层，董事会成员，投资者，客户，供应商，员工和公众。不同类别的利益相关者会在不同的时间收到通知，通知的详细程度根据政策中的通知程序进行确定。开始紧急行动应当部署有关特定紧急服务的详细步骤。任命一名事故管理员负责控制情况并确保人员的安全。评估损害应进行损害评估，确定设施发生损坏的程度，如果尚不清楚灾难原因需要对其进行确定，并估计预计的停机时长。这一评估过程还能帮助确定合适的应对策略。例如如果仅限于对操作功能不构成威胁的部分业务，就没有必要到远程站点中进行全部恢复。评估设施有必要对当前设施是否能继续成为主要运营点的能力进行评估，如果设施受到不利影响并遭受重大损失，搬迁至备用地点可能是最佳选择。开始恢复过程一旦你通知了利益相关者，执行了最初的紧急操作，并评估了损害以及设施的运行能力，接下来就是开始恢复过程的时候了。恢复团队恢复团队是指在发生内部或外部关键业务流程中断时被指派执行恢复程序并控制恢复操作的个人团队。恢复团队在紧急情况下会立即做出响应，并在关键服务和信息系统重新上线时，在远程或恢复站点上将关键业务流程恢复到正常运营的水平。恢复顺序恢复顺序（order of restoration）决定了你在恢复工作中有限考虑哪种类型的系统，在组织看来，并不是所有的系统都是平等的。恢复站点为了能够保障业务的连续性，组织可以维护各种类型的恢复站点，用来帮助恢复系统功能。热站（hot site）是指完整配置的备用网络，可在灾难发生后迅速上线。温站（warm site）是指在正常情况下处于休眠状态或执行非关键功能的站点，但如果需要可迅速转换为关键操作站点。冷站（cold site）是一个预确定的备用地点，可在灾难发生后重建网络。安全恢复业务连续性和灾难恢复必须包括安全恢复数据，系统和其他敏感资源的过程。着可能意味着需要指定一位受信任的管理员来监督恢复过程，并记录恢复流程，系统中使用的步骤和信息，以及从灾难中恢复所需的数据。另外可能还包括了在主站点或备用恢复站点上继续运行的指导。安全恢复应当进行定期的审查和测试。备份类型从备份中恢复数据的过程会根据原本非计划中包含的备份类型的不同而产生变化。有三种主要的备份类型：备份类型描述完整备份（Fullbackup）无论之前的状态如何，所有被选定的文件都会进行备份。许多完整备份可能会消耗大量存储空间，并且备份过程可能会很慢。但在恢复丢失的数据时，完整备份快速且可靠。差异备份（Differential backup）备份自上次完整备份依赖更改过的所有选定文件。使用差异备份时，你必须恢复上次的完整备份和最新的差异备份。差异备份比完整备份需要更少的存储空间和备份事件，但恢复速度较慢。增量备份（Incremental backup）备份自上次完整备份或增量备份（以最新版本为准）依赖发生过更改的所有选定。使用增量备份时，必须恢复上次完整备份以及所有后续增量备份。增量备份通常比差异备份话费的时间更少，因为它包含的数据较少，但恢复数据时速度也较慢。快照与备份有关，但两者之间存储在重要的差异。快照记录存储卷在某个时间点上的状态，通常是存在于同一个卷上的状态，而备份是多个外部位置中数据的真是副本。安全备份备份敏感或重要数据只是方案中的一部分，因为备份也需要保持安全。被认为是最安全的备份状态是离线的，放置在站外，存储在物理锁定的环境中，经过保护能够免受注入火灾或水灾等环境入侵的影响。备份的媒介还应该进行准确的标记，防止重要数据被意外覆盖。地理位置方面的考虑用于创建数据备份的物理媒介必须安全的进行存储，但在需要数据的情况下必须保持可访问性。许多组织同时在站内和站外存储备份。站内的存储位置用于存放最近的一组备份，以便能在正常操作期间恢复数据时可以快速访问。站外位置是一个安全的，能抵御灾难的存储设施，组织在其中保存了一个重复的或较旧的备份集，防止主站点上的灾难情况引起任何损害了。选择业务连续性和灾难恢复过程的准则当选择业务连续性和灾难恢复过程时：了解你的业务可能受威胁的不同方式。实施整体业务连续性流程来响应实际的安全事件。在发生重大不利事件后，实施灾难恢复流程以便恢复IT运营。遵循灾难恢复流程，从通知利益相关方开始到开始实际的恢复行动。组建一个具有多工作较色和责任的恢复团队。确定一个恢复顺序，让业务关键型的系统最先恢复上线。考虑维护备用恢复站点，以便能够在主站遭到入侵时快速恢复操作。根据你的业务需求和方式，在热站，温站，冷站之间进行选择。确保恢复过程免受攻击或其他危害。选择能满足你对速度，可靠性和存储要求的数据备份类型。确保备份存储在安全的位置。考虑维护多备份的安全意义。定期测试备份的完整性。考虑将备份置于异地，环节特定位置上发生的损害。了解近距离和远距离备份站点的优点和缺点。研究治理备份站点所在地区的社会政治文化和法律。课题B：指定业务连续性计划业务连续性规划业务连续性规划（business continuity plan/BCP）是一项描述和批准组织整体业务连续性战略的正常。一个可行的BCP应包括确定关键系统和组件，以确保这些资产得到保护。BCP还通过保存关键文件，建立决策机构，促进与内部和外部利益相关方的沟通，并维护财务职能来确保组织本身的生存能力。灾难恢复规划灾难恢复计划（disaster recovery plan/DRP）是描述和批准组织灾难恢复战略的一种策略。灾难恢复计划能帮助组织以最少的时间和金钱损失从事件中恢复过来。他们重点通常在于恢复IT运营的工作能力，并确保人员的安全。DRP可能包括：负责恢复的人员名单和联系信息。硬件和软件清单。保持业务连续性所需的重要业务和客户信息的记录。程序手册和其他重要信息的记录，如BCP和IT应急计划。备用站点的规格说明。有关备份项目和程序的信息。IT应急计划IT应急计划（IT contingency plan）是BCP的一个组成部分，当你面临导致组织灾难的攻击或服务终端时，这一计划制定了可以进行切换的备用IT程序。过度措施可以包括在备用站点外操作，使用备用设备或系统，重新安置主要系统。IT应急计划的有效性取决于：抓哟人员了解IT应急计划的组成部分，并在组织面临攻击或服务中断时决定何时以及如何启动应急计划。不时的检查清单，查看IT应急计划的所有方面是否到位，如包括备用站点的恢复策略。为员工和管理层提供充分的培训，以执行应急计划，并时常进行计划的维护和重新审核。回退应急计划（backout contingency plan）是一份有文档记录的计划，包括了在撤销系统更改或修改应用的特定程序和流程。该计划可能包括关键人物，系统列表，回退时间框架以及完全撤销更改所需的具体步骤。计划的一部分可能还包括一个备份计划，将其作为回退流程和程序的一部分进行部署。继任计划继任计划（succession plan）确保所有关键业务人员拥有一个或多个可在需要时执行关键只能的制定后援。继任计划确定了称为后援的人员，他们可以替代的人员，他们可以执行的只能以及他们需要如何接受培训。故障转移故障转移（Failover）是一种能够确保冗余组件，设备或应用程序可以快速有效的接管故障资产的功能的技术。例如，负载均衡器在其后面的又一台服务器停机或响应时间过长时，通常会提供故障转移功能。一旦负载均衡器检测到此情况，就会将入站流量重定向到负载军何求后面其他真正健康的服务器上。因此负载均衡器中的冗余服务器可确保服务不会中断。故障转移是包含在BCP和任何附属计划中的一项重要概念，因为它能使灾难的影响范围最小化。备用业务实践BCP中的部分内容也可能直接击中与如何调整组织开展业务的方式。如果业务的某些主要元素发生变化，就可能需要实施备用业务实践。在这种情况下，新设施可能忍受不足或装备不足，无法提供与以前相同的客户端水平。为了应对这些变化的情况，组织可能会决定放宽对这个特定部门的配额和期望，或将一些处理任务转移给第三方。前者可能需要修改与客户的服务等级协议，而后者则需要全新的业务安全。测试演习每个BCP/DRP在其实施过程中都应当进行定期的测试，并且你的开发过程应包括一个评估阶段以确保其有效性。演习类型描述演练，专题研讨会和导向研讨会这些活动通常用于为灾难恢复团队成员提供基本的认知和培训，这些联系描述了BCP，DRP和其他计划的内容以及这些计划中概述的角色和责任。桌面演习（Tabletop exercise）这是一种基于讨论的绘画，灾难恢复团队成员讨论他们在紧急情况中扮演的角色以及对特定情况的响应方式。功能演习这是一种基于行动的绘画，员工可以通过在模拟环境中执行基于场景的活动来验证BCP/DRP。全方位演习能反映实际情况的一种基于行动的会话，这些演习在现场举行，尽可能使真是的设备和真是的人员。公共机构经常进行全方位演习，当地组织可能也会被要求参与。计划完成后，你应当至少每年进行一次审查，并根据审查结果和定期测试的结果进行任何维护级别的更改。你可能还需要在对组织的基础架构进行重大更改之后审核计划。行动后报告行动后报告（after-action report/AAR）或经验教训报告（lessons learned report/LLR）包含了对事件的分析，这些分析能够提供有关在未来如何改进响应流程的深入见解。在AAR中，你应当准确报告发生了什么以及组织如何进行响应。然后你就能确定组织是否充分遵循了BCP以及BCP本身是否能够充分确保业务运营的连续性。入股你能在业务连续性和灾难恢复过程中的成功与失误中学习经验，就能改进流程并优化你的计划。起草AAR只是回答几个主要问题。一下仅仅是编写AAR时应该提出的一部分问题：发生了什么？组织在整体上对所发生的时间进行了哪些响应？你是否遵循了BCP及其附属计划？你未能执行BCP或其他计划中的哪些内容？在这些与情况有关的元素中，是否有你未能成功实施的元素。BCP是否充分解决了这种情况？BCP中是否有原本可以在这种情形中提供帮助的缺漏？恢复团队是否快速高效的履行了他们的职责？是否需要任何额外的演习或培训？如果再次出现同样的情况，你会以不同方式进行响应吗？以上这些问题的答案是否使得BCP或附属计划需要进行修改。制定BCP的准则当制定一个BCP：确保BCP是全面的，覆盖了组织的所有关键维度。制定补充DRP，重点关注发生灾难后IT运营的恢复过程。确保DRP中包含了备用站点，资产清单，备份程序和其他关键信息。制定IT应急计划，确保IT程序在不利事件发生后能继续进行。确保IT人员接受了有关此计划的培训。制定回退计划，以防某些行动需要迅速撤销。制定继任计划，以防员工需要由后备人员对他们进行替换，。在BCP中纳入故障转移技术。清点主资产和冗余资产，并将它们一一对应。如有必要，将备用业务实践纳入BCP。进行测试性的演习活动，以便让直行BCP/DRP的人员做好准备。起草AAR，从你的成功和失误中学习经验。询问你自己关于实践的关键问题，确定需要改进的地方。根据需要修改BCP，作为对学到的经验教训的一种响应。
课题A：调试常见的安全问题访问控制问题访问控制问题通常被分类为访问不够或访问过多。问题描述测试策略认证问题认证机制没有对正确的用户进行认证，或者完全失去功能检查支持有线和无线网络认证机制的配置更改。确保认证服务器连接到网络并且可以与其他资源进行通讯。确保用户被赋予了何时的访问权限，并/或他们放在适合的访问组中。检查认证机制接受的证书与用户提供的证书是否一致。权限问题用户要么没有何时的权限来完成他们的工作，要么拥有比需求更多的权限。检查支持有线和无线网络的授权机制的配置更改。确保用户位于能提供合适级别读/写访问权限的适当组中。确保资源对象支持其主体的相关权限。用户权限的设计需要遵守最小特权原则。访问冲突用户正在访问未被授权访问的资源。确保用户和组未被授予不应当拥有的资源访问权限。检查目录结构中位置或可以的账户。禁用不在使用的账户，尤其是那些与不在组织工作的人员绑定更多账户。检查账户的权限是否超出预期水平。加密问题加密问题可能会严重影响数据的机密性，完整性和真实性。一些需要注意的加密问题包括以下内容。问题描述调试策略未加密的证书通过网络发送的证书未经加密，或者以明文形式存储。确保你正在使用SSH等安全远程协议。确保你正在使用SSL/TLS来保护基于Web的通讯。确保用户知道不能将密码存储在未加密的文本，电子表格或数据库文件中。确保你开发的任何自定义应用程序采用加密技术来处理静态数据，传输中的数据和正在使用的数据。证书问题数字证书无效，不安全或无法使用。检查证书是否过期。在手动撤销任何证书的情形中，确保你从CA中接受了CRL。确保你颁发的或未你颁发的任何证书都使用了强大的算法。检查服务器和客户端上是否都安装了相关证书链。密钥管理问题加密密钥无法被授权人员访问，或可以被未经授权的人员访问，确保你的密钥管理程序包含了人员任职和授权的既定规则。确保私钥没有存储在攻击者可以获取其虚拟或物理访问权限的位置上。确保将私钥备份到可移动介质，以防系统发生故障。数据外泄数据外泄（Data exfiltration）是攻击者获取了存储在私有网络内部的数据并将其移至外部网络的过程。因此受害者不再能够完全控制数据。在很多情况下，攻击者会将数据复制到自己的机器上并原封不动的保留原始数据集合。如果攻击者想要知道或公开组织的秘密，那么他们不会费心去销毁数据或将其扣为抵押。如果攻击者想要勒索组织或损害其业务运营，那么他们可能会考虑采取这些额外的措施。数据外泄与数据丢失和数据泄露的概念密切相关，因此，你可以利用的一种重要调试策略就是配置并维护一个数据丢失/泄露预防（DLP）解决方案。在某些情况下，这可能还不够，防止数据外泄的其他策略可能还包括：确保所有敏感数据在闲置时都进行了加密。如果数据在网络外部进行传输，对于没有破解密钥的攻击者来说，这些数据通常是无用的。为可能成为销毁或勒索目标的数据创建并维护异地备份。确保存储或传输敏感数据的系统正在实施访问控制。检查访问控制机制是否授予某些账户过多的权限。限制攻击者将数据从网络传输到外部时可利用的网络通道类型。断开存储存档数据系统的网络连接。事件日志中的异常查看时间日志是任何安全评估体系结构中的重要组织部分。时间日志记录的行为与预期行为存在差异可能暗示了各种不同内容，从轻微的安全违规到重大的安全事件。异常条目可能包括：多次连续的认证失败。虽然合法用户可能会忘记密码，但这也可能表示了未经授权用户的破解密码尝试。系统配置不按计划的更改。攻击者可能会尝试调整系统的配置，以便能打开系统实施其他破坏方式，如为攻击者添加后门来外泄数据。过多或无法解释的关键系统故障或应用程序崩溃。恶意软件通常会干扰合法软件的功能，并可能导致这些应用程序崩溃，甚至导致系统本身的故障。网络设备日志中记录的过量带宽消耗。虽然时不时的流量峰值是正常的，但带宽的持续增加可能表示了恶意软件的散布或数据的外泄。时间日志中的排序错误或空白。攻击者可能会试图通过删除部分日志或修改日志来掩盖自己的踪迹，以便使它看起来描述了与实际发生不同的时间。安全配置问题无论网络中的设备是否配置错误或应用较弱的安全配置，它们都可能成为一项主要漏洞。注意以下一些设备配置问题以及纠正这些问题的策略。网络设备配置问题调试策略访问点访问点无法正确的对用户进行身份验证或不起作用。确保无线访问点使用强密码来实施WPS。检查任何RADIUS客户端和服务器，确定它们是否正在运行并按预期运行。确保没有其他无线信号干扰访问点上的传输。确保私有网络的有线访问点与公共区域物理分隔。防火墙防火墙无法阻止不想要的流量进入或离开网络，或阻止合法流量进入或离开网络。检查防火墙的入站和出站规则，确定费否存在合适的规则。确保使用隐式拒绝配置入站规则。确保根据策略配置出站规则。检查防火墙出站规则是否组织了合法的端口或IP地址。内容过滤器内容过滤器阻止了合法内容，或无法阻止不想要的内容。检查内容过滤器是否在白名单或黑名单模式下运行。确保黑名单中的内容与合法内容不相重叠。确保白名单全面广泛并且能支持可用性。确保过滤器真正的识别了不需要的内容并采取措施对其加以阻止。入侵检测系统IDS经常遇到误报和漏报的情况。检查IDS的规则是否被定义的过于宽泛或狭隘。确保IDS规则的定制能反映出阻止的独特情况。检查IDS是否部署在正确的位置上，能够接受来自所有预期网段的流量。确保IDS经过配置能真正的提醒相关人员。基线偏差在调试系统不符合既定基线的原因时，请记住以下几点：在正确操作下，系统的状态会随时间发横一定偏离。这并不一定表示发生了攻击。补丁和其他更新可能会导致基线过期，这提示你需要更新基线。如果攻击者进行过侦查并对基线非常熟悉，攻击导致的基线偏差可能非常微小。只有对基础配置进行锁定隔阂访问控制，在用户工作站上执行基准才能有效。产生相同或相似基线偏差的多个关键系统需要进行迅速补救。基线如果偏差的性质可能会揭示恶意意图。例如，应当被关闭远程访问的系统突然安装并激活Telnet就是一个需要关注的问题。软件问题问题描述调试策略未经授权的软件未经授权的软件被发现在你的系统上安装和运行。如果可能，检查时间日志确定软件何时被上载或安装在系统上。检查时间日志和浏览记录，确定未授权软件的来源。在分析软件的运行状态之前，先将其放入沙盒中。执行一次防恶意软件扫描，确定该软件是否被认定为恶意。无证书的软件无证书软件的功能性会降低，或被组织完整的运行。确定无证书的软件是否违反了供应商知识产权方面的协议，或者是否有允许使用的有限试用期。确定软件的无证书状态导致哪些功能丢失，以及这对软件使用的数据的可用性和完整性有何影响。检查是否有可以弥补这种功能损失的其他软件。联系供应商并购买相应的证书。过时软件过时的软件处于易受攻击的状态，并可能导致云心关键的系统和软件使用的数据遭到破坏。确定是否有任何可用的补丁能够修复已知的安全问题。参考补丁管理策略， 确定应用任何可用补丁的最佳方式。如果该软件面临的风险超过其对业务的利益，可以考虑删除易受攻击的软件。考虑使用积极维护过的备用软件替换过时的软件。人事问题问题描述调试策略违反策略人员违反组织的策略，并使用系统，数据和万绿谷哦从事不可接受的互动。确定违反了哪些实际的策略项目。提醒违规人员对违规行为引起注意，并向他们建议更好遵守策略的方法。制定培训计划，更好的将策略告知人员并培养网络安全文化。社交媒体和个人电子邮件的使用员工使用社交媒体和个人电子邮件账户的方式会给组织带来风险。告诉员工在社交媒体上透露过多信息是如何为攻击者提供便利的。结合数据丢失/泄露防御（DLP）解决方案，防止员工通过个人电子邮件向外部用户发送敏感信息。通过组织的策略限制办公室内社交媒体和个人电子邮件的使用。社交工程人员会成为社交工程攻击的受害者，并泄露敏感信息，或者给予未授权用户访问权限。对用户进行有关如何发现社交工程尝试并减轻影响方面的培训。准确的确定每个人可能在无意中向攻击者提供哪些信息和访问权限。坚持最小特权原则，尽可能的降低成功的社交工程攻击造成的影响。内部人员威胁不满或恶意的员工利用他们对组织的特别了解来破坏组织并谋取私利。采用强制休假和轮岗等认识管理任务来减少任何个人掌握的权利。顶起审查并审计特权用户的活动。进行离职面谈，确保任何终止合同的员工彻底离开组织。资产管理问题资产管理（asset management）流程会清点并跟踪所有组织的关键系统，组件，设备和其他有价值对象。它还包括搜集和分析有关这些资产的信息，以便人员可以尽心更明智的变更或以其他方式使用资产以实现业务目标。但是，资产管理流程可能无法正确跟踪组织中所有的有价值对象，或者可能存储了特定对象的不准确信息。确保所有相关资产都参与到一个跟踪系统中，如条形码或无缘射频识别码（RFID）。确保部署了何时的流程，标记新获得或新开发的资产。确保部署了何时的流程，移除系统中过时的资产。检查资产是否具有冲突的ID。检查资产是否具有不准确的元数据。确保资产管理软件能够正确读取并理解跟踪标签。更新资产管理软件以修复任何错误或安全问题。课题B：响应安全事件事件响应事件响应（Incident response）是指使用有序的方法论来解决和管理安全漏洞和攻击，同时限制损害并降低恢复成本的做法。如果考虑到风险管理的周期性过程，那么事件响应是缓解阶段的关键因素。准备。检测和分析。遏制，消除和恢复。事后的活动。事件准备第一阶段以最有效方式响应时间奠定了基础，这包括：制定组织策略，帮助定义什么是安全事件及事件是否发生。制定处理时间的响应计划或策略，包括根据对组织的影响确定事件优先级。制定沟通计划，以便让需要知道事件或其缓解措施的个人和团体了解事件。建立文档要求，以便记录每个时间的准确和相关信息，用作将来参考。组建事件响应小组（IRT），该小组应由来自组织不同领域的人员组成，以处理时间期间可能出现的问题。确保IRT拥有必要的访问权限，许可和工具以便能够对事件作出响应。需要对IRT，IT员工和终端用户在安全策略方面进行教育，让他们了解他们在报告和响应计算机和网络安全事件方面的角色。事件检测和分析这个阶段的重点是确定与政策操作的偏离情况，并分析这些偏离是否被认为是事件。这包括：使用日志文件，错误消息，IDS报警，防火墙劲爆和其他资源来建立基线并识别能指示安全事件的参数。比较与既定指标的偏差，识别事件及其范围。通知IRT并建立团队与管理层之间的沟通渠道。通常情况下至少选择一名负责评估和证据搜集的事件处理人员。确保事件处理员用文档记录下了检测和范围界定过程中的所有方面。事件遏制这一阶段侧重于限制损失并防止进一步的损害。它包含几个分阶段，每个阶段对于完全缓解和证据保存都是至关重要。短期遏制：尽快限制损害，如隔离单台计算机或一个网段。系统备份：在采取任何其他操作之前先创建受影响系统的重复镜像，以确保证据的保存。长期遏制：暂时将受影响的系统下线进行维修，以便预期的操作可以通过事件响应过程的其余部分进行恢复。事件消除在此阶段，受影响的系统将被删除或恢复。这个阶段通常可以包括：采取任何必要步骤将系统恢复到已知的运行状态。这可能简单到只需要应用软件补丁，或者复杂到需要从头开始重建系统。实施任何被认为能有效遏制事件重演的额外安全控制措施。更新事件文档，列举这一阶段中采取的任何步骤。仔细记录诸如工时，软件购买或硬件购买等成本可以帮助你确定事件的整体影响。事件恢复这一阶段将受影响的系统重新引入生产环节。仔细的测试和监控可以帮助确保系统不会再次受损。这一阶段所需的信息包括：恢复运营的时间范围，这应该由IRT与存疑系统的所有者或运营商之间的共识决定。应该使用哪些测试工具的措施来确保每个系统功能完备且没有受到感染。监视系统异常的时间范围。经验教训这个阶段包括了整个过程，其目的是确保事件得到了成功的处理。它要求：与IRT和管理层会面，完成事件时间线的确定。这会议应该在事件发生后的两周内举行，确保大家仍然对此记忆犹新。确定问题及其范围，以及为显示遏制，消除和恢复需要采取的措施。IRT和事件响应计划（IRP）的有效性，尤其是需要确定哪些运作良好，哪些需要改进。完成事件的文档记录，以便对事件和IRT的响应方式进行详细全面的描述。事件响应计划事件响应计划（Incident Response Plan/IRP）是一个文档或一系列文档，描述了检测，响应以及最小化安全事件影响的程序。IRP通常指定了以下内容：建立并维护事件响应小组，也成为网络事件响应小组。以书面形式列举了构成安全事件的内容，以及对每类事件类型的定义。事件发生时应遵循的分步流程。IRT成员的角色和责任，例如谁负责宣布事件的发生，以及谁负责执行存疑事件的确定流程。应当如何报告事件，包括接受通知的人员，以及通知发生的方式和时间。事件或相应何时需要扩大到更多合格人员中。测试和验证计划有效性的方式，通常通过桌面演习或功能演习来进行。在安全事件发生后，根据学习到的任何经验教训，IRP讷讷够称为评估组织中哪些策略和程序需要改进的重要工具。第一响应人第一响应人（first responder）是指第一时间到达事故现场的一位经验丰富的人员或一组训练有素的专业人员。事件报告事件报告（Incident report）是一份描述了安全事件期间所发生的报告。需要注意的是，应当尽可能的写出与事件相关的信息，如组织名称，事件性质，联系人姓名和电话号码，事件发生的事件和日期以及日志信息。响应安全时间的准则响应安全事件时：如果存在IRP，请遵循其中列举的指导原则来响应事件。如果IRP不存在，则需要确定一名主要调查人员，他将领导整个调查过程。确定事件是否真正发生以及系统或流程的受损程度。尝试隔离或以其他方式控制事件的影响。记录事件的详细信息。课题C：调查安全事件计算机取证计算机取证（Computer forensics）是指搜集和分析来自存储设备，计算机系统，网络和无线通讯的数据的做法，并有可能在法庭上将这些信息作为一种证据形式呈现。取证过程主要处理的是潜在的证据的恢复和调查。基本的取证流程在任何取证流程都有四个基本阶段：阶段描述搜集阶段确定受到攻击的系统并对其进行标记。从所有有权访问系统的相关人员那里记录并获取详细信息以及证据材料。维护数据的完整性。检查阶段使用自动和手动的方法对搜集到的数据进行取证处理。评估和提取证据。维护数据的完整性。分析阶段使用法律允许的方法和技术分析检查阶段的结果。获取能证明搜集和检查原因合法的有用信息。报告阶段报告取证分析的结果，包括对所有工具和方法的描述以及为什么要这么做。集思广益，想出能够改进现有安全控制措施的不同方式，并推荐更好的策略，工具，程序和其他方法，将它们包含在取证流程中。取证数据的保留为说明任何法律状况的法律责任，你需要提供有关情况的证据以及对引发这种状况进行负责的人和事。法律保留是指当有充分理由提到诉讼时，要求保护所有相关信息的过程，通常包括以下阶段：收到诉讼保留通知：法律顾问通知诉讼正在或可能正处于待定状态，这是法律保留过程中的触发时间。信息保存：收到保留通知后，数据保管人有责任对保留通知的接收进行确认并遵守通知中的指示。建立审计跟踪：对取证数据的生命和验证是至关重要的；如果没有这一步，证据的可接受性就会受到质疑，并且可能危及组织的法律案件。基本的取证响应程序IT取证响应程序可帮助安全专业人员以法庭可采纳的形式从数据中搜集证据。取证响应程序描述捕获取证图像和内存计算机取证程序中最重要的步骤之一就是能够捕获证据的精确副本，也称为取证图像。这一过程通过逐位对应的将一块媒介复制位一个具有高精度的镜像文件来完成。此外，转储系统内存可以揭示可操作的证据，否则这些证据会在系统断电时丢失。检查网络流量和日志攻击者总会留下痕迹；你只需要知道如何以及在哪里查看。日志功记录了入侵防御系统或入侵检测系统以及路由器，防火墙，服务器，台式机，大型机，应用程序，数据库，防病毒软件和虚拟专用网络中发生的所有事件。通过这些日志就可能提取黑客的身份并提供所需的证据。捕获视频视频取证是指通过视频勘察线索的方法。用于计算机取证的工具可以帮助重组作为法庭证据的视频。记录时间偏移量记录文件活动的时间格式已扩展为能包含相对GMT的本地时区偏移量。散列你应该对每个电子证据进行散列，包括存储分区，软件和单个文件。截取快照你应该在取证过程的每一步中截取快照，特别是当你使用取证工具提取数据时。这样可以确保存在于受损系统中的数据不会被篡改，并且可以向法院提供证据，证明你在提取证据的过程中使用了有效的计算机取证方法。确定证人如果证据是由观察到证据获取程序的证人证词支持的，法院通常会接受此证据。跟踪工时和成本计算工时成本是事件整体损害评估的一部分。搜集情报战略情报搜集包括高效的确定有关事件的详细信息，这些信息能为你的调查过程提供资料，几时这些细节不会被用作硬性证据。易失性顺序数据是不稳定的，在安全事件后检索或验证数据的能力取决于它存储在计算机或外部设备上的位置或内存层中的位置。监管链监管链（chain of custody）是指从搜集，到呈堂公证，在到清理的证据处理过程记录。证据可以是硬件组件，电子数据或电话系统。证据链强化了证据从搜集，分析，存储到最终呈现过程中的完整性和合理保管。处于监管链中每个处理证据的人都必须记录他们使用的方法和工具。调查安全时间的准则当你调查安全事件时，可以遵循一些准则：制定或采用一致的流程来处理和保存取证数据。评估损害，并确定受影响系统带来的影响。确定是否需要外部的专业技术支持，例如咨询公司。如果需要，通知当地执法部门。保护现场，使其中的硬件受到控制。搜集所有必要的证据，这些证据可能是电子数据，硬件组件或电话系统组件。在搜集来自各种媒介的电子数据时，要注意易失性顺序。与相关人员进行面谈，搜集有关犯罪的更多信息。将调查结果报告给所需人员。
课题A：评估安全框架和指导方针安全框架安全框架（security framework）提供了组织内安全操作的概念性结构。从一般意义上讲，它定义了如何分类和识别可能会威胁组织运营安全的不同要素，框架的侧重点通常是那些在高层上的任务；最终使细化任务可以实现框架设定的目标。框架类型：监管框架，来自政府法规，规定了任何受法规约束的法律实体的某些行为。非监管框架，通常是经过严格审查的框架，不是强制性的，但仍然是有益的。行业特定的框架，通常由特定行业的参与组织团体共同起草，共同决定需要遵循的框架。国家框架，适用于特定国家的发了，习俗和文化，因此可能不适用于其他国家。国际框架，可以被概况为一种适用于所有国家的准则，无论文化和政治差异如何。安全框架的例子框架描述NIST800系列美国国家标准与技术研究院（NIST）发布了大量覆盖各种安全主题的文档，例如加密标准，符合法规的知道方针，移动设备安全性和云计算。NIST800系列特种文献专注于计算机安全方面的内容。COBIT5信息和相关技术控制目标（COBIT）第五版是由ISACA创建的一种IT管理和治理框架。COBIT版本5包含五项指导原则帮助组织实现其IT管理目标。ITIL信息技术基础设施库（ITIL）是一个全面的IT管理结构，来源于最初由英国政府中央计算机和电信局（CCTA）开发的推荐方案。ITIL在IT战略，设计，转型，运营和持续性服务改进方面有五种核心出版物。ISO/IEC27001国际标准化组织（ISO）和国际电工技术委员会（IEC）联手为信息系统管理实践创建了一个标准模型。安全配置指导除了一般框架外，许多组织还提供了有关操作安全的指南，最佳实践和基准的文档。组织可以使用这些指导来帮助加强其操作并遵守相关框架中提出的原则。指南通常被分为通用指南或平台/供应商特定指南。通用指南通常涉及一个首要地位的安全主题，如安全编码，并提供不需要专业知识的最佳实践。在安全编码的情况下，通用指南不会提供关于如何以特定语言或在特定平台上进行安全编码的知道，而是提供更高级别的建议，如执行一次全面的应用程序测试过程。另一方面因为每个平台和供应商都有自己的特殊需求，所以仍然需要更具体的知道方针。合规合规（Compliance）是指确保满足法律，法规，行业规范和标准以及组织标准等要求的做法。需要认识一些监管部门以便实现合规原则：政府立法机构。颁布各行业规则，法规和标准的政府监管机构。颁布每个行业的规则，法规和标准的行业协会。分层安全一种更包含多种不同防御途径的操作安全实现方法被称为分层安全（layer security）。一个有效的分层安全系统能实施控制环节每种威胁。尽管它们可能变得相当复杂且昂贵，但分层安全系统为易受各种攻击矢量影响的组织提供了最佳保护。分层防御计划可以借助供应商的多样性和控制的多样性提高其有效性。一个供应商可能会根据特定框架或模型开发他们的产品，因此一个产品中的弱点可能会体现在该供应商提供的其他产品中。与多个供应商合作可能可以缓解这种风险。同样选择不同类型的控制也能有所帮助。与其完全依靠技术控制来实现安全目标，不如在这些控制中增加使用管理性控制。但是拥有多样化基础架构的一个缺点是可能难以管理并且难以在不同的系统中实现流线操作。纵深防御纵深防御（Defence in depth）是一种利用分层安全方法的策略，但不是仅仅专注于用于保护系统及其数据的工具，而是用来规划用户培训，策略采用，物理防护以及其他更安全的安全策略。由于它涵盖了几乎所有可以想象的安全领域，所以纵深防御是非常出色的故障防御措施；如果任何一个要素被破坏，其他安全系统可以为组织争取到足够时间来停止或缓解攻击。课题B：在操作安全中结合文档记录安全策略安全策略（security policy）是定义了如何在特定组织内实现安全性的一种正式声明。它描述了组织为保护敏感数据和资源的机密性，可用性和完整性所采取的措施。它通常由多个单独策略组成。所有实施的安全措施应符合策略所声明的内容。每条策略中都包含或补充了一组成分：标准（Standard）定义了如何衡量对策略的遵从程度。指导方针（Guideline）是指如何满足策略标准制定的建议，建议或最佳实践。程序（Procedure）详细地逐步指导了如何实施策略的各个组成部分。这些程序被统称为标准操作程序（standard operating procedure/SOP）常见安全策略类型策略类型描述可接受使用策略（Acceptable use policy/AUP）说明了用户和其他人在利用组织和知识产权方面资源时的限制要求和准则——换句话说就是人员的行为规范。策略应该明确哪些组织资产的使用被认为是可接受的，哪些将被视为违反策略的不利行为。可接受的使用指导方针必须合理，不能干扰员工的基本工作职责或人权。允许或限制在工作时间使用个人电子邮件的策略声明就是AUP项目的一个例子。隐私策略定义了向其他方泄露组织或个人信息的标准。该策略应明确规定组织信息以及用户个人信息的保密程度，以及违反隐私策略的后果。用户还应当了解他们的工作场所中的哪些行为和沟通不会被视为私密。审计策略详细说明组织信息和资源在风险评估和审计方面的要求和参数。密码策略定义了创建密码复杂度的标准，它还定义了组织认为是若明码的情形以及保护密码安全的准则。无线标准策略定义了哪些无线设备可以连接到组织的网络，以及如何能以维持组织安全性的稳妥方式使用的这些设备。社交媒体策略定义了组织及其员工如何使用社交媒体网络和应用程序。虽然这些媒体可以成为共享信息，营销产品和服务的有效工具，但他们也可能会对组织的声誉产生负面影响。社交媒体策略可以是通用的，处理各种形式的在线写作和共享，也可以包含针对不同类型社交媒体的单独策略。人事管理人事管理（Personnel management）是确保所有组织内部或外部人员都会遵守策略的做法。人事管理计划将概述人员为保护业务操作而应当执行的各种任务和做法。人为因素是最重要的漏洞，特别是涉及社交工程攻击时，因此人事管理在减少给予人的风险上至关重要。职责分离职责分离（Separation of duties）策略说明了任何人都不应该拥有太多的权利或责任。职责和责任应该在个人之间进行分配，防止道德冲突或权利滥用。工作轮换工作轮换（job rotation）背后的理念是没有一个人长时间处于重要的工作岗位。轮换个人的工作岗位能帮助组织确保对任何个人的依赖性不会太高，因为重要的经验知识可以在可信员工之间传播。工作轮换还有助于防止权力滥用，降低枯燥性，提高个人的专业技能。强制休假强制员工休假是一个有着安全意义的人事管理问题。强制休假（mandatory vacations）提供了一个审查员工活动的机会。典型的强制休假策略要求员工每年至少进行一次休满一周的假期，这样就能连续的离开工作岗位至少五天。在此期间公司审计和安全员工有时间调查并发现员工活动中的任何偏差，当员工理解强制休假策略的安全焦点时，进行欺骗活动的几率就会降低。职责分离，工作轮换和强制休假的一个潜在缺陷就是可能会对生产力产生负面影响。其他的人事管理任务任务描述背景调查背景调查确保潜在雇员没有犯罪记录或在过去的雇主或其他机构哪里没有不良历史。不合适的国王行为可能暗示了该人员性格中的缺陷——这些缺陷可能会给组织带来额外风险。签署不公开协议（non-disclosure agreement/NDA）雇员或承包商签署NDA，就表明他们不会与第三方共享机密信息。如果雇员或承包商违反本协议并共享了此类信息，就可能会面临法律后果。NDA的用处在于它们能组织雇员和承包商违反雇主在协议中定制的信任关系。入职当加入新员工时，需要执行一些账户的管理任务。此外你还需要确保新员工了解它们被要求遵守的所有相关策略，并确保新员工拥有遵守这些策略所需要的全部资源。离职谈话在某些情况下，你的离职过程可能包括离职谈话。离职谈话是有价值的，因为这让你有机会接受员工的反馈，以便能够改善未来的就业机会。此外离职谈话还可以让你有机会晚会任何员工拥有的但未被记录下来的专业知识。离职谈话也可能揭示了员工对组织不满的情况，表示可能存在潜在风险。培训与意识即使不是全部，但在大部分的组织中人员是最薄弱的环节。只要有一位用户不小心，再强大的技术控制也会变得毫无意义。为了环节这种重大风险你可以采用的最重要的管理策略之一就是确保所有人员都接受安全培训。商业协议商业实体可能需要依赖各种类型的协议来促进互操作性。协议类型描述服务等级协议（Service-level agreement/SLA）这种协议明确规定了向客户提供哪些服务，以及为服务商提供哪些支持。服务可能包括了从软硬件到人力资源的各种内容。完善的SLA概述了基本服务期望以明确责任分工。商业合作协议（Business partner agreement/BPA）这种协议规定了商业实体之间将如何开展合作关系，以及在服务，财务和安全方面对每个实体的确切期望。处于安全目的，BPA应准确描述合作伙伴愿意相互分享的内容，以及如何处理任何组织之间的相互访问。谅解备忘录（Memorandum of understanding/MOU）这种协议通常不具有法律约束力，一般不涉及金钱交易。MOU的正式性不如传统合同，但对所有相关方仍然具有一定的重要程度。互联安全协议（Interconnection security agreement/ISA）这种协议适用于有合作关系的实体的信息系统，确保在组织之间使用的技术符合某种安全标准。由于它们对安全问题的关注相当密切，ISA通常被认为具有法律约束力。ISA还能支持Moussy以提高其安全可行性。在操作安全中结合文档记录的准则确保你有一个由组织业务和安全需求驱动的总体安全策略。确保安全策略充分描述了组织安全操作的目标和要求。考虑根据特定类型创建补充策略，如AUP和密码策略。将人事管理任务纳入安全策略。考虑将不同人员的职责分开。考虑强制要求员工每隔一段时间轮换工作职责。考虑强制要求所有员工每年至少修满一周的假期时间。考虑实施额外的人事管理任务，如背景调查和签署NDA。为所有人员实施网络安全的培训计划。确保人员接受的培训是持续性的。考虑根据人员在组织中履行的职责，对他们进行不同的培训。课题C：实施安全战略安全自动化可扩展性可扩展性（Scalability）是指计算环境能够从容的满足其日益增长的资源需求的属性。随着业务的增长，其技术工作量也随着增加。如果组织具有可扩展性，它就能够适应这些变化而不会造成重要的中断。横向扩展（scale out）是指在现有资源中并列的添加更多资源，纵向扩展（scale up就是指增强现有资源的能力）弹性弹性（Elasticity）是指计算环境可以即使对工作负载的增减需求做出反应的属性。尽管从宏观层面上看，企业的工作量需求可能会有净增长，但短期需求可能会来回波动。这就是为什么只有可扩展性还不够——你需要考虑在一段时间内需求了较低时环境如何降低其资源消耗。冗余冗余（Redundancy）是指计算环境除主要资源集意外还保留一组或多组额外资源的属性。换句话说冗余系统创建并维护了一些资源的副本。这些副本可以是完整且精确的，也可以指包含特定部分。冗余的目的是纠正可能危及主要资源集的任何问题，无论是数据方面还是硬件系统方面。发生并确定一项危害后，冗余系统就能重建主资源集或更正资源集中的某些错误。然后资源集就能继续提供所需的任何服务，而不会造成重大终端或资产损失。容错容错（Fault tolerance）是指计算环境承受可预见的组件故障并继续提供可接受范围内的服务水平的能力。容错措施有集中类型，包括哪些补偿电力中断或峰值，磁盘和数据存储损坏或丢失，以及网络组件故障或效率低下的措施。如果一个组件被损坏或发生故障，容错系统通常能采用某种资源的副本或冗余来维持功能。独立磁盘冗余阵列独立磁盘冗余阵列（Redundant array of independent disks/RAID）是一组与供应商无关的规格说明，能够支持多设备存储系统上配置的冗余和容错功能。如果一个或多个存储设备发生故障，则可以从其余设备中恢复数据。RAID可以通过操作系统软件来实现，但基于硬件的RAID实现更加高效且应用更加广泛。RAID有几种级别，每个级别提供不同的功能和效率组合。RAID级别由数字标识：RAID0，RAID1，RAID5和RAID6是最常见的。除RAID0外，所有RAID形式通过提供冗余来降低设备故障造成的损失威胁。RAID级别描述RAID0数据被分段写入多个存储设备，以提高性能。没有数据冗余，因此一个设备的故障会影响整个阵列。RAID1从一个存储设备中同步复制数据到另一种，降低了性能。这提供了冗余，因为故障设备上的数据Kenneth个仍然存在于镜像设备上。RAID5数据和一个被称为奇偶校验块的额外冗余块被分段在三个或更多磁盘上。这提供了更高的性能，并确保可以从奇偶校验快和其他功能设备中重建故障存储设备上的数据。RAID6与RAID5相同，但比它多一个奇偶校验快。这提供了更高的冗余度，因为如果有两个设备发生故障，其中的数据仍然可以从两个奇偶校验快和其他功能设备中重建。非持续性非持续性（Non-persistence）是指计算环境（通常是虚拟计算环境）一旦完成其分配的任务就会被丢弃的属性。考虑一个味组织中用户配置虚拟桌面基础架构（VDI）的情况。在标准的持续性模式下，用户可以根据自己的喜好自定义其虚拟桌面，并且这些自定义设置将在用户注销后保存。在非持续性模式下，一旦用户注销，虚拟机将恢复到已知状态，并且用户在绘画期间所进行的所有配置都将丢失。非持续性可以提高你的安全操作，因为它可以让你对虚拟环境执行更严格的控制。如果时间足够长，持久虚拟机最终会偏离安全基准，因此可能会成为一项漏洞。非持续性确保了这些偏差是暂时的，并且虚拟环境将始终回滚到已知配置，如由主镜像提供的配置。除主镜像之外，还可以通过使用快照（snapshot）启用非持续性。另一种启用非持续性的方法就是使用实时启动媒介。高可用性高可用性（High availability）表示系统在保持高水平性能的同时，与100%时间内提供数据可用性的目标接近程度。高可用性系统通常以百分比的形式进行衡量，这个百分比表示预计正常运行时间占总时间的比例。用于实现高可用性的一些方式包括资源的分布式分配，使用具备相似功能，负载均衡和冗余措施的计算机集群。部署环境部署并供应系统，资源和软件的过程通过几种不同类型对的环境来完成。环境描述开发开发内部软件的组织需要设计并积极编程该软件。组织可能会遵循各种开发方法或原则，确保能在这一过程中尽可能的实现安全性。测试对于任何类型的配置资产，测试是确保资产符合组织安全标准的关键步骤。你可以使用许多不同的测试方法和技术，包括特定操作环境中的沙盒软件，以及通过可信计算基础测量操作环境的完整性。分期分期（Staging）包括建立一个环境，通过该环境可以快速轻松地部署资产以便进行测试。分期环境通常会模拟或准确反映真实的生产环境，以便测试可以产生最真实的结果。生产测试过程结束后，组织将开始推动资产投入生产。在任何一种情况下，生产环境都被认为是“实时”的，因此必须时刻准备好提供高可用性以及其他安全保障。实施安全战略的准则在手动安全流程中补充使用自动化流程，以提高效率和准确率。确保系统具有足够的可扩展性，并且随着业务的增长可以满足长期的需求增长。确保系统具有弹性，能够满足资源需求的短期增减。确保关键系统具有容错能力，以便在发生故障或损害时将服务终端的时间降至最低。考虑在RAID中结合使用多个存储设备以实现冗余和容错功能。选择合适的RAID级别，提供能满足你的业务需求的相应冗余和容错能力。考虑纳入非持续性虚拟基础架构以便能更容易的维护基准安全。确保系统高度可用且能达到足够高的性能水平。考虑为组织资源实施一种或多种部署环境。课题D：管理数据安全的过程数据安全数据安全（Data security）是指保障组织数据的安全性和可访问下，同时组织对其进行未授权访问而采取的安全控制和措施。现在越来越多的数据可以在许多不同的地方进行存储和访问，因此组织不仅必须考虑到数据存储系统的物理访问，还要考虑访问它们的设备。数据安全必须应用于组织的各个层面：物理环境。所有传统计算设备和系统。所有用于商业的移动设备，特别是业务中使用智能手机和平板电脑的情况持续增长。数据安全的漏洞数据安全漏洞可能包括：使用越来越多的云计算来执行工作职能。缺乏对数据存储系统的限制性物理访问。缺乏用户意识。缺乏统一的数据策略。缺乏合适的数据管理实践。过时或执行不力的加密方案。缺乏合适的身份是被和访问管理（LAM）实践。数据存储方式常见的数据存储方式包括：传统网络服务器，其中包括直接连接到服务器的一个或多个存储设备。你可能会看到这种配置被称为直接附加存储（DAS）。网络附加存储（NAS），可以是一台通用功能的计算机，也可以是专门用于促进文件存储和提供的一种装置。存储区域网络（SAN），是一种提供数据的块级别存储的专用网络。基于云的存储，这是一种基于服务的数据存储系统。数据加密方式为了保护数据不受安全漏洞影响，你应当应用与数据级别相匹配的数据加密方法，包括：全磁盘加密，加密整个磁盘以及存储在其中的所有数据。数据库加密，加密存储在数据库中的敏感数据。文件加密，保护包含私密或机密数据的每个文件。安全数字（SD）卡，CD的DVD上的可移动媒体加密，保护存储在媒体上的数据。移动设备加密，保护存储在智能手机或其他移动该设备上的任何数据。电子邮件加密功能可以加密并保护电子邮件和附件，防止未经授权的用户阅读。语音加密，保护网络中的语音通信和数据。数据敏感性在涉及信息安全时，通常会为数据分配特定的标签。该便桥定义了组织处理有关数据访问，使用，修改和删除的方式。数据的敏感性是能够帮助标记数据的最重要因为之一。公共信息，在访问方面几乎没有限制，但仍应防止未经授权的修改或可用性的缺失。秘密信息，指提供给组织或其他业务单位内部的人员使用，如公司机密，专利数据，商业分析等。受限制的信息，这些信息只应提供给组织中具有适当等级许可的特定人员。机密信息，只应提供给存储数据的组织以及数据所属的客户数据管理的角色当设计管理数据时，一些组织会将职责分成不同的角色。角色描述所有者所有者是指最终负责数据的人，如业务主管或经理。所有者负责标记资产，并确保通过适当的控制来保护资产，所有者通常还会选择一名保管人并指示他们的行为。保管人通常IT运维人员对数据管理负有持续的责任。由于所有者可能没有广泛的技术知识，因此根据业主要求实际应用了的安全控制措施的是保管人。保管人还执行定期备份，确保备份的安全性并定期检查安全设置。隐私保密官当设计机密的客户数据或引发个人用户隐私问题的任何其他数据时，组织有义务确保数据不会向公众泄露。隐私保密官将确保访问系统沟通过一定的设置使客户能够查看他们自己的死人信息，而不是系统中任何其他实体的死人信息。用户虽然用户不需要负责受保护数据的标记或维护，但他们有责任遵守安全策略和程序，以确保他们不会将数据置于危险之中。数据保留数据保留（Data retention）是指组织维护特定数据的存在于控制的过程，使之能够遵守商业策略或使用的法律法规。数据处理数据处理（Data disposal）也称为数据销毁，是指彻底消除存储介质中的数据使之无法被恢复的做法。处理方式描述清理（Sanitization）也称为擦除或清除，这种方法会在虚拟层面上完全删除存储介质中的所有数据。媒介本身没有受到实质上海，并且可以在不保留任何原始数据的情况下重新加以利用。清理通常是通过操作系统或软件工具开始实施的，这些工具将在存储设备中随机或全部的写入零位元。消磁（Degaussing）对磁盘驱动器施加强大的磁力，使之失去磁荷并且无法使用。消磁仅适用于通过磁性存储数据的介质，如硬盘驱动器。固态驱动器无法进行消磁。与清理不同的是，消磁是一个物理过程，一些媒介类型在经历这个过程后无法再进行操作。粉碎大型工业机器粉碎存储驱动器，使其物理组件被损毁，其中的数据内容同样也无法恢复。焚烧这种方法更常用于销毁纸质记录，但也可用于缓慢的销毁存储设备及其中的内容。管理数据安全的准则管理数据的安全性时：在组织的所有层面上应用数据安全性。审核在组织中数据可能会以那些不同方式受到损害。选择最适合商业需求的数据存储方式。选择最适合你的数据安全需求的数据加密方法。根据数据的敏感度和目的标记每组数据。将数据管理职责划分为不同职责的多个角色。确定法律规定的数据保留要求。平衡数据保留要求与隐私要求。使用一种方法安全的梳理数据。思考某种处理方法如何使你可以或不可以恢复物理存储介质。课题E：实施物理控制物理安全控制物理安全控制是用于限制，检测和监控特定物理区域或资产访问的安全措施。确定使用武力访问控制的位置需要执行成本效益分析，并且必须考虑保护特定类型的数据需要遵循的任何法规或其他合规性要求。有多种方法可以对不同的物理安全控制进行分类：遏制性控制在第一时间组织攻击者进行攻击。预防性控制在可能造成伤害之前阻止攻击。检测性控制识别正在进行的攻击。纠正性控制可将系统恢复到攻击之前的状态或以其他方式缓解攻击的影响。当所需或期望控制无法完全实施时，补偿性控制可以成为另一种选择。技术性控制是能帮助保护有形资产的软硬件。管理性控制利用安全策略，并用于培训人员。物理安全控制类型物理安全控制描述锁定可以使用多种不同的锁定方式来防止对信息资源的未授权访问。螺栓门锁，组合门锁或密码锁，电子门锁，生物识别门锁，硬件锁。钥匙管理用来打开锁的钥匙必须保护其不会受到未授权访问。维护和审查审计跟踪对于管理物理钥匙也很重要。日志记录和访客访问应在所有对公众开放的入口处使用日志记录。这种方法要求所有访客在进入和离开建筑物时都要签到和签出。视频监控可以部署闭路电视或IP摄像机进行视频或禁止图像的监控，以阻止或检测不想要的访问。保安人员武装或非武装的保安人员可以部署在某个位置的前方和周围进行保护。他们可以监控关键检查点并核实身份，允许或禁止访问，并记录物理入口的事件。标志标志简单直接，但他们可以有效防范不那么坚决的入侵者。照明建筑物内部和周围的充足照明也可以成为一种威慑，尤其是对于师徒使用黑暗掩护的入侵者。诱捕陷阱（Mantrap）门诱捕陷阱门系统也被称为双道门（deadman door），是指在安全室两端各有一扇门的系统。物理障碍高度安全资源的位置不应该包含窗户或者可以从建筑物外部被看见。安全容器钥匙，敏感硬件和其他物理资产应当被放置在安全的容器中，以便即使建筑物内部出现威胁时，他们也无法危机这些资产。法拉第笼（Faraday cage）法拉第笼是一种金属丝网容器，大到可以完全包住整个房间，或者小到只有一个袋子的大小。这种网格被设计为组织外部电磁场进入容器。屏幕过滤器（screen filter）屏幕过滤器连接到显示器和其他屏幕，并限制其视角，使之难以从某些位置看到屏幕上的内容。警报由未经授权的访问尝试激活的警报需要进行快速响应。运动检测检测运动的传感器可以出发警报并提醒当局可能的入侵者。受保护的配电（Protected distribution）受保护的配电系统旨在使攻击者难以破坏通讯网络的物理布线。环境暴露在评估建筑物的整体安全性时，应考虑环境暴露。任何环境暴露都可能会引起一些问题：电力波动和故障。水流破坏和洪灾。火灾。建筑物的结构性损坏导致了未经授权的访问。环境控制环境控制描述暖通空调（HVAC）系统HVAC系统控制建筑物内的环境：计算机设备应保持在72°-76°华氏度范围内，相对湿度应控制在40%-60%之间。冷热通道（Hot and cold aisle）冷热通道布局旨在控制进出系统的空气流动，通过战略性的部署通风口和排气扇在硬件和房间中保持想要的温度和湿度。警报控制面板组织警报系统的主控制面板应受到保护，避免任何形式的暴露。防火火灾保护的第一条规则就是预防火灾。火灾检测商业火灾检测系统应连接到指示疑似火灾位置的中央报告站。灭火电脑设施中发生火灾特别危险，对计算机系统早晨更多损害需要付出非常昂贵的代价，并且及其中使用的化学物质在火灾中可能会释放出有毒物质。虽然气态系统通常能为计算机设备提供更合适的保护，但地方辖区常常要求使用水源灭火系统。环境监控如果想要妥善保护并防止资源受到侵害，定期监控建筑物周围的环境情况和控制措施以及存储在其中的硬件是非常重要的一项任务。监控系统可能可以与现有的控制系统更直接连接，或者控制系统本身就自带监控机制。安全从安全角度来看，员工和财产的安全也是一个重要问题。毕竟人员的健康和他们使用的硬件对于保持最高效率的操作运营来说是必不可少的。安全控制受到磨损消耗应该成为一项主要关注点。你需要确保你的人员和财产在任何时间点上都不会受到影响。实施物理控制的准则实施物理控制时：进行成本效益分析，确定部署物理安全控制的地点和时间。确定需要执行特定物理控制的任何规定。实施适合你的设施和其他环节的各种物理控制类型。认识到你的物理环节可能会暴露在不利的环境条件下。实施HVAC系统和消防管理流程等环境控制，以降低暴露风险。确保对环境风险进行持续监控。确保安全操作中的优先事项是人员和财产安全。思考现有的物理控制如何帮助实现安全控制。制定火灾或毒气泄漏危险事件中的逃生计划。定期进行演习以测试人员的准备情况。务必对安全控制装置进行持续性的测试，确保其符合安全标准。
课题A：确定高级密码学概念密码学元素密码学的学科包含几个自概念：密码学元素描述混淆（Confusion）使加密密钥和密文之间的关系变得尽可能复杂和隐蔽的技术。混淆可以防止攻击者选择性的生成明文消息的加密版本并寻找他们关系中的某些模式。扩散（Diffusion）即使在明文输入中发生轻微变化也能使密文温升剧烈变化的一种技术。扩散能防止攻击者选择性的确定由相同密钥加密的部分消息。冲突（Collision）两个不同的明文输入产生完全相同的密文输出。如果加密算法易受冲突影响，其完整性就会减弱，并且攻击者可以用另一个能产生相同密文的消息替换的这个消息。模糊（Obfuscation）正如你所见，模糊处理使得源代码变得更加难以阅读。因此模糊处理与加密类型。但是模糊处理中不涉及密钥的使用——任何知道模糊算法的人都能将代码转换回可读形式。因此模糊代码的安全性比加密数据更低。伪随机数生成（PRNG）这是一种由算法产生伪随机数的过程，伪随机数是指由着近似随机性的数字，但不是真正的随机。伪随机数是基于初始种子状态生成的，这是定义数字生成第一阶段的一个数字。然后种子状态通过一个数学公式输出伪随机数。加密密钥的生成倾向于使用伪随机数。完全正向保密（Perfect forward secrecy/PFS）当某个会话期间使用的一个密钥受到损害时，这种会话加密特性能确保之前由该密钥加密的数据不会受到影响。如果攻击者恰好窃取到私钥，PFS可以防止攻击者破坏以往的会话。散列概念散列一个明文输入会产生一个固定长度的密文输出，被称为消息摘要，反之则不然。但是如果攻击者在彩虹表中计算大量消息摘要，则明文输入可能是可预测的。密码盐（cryptographic salt）通过为每个明文输入输入添加一个伪随机值来缓解彩虹表攻击的影响。它能对摘要造成重大改变。如果盐本身发生变化，那么使用不同盐的相同明文输入将生成两个独特的摘要。盐值通常与散列数据存储在一起，因此盐本身不会被隐藏，但即使攻击者知道特定会话的盐值，他们也需要结合这个盐值来计算新的唯一彩虹表，这是不可行的。在任何包含密码散列的安全系统中，为散列添加盐值都是必须的。与密码盐有关的是一个临时数（nonce）。临时数是仅指使用一次的数字。盐可以在会话之间改变，但也可以保持不变——正如其名称所暗示的，临时数永远不会重复。鉴于盐通常用于散列密码的情况下，认证协议中更常使用临时数来防止重放攻击。盐和临时数都可以被认为是初始化向量（IV），这是一种通用术语，描述了用于初始化加密任务的任何指，以确保么米格输出都是唯一的。虽然IV通常用于双向加密方法而非单向散列的环境下，但这些术语经常被混合使用。数据状态有三种主要的数据状态，每种状态都有各自的密码相关性。静止数据（Data at reset）主要是指被存储在各种介质上的任何数据，不会从一种介质移动到另一种介质。可能禁止的数据类型的示例包括存储在数据库中的财务信息，归档试听媒体，操作策略和其他管理文档，系统配置数据等等。根据其敏感程度的级别，禁止数据可以由管理数据的软件或存储数据的硬件进行加密。在发生违规事件时，加密的静止数据通过防止攻击者向公众或其他未授权方传播私人数据支持了数据的机密性。传输中的数据（Data in transit）主要是指在媒介之间移动的任何数据，例如通过专用网络或互联网传输。可能正在传输的数据类型的示例包括网站流量，远程访问流量，云存储库之间的数据同步等等。在数据可以被认为是静止之前，它通常会在计算机之间传输。加密这些数据能防止中间人攻击危及传输通道和流经它的任何数据。正在使用的数据（Data in use）是指当前正在被创建，删除，读取或写入的任何数据。可能正在使用的数据类型的示例包括在文字处理应用程序中打开的文档，当前正在被修改的数据库数据，操作系统运行时生成的时间日志等等。当用户使用数据时，这些数据通常需要先进行解密，因为它从静止状态变为使用状态。数据在整个工作会话中可能会保持未加密状态，使其处于危险之中。但是有些机制能够加密存储在内存中的数据，使第三方无法解码信息。密钥交换密钥交换（Key exchange）是指加密密钥在实体之间传输时使用的任何方法，以便能够使用加密算法。为了使发送者和接受者能交换加密消息，每一方都必须准备好加密被发送的消息并解密被接收的消息。他们需要准备的内容取决于所使用的加密技术。如果他们使用代码，则两者都需要相同的代码薄副本。如果他们使用密码（cipher），他们将需要适当的密钥：如果密码是对称密钥密码，则两者都需要相同密钥副本。如果密码是具有公钥/公钥属性的非对称密钥密码，则任何需要加密消息的实体都需要收件人的公钥。密钥交换有两种基本类型：带内（in-band）和带外（out-of-band）。带内密钥交换使用与共享数据相同的路径，而带外交换则使用不同的路径，例如电话呼叫或实际会议。对称密钥加密需要带外密钥交换以避免密钥被拦截。、数字证书数字证书（digital signature）是以用户私钥加密的消息摘要。非对称加密算法可以与散列算法一起使用来创建数字签名。发送方创建消息文本的散列版本，然后使用发送方的私钥加密散列本身。加密的散列作为数字签名附加到消息上。发送方向接受方提供签名消息和相应的公钥。接收方使用公钥来解密签名以显示发送方的散列版本。这种方式可以证明发送方的身份，因为如果公钥和私钥不匹配，接收方就将无法解密签名。然后接收方用公钥创建文档的新散列版本并比较这两个散列值。如果它们匹配，就证明数据没有被修改。因此数字签名能同时支持身份验证和完整性。由于特定的加密散列值对发送方来说是唯一的，因此数字签名也支持不可否认性。数字签名是一种散列，随后才是被加密的概念。如果没有加密，对方就能轻易地：拦截文件和散列。修改文件。重新创建散列。将修改后的文件和散列发送给接收方。密码套件密码套件（cipher suite）是用于在主机之间建立安全连接的对称和非对称加密算法集合。通常与安全层套接字（SSL）/传输层安全性（TLS）网络协议有关，已有200多种已知密码套件可用，每种都提供不同级别的保护。使用弱密码的密码套件应当避免；这种套件对于现代使用而言密钥长度通常太短。具有强密码的密码套件使用128位或256位密钥长度，并且算法本身中没有已知的重大漏洞。密码套件定义了密钥交换算法，批量加密算法，消息认证码算法和伪随机函数。密码套件的组成描述密钥交换算法确定客户端和服务器在SSL/TLS连接握手过程中是否以及如何进行身份验证。Bulk加密算法加密实际的消息流，并包含密钥大小。消息认证码算法创建消息摘要伪随机函数创建主密钥，主密钥是指在两个保持连接的系统之间共享的48字节密钥。会话密钥会话密钥（session key）是一次性使用的对称密钥，用于加密单个相关通讯系列中的所有消息，使用会话密钥有两个主要原因。随着越来越多使用特定密钥加密的素材变得可用，使得一些密码分析攻击变得更容易或更成功。通过将密钥的使用限制在唯一的通信会话中，就能限制用该密钥加密的数据量。使用会话密钥比单独使用非对称加密更快，更搞笑。你仍可以使用非对称算法加密另一个更快对称算法的对称密钥。这确保了密钥被安全的进行分配，并且还能提高整体性能。这有时被称为混合密码术。密钥延展密钥延展（Key stretching）是一种可能可以加强弱密码密钥（如人们创建的密码或通行码）的技术，防止暴力破解。在密钥延展中，原始密钥通过在密钥延展算法中运行来得到增强。增强型密钥通常大于128位，这使得他们难以通过暴力攻击被破解。密钥延展技术包括：重复循环加密散列函数。重复循环块密码。密钥用于密码的情况下，配置密码的密钥调度以增加密钥设置所需的时间。密码学方面的的特殊考虑除了迄今为止所研究的密码学概念和技术之外，还有一些你需要考虑的密码学特性。这些特性仅适用于一些常见用力，不适用于其他情况。考虑描述低延迟在许多业务场景中，处理数据时话费的每一秒都不能忽略。加密操作最终可能在某种状态下的数据上花费了相当的处理时间。因此，密码算法的一个目标是实现低延迟，这里的延迟一般被定义为将输入添加到用于处理的算法中与获得输出之间的时间。低功耗设备低延迟算法或轻量级算法的一种特定应用是针对那些耗能非常少且处理能力最低的设备。例如物联网（IOT）和智能设备在可用资源方面有一定的限制。同时有必要在这些资源与设备的安全要求之间取得平衡。因此轻量级算法指在提供足够的安全性，同时消耗最少的资源。泄露回弹加密算法和技术可能会容易受到旁路攻击（side-channel attack）的影响，这种攻击方式会手机加密实施过程中的物理信息，如系统消耗了多少能源，在执行加密技术时处理器处于何种状态等。此类信息可以帮助执行特殊的分析，使攻击者得以破解加密实施。为了防御这种攻击，一些算法针对信息泄露提供了高度的恢复能力。泄露回弹技术致力于消除全部或部分泄露来源；或者致力于切断被泄露信息与保密材料之间的联系。课题B：选择加密算法密码的类型加密密码有两种主要的类型：流密码和块密码、类型描述流密码（Stream cipher）一种一次加密一个位元的数据加密类型。每个明文位元被转换成加密密文。这些密码的执行速度相对姜块，并且不需要太多的性能开销。密文的大小与原文相同，这种方法比其他方法产生的错误更小，并且发生错误时，它们只会影响一个位元。块密码（Block cipher）这种密码一次性加密一个数据块，通常以64位的数据块形式进行加密。这种密码通常更强大，更安全，但它的性能也比流加密更低。块密码通过多种可能运算模式中的一种来实现，这些模式定义了块密码将如何重复地将数据转换为多个块。常见的运算模式包括：电子代码薄（Electronic Code Book/ECB），其中每个明文块都使用相同的密钥加密。密码块链接（Cipher Block Chaining/CBC），其中使用初始向量（IV）加密第一个明文块，然后，对于每个后续操作，明文块和前一个密文块通过异或（XOR）进行运算。密码反馈（Cipher Feedback/CFB），其中先对IV进行加密，然后用它的结果与前一个明文块进行异或运算。输出反馈（Output Fedback/OFB），其中加密IV的结果会被反馈到后续运算中。计数器（Counter/CTR）或计数器模式（Counter Mode/CTM），其中使用数字计数器的值创建不断变化的IV。填充/明文密码块链接（Propagating/Plaintext Cipher Block Chaining/PCBC），其中每个明文块都与千米那的明文块和密文块进行异或运算。伽罗瓦/计数器模式（Galois/Counter Mode/GCM），在密码模式的标准加密服务中加入了认证功能。散列算法的类型散列算法描述消息摘要5（MD5）该算法产生一个128位的消息摘要。它由Ronald River创建，现在处于共有领域。MD5已经不再被认为是一种强大的散列函数，因此应当避免使用；但是，它在一些有限的情况下仍然有用，例如计算机取证。安全散列算法（SHA）这种算法在MD5之后建模，被认为是两者中较强的一个。SHA的常用版本包括产生160位散列值SHA-1，而SHA-256，SHA-384和SHA-512分别产生256位，384位和512位的摘要。SHA-1因其对冲突攻击的弱点而被弃用。RACE原始完整性校验消息摘要（RIPEMD）RIPEMD是基于现在已经过时的MD4算法中使用的设计原则进行设计的。128位，160位，256位和320位版本分别被称为RIPEMD-128，RIPEMD-160，RIPEMD-256和RIPEMD-320。256位和320位版本降低了产生重复输出散列的概率，但在高级安全性方面表现不佳。IPEMD-160由开放学术社区设计，并且它的使用频率低于SHA-1。基于散列的消息认证码（HMAC）这是一种通过将密码散列函数与密钥组合在一起来验证消息完整性和真实性的方法。最终的计算是基于使用的底层散列函数来进行命名的。例如如果SHA-256是散列函数，那么HMAC算法就被命名为HMAC-SHA256。对称加密算法的类型数据加密标准（DES）一种块密码对称加密算法，它使用一个56位的密钥对64位的数据块进行加密，其中密钥中有8位用于奇偶校验。短密钥长度使DES称为一种相对较弱的算法，尽管它需要较少的性能开销。三次DES（3DES）这种对称加密算法对每个数据块进行三次处理，每次使用不同的密钥，以此进行数据的加密。它首先使用一个密钥将明文加密成密文，然后用另一个密钥加密该密文，最后用第三种密钥加密第二次形成的密文。3DES比DES更强大，但也将性能影响提高了三倍。高级加密标准（AES）由比利时密码学家开发的对称128位，192或256位块密码，被美国政府采纳作为加密标准以取代DES。这种AES算法以其创建者的名字被命名为Rijindael。Rijindael是NIST举办的AES竞赛中被认为可采纳的五种算法之一。AES被认为是目前最强大的加密算法之一，其性能优于3DES。Blowfish一种免费的可用的64位块密码算法，使用可变的密钥长度。Blowfish已经不再被认为是强大的。虽然它提供比DES更好的性能。Twofish一种对称密钥块密码，与Blowfish类似，包含一个128位的块和256位的密钥。虽然未被选作一种标准，但它在AES竞赛中挺进了前五。Twofish加密使用一个预计算的加密算法。这个加密算法是一个依赖密钥的S盒，当给定密钥时，这个相对较为复杂的密钥算法就会在其位置上提供一个置换密钥。这被称为“n”，有128，192和256位大小。“n”的一半由加密密钥组成，另一半包含了在加密算法中使用的一个修饰符。Twofish比Blowfish更加强大，并且提供了相对较高的性能。Rivest Cipher（RC）4,5,6由Ronald Rivest开发的一系列算法。所有算法都有着可变的密钥长度。RC4是一种流密码。RC5和RC6是大小可变的块密码。RC6被认为是一种强大的密码，并提供良好的性能。非对称加密算法的类型非对称技术描述Rivest Shamir Adelman（RSA）以它的设计者Ronald Rivest，Adi Shamir和Len Adelman命名，RSA是第一个用于公钥加密的成功算法。它有一个可变的密钥长度和块大小。这种算法仍在广泛使用中，并且如果它使用了足够长的密钥，就能被认为具有高度安全。Diffie-Hellman（DH）提供安全密钥交换的密码技术。在1976的描述中，它奠定了大多数公钥加密实现的基础，包括RSA，DHE和ECDHE。DH交换中使用的密钥强度由组决定。组的数量越高，密钥的安全性越高，并且添加到计算中的处理开销也越多。Diffie-Hellman临时（DHE）DH的一种变形，使用临时密钥来提供安全的密钥交换。椭圆曲线加密（ECC）一种利用有限域上椭圆曲线的代数结构的公钥加密技术。ECC通常与无线和移动设备仪器使用。椭圆曲线Diffie-Hellman临时（ECDHE）用于数字签名的公钥加密标准，为消息提供了身份验证和完整性验证。数字签名算法（DSA）用于数字签名的公钥加密标准，为消息提供了身份验证和完整性验证。良好隐私（PGP）和GNU隐私卫士（GPG）PGP是转悠的电子邮件安全的身份验证软件，使用公钥加密技术的一种变形来对电子邮件进行加密。GPG是PGP的开源版本，提供了等效加密和认证服务。密钥延展算法的类型一种流行的密钥延展方法就是使用密钥衍生函数：基于密码的密钥衍生函数2（Password-Base Key Derivation Function 2/PBKDF2）是来自RSA实验室的公开密钥密码标准中的一部分。这个密钥衍生函数使用五个输入参数来创建衍生密钥：伪随机函数，例如散列，密码或HMAC。用于生成衍生密钥的主密码。密码盐。进行循环的函数的制定迭代次数。衍生密钥的期望长度。bcrypt是基于Blowfish密码的密钥衍生函数。像PBKDF2一样，它使用密码盐，但也会通过增加迭代次数随时间的推移而进行调节。有针对Ruby，Python，C，C#，Perl，PHP，Java和其他语言的bcrypt实现。替换密码用于支持混淆的最基本技术之一是替换密码（substitution cipher）。在替换密码中，每个明文单元在转换为密文时保持相同的顺序，但单元的实际值发生了变化。为了解除密文的混淆，则只要应用反向替代。例如ROT13就是一个简单的替换密码，用字母表上位于该字母后面的第十三个字母替换它。换句话说字母“A”编程字母“N”，例如词语“substitution cipher”变成“fhofgvghgvba pvcure”。这种替代密码提供了一种非常基本的混淆形式，且相比严肃的技术更像是一种教学工具。与此同时，替代概念还被用于某些安全环境中（如S盒的替换密钥）。异或用于混淆的另一种技术是异或（exclusive/XOR）运算。从最基本的意义上看，只有当一个输入威震，另一个输入为假时，XOR运算才会输出为真。该运算本身被称为“XORing”，在运行计算时称两个输入为“取其中不相同部分（XORed）”。XORing是逐位进行的，这意味着该操作对每一位都有效。在密码学领域，异或运算通常用于混淆恶意代码。由于异或运算快速，简单且只需要很少的处理开销，因此他们常常被有着丰富知识的恶意软件作者用来隐藏他们的恶意软件以免被检测到。到吗通过混淆器进行，混淆器会对代码进行异或运算，使代码的基本分析变得困难。混淆与隐匿式安全（security through obscurity）理念密切相关，这是一种师徒向他人掩盖脆弱存在的做法。虽然隐匿式安全可以有效的为你的安全操作添砖加瓦，但不应仅仅依靠它来实现安全性。大多数情况下，攻击者是否会发现你试图隐藏的漏洞并不是一个问题，问题是何时发现。加密模块加密模块（cryptographic module）是指实现一个或多个加密概念的任何软硬件解决方案，如前面提到的不同加解密算法。一旦你选择了一个足够强大的算法在你的环境中使用，就需要通过一些方法将该算法应用到需要保护的资产中；加密模块促进了实施过程。一种模块类型是加密服务提供程序（Cryptographic Service Provider/CSP）。课题C：配置公钥基础架构公钥基础架构公钥基础架构（public key infrastructure/PKI）是一个由证书颁发机构，证书，软件，服务和其他密码组件组成的系统，用于实现数据和实体的真实性和有效性。PKI可以以各种分层结构实施，可以面向公众开放也可以由组织进行私有维护。PKI实施了非对称加密过程，实现了网络数据的加解密，包括通过互联网进行的交易。PKI组件PKI组件描述数字证书（digital certificate）数字证书是PKI最基本的组成部分，PKI的首要任务是以各种方式管理数字证书。数字证书是一种将证书与公钥关联起来的电子文档。用户和设备都可以持有证书。证书通过数字签名验证证书持有者的身份，证书也是分发持有者公钥的一种方式。此外证书还包含与持有人身份有关的信息。对象识别符（Object identifier/OID）包含在证书中的身份信息是通过OID提供的。有许多OID与常用证书类型相关联，每种OID都定义了证书所有者身份的某个维度。OID被格式化为一系列由句点分割的数字。证书颁发机构（certificate authority/CA）CA是指发布数字证书并维护关联私钥/公钥对的服务器。注册机构（registration authority/RA）RA服务器负责验证用户和设备的身份以及批准或拒绝数字证书的请求。证书签名请求（Certificate signing request/CSR）CSR是指发送到CA的消息，其中的资源会申请证书。通常包含被纳入到资源证书中的信息，如公钥，数字签名和其他识别信息。CA层次结构CA层次结构（CA hierarchy）或信任模型是指一个或一组共同协作用于发布数字证书的CA。层次结构中的每个CA与它正上方的CA具有父子关系。CA层次结构提供了一种在多个CA之间分配证书工作的方式，并提高了证书服务供应的效率。如果一个CA受损，只有由这个特定CA发布的证书及其子证书无效。层次结构中的其余CA仍将保持有效。当用户，设备或其他实体获得证书时，会通过信任链（chain of trust）验证此证书。信任链从底部开始并沿着CA层次结构向上进行。直接呈现给实体的证书可能由另一个CA签署，而这个CA又是由其上方的CA依次签署，以此类推。如果要信任某个证书，实体就必须信任链中的每一个链接，因为它的工作方式正式如此。相比典型CA层次结构，证书锁定（Certificate pinning）是一种更直接的信任证书的方式。根CA根CA（root CA）是层次结构中最高的CA，因此也是最可信的权威机构。根CA发布并自签署链中的第一个证书。根CA必须是安全的，因为如果它受到损害，所有其他证书都将失效。根CA可以被指定为共有或私有：私有根CA（private root CA）由公司创建，主要在公司内部使用。这种根CA可以由内部进行设置和配置，也可以外包给第三方供应商。共有根CA（public root CA）由第三方或商业供应商创建，供公众进行一般访问。从属CA从属CA（Subordinate CA）是指层次结构中根目录下的任何CA。从属CA颁发证书并提供证书的日常管理，包括续订，暂停和撤销。离线根CA为了为根CA提供尽可能最安全的环境，组织通常会设置根CA并使其离线，从而允许从属CA颁发所有其余的证书，从这种意义上看，使根CA离线以为着将其与网络断开连接，并将其置于断电状态。这种策略确保网络中的任何人都无法访问根CA，因此受攻击的可能性大大降低。需要记住的是如果根CA受到危害，则层次结构中的所有证书都会受到影响。因此使根CA保持联机状态是非常危险和不明智的。证书的类型证书可以颁发给许多不同类型的实体，也可以为组织中各种不同目的而颁发证书。证书类型描述自签名（Self-signed）自签名证书是指由签署该证书的同一个实体拥有的证书。换句话说这种证书不承认信任链上的任何更高层权威机构——实体本质上是在证明自己。自签名证书要求客户端直接信任实体。根根证书由根CA颁发，证明信任链中其下所有其他证书的有效性。由于链中没有比根证书更高的权威机构，所以它必须是自签名的。用户在不鼓励记住和管理密码的情况下，会向用户颁发用户证书。例如在SSH的许多实现中，当用户想在系统上打开一个远程shell时，就会向SSH服务器出示他们的证书。计算机也可以向LAM系统中具有个人或组身份的计算机颁发证书。如果计算机需要安全地连接到网络中的另一台机器，就可能需要使用证书来进行身份验证，而不是使用更人性化的密码。电子邮件这种证书用于对安全/多用途Internet邮件扩展(S/MIME)协议中的电子邮件消息进行认证和加密。S/MIME的用途与PGP类似，但需要依赖PKI的集中管理。代码签名在开发者将应用程序发布给他们的客户之前，他们通常会对源代码进行数字签名，以便客户可以验证该应用是否合法。在许多情况下，代码是使用开发人员自己的自签名证书签署的，但开发人员也可以利用CA颁发的证书。主体备用名称（Subject Alternative Name/SAN）在某些情况下，拥有多个域的组织可能想要将这些域组合到一个SSL/TLS证书中。SAN是X.509证书标准的一种扩展，为组织提供了配置证书范围以涵盖多个域的能力。通配符（Wildcard）通配符证书与SAN证书相似，但并非实现了多个域的同时使用，而是使证书可以适用于多个子域。域验证（Domain validation/DV）域验证证书表明某些实体可以通过不同的方法来控制特定域名，例如向域的Whois记录中的联系人发送电子邮件并等待响应。这些证书提供的验证相对较弱，因为实际上它们无法证明这个域是由生成拥有该域控制器的实体合法拥有。扩展验证（Extended validation/EV）为了应对域验证证书的弱点，扩展验证证书提供了一种强大的多的证据，即一个合法实体拥有特定域的所有权。对大多数公共CA而言，颁发EV需要执行彻底的检查以验证实体，例如通过公共目录中列出的电话号码验证联系人，并要求通过验证的联系人有一位为其提供担保的监督员。X.509PKI和CA层次结构遵循一种用于格式化证书的标准，称为X.509。X.509使用CSR中提供的信息定义了证书的结构。除公钥之外，X.509证书通常还包含以下信息：X.509版本。证书的序列号。用于签署证书的算法。发行实体的名称。证书有效的时间段。由证书验证的主体的名称。可选属性，如组织名称，组织单位，地区，城市，州，联系电子邮件地址等。证书文件格式X.509证书可以以不同的文件格式存在，每种格式都以不同方式配置X.509信息。X.509文件格式描述.der这种格式以二进制可辨别编码规则（DER）格式对证书进行编码。.pem隐私增强型电子邮件（PEM）格式使用Base64编码DER证书。使用这种格式的文件始终以“——BEGIN CERTIFICATS——”并以“——END CERTIFICATS——”行结束。.cer这种格式以二进制DER格式编码证书，但在Windows系统中也可能包含以PEM编码的数据。类Unix系统上的等效格式使用.crt扩展名。.p7b这种格式使用公钥加密标准#7（PKCS#7）以Base64格式编码证书数。PKCS#7编码证书不能包含私钥数据。.p12这种格式使用公钥假面标准#12（PKCS#12）以Base64格式编码证书数据。PKCS#12编码的证书可以包含私钥数据并且可能受密码保护。.pfx这种格式由Microsoft开发，是PKCS#12的前身。这两种格式经互换使用。CA层次结构的设计选型你的CA层次结构的设计将取决于组织的业务和安全要求。公司配置CA层次结构的实施几十名本地员工使用没有从属的单个根CA，这个CA为办公地点上的所有员工提供服务。分布全世界的数千名员工从属CA根据地理位置进行制定，以平衡各个CA中颁发的证书数量只需要访问特定应用程序的个人从属CA根据功能或由部门制定，使独立CA能为具有特定资源需求的人群提供服务严格的安全性允许个人对同一资源拥有不同的访问级别从属CA根据获得证书所需的安全性进行制定。有些CA可能会被设置为颁发使用网络ID的密码的证书；其他一些CA可能会要求个人出示有效的驾驶执照。课题D：注册证书证书注册过程用户和其他实体通过证书过程从CA中获取证书。注册步骤说明1.实体请求证书实体安全程序获得证书。2.RA认证实体认证根据证书策略的要求进行确定。3.将策略应用到请求中RA应用与颁发证书的特定CA相关的证书策略。4.请求被发送到CA如果实体的身份成功通过认证并且满足策略要求，则RA将证书请求发送到CA。5.CA颁发证书CA创建证书并将其放入存储库。6.通知实体CA通知实体证书可用于交付证书。7.证书安装获得证书后，可以使用何时的工具进行安装。证书生命周期证书生命周期中有几个主要阶段：证书生命周期的阶段描述1.颁发生命周期从根CA发布其自签名密钥对开始。然后根CA开始向其他CA和最终用户颁发证书。2.注册用户和其他实体通过证书注册过程从CA获取证书。3a.续订根据证书策略参数，证书可以多次续订。3b.撤销证书可在其到期日期之前撤销，从而使其永久失效。证书可能会因为各种原因被撤销，包括误用，遗失或破坏。3c.到期证书在一定的时间长度后会带起，这种特征被建立在证书策略中并在颁发CA的过程中进行配置。到期参数是证书数据的一部分。如果根CA的证书过期，那么整个CA链就会变得无效。3d.暂停除永久性撤销外，一些CA还支持证书的临时暂停。证书生命周期的管理从一般规律上看，生命周期越长，设计的管理开销越小。然后这也可能会带来更高的安全风险，因为更长的生命周期也会给攻击者更多的时间来破坏密钥对的密码或以其他方式危害系统。而且随着生命周期的缩短，密码学领域中的新发展使你能够为你的实体颁发和续签更安全的证书。证书的实际生命周期取决于业务要求和安全需求。证书生命周期的因素：因素变量意义私钥长度什么样的密钥长度比较合适？128位，256位，1024位，2048位？密钥越长，需要处理的数据位越多。长密钥需要更多的资源才能被破解。攻击者可能会认为不值得一试。使用的密码技术的强度算法有多复杂？算法中使用的数学函数越复杂，攻击者解密的难度就越大。但这也意味着生成密钥所需的时间也会更长。CA和私钥的物理安全性CA保存在哪里？它在一个锁定区域内还是仅由密码保护？谁有权限访问它？更高的物理安全性在较长的生命周期中至关重要。如果CA及其私钥在物理上的安全性得不到保障，那么世界上所有的虚拟控制方法都无法保护他们。需要记住的是物理安全的实现成本可能很高昂。已颁发的证书及其私钥的安全性私钥被存储在什么地方？在智能卡上？在桌面上？是否需要解码？用户私钥越安全，他们对整体系统的安全性就越好。相反，用户可能会忘记密码或丢失智能卡，这意味着管理员工作的增加。攻击风险你的CA是脱机还是联机？你的根CA是在公司内部还是由第三方公司处理？你处理的是什么类型的业务？你的CA可能是安全的，但攻击者可能会使用你网络上的另一个不那么安全的访问点获得CA的访问权限。用户信任谁正在使用已颁发的证书？外部用户还是内部用户？相比外部用户，你一般可以信任内部用户。管理参与长生命周期需要较少的管理工作。短生命周期需要更多的管理工作。虽然长生命周期需要较少的管理工作，但也给了攻击者更多时间来获得访问权限。这使得管理员跟踪证书问题成为一项重要任务。SSL/TLS连接过程SSL/TLS连接步骤说明1.请求客户端请求与服务器的会话。2.响应服务器通过向客户端发送数字证书和公钥进行响应。3.协商然后服务器和客户端协定一个加密级别。4.加密一旦加密级别上达成一致，客户端就会生成一个会话密钥，使用服务器的公钥对其进行加密，并将它发送给服务器。5.通讯随后会话密码要就称为了通讯过程中用于加解密的密钥。课题E：备份和恢复证书与私钥私钥保护方式私钥对于CA层次结构的安全性至关重要，并且加以保护，以纺织丢失，被盗或破坏。为了保护私钥需要：将私钥备份到可移动媒体并安全的保存该媒体。从不安全的媒体中删除私钥。恢复私钥时需要使用密码。永远不要共享密钥。密钥发布后，切勿通过网络或互联网传输密钥。考虑使用密钥托管将私钥存储到受信任的第三方。密钥托管作为密钥备份的替代方案，密钥托管（Key escrow）可以被用来安全的存储私钥，同时允许一个或多个受信任的第三方在预定义条件下访问密钥。这个第三方被称为密钥托管代理（key escrow agent），例如政府机构可能会要求私钥被放置在代理机构中进行托管。商业CA还可以为不想备份和管理自己的私钥的组织提供基于合同的托管服务。M of N控制：在密钥托管方案中，只有特定数量的代理或受托人有权恢复密钥。为了防止单个授权代理恢复密钥，通常使用M of N方案。M of N方案是一种数学控制，考虑了密钥恢复代理的总数（N）以及执行密钥恢复所需的代理数量（M）。如果尝试恢复密钥的代理的数量不满足或超过M，那么密钥将不会被恢复。M和N的确切值在不同实施方案中各不相同。私钥恢复方式如果私钥丢失或损坏，你就必须从备份或托管中恢复密钥，然后才能恢复任何加密数据。如果你使用密钥管理，这个密钥就会被分割给多个托管代理。代理可以使用这些部分来重建丢失的密钥或直接解密信息。如果密钥已备份到可移动截止，就可以从备份位置进行恢复。私钥替换如果私钥丢失，你可能会想在恢复任何加密数据后将密钥全部替换掉：首先恢复密钥。解密任何被加密的数据。销毁原始密钥。获取一个新的密钥对。最后使用新的私钥重新加密数据。课题F：撤销证书证书撤销证书可以在到期之前被撤销，其原因如下：证书所有者的私钥已被泄露或丢失。证书是通过欺诈手段获得的。证书已被另一个证书取代。证书持有者不再受信任。这种情况可能是正常的，如员工离开公司，也能是由于系统入侵，如从属CA受到攻击。证书撤销列表证书撤销列表（certificate revocation list/CRL）是在到期日期之前被撤销的证书李彪。每个CA都有自己的CRL，可以通过网络操作系统或网站的目录服务进行访问。CRL通常包含请求者的名称，请求ID号码，证书被撤销的原因已经其他相关信息。许多软件程序会在接受证书之前检查CRL以查看证书的状态，并拒绝被撤销或被暂停的证书。但是CRL的使用补水强制性的，因此在检查时可能无法使用。在线证书状态协议在线证书状态协议（Online Certificate Status Protocol/OCSP）是一个基于HTTP的CRL替代方案，用于动态检查被撤销证书的状态。OCSP服务器（也称为响应者）接受检查特定证书状态的请求。响应者使用证书的序列号在CA数据库中进行搜索。然后服务器将证书的状态发送给请求者。相比CRL使用OCSP的主要优点是可以降低开销。针对特定证书请求的OCSP响应包含的数据少于整个撤销列表，这使客户端和网络都能从中受益。但是由于OCSP默认不会对这些标准HTTP传输进行加密，因此攻击者可能可以在OCSP处理过程中搜集到在特定时间使用特定证书的网络资源。
课题A：实施身份识别和访问管理身份识别和访问管理身份识别和访问管理（Identity and access management/IAM）是一种安全流程，为用户、计算机和其他实体提供身份识别，认证和授权机制，以便能够使用网络，操作系统和应用程序等组织资产。在大多数商业环境中，IAM是提供和管理访问以及加强IT基础架构整体安全性的关键服务。访问控制模型访问控制模型描述强制访问控制（Mandatory access control/MAC）当你尝试访问被标记为“绝密”的文件时，只有在你拥有查看绝密文件的权限时才能打开该文件，在此模型中，通过比较对象的指定安全等级和主题的安全许可来控制访问。对象会根据它们的敏感程度被分配不同级别的安全标签。主题被分配一个安全级别或许可，当它们尝试访问一个对象时，它们的许可级别必须与该对象的安全级别相对应。如果匹配主题就能访问该对象；如果没有匹配主题就会被拒绝访问。MAC安全标识通常只能由系统管理员更改。自主访问控制（Discretionary access control/DAC）当你尝试访问受保护的文件时，只需要让管理员授权你访问权限，然后就能开始使用该文件。在这个模型中，每个对象的访问权限可以根据主体身份自定义的进行控制。为对象配置一个访问控制列表（ACL），确定允许访问它们的主体。所有者有权决定是否将主题放入列表中，并配置特定的访问级别。与MAC不同，在DAC授权方案中，对象所有者通常可以修改对象的ACL。基于角色的访问控制（Role-based access control/RBAC）当你尝试访问被标记为“员工数据库”的文件时，出现了访问拒绝。这是当你作为员工的角色不允许访问HR文件夹中的文件。在这种模型中，主体会被分配预定义的角色，网络对象被配置为只允许特定角色的访问。访问是根据主体被分配的角色进行控制的。一个主体可能被一次性分配多个角色，或者在主体工作期间可能会从一个角色切换到另一个角色。管理员仅为主体分配在角色中完成其工作所需的那些权限。通常根据管理员指定的策略，角色会在请求访问之前被分配。注意：RBAC中的“角色”不必与用户组相同。组更注重管理主体，而角色更注重管理许可。基于规则的访问控制（Rule-based access control）这是一种基于一组操作规则或限制的访问控制技术。在主体被授予对象的权限之前，总是需要核查规则集。基于属性的访问控制（Attribute-based access control/ABAC）当你尝试登陆到客户数据库时，尽管你是一名一般管理员，并且没有任何明确规则禁止你进入，但你还是被拒绝访问。在这种模型中，基于每个主体拥有的一组属性来控制访问。属性提前进行创建，并且必须恰当的描述能够区分一个主题与另一个主题的重要因素。根据属性不同，管理员可以在身份创建过程中分配这些属性，也可以动态分配这些属性。物理访问控制设备物理访问控制设备再IAM架构中很常见，在IAM架构中，组织不能仅仅依靠基于软件的认证和授权方案。这些设备既可以是主题的所有物，如口令，也可以是实际用于验证主体身份的设备如门锁。在任何一种情况下，物理访问控制设备都可以与提供物理控制或虚拟控制的对象一起工作。从主题角度看，物理访问控制设备的一个常见示例是智能卡。智能卡被用作一种“你拥有的东西”认证因素来验证用在某个位置上的物理入口的权限。生物识别设备当设计“你是什么”因素时，生物识别技术可以实施各种各样的认证检查。指纹扫描器。语音识别设备。视网膜扫描仪。虹膜扫描仪。面部识别设备。生物识别因素：有几个因素会影响生物识别的功效。错误接受率（false acceptance rate/FAR），未经授权的用户在生物识别系统中错误通过验证的百分比。错误拒绝率（false rejection rate/FRR），被生物认证系统错误拒绝的授权用户。交叉错误率（crossover error rate/CER），FAR和FRR相等时的值。低CER值标识认证系统正以最佳状态运行。基于证书的认证“你拥有什么”认证设备中使用的一种技术是通过使用数字证书来验证身份。在公钥密码设备技术中，数字证书证明实体拥有公钥。任何信任证书颁发机构的人都可以验证证书持有者的身份。基于证书的身份验证是使用密码的替代方法，密码可能很容易忘记或被攻击者猜测破解；也可以替代不准确，不实际或有争议生物识别技术验证方法。基于证书的认证的另一个例子是802.1X。文件系统和数据库访问为确保组织中文件系统和数据库的安全性，你需要控制对这些关键组成的访问。根据文件系统的类型和运行的操作系统，可能可以实施像DAC这样的访问控制模型。实施IAM的准则实施IAM时：考虑将LAM重要过程添加到整个组织安全管理流程中。熟悉可用的不同访问控制模型。根据组织的业务和安全需求以及你的环境配置决定要使用的访问控制模型。考虑应用物理访问控制设备，比如智能卡和智能卡读卡器，以控制对设施和系统的访问。认识每种生物识别设备的优缺点。考虑使用虹膜扫描仪和指纹扫描仪等生物识别设备进行身份验证。考虑实施基于证书的认证方法，以避免密码和生物识别中出现的相关问题。如果你与美国联邦政府合作或为他们工作，需要考虑到使用PIV或CAC可能是强制要求。在文件系统层面上实施访问控制模型，以防止文件和文件夹的未授权读取和修改。在你使用的数据库软件中实施可用的访问控制。课题B：配置目录服务目录服务目录服务（directory service）是一种网络服务，用于存储特定网络中所有对象的身份信息，包括用户，组，服务器，客户端，打印机和网络服务。目录还为目录对象的网络资源提供了用户访问控制。目录服务也可用于集中安全性并控制对各个网络资源的访问。目录结构由模式（schema）控制，该模式定义了如何创建对象以及对象有哪些特征的规则。大多数机智是可扩展的，因此可以被加以修改以支持组织的特定需求。轻型目录访问协议轻量级目录访问协议（Lightweight Directory Access Protocol/LDAP）是一种通过传输控制协议/Inernet协议网络运行的目录服务协议。LDAP客户端向LDAP服务进行身份验证，并且服务的机制定义了客户端在访问目录数据库时可以和不可以执行的任务，目录查询必须采用的形式以及目录服务器响应的方式。LDAP安全安全LDAP（LDAPS）是一种使用安全套接字层/传输层安全（SSL/TLS）加密协议来实施LDAP的方法，这种方法可以防止窃听和中间人攻击。LDAPS强制要求客户端和服务器在进行任何传输之前先建立安全的连接，并且如果安全连接被终端或丢弃，LDAPS就会关闭连接。常见的目录服务目录服务描述Active DirectoryMicrosoft提供的目录服务，为单个域或多个域保存所有网络对象的信息。Active Directory允许管理员使用访问控制列表集中控制和控制对资源的访问。Oracle Directory Server企业版本（ODSEE）Oracle Directory Server企业版本面向需要可靠扩展性的大型安装。OpenDJ在Linux，Unix，Microsoft Windows和macOS上运行的开源目录服务器。OpenLDAP一种开源LDAP实现，具有适用于大多数操作系统的版本。Open Directory苹果公司定制的OpenLDAP实施，是MACOS服务器操作系统的一部分。课题C：配置访问服务远程访问方式对于现在的移动用户，组织可以使用几种不同的方式为远程员工和客户提供访问它们网络资源的途径。需要保护隐私的公司可能会连接到网关远程访问服务器（RAS），该服务器为全部或部分内部网络提供访问控制服务。隧道隧道（Tunneling）是一种可用于提供远程访问的数据传输技术，在传输过程中，数据包被加密并封装在另一个数据包中，以隐藏保内的信息。远程访问协议目录服务描述点到点（PPP）这是一种通过串行点对点链路发送IP数据报的过时互联网标准。它最常见的用途是拨号访问互联网。它可以用于同步和异步连接。点到点隧道（PPTP）这是Microsoft VPN第二层协议，通过为PPP数据包提供隧道和数据加密来增加PPP的安全性。它使用与PPP相同的认证类型，是早期Windows客户端中常见的VPN方法。第二层隧道协议（L2TP）这是一种结合了PPTP和第二层转发（L2F）的互联网标准协议，支持在各种网络协议上建立PPP会话的隧道。安全套接字隧道协议（SSTP）该协议使用SSL/TLS并使用PPP报头封装IP数据库，然后再使用SSTP报头进行封装。基于HMAC的一次性密码基于HMAC的一次性密码（HMAC-based one-time password/HOTP）是使用基于散列的消息认证码（HMAC）生成一次性密码（one-time password/OTP）的一种算法，能够确保消息的真实性。一次性密码意在替代或补充不安全的静态密码作为认证的另一个因素。OTP也可以替代需要在用于访问系统的每台计算机上安装特定软件的认证方法。基于时间的OTP基于HMAC的定时一次性密码（Time HMAC-based one-time password/TOTP）通过在一次性密码认证中引入基于时间的因素来改进HOTP算法。HOTP和其他一次性密码有一个弱点，如果密码从未被使用过，攻击者就能利用该密码。TOTP算法通过在特定时间增量（例如60秒）内生成新密码并使之时效来解决此安全漏洞。密码认证协议密码认证协议（Password Authentication Protocol/PAP）是一种以明文形式发送用户ID和密码的认证协议。通常在远程客户端连接到不支持强密码加密的非Windows服务器时使用。当服务器收到用户ID和密码对时，它将它们与本地证书列表进行比对。如果找到匹配项，服务器将接受证书并允许远程客户端访问资源。如果找不到匹配，则连接终止。由于缺乏加密，PAP非常脆弱，并且已经在很大程度上被淘汰为过时协议。质询-握手认证协议质询握手认证协议（Challenge Handshake Authentication Protocol/CHAP）是一种加密认证协议，通常用于为远程访问服务器提供访问控制。CHAP的开发使密码不必以明文形式发送。它通常用于连接到非Windows服务器。CHAP结合使用了消息摘要5（MD5）散列和质询-响应机制，并且在不需要通过网络发送纯文本密码的前提下完成了认证。它可以接受来自任何认证方法的连接，但某些未加密的方式除外。出于这些原因CHAP比PAP更安全。但是CHAP还是被认为是一种过时协议，尤其是因为MD5散列算法不再能提供合适的安全性。步骤描述第一步远程客户端请求连接RAS。第二部远程服务器发送一个质询序列，通常是一个随机值。第三部远程客户端使用其密码作为加密密钥来加密质询序列，并将修改后的序列发送到服务器。第四部服务器使用存储在本地证书列表中的密码加密初始质询序列，并将结果与客户端接收到的已修改序列进行比较：1.如果两个序列不匹配，则服务器关闭连接。2.如果两个序列匹配，则服务器允许客户端访问资源。NT LAN管理器NT LAN管理器（NTLM）是一种由Microsoft创建的，由于它们产品之中的一种质询-响应认证协议，最初在WindowsNT的早期版本中发布。在NTLM过程中，客户端与服务器建立连接，然后服务器质询请求并尝试发现客户端的身份。客户端随后回应认证信息。NTLM中已经发现了一些弱点，包括过时的加密算法，这些算法很容易受到暴力破解的攻击尝试。认证、授权和计费认证、授权和计费（Authentication authorization and accounting/AAA）是一种安全概念，其中集中式平台验证对象标识，确保为对象分配相关权限，然后记录这些操作以创建审计跟踪。远程认证拨号用户服务远程认证拨号用户服务（Remote Authentication Dial-In User Service/RADIUS）是一种提供AAA服务的互联网标准协议。当一个网络包含多台远程访问服务器时，你可以将其中一台服务器配置为RADIUS服务器，将所有其他服务器配置为RADIUS客户端。RADIUS客户端将所有认证请求传递给RADIUS服务器进行验证。用户配置，远程访问策略和使用情况日志记录可集中在RADIUS服务器上。在此配置中，远程访问服务器通称为网络访问服务器（network access server/NAS）Diameter认证协议通过客服RADIUS中的一些弱点来对它进行改善。网络策略服务器（NPS）是RADIUS服务器在Windows server上的实现，它能帮助管理VPN和无线网络。终端访问控制访问-控制系统终端访问控制访问-控制系统（Terminal Access Controller Access-Control System/TACACS）和TACACS Plus（TACACS+）协议为远程用户提供AAA服务。与RADIUS相比，TACACS+被认为更安全且更具可扩展性，因为它能接受登录请求并验证用户的访问证书。TACACS+包含认证的全程加密，而RADIUS只加密密码。另外TACACS+将认证数据包与授权数据包分开，而RADIUS将这些功能组合在同一个数据包中。TACACS+还支持多因素认证。KerberosKerberos是基于时间敏感的票据授予系统的认证服务。它由麻省理工学院（MIT）开发，使用单点登录（SSO）方法，用户输入访问凭证，然后将其传递给认证服务器，该认证服务器包含一个访问列表和被允许的访问凭证。Kerberos可以通过使用一台集中式认证服务器管理许多不同服务的访问控制。在Kerberos进程中：用户登录到域。用户从认证服务器请求票就授予票据。认证服务器使用一个时间戳TGT进行响应。用户将TGT返回给认证服务器，并请求服务票据访问特定资源。认证服务器使用服务票据进行响应。用户将服务票据提供给他们希望访问的资源。资源认证用户并允许访问。课题D：管理账户账户管理账户管理（Account management）是用来指代有效管理组织内用户账户的过程，功能和策略的通用术语。账户管理是LAM中的一项特定功能，使管理员能创建，更新，修改和删除与特定身份相关的账户和配置文件。用户账户可以被允许或拒绝访问组织的信息系统和资源；因此只有在合适的控制下，组织才能合理的管理账户。账户权限账户权限是授予用户允许执行各种操作的许可，如创建，删除和编辑文件，以及访问网络上的系统和服务。账户类型账户可以包含大量的自定义功能，以适应组织的业务和安全需求。账户类型描述用户账户用户账户只是组织中一般用户的标准账户类型。这些账户几乎总是受限于权限，特别是为IT成员保留的权限。特权账户与标准用户账户相比，特权账户对组织中的数据和系统具有更大的访问权限。大多数管理员账户属于此类别，因为需要提升权限才能访问域控制器等关键基础架构。访客账户访客账户被提供给可能需要有线网络访问的非工作人员。计算机和服务账户人类用户并非IAM系统中使用账户的唯一实体。一些计算机在组织中扮演着特定角色，并且必须访问文件和其他系统来履行职责。账户策略账户策略（account policy）是一种包含组织对账户创建，账户监控和账户删除的要求的文档。策略可以包括针对用户的要求或组管理要求。用户账户策略会有所不同，可以进行自定义并根据业务需求来执行。作为安全专业人员你需要根据业务需求调研并分析组织的策略要求。谁可以批准账户创建。谁被允许使用资源。用户是否可以共享账户或拥有多个账户。审核用户访问后，何时以及如何禁用或修改账户。用户账户在一段时间的不适用后是否应该终止，以及何时终止。何时执行一般账户的禁用。应对密码历史，密码强度和密码重用那些规则。在发生可以时间或劫持尝试时，何时锁定账户。在账户遭到入侵或被删除后，何时以及如何恢复账户。密码策略密码长度。为了防止暴力破解攻击，密码策略通常对最短长度做出强制要求。密码复杂性。与密码长度一样，通常强制要求复杂性以保护用户账户免受密码破解尝试。密码历史。许多密码政策规定，每隔一段时间，用户都必须更改密码。这有助于创建一个移动目标，使攻击者需要跟上不断变化的证书，才能成功破解密码。密码重用。使用密码的一个常见危险是人人们在多个账户上使用相同的密码。多账号当一个人拥有系统或资源的几个账户时，会出现多用户账户。用户缺乏对各种账户的了解。为响应账户分配数据访问和许可的合适级别，管理每个单独账户的权限，许可和数据复制。共享账户共享账户可以由多个用户或资源访问，与传统的非共享账户不同，它们不与任何个体相关联。匿名，访客和其他通用账户可作为访问者访问系统的一种方式。临时账户对于不在公司中连续工作的员工或承包商非常有用。管理账户允多名经过授权的专业人员访问更高的权限。批处理账户可以轻松自动执行许多不同类型的任务。共享账户本身就存在安全风险。由于许多不同的人会使用一个账户，因此在发生违规时要让特定的个人负责是非常困难的，而且往往是不可能的。同样用户自己可能也认识到了这一点，并且不在意安全性，在他们登录到自己的个人账户时可能会避免这种情况。账户管理安全控制为了维护组织的安全需求，你应该实施并执行严格的账户管理安全控制。安全控制描述标准命名管理为了减少混淆，账户应以一致的方式命名。这有助于加强账户的管理，尤其是通过使用脚本和命令行。账户维护根据组织的规模和结构，你可能需要经常修改现有账户或删除不再使用的账户。你应该制定一个维护计划，以确保不会遗漏任何必要的更改，也不会过早地一处账户。入职/离职随着新员工进入组织，你需要为他们创建新账户。同样，对于离开组织的员工，必须禁用他们的账户并将其从系统中删除。入职和离开计划有助于知道你完成这一过程，从而最大限度的减少干扰并防止已终止的员工账户被用作攻击媒介。访问权限重新鉴定（Access recertification）账户应当基尼许可审计和审查，以确定它们是否仍然遵守最小特权原则。一些账户随着时间的推移积累了太多的权限——一种被称为许可蠕变（permissions creep）的过程。重新认证将帮助你确定不必要的权限，以便可以修改账户使之更加符合用户或资源的实际需求。使用情况审计除了审核许可之外，你还应监控用户账户在组织中的使用方式。这可帮助你找出权限扩大攻击，或只是提醒你特定账户不应设计的行为。基于组的访问控制将用户安排到组中会减轻管理单独账户的一些负担。当用户分到组中时，就能轻松地为多人添加或撤销许可，从而为你节省时间和精力。基于位置的策略为了更好的控制组织中的账户使用情况，你可能需要考虑实施一定策略，限制用户可以从中进行访问的物理和虚拟位置。基于位置的限制可以放置而已或位置来源上的远程攻击。一天中的时刻限制除了一些例外情况，你预期大多数用户会在每天的特定时间工作。为了避免被发现，攻击者会在非工作时间使用账户来获取访问权限。缓解这种风险的一种方法就是简单的将账户的访问权限限制为只有当员工正在工作的特定时间内才能访问。凭证管理创建凭证管理（Credentials manager）是为了帮助和组织更轻松的存储和管理账户密码。这些应用程序通常将凭证在本地计算机上的加密数据库中。通过认证的用户可以从中检索正确凭证用于相关系统。这对于在多个系统中拥有多账户的用户来说特别有用，并且由于凭证管理器可以自动在表单中填写用户名和密码，因此可以抵御击键记录恶意软件。组策略Windows系统中的组策略服务为跨域管理账户安全提供了几种不同的方法。优化账户密码的属性，如长度，复杂性和寿命。优化账户的锁定阈值和持续时间，使用可逆的加密技术存储账户密码。执行Kerberos登录限制和票据生命周期管理。审计账户管理事件。为个人或组成账户分配特定的权限和控制身份联合身份联合（Identity federation）是指将一个身份在多个不同身份管理系统之间进行链接的做法。身份联合包含所有服务于此类身份的策略和协议。这提供了一个集中的身份管理结构，消除了多余身份信息的需求。身份联合通常以可传递信任（transitIve trust）的原则进行操作。身份联合的方法身份联合的方法描述安全声明标记语言（Security Assertion Markup Language/SAML）SAML是一种基于XML的框架，用于交换安全相关的信息，例如用户认证，授权和属性。这种信息通过安全的HTTP连接以声明的形式进行通讯，传达了有关主体访问级别的主体身份和授权决定OpenIDOpenID是一种使用加入OpenID系统的特定站点对用户进行用户验证的方法。这使他们可以为所有参与网站保留一个账户。OAuth鉴于OpenID提供了联合身份验证服务，OAuth是可用于补充OpenID的授权协议。在OAuth中，授权服务器代表资源向用户提供访问口令。ShibbolethShibboleth 是基于SAML的联合身份方法，通常被大学或公共服务组织采用。在Shibboleth实现中，用户尝试从一个启用了Shibboleth的网站中检索资源，然后网站通过URL查询发送SAML认证信息。然后用户被重定向到一个身份提供器中，他们可以使用此SAML信息与其进行身份验证。随后身份提供器用正确的身份验证信息响应服务提供商。网站验证此响应并根据用户的SAML信息授予他们特定资源的访问权限。管理账户的准则在分配用户和组账户访问时实施最小权限原则。制定一个账户策略并在其中包含所有账户策略要求。确认账户请求和批准程序存在并得到执行。确认账户修改程序存在并得到执行。制定密码策略并在其中包含确保密码能够抵御破解尝试的要求。限制多账户和共享账户的使用，防止滥用。实施账户管理安全控制，如维护，审计和基于位置/时间的限制。使用证书管理软件将用户名和密码存储在加密的数据库中。实施组策略进行更加广泛的访问控制。考虑实施身份联合系统以简化系统之间的用户访问。思考联合身份如何成为访问不同系统的单点故障。
课题A：配置网络安全的技术网络组件网络组件描述设备（Device）计算机，服务器，打印机或智能手机等。媒介（Media）将设备连接到网路哦并在设备之间传输数据。网络适配器（Network adapter）在网络和设备之间转换数据的硬件。网络操作系统（Network operating system）控制网络流量和访问网络资源的软件。协议（Protocol）使用一组规则来控制网络通讯的软件。网络设备路由器交换机代理防火墙负载均衡器路由器路由器（router）是连接多个使用相同该协议网络的设备。交换机网络交换机（switch）是一种具有多个网络端口并将多个物理网段组合为一个逻辑网络的设备。网络交换机提供的一些安全保护包括：交换机可以通过限制允许在特定端口上接受通信的唯一硬件来实现端口安全。交换机也可能具有防洪功能，保护交换机上的主机免受syn泛洪和ping洪泛的DOS攻击。交换机也可以实现环路预防。一种类似于交换机的网络设备是网桥。代理代理是在网络连接中，与连接的一段进行通信时，充当网络连接另一端的设备。防火墙防火墙（firewall）是指通过组织部必要的网络流量来保护系统干活网络的任何软件或硬件设备。防火墙一般被配置为通过一个被称为隐式拒绝（implicit deny）的进程组织可疑或未经请求的入栈流量，除了防火墙明确允许流量之外，所有入站流量都会默认阻止。三种常见的防火墙：基于主机的防火墙安装在一台计算机上，用于保护大多数家庭计算机。基于网络的防火墙是一种专用硬件/软件组合，用于保护防火墙后网络上的所有计算机。应用程序防火墙保护对软件应用程序的网络访问。有状态VS.无状态防火墙可以是有状态的或无状态的。无状态防火墙（stateless firewall）在连接到达防火墙时不会跟踪它的活动状态。因此它根据与这个流量相关的一些静态值来允许或阻止流量。因此ACL在无状态防火墙决策中扮演着重要角色。有状态防火墙（stateful firewall）可以跟踪连接的活动状态，并能够根据与连接状态相关的网络数据包的内容作出决定。有状态防火墙通常比无状态防火墙更强大，但可能需要额外的开销。负载均衡器负载均衡器（load balance）是一种将网络流量或计算工作量分配到网络中多个设备之间的网络设备。通过均衡设备之间的工作负载，网络中的所有设备都能更高效地运行。负载均衡器使用不同的调度（scheduling）方法来确定将流量路由到哪些设备。例如在轮询调度（round robin）方法中，负载均衡器有一个可以将流量转发到的设备列表。负载均衡器会从上至下顺着列表将流量逐个转发到每个设备，知道它结束，然后循环并继续。在关联（affinity）调度模式下，负载均衡器会尝试将客户端的流量转发到客户端已与之建立连接的服务器。这种粘性功能在减少客户端和服务器之间的开放式网络连接数量。除了分散工作负载以优化流量之外，负载均衡器还可以提供荣誉。入侵检测系统入侵检测系统（intrusion detection/IDS）是一种可以扫描，评估和监控计算机基础设施，查找其中正在进行的攻击迹象的系统。网络IDS网络入侵检测系统（network intrusion detection system/NIDS）是一种IDS，主要使用被动硬件传感器来监控网络特定部分的流量。它可以嗅探流量并发送关于异常或问题的警报。NIDS的一个特别用途是流氓系统（rogue system）检测。无线入侵检测系统（wireless intrusion detection system/WIDS）是一种NIDS，它扫描射频频谱以查找无线网络可能受到的威胁。还可以将IDS设置为基于主机的入侵检测系统，它会监控计算机系统是否出现意外行为或系统状态是否发生剧烈变化。入侵防御系统入侵防御系统（intrusion prevention system/IPS）具有IDS的监控能力，但它也可以主动组织检测到的威胁。这使得IPS可以采取必要的额外步骤来防止入侵系统。网络IPS网络入侵防御系统（network intrusion prevention system/NIPS）监控网络上的可以流量并实时做出反应以组织流量。阻止可能涉及丢弃不需要的数据包或充值连接。无线入侵防御系统（wireless intrusion prevention system/WIPS）是一种NIPS，可扫描射频频谱以查找无线网络可能受到的威胁，并可主动阻止此恶意流量。与标准IDS一样，基于主机的入侵防御系统可以主动监测对主机的更改。HIPS可以组织被识别为恶意的操作。网络监控系统的类型监控系统描述基于签名的监控该系统使用由软件供应商或安全人员提供的一组预定义规则来识别不可接受的事件。不可接受的时间具有特定的已知特征。如端口扫描是如何完成系统上每个开放端口的TCP握手，然后立即关闭TCP连接的。基于异常的监控改系统定义了时间的预期结果或模式，然后识别不遵守这些模式的任何事件。与标准偏离明显的事件可能被认定为异常事件。因此，这种类型的监控需要预先配置可坚守事件的基线。基于行为的监控该系统确定实体的表现方式，然后审查未来的行为以查看它是否偏离了常态。行为分析与异常分析的不同之处在于，后者规定了预期模式的基线，而前者记录了对被监控实体做出应对的预期模式。启发式监控该系统确定实体在特定环境中的行为方式，并据此确定实体的性质。启发式系统可能会推断出特定实体是否会对环境构成威胁，并根据得出的结论作出相应反应。传感器类型：用于入侵检测/预防的监控传感器主要有两种工作方式：内联与被动，也成为带内与带外。内联传感器被放置在网段内，使得流量必须在到达目的地之前通过监控系统。这可以在造成任何可能伤害之前让系统立即阻止可疑流量如IPS。我单身被动传感器只能接收穿过网段的流量副本。由于它们不直接处理发送给网段主机的流量，因此使得被动传感器成为IDS配置的理想选择。安全信息和事件管理安全信息和事件管理（Security information and event management/SIEM）解决方案可对网络硬件和应用程序生成的安全警报提供实时或接近实时的分析。通过安全数据的汇总和关联，SIEM技术经常被用来提供对入侵检测和预防的深入了解。SIEM的一些其他功能包括：自动报警。设置SIEM，以便特定时间触发器被激活时，会提示SIEM自动将警报信息发送给相关安全人员。时间同步。作为关联过程的一部分，SIEM被配置为同步所有相关时间的时间戳，以便可以显现更清晰的网络活动图像。这使得安全人员能建立精确的事件时间表。删除重复时间（deduplication）。由不同系统记录的一些事件最终可能为安全人员提供了相同的确切信息。为消除冗余信息并简化事件审查，一些SIEM可以删除重复的条目。一次写入多次读取（Write once read many/WORM）功能。为了帮助维护安全数据的完整性，将数据推送到SIEM的系统可以将日志文件存储在WORM存储介质上。这确保了一旦写入数据，就不能被修改-只能读取。数据丢失/泄露预防数据丢失/泄露预防（Data loss/leak prevention/DLP）是一种软件解决方案，可以检测和放置系统或网络中的敏感信息被盗或以其他方式落入不法之徒手中。改软件主动监控数据并检测任何未经授权的破坏，移动或复制数据的尝试行为。虽然数据丢失和数据泄露是相关联的，但它们并不完全相同。泄露的数据会被传输给未经授权人员，但仍可能以原始形式存在于原始位置。丢失的数据可能会也可能不会传递给未授权用户，但不敢那种方式都不会再属于其拥有者。虚拟私有网络虚拟私有网络（virtual private network/VPN）是通过公共网络上建立隧道来扩展专用网络的方法。通过使用隧道来封装和加密数据，VPN可在断电之间提供安全连接。VPN集中器VPN集中器（VPN concentrator）是包含了高级加密和认证方式的一种单一设备，以便能够处理大量的VPN隧道。它专门针对安全远程访问或站点到站点的VPN。VPN和VPN集中器可以使用集中不通的隧道协议来提供安全的传输。站点到站点连接最主要的一个协议就是IPsec，它具备对通过网络传输的数据包进行认证和加密功能。SSL/TLS也被用作VPN的身份验证和加密协议，主要用于远程访问连接。分离隧道vs.完整隧道VPN隧道可以被配置为分离模式或完整模式。在完整模式下，当设备连接到VPN使，所有网络流量都将通过隧道发送并加密。在分离模式下，只有部分流量通过隧道发送并加密。在大多数情况下，专用于私有网络的流量通过隧道发送，而不相关的互联网流量仅通过设备自己的网关，而不是通过隧道发送。分离隧道的主要优点是私有网络不需要处理尽可能多的带宽。主要缺点是组织无法控制用户的互联网绑定流量。安全网关充当安全网关的设备确保在网络流量离开私有网络并移动到公共网络之前，将一些安全控制应用与网络流量。网关可以在流量中应用集中不同的安全控制。例如邮件网关倾向于关注防止那些通过电子邮件进入或离开网络的安全威胁。统一威胁管理统一威胁管理（Unified threat management/UTM）是指将各种安全技术（防火墙，防恶意软件，网络入侵防御，垃圾邮件过滤，内容检查等）集中到一台设备中的系统。UTM的创建是为了响应管理员在部署分离式安全系统时遇到的许多困难；就是在管理几个复杂平台的同时需要满足重要的成本要求。UTM系统有助于简化安全过程，因为它只需要与一个供应商绑定，只需要使用一个简化应用程序就能运行。这使得组织的网络安全管理变得更加容易，因为您不在需要熟悉或了解每个安全实施的独特之处。UTM也有其不足之处。当防御功能被统一到单一系统中时，就创造了可能印象整个网络的单点故障。不通的安全系统如果失败，可能只会受到特定攻击途径的威胁。另外，如果UTM系统受到太多网络活动的影响，可能会遇到延迟问题。配置网络安全技术的准则熟悉构成网络的常见设备，以及每种设备的特定安全问题。实施协议和数据包分析等网络扫描技术，以及时了解网络中的流量状态。实施网络入侵检测系统，以帮助你是被不需要的网络行为。了解使用主动入侵防御设备的风险，特别是误报。考虑将SIEM技术结合到组织中以汇总和关联网络事件数据。考虑实施DLP解决方案以防止敏感数据的意外丢失或泄露。实施VPN技术，以支持私有网络和公共网络之间的身份验证和加密访问。考虑在更复杂的环境中使用VPN集中器，特别是在站点到站点的连接中。考虑为连接到VPN客户端使用始终在线的功能。将安全网关应用到网络中，以便更好的控制进出私有网络的流量状态。考虑使用UTM来简化网络安全设备的管理。了解UTM涉及的风险，尤其是因为它可能成为一个单点故障。课题B：保护网络设计要素网络访问控制网络访问控制（network access control/NAC）是管理设备网络互连访问的搜集协议，策略和硬件的统称。NAC提供了额外的安全测，可扫描系统的一致性，并允许或隔离更新以满足策略标准。安全专业人员将三个主要元素部署NAC策略：身份验证方式，端点漏洞评估和网络安全执行。非军事区非军事区（demilitarized zone/DMZ）是私有网络的一小部分，位于一个防火墙之后或两个防火墙之间，可供公众访问。除DMZ之外还有其他方式可以为网络体系结构创建分区或拓扑。分区方法/拓扑描述内部网（Intranet）只能由组织自己的人员访问的私有网络。外联网（Extranet）这种专用网络能提供一些外部参与方的访问权限，特别是供应商合作伙伴和特定客户。游客为游客访问保留的专用网络，与主网络隔离。蜜网蜜网为可以的而已用户所保留，并与主网络隔离。网络隔离网络隔离（Network isolation）也称为网络分离（Network segregation），是一种将网络彼此分开的通用时间。这种实践的安全相关动机是确保网间通讯更具可管理性，并且可以进一步细化地应用网络安全侧率。网络隔离的一个例子是空隙（air gap），即一个网络与所有其他网络在物理上分离的情况，这样空隙两侧的主机就无法通讯。另一个主要的隔离侧率是网络分段（network segmentation）也称为子网划分（subnetting）。分割是指将一个网络分成多个子网络的做法。可以通过多种方式进行分割，其中一种方式是通过网络设备和主机的物理分离。虚拟局域网虚拟局域网（virtual local area network/VLAN）是在数据链路层(第二层)风格网络的逻辑方法。VLAN与子网相似，通常认为他们提供了相同的基本分段功能。它们之间也有一些差异，其中最重要的是子网在网络层（第三层）运行。网络安全设备的布局保护网络设计的一个药店是将你的网络设备放置在最能发挥作用的物理位置和逻辑位置上。设备推荐布局聚合交换机聚合交换机（aggregation switch）将多个端口组合成单个链路，以增强冗余并增加宽带。聚合交换机通常被放置在接入交换机和核心网段之间。防火墙防火墙通常放置在网络的周围，其中私有网络最靠近互联网等公共网络，在DMZ配置中，防火墙也可以放置在最靠近私有网络其余部分的DMZ边缘。代理和过滤器由于代理和过滤器通常处理从互联网中入站或出站进入互联网的流量，因此它们通常放在靠近网络边界的位置。实际上一些防火墙产品还包括代理和过滤功能。负载均衡器负载均衡器通常会分散从公共客户端到WEB服务器的入站流量。在这些情况下，负载均衡器在DMZ内最为有用，它们被放置在WEB服务器之前-有时与边界防火墙放在一起。作为DDoS缓解期的负载均衡器也是如此。一些负载均衡器更多用于后端流量处理，并且放置在DMZ之外的私有网络中，但仍然位于任何非独立服务器之前。分流器和传感器/监控器网络分流器（network tap)会创建网络流量的副本，将其转发到传感器或IDS等监控器中。网络分流器通常通过交换机上的端口镜像功能被启用。放置分流器的位置取决于正在监控的流量类型。如果你想监控来自外部来源的任何潜在而已流量，可以在外围防火墙之外或旁边放置分流器。但这种监控流量的方式可能会非常嘈杂。如果你担心可能已经进入私有网络的恶意流量，则需要将这些监控设备与为终端用户提供网络访问的交换机一起放置。收集器和关联引擎像SIEM这样的数据搜集/聚合和关联引擎可以放置在DMZ外部和私有网络中，以便从网络主机中提取日志数据。这样SIEM就不会直接暴露在公共互联网中。VPN集中器VPN集中器通常被放置在外围防火墙的后面，也可以放在DMZ中或靠近外围防火墙的地方。网络地址转换网络地址转换（Network address translation/NAT）是一种简单的互联网安全形式，向公共互联网隐藏了内部ipv4寻址方案。软件定义网络保护网络设计要素的准则软件定义网络（Software-defined Networking/SDN）是一种简化网络管理过程的尝试，通过控制流量发送的系统和转发流量至其目的地的系统相分离来实现这一点。这使得网络管理员可以直接对控制系统进行编程，且不必同事专注于转发系统。保护网络设计要素的准则考虑实施NAC解决方案来管理设备访问网络的方式。实施DMZ，将面向公众的资源与内部资源分开。在面向外部的边缘放置一个防火墙，并在面向内部的边缘位置一个防火墙，以实现DMZ的最佳安全性。设计网络时要考虑到隔离。空隙网络不应当与大型网络进行通讯。创建子网，将具有共同目的主机进行分段。实施VLAN以简化网段的管理将每种类型的安全设备放置在网络中最能发挥其效用的逻辑和物理结构上。实施NAT向外部网络隐藏内部主机的ipv4地址。考虑实施SDN以改进网络管理流程。课题C：实施安全的网络协议和服务开发系统互联模型开发系统互联模型（Open systems Interconnection（OSI）model）是一种根据网络与网络中的其他要素进行通讯的方式来抽象说明构建方式的方法，类似于传输控制协议(TCP/IP)模型。Internet协议套件Internet协议套件（Internet protocol suite）也称为传输控制协议/Internet协议套件，这是Internet的本地协议套件，是互联网连接所必须的。自动专私有IP寻址（APIPA）是一种Microsoft Windows服务，能使DHCP客户端计算机在DHCP客户端可以通过APIP获得IP地址。APIPA从169.254.0.1到169.254.255.254的小范围内随机自动分配地址。域名系统域名系统（DNS）是互联网和私有IP网络上的主要域名解析服务。DNS是一种将计算机名称映射到其相关联IP地址的分层数据库系统。DNS安全措施：将DNS服务器放置在DMZ中并位于防火墙范围内。设置防火墙规则以组织不必要的入站服务请求。只开放必要的端口。实施域名系统安全扩展（Domain Name System Security Extensions/DNSESC）。这种机制能提供DNS数据的认证并维护DNS数据的完整性。定期更新DNS。操作系统供应商发布安全补丁更新DNS。备份DNS并将备份保存在不同的地理位置。超文本传输协议超文本传输协议（Hypertext Transfer Protocol/HTTP）是使客户端能连接到网站并与之进行交互的TCP/IP协议。它负责在系统之间传输网页上的数据。安全套接字层/传输层安全安全套接字层（Secure Sockets Layer/SSL）和传输层安全（Transport Layer Security/TLS）是结合了数字证书认证与公钥数据加密的安全协议。这两种协议通过在TCP/IP连接上使用安全，加密和经认证的通道来保护敏感通讯免受窃听和篡改。SSL/TLS解密器解决了这个问题，它能解密流量，然后将明文流量转发给相关安全设备进行分析。尽管SSL经常与其他协议一起使用，但SSL是TLS的前身，最新版本TLS比SSL更安全。HTTP安全超文本传输协议安全（Hypertext Transfer Protocol Secure/HTTPS）是HTTP的安全版本，它通过在web浏览器和服务器之间提供安全连接来支持web通讯。HTTPS使用SSL/TLS来加密数据。安全shell安全shell（SSH）是一种用于安全远程访问和安全数据传输的协议。SSH由一个服务器和一个客户端组成。大多数SSH客户端还应用了终端模拟软件以便在远程服务器上打开安全的终端会话。为确保安全性整个SSH会话均使用各种加密方法进行加密。SSH是使用文件传输协议（FTP）的首选协议，主要用于Linux和Unix系统上访问shell账户。telnet协议未经加密，因此可以轻易的分析数据包，攻击者可可以窃听输入。简单网络管理协议简单网络管理协议（simple network management protocol/SNMP）是一种用于网络设备中搜集信息进行诊断和维护的服务。SNMP包括两个组成部分：管理系统和代理软件，后者安装在网络设备上。代理将信息发送到SNMP管理器，然后SNMP管理器就能将有关问题通知管理员。实时传输协议实时传输协议（Real-Time Transport Protocol/RTP）提供了基于TCP/IP网络的音频和视频流媒体。RTP经常用于VoIP，挽留过会议，内容传递等服务。RTP使用UDP以低水平的开销传输媒体本身，同时与RTP控制协议(RTCP)结合使用，提供了高质量的流传输服务。安全实施传输协议（Secure Real-Time Transport Protocol/SRTP）向RTP添加了加密服务，以维护流媒体的真实性和完整性，并预防了重放攻击。互联网控制消息协议互联网控制消息协议（Internet Control Message Protocol/ICMP）是一种IP网络服务，用于报告两台主机之间的连接。它通常用于简单的功能美丽如检查来自特定目标主机的响应ping命令。Internet协议安全Internet协议安全（Internet Protocol Security/IPSec）是一组开放的非专有标准，你可以使用它们来保护数据再网络或互联网上传输时的安全。与SSL/TLS和SSH不同，IPSec在OSI模型的网络层（第三层）中运行，因此该协议不依赖于应用程序。IPSec中使用两种主要协议。一种是认证报头（Authentication Header/AH），它为传输数据的来源提供身份验证，并提供了完整性和放置重放攻击的保护。封装安全有效负荷（Encapsulation Security Payload/ESP）提供了与AH相同的功能，并增加了加密功能以支持传输数据的机密性。IPSec有两种主要的操作模式：传输模式和隧道模式。在传输模式下，只有数据包内容被加密，而报头则不会被加密。传输模式通常用于远程访问VPN。在隧道模式下，数据包内容和报头都被加密。隧道模式通常用于站点到站点的VPN。IPSec策略是一组安全配置的设置合集，其中定义启用了IPSec的系统将如何响应IP网络流量。该策略确定IPSec连接的安全级别和其他特征。每台使用IPSec的计算机都必须具有一项被分配策略。策略承兑出现；网络通讯中的每个端点都必须有一个IPSec策略，以及至少一个与之匹配的安全方法，以确保通讯成功。网络基本输入/输出系统网络基本输入/输出系统（Network Basic Input/Output System/NetBIOS）是一种能使应用程序在网络中的不通计算机之间正常通讯的服务。NetBIOS有三个基本功能：基于会话的通讯，使用数据报的无连接通讯和名称注册。攻击者可以通过获取有关系统的信息来利用NetBIOS，这些信息包括注册名称，IP地址以及使用的操作系统/应用程序。文件传输协议协议描述文件传输协议（FTP）该协议实现了用户工作站和远程主机之间的文件传输。简单文件传输协议（SFTP）这种协议是一个早期的不安全文件传输协议后来被宣布已经过时。普通文件传输协议（TFTP）这是一种非常有限的协议，主要用于自动配置机器间启动文件与路由器和交换机固件更新的过程。基于SSH的FTP也成为安全FTP（Secure FTP），基于SSH的FTP的是FTP的安全版本，它使用SSH隧道作为加密方式来进行传输。安全复制协议（SCP）这种协议使用SSH在本地和远程主机之间或两台远程主机之间安全地传输计算机文件。文件传输协议安全（FTPS）该协议也被成为FTP-SSL，它在FTP的使用中结合了对SSL/TLS的额外支持。电子邮件协议电子邮件传输中使用的两种主要协议是邮局协议（Post Office Proto/POP）和Internet消息访问协议（Internet Message Access Protocol/IMAP）。IMAP是较新的一种协议，用来弥补POP的一些缺点，包括多客户端访问同一收件箱的能力以及跟踪消息状态的能力。这两种协议本身都不支持加密，但是安全POP和安全IMAP扩展让使用这些协议的电子邮件得以利用SSL/TLS。安全/多用途Internet邮件扩展（Secure/Multipurpose InternetMail Extensions/SMIME）是一种电子邮件加密标准，它使用公钥加密技术将数字签名添加到传统的MIME通讯中。端口和端口范围范围号码描述著名端口0-1023特定端口号最容易受到攻击。注册端口1024-49151这些端口系统性太强而无法作为攻击者的直接目标。动态或私有端口49152-65535不断变化；无法确定具体数字，但攻击者可能会扫描此范围内的开放端口。端口号服务21FTP（文件传输协议）22SSH（安全Shell）53DNS（域名系统）80HTTP（超文本传输协议）443HTTPS（超文本传输协议安全）990FTPS（文件传输协议安全）993安全IMAP995安全POP3389RDP（远程桌面协议）课题D：保护无线流量无线网络从根本上将，无线网络是指不必单纯凭借网络基础设施中物理布线的网络。无线天线类型无线联网信号可以使用各种不同类型的天线进行放大。两种主要天线类别是定向天线和全向天线。定向天线将信号传输到特定点。因此它们通常具有较大的增益（gain），或者说它们的信号有着可靠的连接范围和以分贝衡量的功率。因此与全向天线相比它们不易受干扰。全向天线从各个方向发送和接受无线电波，通常作为无线信号的主要分配源。这些天线在无线路由器和移动无线适配器上很常见，因为这些设备需要在所有可能的方向上提供或接受服务。由于全向天线提供的覆盖范围，它们的增益收到了限制。天线的分类天线种类描述全向橡皮鸭橡皮鸭（rubber duck或rubber ducky）是一种小型全向天线，通常用橡皮套密封。与全向天线的典型情况一样，橡皮天线的增益很小。然后由于体积小，它们理想的满足了移动性，并常被用于对讲机或其他双向无线电以及短距离无线联网。 圆形天花板这种全向天线被安装在天花板上，通常用于在建筑物中的房间内覆盖无线信号。定向八木主要用于无线电的一种定向天线，在长距离无线联网中也有应用，用于扩大热点的范围。 抛物线一种非常准确的定向天线，常用于碟形卫星天线，具有显著的增益。由于它们非常精确，与抛物面天线建立连接要更加困难一些。 背射一种小型定向天线，看起来与抛物面碟形天线相似，但增益较少。背射天线用在无线网络中以便能够有效的针对特定物理区域，同事不会过度扩大覆盖范围。 易拉罐天线这是一种资质的定向天线，它可以扩展无线网络或帮助发现无线网络。802.11协议802.11是由电气和电子工程师协会（Institute of Electrical and Electronics Engineers/IEEE）开发的一种协议族，用于无线设备之间或无线设备与基站之间的无线局域网通讯。802.11协议族中的每种批准协议都有不同的特性，它们被统称为802.11x。802.11协议描述802.11a1999年批准的一种快速，安全但相对昂贵的无线协议规范。802.11a在5GHz频段上支持高达54Mbps的速度。该速度的范围被限制在仅60英尺内。802.11b802.11b是第一个被称为Wi-Fi的规范，它是最便宜的无线网络协议。802.11b在2.4GHz频率下提供11Mbps的传输数量。802.11b在开放区域可覆盖1000英尺的范围，在封闭空间可覆盖200-400英尺的范围。它可以向后兼容802.11但不能与802.11a兼容。802.11g在这种规范中2.4GHz频带内无线数据屯脱离的速率最高可达54Mbps。它与802.11b兼容且可以更快的速度运行。802.11n这种规范极大的提高了速度，在2.4GHz或5GHz范围内数据吞吐量可达600Mbps。802.11ac这种规范通过在5GHz频段中增加更宽的信道来提高802.11n的性能，从而将数据吞吐量提高到1300Mbps。无线加密协议协议描述有线等效保密（WEP）使用River Cipher（RC4）算法为使用802.11a和802.11b协议的无线通讯提供64位，128位和256位加密。WEP被认为存在安全隐患，因为它依赖初始化向量（IV）来随机化相同的文本字符串，因此已被启用。使用24位IV的WEP在能够预测IV值的IV攻击中非常容易受到影响。无线保护访问（WPA）为解决WEP中的一些缺陷而引入的安全协议。WPA是在IEEE802.11i标准的开发过程中被引入的，提供了密钥的动态重新分配，以防止WEP的密钥攻击漏洞。WPA通过临时密钥完整性协议（Temporal Key Integrity Protocol/TKIP）提供了改进的数据加密，TKIP是由IEEE802.11i任务组创建的用于替换WEP的安全协议。它与现有的WEP加密相结合，提供了一个128位加密密钥，修复了WEP的密钥长度问题。但是如果在攻击中小数据包的内容能被解密，TKIP仍然容易受到影响。无线保护访问二（WPA2）通过实施802.11i标准的所有强制性组件，在WPA的基础上改进了WPA2。WPA2增加了高级加密标准（AES）基于密码的计数器模式密码块链消息认证码协议（Counter Mode with CipherBlock Chaining Message Authentication Code Protocol/CCMP）加密，进一步提高安全性并取代TKIP。它提供了一个128位的加密密钥。无线认证协议协议描述可扩展认证协议（Extensible Authentication Protocol/EAP）可使客户端和服务器使用一种插件进行相互认证的框架。由于EAP并未指定应当使用的认证方法，因此可以在当前广泛的认证方式中选择，并允许实施将来的认证方式。IEEE802.1X这种标准用语封装基于局域网的EAP通讯。802.1X后来被改编为与无线局域网技术一起使用。802.1X提供基于端口的认证。受保护的可扩展认证协议（Protected Extensible Authentication Protocol/PEAP）有Cisco systems，Microsoft和RSA Security组成的联盟开发的开放标准。与802.1X一样从技术上看，PEAP并不是一种EAP方法，而是使用SSL/TLS隧道封装EAP通讯的一种方式。RADIUS联合RADIUS联合是一种网络认证协议，联合意味着不通网络之间共享信任级别。802.1X标准通常与RADIUS一起使用以执行基于端口的身份验证。注意：802.1X不能和802.1x混淆，802.11x是指无线联网协议的族。VPN和开放无线开放无线网络被直接访问时，存在严重的安全风险，由于它们不安全，攻击者可以在网络上任意的发动攻击，并且损害每个用户的通讯。无线客户端认证方法WPA/2-个人。由于它依赖预共享密钥（pre-shared key/PSK），因此也被称为WPA/2-PSK。这个密钥是你再连接Wi-Fi网络时从你输入的密码生成的。由于每个客户端的密码都是相同的，因此存在攻击者搜集密码并获得网络未授权访问的风险。WPA/2-企业。这要求客户端在被授予方位Wi-Fi网络的权限之前使用802.11X与RADIUS服务器进行身份验证。这有助于缓解密码的猜测或暴力破解攻击。因此WPA/2-企业适用于大型公司网络。Wi-Fi保护设置（WPS）。这种方法简化了Wi-Fi网络的认证过程。它的工作方式是使客户端输入与特定访问点相关联的PIN码，或按下访问点上的按钮使客户端和接入点建立连接并进行身份验证。WPS上的PIN方法很容易遭受暴力破解，应该避免使用。无线访问点的安全性安全方法描述MAC过滤当你在AP上过滤MAC地址时，要么将具有不想要MAC地址的设备列入黑名单，要么将具有授权MAC地址的设备列入白名单。MAC过滤可能有几分用处，但由于MAC地址很容易伪装，所以不应该仅仅 依靠这种安全方法。禁用服务集标识符（service set identifier/SSID）广播AP可以广播SSID，SSID通常是人类用户识别一定范围内特定无线网络的方式。这是大多数情况下的默认行为，但你可以选择禁用SSID广播，使用户必须知道并输入SSID才能进行连接。信号配置调整无线信号的强度可以帮助你改变网络的包含范围。例如超出你的实际场所的信号易受战争驾驶攻击；限制信号的强度从而限制它覆盖的范围，有助于缓解这种攻击。在胖AP与瘦AP之间做出决定。如果一个访问点将某些任务推卸到另一个设备中，则认为这是个瘦AP。胖AP自己承担这些任务中的大部分。尽管瘦AP在基于控制器的无线局域中可以使你利用管理式网络架构的又是，但独立存在的胖AP可能有助于降低某些环境中的复杂性。强制网络门户强制网络门户（captive portal）是一种要求客户端连接到无线网络以便通过网页进行身份验证的技术。除非客户端打开浏览器并完成网页上的必要步骤，否则它们的数据包将被拦截，并且无法正确使用网络。Wi-Fi热点通常会使用枪支网络门户，以便在用户开始使用服务之前让用户同意可接受的使用政策。站点勘察从一般意义上看，站点勘察（site survey）是指搜集某个位置上的信息的过程，包括访问路径，潜在障碍和器材的最佳摆放文职，其目的是尽可能的以最佳方式构建某种东西。无线网络可能会经理一个站点勘察阶段，以便能确切的知道在硬件位置方面如何设计网络。成功的站点勘察为网络及其用户提供了高质量的覆盖范围和带宽，同事还意识到安全协议和要求。保护无线流量的准则保护无线流量时：选择最适合你的基础架构需求的无线天线类型。选择一种能充分满足你的带宽需要和信号范围要求的802.11x协议。使用WPA2加密配置你的Wi-Fi网络。考虑到不通的无线认证协议以及它们如何为你的无线网络提供安全性。如果你连接到不安全的开放式无线网络，请使用具有强大隧道协议（如IPSec）的VPN。考虑在大型企业环境中使用WPA2-企业，以便能够利用802.11X/RAIDUS认证功能。避免使用WPS的PIN功能。不要单纯的依靠MAC过滤，同时还要禁用SSID广播。选择适当的频带并配置能满足需求的信号强度。考虑在基于控制器的架构中使用瘦AP来集中无线网络操作。实施需要登录证书的强制网络门户，以防未经授权的用户访问你的Wi-Fi热点。进行站点勘察，以便能够从安全方面确定布置无线基础设施的最佳方式。
Security+笔记——第五章：实现主机和软件的安全性
课题A：实现主机和软件的安全性加固加固（Harding）是任何安全技术中的通用术语，这一过程会修改系统的默认配置来尝试关闭漏洞，从整体上保护系统不受攻击。通常来说实施加固是为了与明确安全策略中的安全要求保持一致。操作系统的安全性每种操作系统都有其独特的漏洞，为潜在的攻击者提供了利用机会。不同供应商开发的系统也有不同的缺陷，不同用途的系统也是如此。操作系统的加固技巧与最低权限原则类似，确保操作系统符合最少功能原则，这表示系统不能提供超出其目的的范围之外的其他功能。通过系统基于主机的防火墙禁用任何不必要的网络端口。禁用运行在系统上的任何不必要的服务，减少它的攻击面。充分利用供应商或行业认可的组织所提供的任何安全配置来加强操作系统的防御能力。禁用系统上的任何默认账户，使攻击者无法通过这些账户获取访问权限。强制要求用户改掉分配给他们的默认密码执行补丁管理服务，以便能够更高效地管理所有软件和服务的自动更新和补丁。可信计算基础可信计算基础（trusted computing base/TCB）是指计算机系统中用于负责确保安全策略得到实施，系统安全性得到保障的硬件，固件和软件组成部分。这表示如果TCB内部出现缺陷，就可能危及整个系统的安全属性。可信OS：满足TCB安全要求的操作系统通常是指可信操作系统（trusted operating systems/TOS）。硬件和固件安全组件描述BIOS/UEFI基本输入/输出系统（BIOS）和统一可扩展固件接口（UEFI）都是固件接口，为操作系统启动初始化硬件。信任根和HSM信任根（root of trust）是指通过使用能保持数据机密性和防止被篡改的加密机制，实施硬件平台的可信计算架构的技术。硬件安全模块（hardware security module/HSM）是一种能够提供信任根功能的物理设备。TPM可信平台模块（Trusted Platform Module/TPM）是一种安全的加密处理器，用于生成加密密钥，在TCB的多个方面都有使用。安全启动和远程认证安全启动（Secure boot）是一种UEFI功能，在启动操作过程中组织不想要的进行执行。UEFI采用启动加载程序的加密散列来确保其完整性。TPM为这个启动散列签一个报告，然后发送到第三方进行验证，这一过程就叫远程认证（remote attestation）。FDE/SED基于硬件的全磁盘加密（full disk encryption/FDE）用在被称为自我加密驱动（self-encrypting drives/SED）的设备中，使存储设备能在硬件层面上进行加密，避免依赖软件解决方案。EMI保护所有的电器都会产生电磁干扰（electromagnetic interference/EMI）未授权用户如果能接受这些电磁辐射，就可能获得其中的敏感数据。EMP保护攻击者可以使用电磁脉冲（electromagnetic pulses/EMP）来破坏硬件，引起故障。一些TCP平台包括了针对电磁脉冲冲击的保护措施。供应链安全：供应链（supply chain）是指供应，制造，分配最终向消费者发布商品和服务的端到端过程。安全基线正如你所见，安全基线是一组应用到组织中特定主机上的安全和配置设置。主机基线是可以与网络中其他主机进行比对的基准。注意：基线还可以指特定时间点的系统状态快照。软件更新更新类型描述补丁（Patch）补充代码的小单元，用于解决软件数据包或操作系统中的问题或功能缺陷。热修复（Hotfix）紧急发布的补丁，用于解决特定的安全缺陷。汇总（Rollup）以前发布的补丁与热修复集合，通常与应用在系统的一个组件上，如网络浏览器或一项特定服务。服务部（Service pack）一种更大的系统更新汇编集合，可能包括功能的提高，新性能，通常还包括该服务包发布时已发布的所有补丁，更新和热修复。应用程序黑名单与白名单应用程序黑名单（Application blacklisting）是指组织那些被组织视为不想要的程序运行的时间，不论是出于安全问题还是其他任何原因。相反的，在应用程序白名单（Application whitelisting）中，你可以维护一个允许应用程序列表，只有这些应用程序才能在目标系统上安装或运行。白名单是隐士拒绝的优秀例子。黑白名都有各自的优缺点：黑名单确实能够让你组织特定应用程序在系统上运行。缺点是它只能组织被确定为不想要的应用程序，因此新的或位置的应用程序可能会被赋予访问权限，几时它们存在安全风险。白名单比黑名单提供了一种更加彻底的解决方案，尤其在可能包含漏洞的新的或未知的应用程序方面，但是创建并维护白名单所需的管理开销可能会被禁止。日志日志（logging）是指使用操作系统或应用程序记录计算机活动的数据。最终的日志文件会已知位置以文本文件的形式存储。审计计算机安全审计（security auditing）是指对系统安全性中的优缺点执行有序技术评估的过程，确保系统符合要求。虽然和安全评估类似，但是安全审计通常将重点放在确定系统是否满足一系列的标准。防恶意软件防恶意软件（Anti-malware software）是在指扫描独立计算机和整个企业网络，查找已知病毒，木马，蠕虫以及其他恶意程序的保护性软件。防恶意软件类型类型描述防病毒（Antivirus）这种应用程序会扫描文件，查找与特定模式匹配的可执行代码，这种模式通常被认为是病毒，这种被称为基于签名的防病毒软件。监控系统与病毒有关的活动，如访问启动扇区，这种积极的监控能力被称为基于行为或启发式的防病毒软件。防垃圾邮件（Anti-spam）垃圾邮件检测可能包含一个防垃圾邮件过滤的陈谷，可以检测垃圾消息中常用的特单词。防间谍软件（Anti-spyware）这种软件专门用于保护系统不受间谍软件的攻击。弹出窗口阻止程序（Pop-up blocker）弹出窗口阻止程序会阻止来自位置或不受信任站点的弹出窗口。基于主机的防火墙（Host-based firewall）这种软件被安装在单个系统中，专门用于防止网络攻击。除了上述工具还有：端点保护（Endpoint protection）软件，与防恶意软件扫描器相结合组成一个更大的安全控制套件，包括从中央服务器扫描网络主机的健康状况。恶意软件沙盒（Malware sandboxing）软件，将恶意软件放在一个虚拟环境中，可以在不破坏生产系统或网络其余部分的前提下安全的对其进行分析。逆向工程（Reverse engineering）软件，尝试将恶意软件解构成它的基础组件，以便能更容易地理解其属性。数据执行保护（Data Execution Prevention/DEP）是一种CPU和Windows功能，能够防止内存中的恶意代码执行。硬件外围设备的安全外围设备安全考虑无线键盘和鼠标一些无线接收器容易受到劫持。显示如果监控器和其他显示设备是独立联网的，那么他们可能容易受到劫持。如智能电视。外部存储设备外部存储设备尤其是USB拇指驱动器有时可能会被用作攻击矢量。打印机和多功能设备（MFD）打印机和多功能设备，就是将打印机和扫描附件等其他功能结合起来的设备，通常会通过无线网络连接。摄像头和麦克风数码相机网络摄像头和买客房都可能称为被窃听的多媒体外接设备。嵌入式系统嵌入式系统（Embedded system）是指大型系统各种拥有特定功能的计算机硬件和软件系统。嵌入式系统的安全意义系统安全意义ICS/SCADA工业控制系统（Industrial control systems/ICSs）是一种控制关键基础设施的网络系统，如水电运输和通讯服务。ICS中最重要的类型就是监控和数据采集（supervisory control and data acquisition/SCADA）系统。SCADA系统向嵌入式系统发送或接受远程控制信号。许多SCADA系统不会考虑安全性。微型控制器一些嵌入式系统会将CPU内存模块和外围设备合并为一个组件。这种组件被称为微型控制器（microcontroller）或系统及芯片（system on chip/SoC）。RTOS实时操作系统（real-time operating system/RTOS）是一种专用操作系统。在一般用途的操作系统中，系统使用调度器来为每个运行进程或用户平衡处理器时间。这使得任务的完成时间会随着一些因素的变化而变化。智能设备智能设备（smart device）是一种能够联网并有一些自主计算属性的电子设备，包括但不限于典型的计算机。如只能手表。IoT与只能设备相关的一个概念就是物联网（Internet of Things）只带任何非传统计算机对象，他们通过使用嵌入式电子组件连接到更加广泛的胡两位中。摄像系统传统闭路电视（CCTV）摄像头在有限的区域内提供了联网监控。但是更多现代相机被嵌入了支持互联网协议（IP）的系统，使之能通过使用常用计算机网络系统和软件进行远程管理。特殊用途的系统特殊用途的系统包括医疗设备，ATM，摩托车，飞机，无人驾驶飞机等等。保护主机的准则实施跟进操作系统供应商的安全信息。在你的操作系统中应用安全设置，如禁用不必要的服务，对用户的账户遵守最低权限的原则。为你的系统创建安全基线，提高加固过程的效率。将这些基线与当前主机配置进行对比。考虑实施应用程序黑名单和白名单来限制允许在系统中执行的软件。确保系统中的所有关键活动都被记录下来。审核日志，确定可疑行为。准备第三方审计，验证你的主机是否符合要求。在你的主机中实施防恶意软件方案。考虑不同硬件外围设备的特殊安全意义。考虑嵌入式系统的特殊安全意义。课题B：实现云和虚拟化的安全性虚拟化虚拟化（Virtualization）过程是指创建计算环境的模拟。虚拟化系统能够模拟典型计算机的硬件，操作系统和应用程序，但它不是一台真正的物理计算机。超级管理器超级管理器（hypervisor）是将虚拟软件与其运行的物理硬件分离开来的软件曾。超级管理器管理物理主机中的资源，并将它们提供给多个虚拟环境。应用程序容器（Application container）或应用程序单元（Application cell）是一种虚拟化方式，表示应用程序在主机操作系统的独立容器中运行。虚拟桌面基础架构虚拟桌面基础架构（Virtual desktop infrastructure/VDI）使用虚拟化将个人计算环境与用户的物理机分离开来。在VDI中桌面操作系统和应用程序在虚拟机内运行，这些虚拟机被托管在虚拟化基础架构中的服务器上。运行桌面操作系统的虚拟机被称为虚拟桌面环境（virtual desktop environment/VDE）。虚拟化的安全性安全问题描述补丁管理补丁管理系统应当部署到位，以确保安装了所有相关补丁。这对那些针对虚拟化软件本身发布的任何补丁来说尤为重要。最小权限在为任何虚拟环境确定访问控制分配时，必须应用最小权限的概念。必须顶起监控对所有环境的访问行为，防止未授权访问。日志虚拟环境中的用户和系统活动应当进行记录并审核，检查不寻常的活动和任何可能的安全泄露。联网虚拟联网设备的安全能力可能不会完全和物理设备一样。如特定模式下的虚拟交换机在肯能无法将虚拟基础架构中的主机和客户机之间或客户机与客户机之间的流量分离开来。快照持续不断地捕捉快照（snapshot）或特定时间点上的虚拟环境状态，就能在虚拟环境被破坏或性能降低时提供一种快速简便的方法恢复整个环境。避免VM蔓延虚拟机蔓延（VM sprawl）发生在虚拟机数量超出组织的控制或管理能力之时。如果你正在处理虚拟机蔓延，受影响的VM可能会被轻易忽略。避免虚拟机蔓延的最佳方式之一就是使用虚拟机生命周期管理（VM lifecycle management/VMLM）方案。VMLM方案为你提供了一个能够维护和监控组织中所有虚拟机的中央控制面板。VM逃逸保护虚拟机逃逸（VM escape）发生在攻击者在虚拟机上执行代码，允许运行在虚拟机上的应用程序脱离虚拟环境并直接与超级管理器互动时。攻击者可能可以访问最底层的主机操作系统，因此也能访问运行在主机上的所有其他虚拟机。防止虚拟机逃逸的最佳方式就是确保你的虚拟软件保持最新。你还可以尝试限制主机和客户机之间的资源共享功能。云计算云计算（Cloud computing）是一种计算方式，其中包含了通过大型分布式网络进行的实时通讯，以便为用户，企业或组织提供资源，软件，数据，和媒体需求。这种计算方式通常需要依赖互联网来提供计算能力，这是单个机器做不到的。云部署模型部署描述私有私有云服务通常由单个公司或其他商业实体通过私有网络发布。这种托管可能在内部 进行，或在异地进行，使用私有云计算，组织能更好地控制服务的私密性和安全性。这种交付方式更多的针对在运营中需要严格访问控制的银行和政府服务。公共公共云是由向普通客户提供该服务的组织通过互联网进行部署的。在这种模型下，企业能够提供按订阅或按需付费的融资方式，同事还能提供免费的低层次服务。由于公共云计算依赖互联网，安全一直都是一个问题。社区当多个组织共享云服务的所有权时，将以社群云的方式部署。这通常是为了集中资源以便用于共同关心的问题，如标准化和安全策略。混合混合云计算在一个是体重结合了两种或多种部署方式。这种方法的好处就是组织不仅能够依赖内部云服务进行业务操作，还能向公众提供计算服务。云服务的类型服务描述软件软件即服务（Software as a Service/SaaS）是指使用云向用户提供应用程序。这种服务无需用户在他们的计算机上安装软件，也不需要组织购买和维护软件版本。这样的例子包括 office365平台平台即服务（Platform as a Service/PaaS）是指云向客户提供虚拟系统，如操作系统。这样的例子包括Oracle数据库基础设施基础设施即服务（Infrastructure as a Service/Iaas）是指使用云提供客户端所需的任意或所有基础设施访问。这包括数据中心，服务器，或任何所需的联网设备。Iaas能保障客户端的服务质量（QoS）。这样的例子包括Amazon Elastic Compute Cloud。安全安全即服务（Security as a Service/SECaas）使客户能够利用云供应商在计算机安全的特定区域内提供的信息，服务，软件，基础设施和流程。这包括认证机制，防恶意软件方案，入侵检测系统以及更多。这样的例子有Cloudflare。保护虚拟和基于云的资源的准则考虑在你的组织中使用虚拟化，实现更简单高效的资源管理。认识不同虚拟化类型之间的区别并确定哪种最符合你的要求确保VM软件以及主机和客户机的操作系统都定期的打补丁。对访问虚拟机执行最小权限原则。确保虚拟机记录关键事件的日志。配置虚拟联网设备，以支持必要的隔离通讯。记录最佳虚拟机状态的快照。结合使用虚拟机生命周期管理方案。熟悉不同的云部署模型和服务类型。考虑利用SECaas将一些安全操作转移给第三方供应商。课题C：实现移动设备的安全性移动设备的连接方式连接方式描述蜂窝蜂窝网络（cellular network）使移动设备能连接到世界各地固定位置上的无线收发器。这些无线收发器的覆盖区域被称为小区（cell）。Wi-Fi移动设备可以连接到Wi-Fi网络进行无线局域网连接。安全的WiFi网络结合认证和加密服务来确保数据传输不会被攻击者轻易拦截或破译。蓝牙蓝牙是一种主要用于增强移动设备之间短距离无线通讯的无线技术。NFC近场通讯（NFC）是指只能手机和平板电脑等移动设备在非常近的距离内进行的通讯标准。红外线红外传输（Infrated transmission）是无线传输的一种形式，其中信号以红外光脉冲的形式被发送。SATCOM专用移动设备还能使用卫星通讯（satellite communications/SATCOM）来发送和接受来自轨道卫星的无线电信号。这些卫星能将需要实现的信号转发到全球不同的位置上。ANTANT是一种高专有无线网络技术，与消耗较少能量的蓝牙技术类似。主要用于传感器之间的通讯，如心率检测器。USB移动设备可以通过USB物理连接到计算机或其他移动设备上。移动设备的管理移动设备管理（Mobile device management/MDM）是指跟踪，控制，保护组织移动基础架构的过程。移动设备的安全控制安全控制描述屏幕锁定所有移动设备上的屏幕锁定选项应当被启用，对设备什么时候会被锁定做出严格要求。一旦设备被锁定，只有输入用户设置的代码才能访问。强密码和PIN码当设备打开是，用户应当设置强密码和PIN码来访问设备。全设备加密如果可能的话，所有的移动设备应当配置使用数据加密来保护存储在设备上的公司转悠数据及其访问远程擦除/锁定远程擦除（remote wipe）是一种用于从移动设备中删除敏感数据，并在不实际拥有该设备时永久删除其中数据的方法。远程锁定（remote lockout）是一种刚在不从内存中删除该设备中敏感数据的前提下限制其访问的方法。但是技术高超的攻击者可能可以绕过锁定获取到敏感数据，尤其是在未加密的情况下。地理定位和地理围栏GPS跟踪服务功能，或地理定位在许多移动设备中都可用，在大多数处于商业原因需要的情形下可以进行添加。地理围栏（Geofencing）是一种根据现实世界的地理位置创建虚拟边界的时间。组织可以使用工地里围栏在他的办公区周围创建便捷，然后对超出此边界的任何设备限制其中的功能。访问控制移动设备应当对访问的人员和内容尽心管理。当员工使用移动设备时实施认证和授权机制就能维持最低权限原则。应用程序和内容管理对用户可以访问的应用隔阂内容进行限制可以防止员工无意间使用它们移动设备上的不安全软件。资产跟踪和清单控制持续跟踪提供给用户的移动设备对监理组织必须遵守的特定安全标准至关重要。推送通知服务推送通知是一种由中央服务器向多个客户端发送的通讯。限制可移动存储功能由于像SD卡这样的可移动存储设备进一步分离了用户和设备的信息，因此，你的员工需要谨慎行事。你应当强制要求易丢失的经常共享的可移动存储组件中不能包含敏感数据，尤其是明文形式的数据。存储分区移动设备的普及与云存储技术的兴起密切相关，因此你需要做好准备，以便能够对管理组织中数据存储的最佳方式作出评估。容器化移动设备可以使用虚拟容器来将敏感应用程序和存储与设备中的其他应用程序和存储分离开来。禁用不适用的功能每种功能都可能成为移动系统中的潜在漏洞，因此最好禁用组织中任何不必要的功能。移动设备的监控和执行活动安全考虑来自第三方商店的应用安装由于移动操作系统的第三方商店不必进行与官方商店相同程度的审查，此类应用的安全性可能很难验证。应用侧面加载侧面加载（Sideloading）是指在移动设备上直接安装应用数据包的做法，而不必通过应用商店下载。rooting/越狱对Android设备来说，rooting是指启用设备上跟权限的过程，这些权限在默认情况下是禁用的。IOS设备中一个类似的概念叫做越狱（jailreaking），他消除了设备上的软件限制，允许用户运行未从官方应用商店中下载的应用。自定义固件配置当取得Android设备的根权限时，就可能配置其中的自定义固件。固件OTA更新为了运行一直且最新的固件，你的移动设备管理系统可能可以对设备实施空中下载（OTA）的更新运营商解锁一些设备尤其是iPhone可能会将用户锁定为特定移动运营商的用户。摄像头和麦克风的使用移动设备尤其是电话既小巧又强大，他们可能包含用于录制视频和音频的高清摄像头和麦克风。但这也意味着这些设备能轻易的用来窃听和侦查办公大楼等室内环境。地理标记当设备捕捉视频和音频时，他们可能会使用元数据标记该媒体，如果被捕捉的媒体比较敏感，那么被记录对象的位置也是敏感的，就可能向未授权用户泄露敏感信息。外部媒介的使用你应当限制像SD卡这样的外部媒介在移动设备中的使用。SMS/MMS的使用员工可能会使用它们的设备发送并接受文本和媒体消息，这可能会导致有意或者无意的数据泄露风险。WIFI直连的使用无线直连（WIFI direct）可让两个设备在没有无线访问点的情况下互相连接，缺少集中式的架构可能会导致难以监控无线通讯的恶意流量。数据共享数据共享（Tethering）是指与多个设备共享无线胡两位连接的过程。支付方式的使用有几种不同的应用可以提供移动设备的支付服务。移动部署模型部署模型描述企业拥有在这种部署模型中，用于工作相关目的的所有移动设备的唯一所有者是组织。同样组织全权负责所述设备的维护和管理。BYOD自带设备（bring your own device/BYOD）模型将控制权和所有权从组织转移到个人员工。如果员工选择自带设备他们叫对使用自己的个人设备进行工作负责。CYOD选择你自己的设备（choose your own device/CYOD）模型与BYOD类似，员工对他们的设备负有实质性的责任，甚至可被视为设备的所有者。COPE企业拥有个人启用(corporate-owned，personally enabled/COPE)模型让组织选择他们希望员工使用的设备，同时仍允许员工拥有是被设备进行个人活动的一些自由。VMI正如VDI组织可以为员工创建一个虚拟移动基础架构（virtual mobile infrastructure/VMI）来使用他们的移动设备。BYOD安全控制安全控制描述策略为满足BYOD实现应该做的第一件事就是起草一份有关组织中BYOD处理方式的企业策略。所有权归属虽然员工的个人设备是他们的私有财产，但是当设计公司数据时所有权之间的界限就会变得模糊，你需要制定清晰的界限，明确定义员工所有和组织所有的内容。补丁管理和防恶意软件根据操作系统及其软件，一些移动设备可以容易的进行修补。但其他一些可能很难打的补丁使他们变得非常脆弱。可以考虑应用搞不定管理系统来缓解过时软硬件带来的威胁。考虑架构和基础设施的需求随着越来越多的设备被添加到你的企业网络中，你可能需要扩展并更新基础设施，否则当前的办公设置可能不足以服务数量众多的移动设备。取证随着BYOD变得越来越普遍，他们与你进行的安全调研的相关性额变得越来越高。你的取证程序和工具知识必须是最新的，而不仅仅是一套有限的规范标准。隐私支持员工可能会担心他们的隐私处于被暴露在企业网络中的风险下，尤其是网络可以被许多人共享的情况下。实现移动设备安全性的准则了解移动设备可能在组织中使用的不同连接方式。了解你对特定连接方式应用的不同控制等级。在你的组织中纳入移动设备管理平台，在移动设备上实施安全控制，如屏幕锁定，地理定位，远程擦除，设备加密等更多。监控与移动设备有关的特定活动，如来自第三方的应用安装，获得根权限/越狱，运营商解锁等更多课题D：在软件开发生命周期中考虑安全性软件开发生命周期应用程序开发在程序有一个生命周期：从应用部署之前的厨师规划阶段，直至其果实。软件开发生命周期（software development lifecycle/SDLC）是指在整个生命周期中设计和部署软件的实践。软件开发模型在瀑布模型（waterfall model）中SDLC是串联的，每个阶段只有在前一个阶段中确定的所有任务完成后才能开始。瀑布模式中主要有五个阶段：发起/起草要求，设计，实施。验证/测试，维护/处理。这些阶段按顺序执行且不重叠。瀑布模型师最适合那些时间不是重要限制的项目。敏捷模型（agile model）侧重于不同阶段的适应性措施一如需求一以便开发团队能更容易地写作并对变更做出相应。敏捷模式逐步地分解任务，使之不存在长期计算，但只要剪短的迭代，开发人员就能更容易的修改并适应不断变化的需求。敏捷模式在那些需求和设计难以预测的复杂，不稳定的项目中特别有用。DevOpsDevOps是软件开发和系统操作的结合，代表了一个准则与另一个相互整合的做法。这种结合是为了提高计算环境中创建和部署应用程序的速度和可靠性。不可变系统：DevOps方法还有助于使用不可变系统（immutable system），这些系统不是就地升级，而是以编程方式销毁，然后在每次配置更改时从头开始重新创建。供应和撤销供应：DevOps部署的主要流程包括资源的供应和撤销供应。版本控制版本控制（Versioning）是确保构成项目的资产在进行更改时能够得到密切管理的做法。版本控制是更替变更管理流程的一个组成部分。保护代码的技巧技巧描述合理的输入验证输入验证包括限制用户输入到特定字段中的内容，例如不允许在用户名字段中输入特殊字符。合理的错误处理合理的错误处理能减少将有关代码的数据暴露给未经授权用户的风险。加密加密对于存储和传输敏感数据的应用程序至关重要。代码签名代码签名（Code signing）是一种数字签名形式，可确保你的源代码和应用程序二进制文件是真实的且未被篡改。模糊模糊（Obfuscation）是一种能从根本上隐藏或伪装代码的技术，以防止未经授权的用户阅读。代码重用几乎所有的代码都是在现有框架上构建的。如果已有可靠的代码被是被并通过验证，你也有权使用它，那么可以考虑利用项目中的现有代码。限制死代码死代码是指成功执行，但其结果实际上未在软件中使用的任何代码。服务器端和客户端在客户端-服务器体系结构中，软件的执行和输入验证可以发生在交易的任何一方。处于安全考虑服务端发生的进程更容易控制，因此验证输入通常发生在此处，应当与用户隔离的任何执行过程也一样。限制数据暴露与错误处理一样，你应该限制向用户暴露的应用数据数量。内存管理你已经了解缓冲区溢出等内存漏洞如何威胁应用程序的安全性。存储程序存储程序（Stored procedure）是一组预编译的数据库语句，可用于验证数据库的输入。他们通过限制用户可以成功提交的语句的种类和格式来实现这一功能。编译代码（Compiled code）是指从高级编程语言源代码转换为可由系统直接执行的低级代码。运行时代码（Runtime code）是指由中间的运行环境解释的源代码，这些代码由这些环境运行，而不是系统直接执行。代码测试方法测试方法描述静态代码分析静态代码分析（Static code analysis）是在源代码处于静态时查看源代码的过程，也就是说它不执行。动态代码分析动态代码分析是在执行代码时审查代码的过程。这有助于揭示静态代码分析可能会漏掉的问题，因为某些问题在程序运行时或接受难以预测的用户输入时可以更容易被识别。动态分析过程的一个具体例子是模糊处理（fuzzing），其中更包括向正在运行的应用程序发送随机和不寻常的输入，以评估应用程序如何响应。压力测试压力测试（Stress testing）用于评估软件在极端负荷的性能。压力测试的主要目的是确定应用程序在面对高资源消耗时可能遭受的DOS状况。沙盒沙盒不仅可用于恶意软件分析，软件测试人员使用沙盒来为应用程序配置特定的操作环境，同时将此环境与网络其余部分隔离。这为测试人员提供了不同环境下的测试结果。模型验证模型验证（Model vertification）是评估软件项目如何满足开发早起定义的规范的过程。验证项目的开发模式能帮助组织确定最终产品是否满足了项目设计的所有利益相关者的需求将安全性纳入软件开发生命周期的准则将安全性集成到软件开发生命周期的每个阶段。选择最适合你的安全和业务需求的软件开发模型。考虑采用DevOps文化，以便将软件开发与系统操作集成在一起。在DevOps文化中利用软件自动化和基础架构即代码。在开发过程中加入一个版本控制系统，以便更好的管理项目变更。
课题A：确定漏洞主机漏洞软件漏洞运行在操作系统中的软件可能会正中攻击者的下怀，暴露出弱点。软件漏洞描述零日（zero day）零日漏洞是指恶意用户能在漏洞被公众或开发者知道之前，或在开发者有机会修复问题之前利用的漏洞。开发者无法抵御这种新型威胁意味着它的影响常常会被扩大并且是长期的。不合理的输入输出软件被编程为期望特定类型的输入，如一名用户在登陆页面中输入用户名和密码。但是用户可能会输入软件不希望的内容，这就可能导致软件处理输入时出现问题。在某些情况中，欠佳的数据处理会导致未授权用户获得系统的访问权限或获得额外权限。在其他情况张红，输入可能破坏系统并引起拒绝服务。不合理的错误处理在任何额足够复杂的软件中，错误是不可避免的，因此，开发者会在错误出现时编写代码进行处理。开发者可能会犯的一个错就是在生成过于详细的错误消息，让用户知道代码本身如何运行的过多的消息。资源耗尽（Resource exhaustion）资源耗尽生在软件没有合理限制被请求或被需求资源的访问权限时。如果攻击者能够消耗足够多的某种重要资源按，如网络带宽或CPU时间，那么软件就不再能够执行日常业务并且可能会崩溃。竞争状态（Race condition）当执行过程的结果直接取决于某些时间的顺序和时间，且这些事件无法按照开发者而设计的顺序和时机执行时，就会出现竞争状态。进入竞争状态的软件可能会崩溃。内存漏洞内存泄露（Memory leak）：发生在软件对被分配内存使用完毕后无法释放的情况中，可能会引起系统的不稳定。缓冲区溢出：是指数据超出了被分配的内存缓冲区的边界，可能会对相邻内存造成破坏。整数溢出：是指一个计算结果太大而无法容纳进内存中的呗分配恐惧，可能会引起缓冲区溢出和崩溃。指针解引用（Pointer dereference）：是指代码尝试溢出指针及其指对象（pointee）之间的关系。如果这个被指对象没有正确地建立，解引用过程可能就会使应用程序崩溃并损坏内存。DLL注入（DLL injection）：是指一个机遇Windows的应用程序迫使另一个运行中的应用程序在内存中加载一个动态链接库（DLL），可能会使受害应用程序变得不稳定或泄露敏感信息。加密漏洞一些加密方案本身就是不安全的，或因攻击者和研究人员按的努力使之能够被破解而变得不安全。网络架构漏洞网络架构的设计可能会向攻击者暴露弱点，被加以利用。操作漏洞在组织中，不仅技术方面容易受到攻击，在很多情况下，攻击者还会期望利用脆弱的业务流程和日常操作中的其他薄弱领域。课题B：评估漏洞安全评估安全评估（Security assessment）是指通过一种综合性的技术测试安全控制过程，暴露出你的工具，技术，服务和操作中的任何弱点或差距。这个测试的目的在于为你提供能及时有效地缓解任何漏洞的所需信息。在安全评估中实际使用的方法差别很大。这些方法会影响测试号的性质，决定采用主动还是被动形式，还会影响其他特征。漏洞评估（vulnerability assessment）就是其中的一种方法。这一过程会根据系统的配置状态，评估系统的安全性和满足合规性要求的能力。测试授权虽然通常不会产生入侵威胁，但是漏洞评估还是可能会对商业操作产生一定影响，因此在你执行这类测试之前可能需要管理层的授权。安全评估技巧技巧描述审核基线报告（baseline report）基线报告是一组被应用到组织中特定系统或网络的安全和配置设置集合。执行代码审核（code review）在开发过程中，所有应用程序都应当执行常规的代码审查。确定攻击面（attack surface）攻击面是指系统或应用程序中所有可能暴露给攻击者并被利用的项目组合。审核安全架构安全架构审核（security architecture review）是指对组织当前安全基础户架构模型的评估。审核安全设计安全设计审核需要在应用安全实施之前完成。漏洞评估工具当你在系统中评估漏洞时，有许多可用的软件工具。工具类型应用于漏洞扫描器评估你的系统，网络和应用程序中的弱点。端口扫描器评估网络中所有端口的当前状态，并检测可能会对组织产生风险的开放端口。协议/数据包分析器评估网络上的流量，流量中解释的内容，以及使用的协议。指纹识别（fingerprinting）工具确定目标的操作系统信息和运行服务。也叫作标志提取（banner grabbing）。网络枚举器映射网络的逻辑结构，以确定网络上的流氓系统。密码破解器从存储在计算机中或通过计算机传输的数据中恢复密码。备份工具创建被扫描秒数据的复制版本。蜜罐将可以活动从合法网络系统中重定向到一个可以安全监控的独立系统中。蜜罐（honeypot）是指在追踪攻击者活动时，吸引他们离开合法网站来源的安全工具。蜜罐可以是软件模拟程序需，硬件幼儿，或者就是一个完整的虚假网络，即蜜网。漏洞扫描的类型漏洞扫描有多重不同的类型，它们在特定环境中会很有用。比如一些工具适合扫描无线网络实施过程中的弱点。一些专门用作配置合规性扫描器，评估系统的状态是否符合基线。漏洞扫描还可以按照是否需要凭证来进行区分。误检所有的扫描，不论何种类型，都会受到误检率的影响。在啊安全评估环境中，误检（false positive）就是指扫描秒器或其他评估工具确定了一项漏洞，而实际上并不是。一个相关术语就是漏检（false negative），是指工具确定某个项目不是漏洞，而实际上是漏洞。这可能会导致问题长时间无法被发现，被认定是扫描工具中的灾难性故障。评估漏洞的准则考虑主机的操作系统和平台爱是如何进行配置的。不要依赖默认的主机配置来获得最佳安全性。创建与你的安全需求相对应的自定义主机配置。思考软件中的零日漏洞是如何显著增加攻击风险的。思考组织开发或使用的应用程序是如何受到不合理输入处理和内存问题等漏洞的影响的。思考使用过时的密码套件是如何危害网络流量加密的。评估你的数字证书中的错误配置，如无效的格式编排。评估加密密钥管理系统中是否存在可能使攻击者更容易访问私钥的弱点。思考你的网络架构是如何使攻击者更容易地获得访问权限或发动拒绝服务状况的。思考错误配置的用户/计算机账户是如何造成威胁的。确定组织中可能极易受到社会工程攻击的任何用户，因此需要对这些人员进行培训。确定任何缺乏有效规划的关键业务流程，如寿命末期（EOL）流程等。思考系统延伸和未登记资产是如何使组织中的所有要素变得更难保护。课题C：实施渗透测试渗透测试渗透测试（penetration test）使用积极的安全工具，通过在系统中模拟 发动攻击来评估安全性。渗透测试会验证威胁是否存在，然后积极测试并绕过安全控制。如果得到授权，渗透测试还能利用系统中的漏洞。渗透测试的技巧技巧描述侦查（Reconnaissance）渗透测试的第一阶段侦查，在这一阶段中，测试员会尝试尽最大可能搜集有关目标的信息。这使他们能够根据测试的背景尽可能快速，简便且有效的发动模拟攻击。侦查可以是主动的（如扫描网络上的端口确定潜在的攻击适量），也可以是被动的（如搜集组织中关键人员的公开可用信息，针对他们发动社交工程）。初步利用当测试员通过侦查过程搜集到所有信息后，他们就会开始利用他们的目标。这一过程可能包括获得的整个网络的访问权限，获得网络上特定主机的访问权限，获得内部 账户证书，以及更多。权限扩大攻击者会尝试获取更多权限，以便获得对被利用系统的更大控制权。跳板（Pivoting）当渗透测试员想要转移时，他们破坏一个中央主机，使他们能够分散到其他主机中，于是这些主机就会变得不可访问。维持（Persistence）维持是最终阶段，意味着初步利用阶段已经结束了，测试员现在更愿意保持对网络的访问。盒测试方式测试类型描述黑盒测试（Black box test）这种方案不会向测试员提供有关被测系统结构的具体信息。测试员可能知道系统是做什么的，但是不知道是如何做的。这种测试需要测试员执行侦查阶段。黑盒测试在模拟外部威胁的行为方面非常有用。灰盒测试（Gray box test）在这种方案中，测试员对内部架构和系统，或被测系统的其他初步信息有部分了解。这种测试对测试员来说需要进行部分侦查。灰盒测试在模拟无特权的内部人员威胁时非常有用。白盒测试（White box test）在这种方案中，测试员在执行测试之前就已经了解系统的各个方面，知道系统的功能和设计。这种测试有时是作为黑盒测试的后续测试，来对黑盒测试中发现的缺陷进行充分评估。在这种测试中，测试员会跳过侦查阶段。白盒测试在模拟有特权的内部人员威胁时非常有用。黑盒测试-完整的侦查灰盒测试-部分侦查白盒测试-不进行侦查渗透测试工具工具类型应用于利用框架创建并部署代码来利用系统。数据清除工具安全地从从存储媒介中擦除数据。信息隐藏工具将数据隐藏在其他数据中避免被检测到。社交工程工具测试用户对社交工程策略的敏感程度。压力测试器测试系统对计算开销和网络带宽增长的响应能力。实施渗透测试的准则当实施渗透测试时：考虑除了执行漏洞评估还执行渗透测试的优势，或渗透测试能取代漏洞评估的原因。了解执行渗透测试时涉及的风险。考虑在模拟攻击中的不同阶段实施渗透测试技术。考虑使用不同的盒测试方法来执行渗透测试。理解每种盒测试方法对侦查阶段的不同需求。熟悉在系统的主动利用过程中使用的不同工具。
课题A：确定攻击者的类型威胁执行者威胁执行者（threat actor）是指需要对影响或可能影响组织安全的时间负部分或全部责任的实体。威胁执行者也被叫做恶意执行者（malicious actor）。威胁执行者的类型：脚本小子（script kiddie）新手或经验不足的黑客，技术知识有限，需要依赖自动工具进行攻击。黑客行为主义者（hacktivist）：这种黑客为实现政治或社会变革而获取计算机系统的未授权访问并在其中引起破坏。有组织的犯罪：计划进行犯罪活动的个人小组，最常见的目的是获取金钱利益。民族国家：政府情报机构经常使用不同类型的威胁实现他们的政治和军事目的。内部人员：内部人员威胁院子目标组织内部。内部人员包括现在和过去的员工，承包商，工作伙伴，以及任何能够访问专利或机密信息的实体。竞争对手：获取了商业竞争对手敏感信息访问权限的组织。开源情报开源情报（open-source intelligence/OSINT）是指通过合法手段从公开可用的来源搜集到的信息。课题B：确定社交工程攻击社交工程社交工程（social engineering）攻击是指使用欺骗或诡计手段说服毫无防备的用户提供敏感信息或违反安全原则的攻击类型。社交工程攻击是信息安全领域最常见也最成功的恶意技术。原则描述权威社交工程攻击者可能会以一个权威形象出现，如一位经理或IT管理员。恐吓扮演权威人物的社交工程攻击者常用的手段。从众社交工程攻击者可能会利用人类对团体的归属感以及对群体只会的服从度。稀缺性获得某种供不应求的东西又是是一种吸引人的想法。熟悉感社交工程攻击者可能会以用户的某个熟人的身份出现，如朋友或家庭成员。紧急事件如果攻击者能使用户相信他们必须立即登录并修复账户或即将发生一些坏事，用户可能就会因恐慌而无法进行理性思考。冒名冒名（Impersonation）是一种基于人员的攻击，指攻击者冒用他人身份。注：冒名可能也会成为其他类型社交工程攻击的一个方面。网络钓鱼和相关攻击网络钓鱼（Phishing）是一种基于电子邮件社交工程攻击的常见类型。网络钓鱼的演变：当攻击者选定特定个人或机构作为目标时，这种社交工程技术叫做鱼叉式网络钓鱼（spear phishing）。捕鲸（Whaling）是选择拥有巨额财富的个人或组织为目标的一种鱼叉式网路钓鱼形式。一种和网络钓鱼类似的攻击，叫做网域嫁接（pharming），是指将一个网站的请求进行重定向，通常是将一个电子商务站点定向到一个看起来类似，但是虚假的网站。语音钓鱼（Vishing）是一种基于人员的攻击，其目标是从受害者哪里获取个人，财务或机密信息，通过使用电话系统和基于IP的语言消息服务等服务作为通讯媒介，也被写作voice phishing。短信钓鱼（Smishing）是网络钓鱼的一种变形，是指使用SMS短信息来尝试从目标个人那里获取个人信息。一些网络钓鱼攻击还包括使用垃圾邮件（spam）和垃圾短信（spim）。诈骗诈骗（hoax）是一种基于电子邮件，及时消息或网页的攻击，目的是想要欺骗用户执行不必要或不希望的行为，如删除用于移除病毒的重要系统文件。物理利用某些社交工程攻击是的攻击者能够获得限制区域或信息的物理访问权限。最常见的类型如下表所示：原则描述权威社交工程攻击者可能会以一个权威形象出现，如一位经理或IT管理员。恐吓扮演权威人物的社交工程攻击者常用的手段。熟悉感这是一种基于人员的攻击，攻击者会在员工不知情或不允许的情况下跟随合法员工进入安全区。稍带（Piggy backing）和跟随进入的方式类似，捎带是指攻击者在员工允许的情况下进入安全区。水坑式攻击在水坑式攻击（watering hole attack）中，攻击者选择特定团体或组织为目标，找出他们经常访问的网站，然后在这些网站中注入恶意代码。水坑式攻击往往集中于合法和流行网站，使之变得难以监测。课题C：确定恶意软件恶意代码恶意代码（Malicious code）是指不受欢迎或未经授权的软件，也叫恶意软件，他们被放置在目标系统中破坏操作或将系统资源重定向以实现攻击者的利益。根程序病毒包（rootkit）是指想要在最低层级对系统进行全部或部分控制的代码。rootkit常常会进行自我隐藏，不被监控或检测到，并修改底层系统文件将自己整合到系统中。病毒病毒（virus）是指可以将自己附加在其他文件中，通过自我复制过程从一台计算机中传播到另一台中的恶意代码段。多态恶意软件（Polymorphic malware）使用相同的病毒加密，只有解密模块会在病毒每次感染文件时进行改变。对杀毒软件来说，检测一个处于持续变化中的感染是非常困难的。铠装病毒（armored viruse）最典型的特征就是他们会掩盖自己不被杀毒软件和安全专家们发现。为了骗过杀毒软件，铠装病毒能隐藏他们在系统中的真正位置，并使杀毒软件相信它们在别的地方。这样就能防止杀毒软件准确地检测并移除感染。类似的铠装病毒通常还包含混淆代码，使安全研究院难以对他们进行合理的评估并进行逆向。蠕虫蠕虫（worm）是一种恶意软件，和病毒一样，能在感染系统之间进行自我复制。但是和病毒不同的是，它不需要人的行为就能进行复制。广告软件广告软件（Adware）是指会自动显示或下载未经请求广告的软件。间谍软件间谍软件（Spyware）是一种被密码安装的恶意软件，目的是为了跟踪并报告目标系统的使用情况，并搜集攻击者希望获取的其他数据。特洛伊木马特洛伊木马（Trojan horse），经常被简称为木马，是一种隐藏恶意软件，会对系统造成破坏或为攻击者提供监控或控制系统的平台。与病毒不通，木马不会进行自我复制，也不会附着到其他文件中。而是经常保持隐匿，更加不容易被检测到。木马这种恶意内容会隐藏在平时无害的数据包中，如用户下载一个可以按预期运行的游戏或屏幕保护程序，但其中却包含了一个恶意代码的有效负荷。键盘记录器键盘记录器（keylogger）是一种用于识别并记录用户进行的每次击键行为的硬件设备或软件应用程序。远程访问木马远程访问木马（remote access Trojan/RAT）是一种专用的特洛伊木马，其专门的目标是为攻击者提供目标计算机的未授权访问或控制。逻辑炸弹逻辑炸弹（logic bomb）是在目标计算机中保持休眠状态直到被某个特定事件激活的一种代码段，如特定的时间。一旦代码被激活，逻辑炸弹就会引爆，执行其中被编程的任何内容。通常包括清除并破坏目标系统中的数据。僵尸网络僵尸网络（botnet）是指被一种叫机器人程序的控制程序感染的一组计算机，它能使攻击者集中利用这些计算机来发动攻击。通常黑客使用僵尸网络协同拒绝服务攻击，发送垃圾邮件，获取个人信息或密码。勒索软件勒索软件（Ransomware）是一种日益及流行的恶意软件，攻击者用恶意代码感染受害者的计算机，限制受害者对他们的计算机及其其中数据的访问，然后攻击者就会进行勒索。高级持续性攻击高级持续性攻击（advanced persistent threat/APT）使用多个攻击向量来获取敏感资源的未授权访问，然后再长时间段内保留访问权限。课题D：确定基于软件的威胁软件攻击软件攻击（software attack）是指针对软件资源，包括操作系统，应用程序，访问，协议和文件的任何攻击。密码攻击密码攻击（password attack）是指攻击者尝试获取密码的未授权访问或使用。密码攻击的类型：密码攻击的类型描述猜测最简单的密码攻击就是通过输入不通的常见密码值，重复尝试猜测密码，如用户的名字，配偶的名字或重要的日期。偷窃可以通过不通的方式窃取到密码，包括探查网络通讯，读取手写密码的便条或在用户输入密码时偷看。字典攻击（Dictionary attack）这种攻击通过将密码与可能密码值的预确定清单，如字典词语，进行比较，自动地进行密码猜测。字典攻击针对比较简单和明显的密码是一种非常成功的方式。暴力破解（Brute force attack）在这种攻击方式中，攻击者使用密码破解软件来尝试所有可能的字母数字密码组合。暴露破解严重受限于时间和计算资源，因此在破解短密码时最为有效。彩虹表攻击（Rainbow table attack）彩虹表是相关明文密码及其散列的集合。混合密码攻击（Hybrid password attack）这种攻击类型在尝试破解密码时会使用多种攻击方式，包括字典攻击，彩虹表攻击，暴力破解等。生日攻击（Birthday attack）这种攻击利用了生成散列的数学算法中的缺陷。暴力破解可以通过在线或离线进行。加密攻击加密攻击（cryptographic attack）是一种软件攻击，利用了代码，密文，协议，密钥管理系统等加密系统元素中的缺陷。加密攻击的类型：加密攻击的类型描述猜测最简单的密码攻击就是通过输入不通的常见密码值，重复尝试猜测密码，如用户的名字，配偶的名字或重要的日期。选择明文攻击（Chosen plaintext attack）可以通过不通的方式窃取到密码，包括探查网络通讯，读取手写密码的便条或在用户输入密码时偷看。字典攻击（Dictionary attack）这种攻击通过将密码与可能密码值的预确定清单，如字典词语，进行比较，自动地进行密码猜测。字典攻击针对比较简单和明显的密码是一种非常成功的方式。暴力破解（Brute force attack）在这种攻击方式中，攻击者使用密码破解软件来尝试所有可能的字母数字密码组合。暴露破解严重受限于时间和计算资源，因此在破解短密码时最为有效。彩虹表攻击（Rainbow table attack）彩虹表是相关明文密码及其散列的集合。混合密码攻击（Hybrid password attack）这种攻击类型在尝试破解密码时会使用多种攻击方式，包括字典攻击，彩虹表攻击，暴力破解等。生日攻击（Birthday attack）这种攻击的专注点与其他加密攻击方式不同，没有致力于破解用以加密目标数据的算法，而是致力于探究部署加密系统的方式。后门攻击后门攻击（backdoor attack）是一种软件攻击，指攻击者创建了 一个叫做后门的软件机智来获取计算机的访问权限。应用程序攻击应用程序攻击（Application attack）是针对基于网页或其他客户端-服务器应用程序的软件攻击。应用程序攻击的类型：跨站点脚本（XSS）：通过将恶意脚本注入可信任网站中进行攻击。跨站点请求伪造攻击（CSRF）：这是一种利用网站授权用户和网站本身之间已建立起来的信任关系的网络应用程序攻击。命令注入攻击零日攻击（Zero day exploit）：这种攻击发生在系统安全等级处在最底层时，在发现漏洞之后立即进行。缓冲区溢出（Buffer overflow）：这种攻击是指数据超出了缓冲区的边缘地区，开始影响邻近的内存。驱动器操纵驱动器操纵（Driver manipulation）是一种软件攻击，攻击者会重写或替换合法设备的驱动器或应用程序编程接口（API），使恶意活动能够被执行。插片（Shimming）是指在应用程序和操作系统之间开发并应用额外程序的过程，这种程序实现了原本不可用的功能。重构（Refactoring）是指重新构建应用程序代码，以便能够在不影响应用程序外部表现的情况下改善其设计或使之能够处理特定情况的过程。课题E：确定基于网络的威胁欺骗攻击IP和MAC地址欺骗（IP address spoofing）：是最常用的攻击手段。攻击者从一个假的（伪造的）源地址发送一个IP数据包，来与目标进行通讯。这种通讯的目的各不相同，从产生网络流量到获取敏感数据，或是绕过基于IP地址的认证机制。MAC地址欺骗（MAC address spoofing）：改变网络设备中网络接口的出厂设置MAC地址。ARP中毒（ARP poisoning），也叫ARP欺骗（ARP spoofing），是指能够访问目标网络的攻击者将一个IP地址重新定向到非目标接受计算机的MAC地址上。DNS中毒（DNS poisoning）或DNS欺骗（DNS spoofing）是一种基于网络的攻击，攻击者利用DNS系统的开放属性，将一个域名重定向到一个由攻击者选择的IP地址上。窃听攻击窃听攻击（eavesdropping attack）或监听攻击（sniffing attack）使用特殊的监控软件来获取私密网络通讯的访问权限，可能是窃取通讯内容本身，也可能是为了获得用户名密码以便进行以后的软件攻击。中间人攻击中间人攻击（man-in-the-middle attack）是窃听的一种形式，指攻击者在两位受害者之间建立一个独立的连接，并在两者之间重放信息。浏览器中间人攻击（man-in-the-browser attack）结合使用了中间人攻击的特洛伊木马，实时地拦截并篡改网络交易。重放攻击你已经以加密攻击的形式定义过重放攻击，攻击者拦截回话密钥或认证流量并在以后使用它们来进行认证并获得访问权限。DOS攻击拒绝服务攻击（Denial of Service attack/DoS attack）是一种网络攻击，攻击者尝试通过不同方式破坏或禁用提供网络服务的系统。这些方式包括：使用数据炎魔网络链路，消耗所有的可用宽带。发送能够利用应用程序中已知缺陷的数据。发送多个服务请求，消耗系统的资源。用垃圾邮件消息塞满用户的电子邮件收件箱，使真正的消息被退回发送者。DDOS攻击分布式拒绝服务（Distributed Denial of Service/DDOS）攻击是DOS攻击的一种类型，使用不同网络上的计算机多源同步地发动攻击。攻击者引入未经授权的软件将计算机编程一个僵尸，操纵这些计算机来发动攻击。劫持攻击劫持（Hijacking）包括一组基于网络的攻击，攻击者伪装成两个系统之中的一个实体，以获取对他们之间通讯的控制。劫持常见形式如下：劫持攻击的类型描述点击劫持（Clickjacking）攻击者将链接隐藏在其他网页因素中，使受害者在无意间选中隐藏链接。攻击者可以使用不透明图层或多个透明图层欺骗用户选中其中的隐藏链接。DNS劫持（DNS hijacking）攻击者设置一个流氓DNS服务器，使用恶意或不存在的网站IP地址响应合法请求。在某些情况下，互联网服务供应商（ISP）会应用DNS劫持来为想要导航到不存在域名中的用户显示广告。域名劫持（Domain hijacking）共集资和通过修改注册信息盗取域名，然后将这个域名转让给另一个实体。有时也指品牌劫持（brandjacking）会话劫持（Session hijacking）攻击者利用一个合法会话来获取组织网络或服务的未授权访问权限。一种类似的利用方式就是窃取用于向远程服务器验证用户身份的活动会话cookie，然后用这个cookie在以后对会话进行控制。URL劫持/网域抢注(typo squatting)攻击者注册与合法网站名称十分相似的域名，利用在浏览器中输入域名时拼写错误的可能性。放大攻击放大攻击（amplification attack）是一种基于网络的攻击，指攻击者在DDoS攻击过程中，动态地增加向受害者发送的宽带数量。放大攻击的类型描述ICMP放大ICMP放大攻击，最常用的名称叫做海量攻击（Smurf attack），通过向目标主机发送大量的ICMP的探测（ping）数据包。DNS放大在DNS放大攻击中，攻击者使用受害者的IP地址向DNS服务器发送一个DNS查询，服务器用一个DNS响应向这个虚假地址进行回应。如果攻击者请求全区域内的额外信息，响应数据包可能就会被放大到正常DNS响应包的179倍。当多个虚假查询倍发送到不同的服务器上时，多个DNS服务器同事回应，受害者和的网络会被急剧增长的DNS响应所淹没。UDP放大UDP放大攻击实际上包括了DNS放大攻击，但是它们可能还会使用去其他网络服务以不同的速率来放大攻击效应。Fraggle攻击与Smurf攻击非常类似，只是它使用UDP数据包而不是ICMP回应请求来轰炸路由器的广播地址。新型路由器不会转发以广播地址为目的地的数据包，因此Smurf和Fraggle攻击在现今的网络中不太可能成功。NTP放大NTP放大攻击是UDP放大攻击的另一种形式。如果攻击者欺骗目标IP地址，向NTP服务器发送一个monlist请求，响应数据包会比初始数据包大559.6倍。传递散列的攻击传递散列的攻击（pass the hash attack）是一种基于网络的攻击，攻击者窃取散列的用户证书，在散列证书来源的相同网络中，原封不动地使用这些证书来进行验证。课题F：确定无线威胁欺骗访问点欺骗访问点（rogue access point）是指企业或私有网络中的未授权无线访问点。欺骗访问点可能会对组织的数据造成极其严重的损害。它们不会被轻易监测到，并且可以通过合适的设备使未授权用户访问私有网络。双面恶魔双面恶魔（evil twin）访问点会欺骗用户相信无线网络中的这个访问点是合法的。虽然企业和私有网络中都能安装双面恶魔访问点，但通常都是在公共WiFi热点中发现他们，用户不会像在公司网络中一样直接自动连接这些热点，而是会从列表中选择可用网络。注意：合法WAP和双面恶魔的SSID不需要完全相同。它们通常是相似的，但不完全匹配。干扰在无线网络中，干扰（jamming）也叫冲突（interference），是指无线电波扰乱802.11无线信号的一种攻击。蓝牙劫持蓝牙劫持（Bluejacking）是指攻击者从智能手机，移动手机，平板电脑，笔记本电脑等设备向其他启用蓝牙（Bluetooth）功能的设备中发送不想要的蓝牙信号的方式。由于蓝牙的传输距离相对较短，因此蓝牙劫持往往发生在近距离范围内。蓝牙窃听蓝牙窃听（Bluesnarfing）是指攻击者在328英尺的蓝牙传输挟制之内，获取使用蓝牙连接的无线设备中的未授权信息的访问权限。与蓝牙劫持不通，通过蓝牙窃听访问只能手机，平板电脑，移动手机，笔记本电脑等无线设备可能会导致私密信息被利用，包括电子邮件消息，联系人信息，日历条目，图片，视频，以及存储在设备中的任何数据。近场通讯攻击近场通讯（Near Field Communication/NFC）是指智能手机和平板电脑等移动设备之间在极近距离内进行的一种标准通讯，通常是通过接触或在相隔几英寸的距离内进行。无线电射频识别系统攻击无线电射频识别（Radio-Frequency Identification/RFID）这种技术使用电磁场来自动识别并跟踪被附加在选定对象上存储了有关对象信息的标签或芯片。战争驾驶，战争漫步和开战标记战争驾驶（war driving）或战争漫步（war walking）是指使用智能手机，平板电脑，移动电话或笔记本电脑等无线跟踪设备搜索无线网络实例的行为。它会确定可以加以利用的无线访问点位置，来获取未授权的互联网访问，可能的话还会窃取数据。开战标记（war chalking）是指使用符号标记人行道或墙壁，以表明附近无线网络的存在情况和状态。数据包嗅探数据包嗅探（Packet sniffing）可以成为无线网络中的一种攻击手段，攻击者使用协议分析器捕获数据并寄存数据流，最终将允许攻击者分析包含在捕获数据包中的数据。IV攻击在加密领域中，初始化向量（initialization vector/IV）是一种被添加到密钥上的数字，它会处于持续变化中，以防止相同的文本在加密后产生完全一样的密文。无线重放攻击在弱加密或无加密的无线网中，攻击者可能会发现捕获数据包进行重放以操控数据变得更加容易。WEP和WPA攻击有线等效保密（Wired Equivalent Privacy/WEP）算法是用于保护无线网络的最早算法。这种数据加密方法是为了匹配当时的有线连接安全性。WEP有64位，128位和256位的密钥长度。但是由于它使用流密码来加密数据，因此需要依赖一个IV来将文本的相同字符串随机化。如果使用24位的IV长度，那么在IV攻击中，IV的值可能被预测出发，使WEP变得极其脆弱。实际上一些可用软件能在标准消费级别的硬件上，在几分钟内破解WEP加密。由于其脆弱性，2004年时WEP就收到了反对并不在使用。WEP已被安全得多的无线保护访问（WIFI Protected Access/WPA）协议极其后续协议WPA2所替代。与WEP不同的是WPA为每个被发送的数据包生成一个128位的密钥，放置加密信息被轻易破解。虽然WPA使用相同的RC4流密码，但是WPA2使用了更加安全的AES块密码来进行加密。但即使安全性得到了加固，这两种WPA协议仍然容易受到攻击。尤其是对于使用弱密码保护WPA无线网络的用户，他们的网络在密码暴力破解的攻击之下仍不堪一击。WPA中另一个潜在的弱点就是允许攻击者在无线数据流中注入恶意数据包。当下，WPA2被认为是最安全的无线加密协议，并应当取代WPA使用。WPS攻击无线保护装置（WIFI Protected Setup/WPS）功能通过添加更多方法来验证密钥生成，实现无线加密安全性的增强，防止用户选择弱密码。其中一种方式就是必须输入物理无线设备上显示的8位PIN码，才能登入网络。但是，由于WPS检查每个PIN码的一半，只需要几千次猜测就能成功地破解PIN码。无线分离攻击无线分离攻击（wireless disassociation attack）是一种无线攻击，攻击者向目标设备发送一个虚假的分离帧，使之看起来好像来自WAP。这种行为使目标设备尝试与WAP重新取得连接。通过持续不断地放松分离帧，攻击者就能引起DOS。课题G：确定物理威胁硬件攻击硬件攻击（hardware attack）是指针对计算机物理组成和外围设备的攻击，包括硬盘，主板，键盘，网络布线或智能卡读卡器。环境威胁火灾飓风和台风洪灾极端温度极端湿度
课题A：分析组织风险风险管理在信息管理领域中，风险会以许多不同的形式展现出来。如果不能正确的管理风险，就是可能引起中药资产的泄露，篡改，丢失，破坏或干扰。风险管理（Risk management）是一种周期性过程，包括四个阶段：评估：确定并评估系统中存在的风险。分析：分析风险对系统产生的潜在影响。相应：规划如何响应风险的策略。缓解：缓解风险对未来安全造成的不良影响。威胁、漏洞、风险的关系与不同：漏洞是指安全策略中的缺陷或弱点；威胁是指可能会利用漏洞的实体；风险是指如果威胁确实利用漏洞，可能造成的损失，危害或破坏。风险分析的阶段确定如何保护计算机网络，计算机安装和信息时，风险分析（risk analysis）这一安全过程能够评估可能影响整个组织的风险危害。风险分析过程中有六个阶段：资产确定漏洞确定威胁评估可能性量化影响分析应对措施的确定威胁类型的分类根据安全威胁的来源，通常被分为自然，人为或系统威胁。风险分析的方式：定性、定量、半定量。风险计算风险计算侧重于研究财务和运营损失的影响，并在组织中寻找威胁利用的指标。ALE（年度损失预期）=SLE（单一损失预期）*ARO（年发生率）风险响应的技巧一旦确定了一项风险，就能制定响应策略来确定合适的应对措施。甚至可以结合多种策略来完成一次响应。四中常见的响应如下：接受：这表示如果风险真是发生，承认并接受风险及其带来的后果。但接受并不代表让系统完全地暴露在漏洞之下，而是意识到涉及的风险不能完全避免，或是缓解或避免的成本过高。转移：将风险的责任分配给其他机构，或第三方，如保险公司。避免：通过消除风险的来源彻底消除风险。这种技术可能只需要结束出于风险之中的操作或实体，如关闭经常成为攻击目标的服务器。缓解：这种技巧能防御可能的攻击并在潜在风险产生重大影响时实施。缓解措施可能以入侵检测系统等主动防御措施或备份处于风险中的数据等警示措施的形式出现。风险缓解和控制类型风险可以通过实施合理的安全控制进行缓解。控制类型有：技术控制：应用软件硬件装置监控和防止计算机系统与服务中的威胁和攻击。管理控制：应用相应流程监控组织安全策略的服从情况。这些控制专门用于控制制定区域的操作效率，并监控安全策略的服从度。操作控制：用于保护日常业务操作，功能和活动所有方面的安全措施。损失控制：也叫损害控制（damage control），这是用于保护关键资产不受侵害的安全措施。包括降低损失发生概率，以及降低发生损失时的严重程度。变更管理变更管理是一种批准并执行变更的系统性方法。以便确保信息技术服务达到最佳的安全性，稳定性和可用性。课题B：分析风险的商业影响业务影响分析业务影响分析（bussiness impact analysis/BIA）是一种系统性活动，用于确定组织风险及其对持续的，任务关键型的业务与流程产生的影响。BIA包括对漏洞的评估，对风险及其影响的评测。最大可承受停机时间最大可承受停机时间（Maximum tolerable downtime/MTD）是指在不引起无法恢复的业务故障的前提下，可以承受的最长业务中断时间。恢复点目标恢复点目标（recovery point objective/PRO）是指组织能承受的丢失数据不可恢复的最长时间。恢复时间目标恢复时间目标（recovery time objective/RTO）是指事件发生后，恢复正常业务操作和活动的时间长度。平均故障时间平均故障时间（Mean time to failure/MTTF）是指设备或组件预计运行的平均时间。通常用于描述那些不可修复的设备或组件的可靠性，MTTF的计算方法为用总运行小时数除以故障数。平均修复时间平均修复时间（Mean time to repair/MTTR）是指设备或组件从事件或故障中恢复所需的平均时间。平均故障间隔时间平均故障间隔时间（Mean time between failures/MTBF）评估了设备或组件中发生故障的预计时间间隔。
课题A：确定信息安全的概念信息安全信息安全（Information security）指的是保护可用信息或信息来源不会受到未授权访问，攻击，盗取或数据损坏。信息安全的目标在实施信息安全实践过程中，有三个主要目标或功能：预防（Prevention）、检测（Detection）、恢复（Recovery）。风险在信息系统领域中，风险（risk）表示的是面临损坏或丢失的可能性的概念。漏洞在大多数基础层面上，漏洞（vulnerability）即任何可能使信息系统遭受破坏的情况。漏洞可能以多种多样不同的形式展现出来：不合理地配置或安装软硬件。未及时应用和测试软件及固件补丁。软件或操作系统中的错误。软件或通讯协议的错误使用。设计拙劣的网络。糟糕的物理安全。不安全的密码。软件或操作系统中的设计缺陷。未经检查的用户输入。威胁在计算机安全领域中，威胁（threat）是指可能对资产造成损害的任何事件或行动。计算机和网络的潜在威胁包括：无意地或未经授权地访问或修改数据服务的中断。访问资产时中断。硬件损坏。未经授权地访问或损坏设施。攻击在计算机安全领域中，攻击（attack）是指在未经授权的其情况下，利用任意应用程序或物理计算机系统中漏洞的技术。计算机系统和网络安全中的攻击包括：物理安全攻击。基于软件的攻击。社交工程攻击。基于网络应用程序的攻击。基于网络的攻击，包括无线网络。控制在计算机安全领域中，控制（control）是指为了避免，缓解抵消由威胁或攻击引起的安全风险而做出的相应策略。控制概括地被分为：预防控制（Prevention control）、检测控制（Detection control）、校正控制（Correction control）。安全管理流程安全管理流程包括识别、实施和监控安全控制。课题B:确定基本的安全控制CIA三位一体信息安全致力于实现三种具体原则：机密性（Confidentiality）、完整性（Integrity）、可用性（Availability）。这种性质被称为CIA三位一体（CIA triad）。不可否认性不可否认性（Non-repudiation）确保了发起传输或创建数据的一方保持与数据的连接且不能否认发送或创建过该数据。不可否认性是实现可追责性（accountability）的一种方法，可追责性是指确定特定活动或事件等等负责人过程。身份识别在安全术语中，身份识别（identification）是指对特定实体的性质声明所有权的过程认证认证（Authentication）是指验证特定实体或个人身份及其唯一证书的方法。认证的核心工作就是验证特定个体是否拥有进入系统或安全站点的正确证书。认证因素大多数认证机制是基于一种或多种认证因素。这些因素包括：你本身具有的东西，包括物理特征，如指纹或视网膜图案。你拥有的资源，如口令或准入卡。你了解的信息，如密码。你所处的位置或不在的位置，如许可ip地址或GPS地址。你所做的行为，如已建立的击键模式。授权在安全术语中，授权（authorization）是指确定特定实体拥有哪些权利和权限的过程。访问控制访问控制（Access control）是指为不同资源，对象或数据确定并分配权限的过程。计费和审计在安全术语中，计费（accounting）是指跟踪并记录系统活动和资源访问的过程。审计（Auditing）是计费的一部分，安全专家会审核被记录下来的日志。最小特权原则最小特权（least privilege）原则规定用户和软件只能被赋予执行任务所必须的最低访问级别。特权包围（privilege bracketing）是指仅在需要时才授予特权安，然后在任务完成时或不在需要时立即撤销。特权管理特权管理（Privilege management）是指使用认证和授权机制提供用户和组访问控制的集中式或分散式管理。在特权管理中，应当包含一个审计部分，用来跟踪特权使用和特权扩大。通过为用户提供浏览不同服务器或站点等资源的一次性认证，单点登录实现了特权管理功能。课题C：确定基本的认证和授权的概念密码结合使用用户名和密码是一种最基本且广泛使用的认证机制之一。口令口令可以是物理的或虚拟的对象，如智能卡，身份徽章或存储了认证信息的数据包。口令可以存储个人身份识别号码（PIN），有关用户的信息或密码。智能卡（smart card）是基于口令认证的一种常见例子。生物识别实物识别（Biometries）是通过被测者物理特征来确定个人身份的一种认证机制。这种机制包括指纹扫描仪，视网膜扫描仪，手形扫描仪或声音识别和面部识别软件。定位随着越来越多的物联网移动设备的出现，定位（Geolocation）从另外的层面上提供了用于认证的方式。击键认证击键认证（Keystroke authentication）是指在计算机或其他电子设备中键入信息时，根据按键被按压和释放时精确且详细的信息进行验证的认证类型多因素认证多因素认证（Multi-factor authentication）是指需要验证两种或多种认证因素的认证机制。相互认证相互认证（Mutual authentication）是指需要通讯中的每一方之间相互验证身份的安全机制。课题D：确定基本的密码学概念密码学密码学（Cryptography）是一种隐藏信息的科学，最常用的方式就是对用于发送消息的密码代码进行编码和解码。加密和解密加密（Encryption）是一种密码学技术，是指将数据从明文（plaintext）形式转化为编码或密文（ciphertext）形式。解密（Decryption）就是将密文转化回明文的配套技术。加密和安全目标加密能够促进并支持许多不同的安全目标和技巧：防止数据的未授权访问从而实现了机密性。如果不知道被保密的解密密文，想要解密被加密数据是十分困难的，因此能够保障完整性。只有知道加密机制才能加解密数据，因此实现了不可否认性。大多数认证机制都运用了某些加密形式来保护密码。加密还用在了许多访问控制机制中。编码编码（cipher）是一种用于加密或解密数据的算法。密钥加密密钥（key）是指与算法一起使用来执行加解密的特定信息段。对任何已知算法来说，密钥越长，加密强度越大；但是，一个RSA1024密钥安全性却不如ECC128密钥。对称加密对称加密（Symmetric encryption）是一种双向加密，其中加解密都使用相同的密钥。非对称加密与对称加密不同，非对称加密（asymmetric encryption）的核心在于使用公钥和私钥。在双向加密过程中，私钥（private key）由其中一方尽心该保密。因为私钥是不能被共享的，就确保了一定的安全性。因此非对称密钥交换过程比对称密钥交换过程更容易和安全。公钥（public key）可以被任何人获取。根据加密的应用过程，双方都能使用加密密钥。与之相对的另一个密钥用来解密。密钥对中的私钥可以解密使用相应公钥编码的数据。由于非对称加密算法使用更长的密钥，因此它的执行速度相对对称密钥算法来说通常更慢。密钥生成（Key generation）是指通过使用特定应用程序产生一个公钥和私钥对的。散列散列算法（Hashing）是指将明文转换为无法直接解密的密文的过程或函数。散列算法的结果被叫做散列（hash），散列值（hash value）或消息摘要（message digest）。输入数据的长度可能不同，但散列值的长度是固定的。散列算法的几种用法：散列算法在多种密码认证机制中都有应用。被加密的密码数据就被叫做密码的一个散列。散列值可以被嵌入到电子消息中，以支持数据的完整性和不可否认性。这就是数字签名的作用。文件的一个散列可以用来验证文件经过传输后的完整性。信息隐藏信息隐藏（Steganography）是一种可选的加密技巧，是指通过将秘密消息装入图形、视频或声音等普通文件中进行隐藏