CompTIA_Security+_1.3_Explain the importance of change management processes and the impact to security.

1.3 解释变更管理流程的重要性及其对安全的影响

摘要

• 1.3.1 Business processes impacting security operation（影响安全运维的业务流程）
  • Approval process（审批流程）
  • Ownership（所有权）
  • Stakeholders（相关方）
  • Impact analysis（影响分析）
  • Test results（测试结果）
  • Backout plan（回滚计划）
  • Maintenance window（维护窗口）
  • Standard operating procedure（SOP，标准操作程序）
• 1.3.2 Technical implications（技术影响因素）
  • Allow lists/deny lists（白名单/黑名单）
  • Restricted activities（受限活动）
  • Downtime（停机时间）
  • Service restart（服务重启）
  • Application restart（应用重启）
  • Legacy applications（遗留应用程序）
  • Dependencies（依赖关系）
• 1.3.3 Documentation（文档管理）
  • Updating diagrams（更新图表）
  • Updating policies/procedures（更新政策/程序）
• 1.3.4 Version control（版本控制）

1.3.1 Business processes impacting security operation（影响安全运维的业务流程）

Change Management（变更管理）

如何进行变更：更新软件、修补一个应用程序、变更防火墙配置、修改交换机端口
明确的策略：frequency（频率）、duration（持续时间）、installation process（安装过程）、rollback procedures（回滚程序）

Change approval process（变更审批流程）

管理变更的正式流程：避免 downtimw（停机）、confusion（混乱）和 mistakes（错误）

典型的审批流程：

• 填写正式的变更控制流程表
• 明确变更目的
• 识别变更范围
• 安排变更日程与时间
• 明确受影响的系统与该变更的影响
• 分析该变更的相关风险
• 获得 change control board（变更控制委员会）的批准
• 变更完成后获得用户 acceptance（认可）

Ownership（所有权）

个人或实体需要进行变更：

• 他们负责流程
• 他们通常不执行实际变更

所有者管理流程：

• 向所有者提供流程更新
• 确保流程得到遵循且可接受

Stakeholders（利益相关者）

• 他们希望对变更管理流程提供意见。
• 一项变革可能涉及一个人，也可能涉及整个公司。

Impact analysis（影响分析）

如：high（高）、medium（中）、low（低）

The risks（风险）可能 minor（很小）或 far-reaching（很深远）：

• "fix（修复）"实际上并没有解决任何问题
• The fix breaks something else（修复破坏了其他东西）
• Operating system failures（操作系统故障）
• Data corruption（数据损坏）

不做出改变会有什么风险？

• Security vulnerability（安全漏洞）
• Application unavailability（应用程序不可用）
• Unexpected downtime to other services（其他服务意外停机）

Test results（测试结果）

Sandbox（沙盒）testing environment：

• 不连接真实世界或 production system（生产系统）
• 一个技术安全空间

在对生产实施一次变更前使用：

• 尝试更新、应用补丁
• 在有效运用前测试与确认

确认 backout plan（回滚计划）：

• 把所有东西都移回原来的位置
• 沙盒无法考虑所有可能性

Backout plan（回滚计划）

你应该始终有办法 revert（撤销）更改。

• 一些变更难以 revert
• 应始终做好备份

Maintenance window（维护时段）

• 在工作日期间可能不是最好的选项
• Overnights（夜间）通常是一个更好的选择
• 一年中的时间可能是一个 consideration（考虑因素）

Standard operating procedure, SOP（标准操作程序）

变更管理至关重要

• 影响组织中的每个人

该过程必须有详细记录

• 应该在内联网上可用
• 独自完成所有标准流程和程序

流程的变化反映在标准中

• a living document（一份活文件）

1.3.2 Technical implications（技术影响因素）

Allow lists/deny lists（白名单/黑名单）

Restricted activities（受限活动）

确切定义涵盖哪些组件。

• 限制变更的具体操作范围而非在特定 n 小时内的变更许可。
• 变更期间变更范围可能因完成目标的实际需要而变大。

变更管理流程确定了每一步使变更成功的流程。

Downtime（停机时间）

• 变更过程可能导致服务不可用，因此变更通常安排在非生产时间。
• 可通过主备系统切换防止停机。
• 尽量减少 downtime
  • 过程尽可能自动化
  • 若出现问题，切换回 secondary system（辅助备用系统）
  • backout plan（退出计划）的一部分
    • backout plan: 一种预先定义并记录下来的策略，用于在系统更改（如软件更新或新配置）失败或导致不良后果时进行逆转
• 发送电子邮件通知所有相关人员、更新日历

Restart

• 实施新配置
• 重启操作系统、手动关闭并开启设备或仅重启特定服务
• 可了解该系统能否在停电后恢复正常

Service restart（服务重启）

• 停止或重启 service 或 daemon（守护进程）（可通过 Windows Task Manager）
• 可能仅花费数秒或数分钟

Application restart（应用重启）

• 完全关闭应用程序后重新启动

Legacy applications（遗留应用程序）

Legacy applications 是那些已经使用了很长时间，通常基于过时的技术、编程语言或操作系统的软件程序。它们通常是企业核心业务流程的关键部分，但由于种种原因，它们没有被更新或替换。

主要特征：

• 不再受支持
• 基于过时的技术
• 与现代系统兼容性差
• 缺乏相关技术文档与开发维护人员
• “只要能跑，就不动它”

挑战：

• 变更困难
  • 风险评估高
  • 测试复杂
• 安全补丁无法应用
• 阻碍整体 IT 现代化

Dependencies（依赖关系）

• 一个服务或应用程序的变更基于另一个服务或应用程序的变更。
• 存在依赖关系的二者可能不在一个系统。

1.3.3 Documentation（文档管理）

没有某种持续的文档处理过程，所拥有的任何环境文档都可能很快过时。

Updating diagrams：

• 修改网络配置
• 更新地址

Updating policies/procedures：

• 增加新的系统可能需要新的程序

1.3.4 Version control（版本控制）

跟踪文件或配置的各版本的具体变化，以便必要时恢复到特定版本。

管理版本的机会有很多：

• Router configurations
• Windows OS patches
• 申请 registry（注册表）entires（条目）

一些设备与操作系统提供版本控制特性，否则可能需要额外的管理软件。