InfoSec-Comptia701-笔记-全-
InfoSec Comptia701 笔记（全）
001：欢迎与课程概述 🛡️
在本节课中，我们将对CompTIA Security+ 701认证考试进行整体介绍，并概述课程将涵盖的五大知识领域。
我是Tommy Gober，Infosec的网络安全讲师。在本视频课程中，我将带领大家学习CompTIA Security+ 701考试的相关资料。我们将逐一探讨考试的五个不同知识领域。
课程涵盖领域
以下是本课程将系统学习的五大核心知识领域：
- 通用安全概念
- 威胁、漏洞与缓解措施
- 安全架构
- 安全运营
- 安全程序管理与治理
学习方法
我将提供一些有趣且简单的方法，帮助大家记忆考试中会出现的一些概念。这些方法将使你能够轻松识别正确答案，从而在Security+考试中取得成功。
现在，让我们开始学习之旅。
本节课中，我们一起了解了CompTIA Security+ 701认证课程的整体框架和五大核心知识领域。在接下来的章节中，我们将深入每个领域，学习具体的安全概念与实践技能。
002：核心安全概念与术语 🛡️
在本节课中，我们将学习信息安全领域最核心的基础概念和术语。理解这些术语是构建后续所有安全知识框架的基石。
CIA三要素 🔺
上一节我们介绍了课程的整体目标，本节中我们来看看信息安全最著名的模型——CIA三要素。它通常被描绘成一个三角形，包含保密性、完整性和可用性。这三个主题在网络安全中反复出现，尤其是在评估特定漏洞的影响时。
以下是CIA三要素的具体内容：
- 保密性：核心是保持秘密信息不被泄露。你不希望第三方访问到内容，因此会使用加密等手段来保护。我们使用加密来保护保密性。
- 完整性：核心是确保数据不被未经授权或意外地更改。你需要防范信息被篡改，保护数据的完整性。
- 可用性：核心是确保数据或服务在你需要时能够被访问和使用。信息和服务的可用性至关重要。
CIA三要素构成了网络安全工作的基础。事实上，任何网络安全事件，都至少是这三要素中某一方面的失败。
AAA框架 🔐
理解了如何保护资产（CIA）后，接下来我们需要了解如何管理对这些资产的访问。这就是AAA框架，它代表了认证、授权和审计。
以下是AAA框架的三个组成部分：
- 认证：这是你声明自己身份的过程，例如输入用户名。
- 授权：这是你证明自己身份的过程，传统上通过密码、PIN码等方式实现。多因素认证也属于此范畴。
- 审计：这是确保需要账户的用户拥有账户，并追踪用户在系统上的活动的过程，主要通过记录系统日志来实现。
AAA框架是网络安全中访问控制的核心机制。
数据的三种状态 💾
在讨论了访问控制之后，我们需要思考数据本身在不同场景下的安全。数据在网络或组织内部可以存在于三种状态。
以下是数据的三种状态：
- 传输中数据：指正在网络中传输的数据。
- 静态数据：指被存储起来的数据，例如在电脑或文件服务器上。我们通常通过加密来保护静态数据的安全。
- 使用中数据：指正在被处理或生成的数据。一个例子是赛车比赛时，车辆传感器实时生成的数据。即使数据正在产生，也应考虑对其进行保护（如加密），以防被窃听。
确保数据在所有三种状态下都安全是至关重要的。
其他关键术语 📚
除了上述核心模型，还有一些频繁出现的关键术语需要掌握。
以下是其他几个重要的安全概念：
- 不可否认性：指信息接收方能够确认信息的来源，且发送方事后无法否认其发送行为。例如，通过数字签名签署的电子合同，可以防止发送方抵赖。
- 差距分析：指通过对比组织当前的安全状况与应有的安全标准或最佳实践，找出其中存在的差距。这有助于发现需要改进的安全领域。
- 漏洞、威胁与风险：这三个概念常被混用，但有明确区别。
- 漏洞：是系统或组织流程中固有的弱点。例如，计算机需要电力才能运行，断电就是一个漏洞。
- 威胁：是可能利用漏洞并造成损害的事件或行为，可以是人为的（威胁行为者）或自然的。它是可能被实现的漏洞。
- 风险：是对威胁的衡量，结合了该威胁可能造成的影响（影响程度）及其发生的可能性（概率）。公式可表示为：风险 = 影响 × 概率。
- 数据主权：指关于个人数据的法律和治理权力归属于该个人所在的国家或地区，而不取决于数据实际存储的地理位置。例如，欧盟的《通用数据保护条例》（GDPR）规定，即使收集欧盟公民数据的企业不在欧盟境内，该数据仍受GDPR管辖，保护数据主体的权利。
本节课中我们一起学习了信息安全的基础词汇，包括CIA三要素、AAA框架、数据的三种状态，以及不可否认性、差距分析、漏洞/威胁/风险的区别和数据主权等关键概念。理解这些术语将为后续深入学习具体的安全技术和策略打下坚实的基础。
003：1.1.3 安全控制类别与类型
在本节中，我们将学习安全控制的类别，以及这些类别下的具体类型。了解这些分类有助于我们理解组织如何通过多种方式防御各种安全漏洞。
需要指出的是，在考试中，你不需要严格区分某个控制措施属于“类别”还是“类型”，也无需死记硬背所有列表。更重要的是理解这些概念背后的原理，而不是机械记忆。为了便于记忆，我们可以将主要类别简记为 STOMP：Security（技术性）、Technical（技术性）、Operational（操作性）、Managerial（管理性）、Physical（物理性）。但请记住，考试不会要求你默写这个列表。
现在，让我们深入了解这些安全控制类别。
技术性控制
上一节我们介绍了安全控制的整体框架，本节中我们首先来看技术性控制。在日常生活中，当人们提到“技术”时，通常指的是电子或信息系统相关的事物。在安全控制领域，技术性控制也遵循这个含义，它指的是通过计算系统来提供安全防护的措施。
以下是一些常见的技术性控制示例：
- 入侵检测系统：监控网络或系统中的恶意活动。
- 防病毒软件：检测、阻止并清除恶意软件。
- 防火墙：控制网络流量，基于安全规则允许或阻止数据包。
操作性控制
接下来，我们看看操作性控制。这类控制关注的是组织在结构上是如何运作的，特别是人员在安全运营中扮演的角色。在考试中，操作性控制通常与人及其职责相关。
以下是操作性控制的一些典型角色：
- 首席信息安全官：负责制定和监督整个组织的信息安全计划。
- 设施安全官：负责物理场所的安全。
- 数据处理器/数据保管员：负责处理或维护特定数据集的安全。
管理性控制
了解了人员角色后，我们来看看管理性控制。这类控制涉及管理层如何制定和监督组织的安全策略与流程。识别管理性控制的一个关键方法是：这是由管理者决定要做的事情，而非出于技术或物理上的必然要求。
例如：
- 管理者决定安全门禁卡必须每12个月重新认证一次。
- 管理者制定密码策略，要求每3个月更换一次密码。
这些决策并非因为门禁卡会“发霉”或技术本身要求频繁更改，而是管理者基于风险评估做出的行政决定。
物理性控制
最后，我们来看最容易识别的类别——物理性控制。这类控制涉及有形的、实体的屏障或设备，用于阻止未经授权的物理访问或行动。
物理性控制的例子非常直观：
- 安全闸门
- 上锁的门
- 照明系统（用于增强可视性和威慑）
关于物理性控制的一个常见疑问是：像电子门禁读卡器这样既涉及电子技术又控制物理门锁的设备，到底属于技术性还是物理性控制？请放心，Security+考试不会在这种模棱两可的问题上为难你。考题通常会非常明确，例如“安全闸门”显然属于物理性控制，不会让你在细微差别上纠结。
本节课中，我们一起学习了安全控制的四个主要类别：技术性、操作性、管理性和物理性。记住，重点是理解每类控制的核心理念和应用场景，而不是死记硬背分类。在接下来的章节中，我们将深入探讨安全控制的具体类型。
004：安全控制类型 🔐
在本节课中，我们将学习六种核心的安全控制类型。理解这些类型是构建有效安全策略的基础，它们帮助组织从不同层面防御威胁、检测事件并恢复系统。
概述
安全控制是组织为保护其资产（如信息、系统和人员）而采取的措施。它们可以根据其功能分为不同的类型。本节将详细介绍威慑、预防、检测、纠正、补偿和指令这六种控制类型。
威慑控制
上一节我们介绍了安全控制的基本概念，本节中我们来看看第一种类型：威慑控制。威慑控制旨在通过增加心理障碍，让潜在的攻击者“三思而后行”，从而阻止恶意行为的发生。它并不直接阻止行动，而是发出警告。
以下是威慑控制的常见例子：
- 警示标语：例如“禁止停车”或“监控区域”的标识。
- 安全策略声明：在登录系统前显示的“仅授权用户可使用”的横幅。
- 可见的安保人员：他们的存在本身就能起到威慑作用。
预防控制
如果威慑控制是“口头警告”，那么预防控制就是“物理封锁”。预防控制旨在主动阻止安全事件或违规行为的发生。它直接设障，使攻击难以成功。
以下是预防控制的常见例子：
- 门锁：防止未经授权的物理进入。
- 围栏：划定安全边界。
- 登录认证：要求用户名和密码才能访问系统。
- 防火墙：根据规则阻止或允许网络流量。
检测控制
即使部署了威慑和预防控制，事件仍可能发生。此时，检测控制就变得至关重要。检测控制用于发现正在发生或已经发生的安全事件。它们就像安全领域的“侦探”，帮助识别问题。
以下是检测控制的常见例子：
- 安全摄像头：记录活动以供事后审查。
- 入侵检测系统（IDS）：监控网络或系统中的恶意活动。
- 日志审计：定期检查系统日志，寻找异常模式。
- 防病毒软件警报：通知用户检测到恶意软件。
纠正控制
当检测控制发现一个问题后，我们需要采取行动来修复损害。这就是纠正控制的作用。纠正控制旨在减轻安全事件造成的影响，并将系统恢复到正常状态。
以下是纠正控制的常见例子：
- 数据备份与恢复：从备份中还原被勒索软件加密或意外删除的文件。
- 系统重建：将受感染的系统重装为干净状态。
- 补丁管理：在漏洞被利用后，紧急安装安全补丁。
补偿控制
没有任何单一的控制是完美的。补偿控制用于弥补其他主要安全控制的不足或弱点。当主要控制无法完全消除风险时，补偿控制提供了额外的安全层。
以下是补偿控制的常见例子：
- 多因素认证（MFA）：当密码（预防控制）可能太弱或被窃取时，MFA要求提供额外的验证因素（如手机验证码），从而补偿了单一密码的弱点。
- 监控和审计：作为预防性防火墙的补充，持续监控可以检测到绕过防火墙的攻击。
指令控制
最后，我们来了解指令控制。指令控制通过政策、法规、培训或指南来指导或强制人员采取特定的安全行为。它旨在塑造人的行为，使其符合组织安全要求。
以下是指令控制的常见例子：
- 安全策略文档：规定员工必须如何创建和管理密码。
- 强制性安全培训：要求所有员工完成网络安全意识课程。
- 可接受使用政策（AUP）：明确规定了公司IT资源的使用规则。
现实世界类比：零售商店
为了更好地理解这些控制类型，让我们通过一个零售商店的场景来回顾它们：
- 威慑：“店内装有监控摄像头”的标识。
- 预防：将贵重商品锁在防盗展示柜中。
- 检测：实际工作的监控摄像头，记录店内活动。
- 纠正：保安拦截未付款的顾客并收回商品。
- 补偿：尽管有摄像头和锁柜，商店仍设置单向出口闸机，并安排员工在出口检查收据，以弥补其他控制可能存在的漏洞。
- 指令：对员工进行防损培训，指导他们如何识别和应对可疑行为。
总结
本节课中我们一起学习了六种关键的安全控制类型：威慑、预防、检测、纠正、补偿和指令。每种类型在安全防御体系中扮演着独特的角色。一个强大的安全计划通常会综合运用多种控制类型，形成纵深防御，以更有效地保护组织资产。理解这些类型是准备CompTIA Security+考试以及在实际工作中设计和评估安全措施的基础。
005：物理安全控制措施 🛡️
在本节课中，我们将学习保护组织物理安全的各种控制措施。物理安全是整体安全策略的重要组成部分，如果攻击者能够直接接触到我们的系统，将会带来严重问题。我们将逐一探讨几种关键的物理安全控制手段。
概述
物理安全旨在保护组织的物理资产、人员和信息免受未经授权的访问、损坏或盗窃。我们将依据CompTIA Security+考试目标，介绍以下核心控制措施：照明、围栏、摄像头、护柱、前厅以及传感器与警报器。
照明 💡
上一节我们概述了物理安全的重要性，本节中我们首先来看看照明。很多人不会将照明视为一种物理安全控制，但它确实是。许多恶意行为者不希望自己的行为被他人看见，犯罪活动常在暗处发生。因此，良好的照明有助于保障场所安全。
试想，如果让你选择走一条黑暗的小巷还是一条明亮的小巷，你会选哪个？照明能提供安全与保障，这是我们与生俱来的认知。此外，照明还能帮助我们通过摄像头观察情况，或让安保人员看清周围环境。
围栏 🚧
接下来我们讨论围栏。围栏有多种形式和尺寸，主要功能是界定设施的边界并阻止入侵。
以下是三种常见的围栏类型：
- 赫斯科防爆墙：这是一种由土方工程构成的快速部署屏障，通常由厚重的金属丝网和填充物制成。它成本低、效果好，能抵御轻武器射击，并能迅速为军事力量建立防御 perimeter。
- 白金汉宫围栏：这种围栏在保证功能性的同时，也考虑了美观。它有效阻止了入侵者越过边界，并且其顶部的镀金装饰使其在照片中看起来更赏心悦目。
- 白色尖桩栅栏：这种栅栏无法阻止坚定的入侵者，但它能有效地传达“这是我的领地，那是你的”或“禁止擅入”的信息。它主要是一种所有权的宣示，而非坚固的物理屏障。
总之，围栏既可以作为物理屏障，也可以作为所有权的象征，用于定义设施的边界。
摄像头 📹
现在，我们来看看摄像头。摄像头对于保护组织非常有用，它们可以同时监控多个区域的情况，从而放大安全力量的观察视角。
摄像头主要有两种用途：
- 检测性控制：用于记录和查看已发生的事件。
- 威慑性控制：通过将摄像头显眼地安装在建筑物的角落或柱子上，可以警告潜在的犯罪分子“我们正在监控”，从而阻止其犯罪行为。
此外，摄像头也可以隐蔽使用。例如，商店门框上的针孔摄像头可以清晰地拍摄每位顾客的面部，这在发生盗窃或抢劫时能提供关键证据。
护柱 🚏
另一个重要的概念是护柱。如果你没有航海背景，可能对这个词不太熟悉。护柱最初指码头系船用的系缆桩，而在安全领域，它指的是建筑物前那些金属立柱。
护柱的主要作用是：
- 阻止车辆通行：防止车辆（例如用于“撞抢”盗窃）冲撞建筑物。
- 允许行人通行：行人可以自由地在立柱间穿行。
有些护柱设计得比较有装饰性，例如塔吉特商店外的那些大红球。虽然它们间距较大，可能无法完全阻止所有车辆，但同样起到了护柱的功能和装饰作用。
前厅（访问控制前厅/防尾随通道） 🚪
在CompTIA考试中，我们还会遇到“前厅”这个概念，它过去常被称为“防尾随通道”。
一个访问控制前厅的工作原理如下：
- 外部门打开，人员进入前厅。
- 外部门必须关闭后，内部门才能打开。
- 任何时候，只能有一扇门处于开启状态。
这种设计的主要目的是防止两种社会工程学攻击：
- 尾随：指某人未经你知晓或同意，跟在你身后进入受控区域。例如，你刷卡进门后，有人迅速抓住即将关闭的门溜进来。
- 捎带：指你出于善意（例如看到对方双手拿满东西）主动为他人开门，允许其利用你的授权凭证进入。这需要你的“自愿参与”。
访问控制前厅能有效防止这两种情况发生，因为无法同时保持两扇门开启，从而确保了每次进入都是受控且经过授权的。
传感器与警报器 🔔
最后，我们来探讨传感器和警报器。这些设备用于检测特定区域的活动或运动。
以下是几种常见的传感器类型：
- 被动红外传感器：通过检测人体发出的红外线来感知区域内是否有人。
- 激光束：通过建立不可见的激光束“绊网”，当光束被阻断时触发警报。
- 压力传感器：安装在地板或房间内，检测是否有人踏入或进入。
- 微波/超声波传感器：通过测量空间距离的变化来检测入侵。例如，一个10英尺长的走廊，如果传感器突然测到距离变为4或5英尺，则表明有人穿过，从而触发警报。
传感器和警报器是我们在设施中可以使用的另一种有效的物理安全控制形式。
总结
本节课中，我们一起学习了多种关键的物理安全控制措施。我们了解了照明如何提供安全保障和威慑作用；探讨了围栏如何界定边界并阻止入侵；分析了摄像头在检测和威慑两方面的用途；认识了护柱如何阻止车辆冲击；深入理解了前厅（防尾随通道） 如何防止尾随和捎带攻击；最后，介绍了各种传感器与警报器如何检测未经授权的活动。这些控制措施共同构成了保护组织物理安全的基础，是CompTIA Security+考试中的重要知识点。
006：密码学入门 🔐
在本节课中，我们将要学习密码学的基本概念。密码学是网络安全的核心，它不仅仅是加密，还包含哈希等其他重要技术。我们将探讨这两者的区别、用途以及它们如何共同保护数据的机密性和完整性。
密码学概述
密码学是网络安全中的一个重要概念。当我们谈论密码学时，人们通常会立刻想到加密。但我们讨论的不仅仅是加密。
当我们审视密码学时，它包含两个主要方面：哈希和加密。很多人会立刻关注加密，因为加密是一个双向的过程。你可以加密某些内容，然后也可以解密它。这是一个来回的过程：你可以加密，也可以解密。我们使用加密来确保机密性，即我们希望秘密的事情保持秘密。
哈希：单向的数据指纹
上一节我们介绍了密码学的两个分支，本节中我们来看看哈希。
哈希则是一条单向通道。你可以对数据进行哈希运算，但无法对哈希值进行“反哈希”运算。你是从数据中推导出一个哈希值。我们使用哈希来保护完整性，以检测数据是否被更改。
以下是哈希的核心特点：
- 单向性：无法从哈希值还原出原始数据。
- 固定长度：无论输入数据多大，输出的哈希值长度固定（例如，SHA-256生成256位的哈希值）。
- 雪崩效应：原始数据的微小改动会导致哈希值发生巨大变化。
- 抗碰撞性：很难找到两个不同的输入产生相同的哈希值。
一个简单的哈希函数（伪代码）表示如下：
hash_value = hash_function(data)
加密：双向的秘密通信
了解了哈希的单向特性后，我们再来看看加密的双向过程。
加密是一个双向过程，它使用密钥来转换数据。加密的目的是确保只有授权方才能读取信息。
加密过程涉及两个核心操作：
- 加密：使用加密算法和密钥将明文转换为密文。公式可表示为：
C = E(K, P)，其中C是密文，E是加密函数，K是密钥，P是明文。 - 解密：使用解密算法和相应的密钥将密文恢复为明文。公式可表示为：
P = D(K, C)，其中D是解密函数。
根据密钥的使用方式，加密主要分为两类：对称加密和非对称加密，我们将在后续课程中详细探讨。
总结
本节课中我们一起学习了密码学的基础。我们了解到密码学包含哈希和加密两大支柱。哈希是一种单向函数，用于验证数据的完整性，确保数据未被篡改。加密则是一种双向过程，用于确保数据的机密性，防止未授权访问。理解这两者的区别和用途是构建安全系统的基石。在接下来的课程中，我们将深入探讨各类具体的哈希算法和加密技术。
007：密码哈希保护
概述
在本节课中，我们将要学习如何使用哈希技术来保护用户密码。我们将探讨从传统加密方法到现代哈希加盐技术的演变，并通过一个实际的Linux系统示例来理解其工作原理。
从加密到哈希的演变
上一节我们介绍了哈希的基本概念，本节中我们来看看它在密码保护中的具体应用。
历史上，我们通常通过加密来保护密码。具体做法是，系统使用存储在某个位置的密钥，对用户提供的密码进行加密。当用户再次输入密码时，系统会加密输入值并与存储的密文比对，或者解密存储的密文与明文输入比对。
这种方法存在一个问题：如果攻击者入侵系统并找到了加密密钥，他们就能获取所有人的密码，这非常不安全。
因此，现代的做法是使用哈希来处理密码。这就是为什么当你点击“忘记密码”时，服务商不再直接告诉你密码，而是让你重置密码。原因在于，他们只保存了密码的哈希值，而无法得知原始密码是什么。
Linux系统中的密码存储
以下是Linux系统中查看密码哈希值的步骤：
- 在Linux系统中，用户密码信息传统上存储在
/etc/passwd文件中。 - 使用命令
cat /etc/passwd查看该文件。 - 你会看到以冒号分隔的用户信息，其中密码字段通常显示为
x。 - 这个
x表示密码实际存储在另一个受保护的文件中：/etc/shadow。
由于 /etc/shadow 文件包含敏感信息，必须使用超级用户权限才能访问。
使用命令 sudo cat /etc/shadow 查看该文件，你会看到类似以下的输出：
kali:$y$j9T$... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ...
# 008：哈希算法演示
## 概述
在本节课程中，我们将学习密码学中的一个核心组件——哈希算法。我们将了解哈希是什么，它如何工作，以及它在检测文件完整性和保护密码方面的实际应用。课程将通过一个演示来直观展示不同哈希算法的输出。
## 哈希算法简介
哈希是密码学的一个关键组成部分。哈希是一种检测文件是否被更改的方法，也是一种保护密码的方式。
哈希的核心是哈希算法。该算法是单向的。我们可以将一些明文形式的信息输入，然后通过哈希算法运行，最终得到一个称为“摘要”的输出。
摘要是一串看似随机的字母和数字组合，是一个连续的字符串。哈希算法的输出对于其提供的输入是唯一的。
## 哈希的工作原理与特性
如果我将某些信息（例如某种数字文件）通过哈希算法运行，我们将得到一个哈希摘要。我可以获取任何输入，并找到一个对该哈希输入唯一的输出。
因为这是单向的，意味着我可以获取某种数据（例如电影《阿甘正传》的副本），通过哈希算法运行它，我们将得到一个唯一的字母和数字字符串。这个字符串对该特定文件是唯一的。
如果对该电影进行任何编辑，都会改变输出。
如果我输入一个PDF格式的《白鲸记》副本，并通过哈希算法运行，我将得到一个唯一的字母和数字字符串，该字符串与所有其他输入文件的结果完全不同。
## 哈希碰撞与算法安全性
如果我拥有两个输入，它们产生了相同的输出，这被称为“碰撞”。
一旦我们确定某个哈希算法能够产生碰撞，那么该算法就被认为是“被破解的”哈希算法。它随后会被弃用或淘汰，我们不再使用它，以防止他人制造此类碰撞。
我们希望避免碰撞的原因是：如果我有一款软件，我想检测自软件供应商完成最终设计以来，该软件是否被加入了任何东西。当我们通过哈希算法运行时，每次都会得到相同的输出。如果某些恶意软件作者将恶意软件植入该可执行文件中，我通过哈希算法运行它，却得到了与原始文件相同的输出，这将是一个问题。因为我无法判断这个可执行文件是否感染了恶意软件。它具有相同的哈希输出。因此，我希望使用更安全的、不会产生碰撞的加密哈希算法。
## 常见的哈希算法类型
以下是我们可以使用的不同类型的哈希算法：
* **MD5**：已经存在了很长时间。它的缺点是可以产生碰撞，我们从90年代中期就知道了这一点。然而，我们仍在某些普通场景下继续使用它，因为在大多数情况下它足够好。但一旦涉及安全问题，就应该放弃MD5。
* **SHA-256**：更安全的加密哈希算法。
* **SHA-512**：更安全的加密哈希算法。
这些不同哈希算法的哈希输出（摘要）变得越来越长。
## 哈希算法演示
现在，让我们通过一个实际演示来看看这些哈希算法在运行时的样子。
在这个虚拟机上，我运行着Kali Linux。为了通过Security+考试，你不需要成为Linux大师。我使用它只是因为它在Kali Linux上很容易生成不同的哈希摘要。
让我们来看一下。如果我进入`documents`目录，这里有一些不同的文件。这些不同的文本文件内容并不重要，但如果我查看其中一个，我可以看到国歌《星条旗》的歌词。
如果我将这个文件通过哈希算法运行（在考试中你不需要知道具体命令，这里只是展示其样子），使用Linux命令行下的`md5sum`命令，我们会得到输出。例如：`foxtrot062deltaalpha...`。我通常会看这个摘要的开头四五个字符和结尾四五个字符。这就是MD5摘要，即该哈希算法的输出。
## 演示：微小改动对哈希的影响
现在，如果我们对国歌文件只修改一个字符会发生什么？例如，在“star spangled banner”中加入一个连字符。我们从根本上改变了国歌的信息吗？当然没有。但你可以看到，我们最终为国歌得到了一个完全不同的哈希摘要。我们改变了一个字符，增加了一个连字符，就完全改变了整个哈希摘要。
如果我撤销这个更改，将其恢复原状，再次运行哈希算法，你可以看到它回到了原始状态。我们回到了最初的哈希值。
请注意，我们无法检测到中间是否发生过更改。哈希算法所做的是比较起点和终点，查看输入和最终输出是否匹配。如果它们相同，则哈希摘要相同。
## 哈希摘要的表示与挑战
另一个要点是，如果我们查看那个哈希摘要，你会看到里面有许多不同的字符。你在这里看到的字母和数字范围是0到9和A到F，这为我们每个位置提供了16种可能性（十六进制表示）。
哈希摘要或哈希算法面临的一个挑战是，它必须能够处理世界上的所有数据。我们只是在看国歌。如果我们把一个字符从大写改为小写，或者把所有内容都改成大写，或把所有内容都改成小写，或把所有内容放在一行，都会产生问题，因为每次我们都会得到一个新的哈希摘要。
想想世界上存在多少数据，想想你今天生成了多少数据，仅仅是观看这个视频或今天早上查看电子邮件。你收到的每一封电子邮件，每一封可能包含任何字母数字组合、任何数量附件的电子邮件。今天存在的数据可能性似乎是无穷无尽的。
此外，你还必须考虑过去曾经存在的所有数据。那是大量的数据。如何捕获、如何表示过去的数据，似乎有无限多种方式。
我们还必须考虑未来所有将会存在的数据。我们必须能够解释这些数据及其可能的表示方式。所以，本质上，你是在获取数据可能被创建的所有看似无穷的可能性，并试图将其塞进哈希摘要有限的可能组合中。
因此，在某个基本层面上，你最终总会得到一个哈希值，但你必须能够证明这一点，而这正是密码学家、数学家和统计学家面临的挑战所在。
## 从MD5过渡到更安全的算法
对于MD5，问题在于我们没有足够唯一的值来应对我们拥有的看似无限的可能性。所以如今，我们在许多安全哈希应用场景中不再使用MD5，而是使用SHA-256。
使用SHA-256，如果我们对`anthem.txt`进行哈希，你可以看到我们最终得到一个更长的哈希摘要。我们不再局限于之前的位数，长度大约增加了一倍。
如果这还不够，如果你想未来证明自己，希望使用最长的哈希算法，我可以在这里使用SHA-512。如果我使用SHA-512对国歌文件进行哈希，你可以看到它更长，仍然是SHA-256的两倍长。这样，我们就有更多的“停车位”（比喻），让我们的数据可以生成唯一的字母数字字符串。
再次强调，这里的每个位置都是一个十六进制表示（0-9和A-F），每个位置有16种可能性。但这是我们可以保护数据并检测是否发生更改的一种方式。一个单独的更改将产生一个完全不同的哈希摘要。
## 总结
本节课我们一起学习了哈希算法的核心概念。我们了解到哈希是一种单向函数，能将任意长度的数据映射为固定长度的唯一摘要，常用于验证数据完整性和安全存储密码。我们探讨了哈希碰撞的概念及其对算法安全性的影响，并比较了MD5、SHA-256和SHA-512等常见算法的特点。通过演示，我们直观地看到即使输入发生微小变化，哈希输出也会截然不同，同时也理解了哈希空间有限性与数据无限性之间的根本挑战。最后，我们认识到在安全要求高的场景中，应使用如SHA-256或SHA-512等更现代、抗碰撞的哈希算法来替代已存在漏洞的MD5。
接下来，让我们看看如何使用哈希来保护密码。
# 009：对称加密 🔐
在本节中，我们将学习加密的基本概念，并重点探讨对称加密的工作原理、应用场景及其优缺点。
加密是一种保护信息免受未授权方访问的方法，其核心目标是保障信息的**机密性**。加密算法主要分为两类：**非对称加密**和**对称加密**。本节我们将重点讨论对称加密。
## 对称加密简介
对称加密在实际中的应用比您想象的更为广泛。理解其工作原理是掌握加密技术的基础。
对称加密的核心在于，**加密和解密使用的是同一把密钥**。这就像一把钥匙既能锁门也能开门。为了直观理解，我们可以看一个简单的例子：ROT13密码。
ROT13是一种替换式密码，其规则是将字母表中的每个字母向后移动13位。因为英文字母有26个，移动13位后，A会变成N，B会变成O，依此类推。有趣的是，由于移动了半个字母表，加密和解密的过程是完全相同的操作。例如，字母“A”加密后变成“N”，而“N”解密后又变回“A”。
以下是一个ROT13的对应表：
* A ↔ N
* B ↔ O
* C ↔ P
* … (以此类推)
这意味着，即使我不告诉您一段文本是密文还是明文，您也可以通过ROT13规则找到对应的字母来转换它。当然，ROT13强度很低，无法用于保护真正的机密，但它完美地诠释了对称加密“同一把密钥”的核心思想。
## 动手练习：解密ROT13
为了加深理解，让我们通过几个例子来练习使用ROT13进行解密。以下是四个经过ROT13加密的单词，请尝试解密它们。
第一个词很短，很简单。请解密这个词：`ENSL`。
* **解密过程**：E → R，N → A，S → F，L → Y。
* **解密结果**：`EASY`。
现在请尝试解密第二个词：`URYYB`。
* **解密过程**：U → H，R → E，Y → L，Y → L，B → O。
* **解密结果**：`HELLO`。
接下来是第三个词：`VASBFRP`。
* **解密过程**：V → I，A → N，S → F，B → O，F → S，R → E，P → C。
* **解密结果**：`INFOSEC`。
最后，挑战一个较长的词：`PLCULRAPELCGB`。您可以暂停阅读，先自行尝试解密。
* **解密结果**：`CRYPTOGRAPHY`。
通过以上练习，您应该已经熟悉了对称加密中“同一密钥”的操作模式。当然，现代技术中使用的对称加密算法（如AES）远比ROT13复杂和强大。
## 对称加密的挑战与优势
上一节我们通过例子理解了对称加密的工作原理，本节我们来看看它在实际应用中面临的主要挑战以及为何仍被广泛使用。
对称加密最大的挑战是**密钥分发问题**。既然加密和解密需要同一把密钥，那么通信双方必须安全地共享这把密钥。试想，如果我和你被遥远的山脉隔开，我如何能将密钥安全地交到你手中？通过无线电发送？敌人可能会窃听。通过不信任的网络传输？密钥可能被截获。因此，在双方地理分隔的情况下，安全地交换初始密钥是一个难题。通常的解决方案是双方最初在同一物理地点交换密钥，或者借助其他安全手段（如我们即将讲到的非对称加密）来传递这把对称密钥。
尽管存在密钥分发难题，我们仍然大量使用对称加密，这是因为它有一个关键优势：**效率高**。与非对称加密相比，对称加密的计算强度低得多，对系统资源的消耗小。非对称加密涉及极其庞大的数学运算，会带来沉重的计算负担。
因此，在实际的安全通信中（例如访问HTTPS网站），通常会采用一种混合模式：
1. 首先使用**非对称加密**来建立安全的初始连接，并安全地交换一个**会话密钥**。
2. 然后，双方切换使用**对称加密**和刚才交换的会话密钥，来进行后续大量数据的快速、高效加密通信。
这种组合方式既利用了非对称加密解决密钥分发问题的能力，又发挥了对称加密高效处理数据的优势。
## 总结
本节课中，我们一起学习了对称加密的核心知识。我们了解到对称加密使用同一把密钥进行加密和解密，并通过ROT13的例子直观理解了这一概念。同时，我们也认识到对称加密面临密钥分发的挑战，但其计算效率高的特点使其在与非对称加密结合的现代安全通信中扮演着不可或缺的角色。
接下来，我们将深入探讨**非对称加密**，看看它如何解决密钥分发的难题。
# 010：非对称加密 🔐
在本节中，我们将深入探讨非对称加密。
上一节我们介绍了对称加密，它使用相同的密钥进行加密和解密。本节中我们来看看非对称加密，正如您所猜测的，它使用不同的密钥。因此，我们将讨论这两种不同的密钥，以及它们是如何被使用的。实际上，一个密钥之所以是公钥，另一个是私钥，并没有本质的区别，区别仅在于它们的使用方式。
这一切都建立在一个称为**迪菲-赫尔曼密钥交换**的概念之上。虽然这不是一个需要深入测试的主题，但我们需要理解公钥和私钥以及它们的使用方式。
迪菲和赫尔曼这两位作者提出了一个想法：我可以使用一个密钥、一个值、一个数字来加密，而解密的唯一方法是使用另一个在数学上相关的值。我们在实践中看到的这些值，长度可达数千位，是极其巨大的天文数字，它们涉及非常大的质数。当将它们相乘并进行某些数学运算时，最终会得到这两个在数学上相关的值，但你无法仅凭其中一个值推导出另一个。
它们的关系还在于，其中一个能够加密数据，即使你知道那个值，你仍然无法解密。这听起来很不可思议，因为数字如此巨大，我们很难完全理解。你用一种方式加密，然后用另一个值来解密。
这两个密钥在功能上没有区别。一个可以在公开场合使用，另一个在私密场合使用。决定它们是公钥还是私钥的，在于你是否分享它。如果我给你一个值，那将成为我的公钥。另一个值，我会妥善保管，那将成为我的私钥。我不会与任何人分享私钥，绝不。我只分享我的公钥。
公钥之所以公开，是因为它是我分享出去的部分。而私钥，我则严密保管，不与任何人分享。
以下是加密的典型应用场景：
屏幕上的图表展示了发送方有一些需要加密的明文，他们将要发送一些东西给接收方。为了促成这次交换，发送方向接收方请求其公钥。发送方拿到公钥后，用它加密数据。全世界都能看到发送方正在向接收方发送信息。事实上，全世界也都能获得该公钥的副本。但这无关紧要，因为即使你拥有公钥，也不意味着你能解密用该公钥加密的信息。
能够解密用公钥加密的信息的唯一东西，您猜对了，就是私钥。那么谁拥有私钥呢？在整个世界数十亿台计算机中，只有接收方拥有它。他们不会与任何人分享私钥，绝不。因此，只有接收方能够解密发送方发送给他们的消息。
非对称加密存在一个问题，最后一点指出了这一点：
* **计算密集**。请记住，我们使用的数字长达数千位。这些数字如此巨大，以至于你看到它们打印出来时会感到震惊。你的计算机必须处理这些大数字，这本身就是一个负担，然后它还必须使用这些完整的值来解密刚刚发送的每一个字节的消息。这将对你的系统性能造成影响。
因此，我们试图尽快脱离非对称加密。我们会使用非对称加密来建立通信，目的是发送一个对称密钥，以便我们可以切换到对称加密。之后，我们的系统都会觉得轻松，可以顺畅地发送数据。**非对称加密用于建立连接，而对称加密通常用于维持连接**。
这里也值得指出，公钥和私钥本身并没有固有的定义属性来区分公与私。这两个值在某种程度上是无法区分的，区别全在于它们如何被使用。因此，**用公钥加密的任何内容只能用私钥解密**。**用私钥加密的任何内容只能用公钥解密**。这听起来很奇怪，为什么我会想用私钥加密东西呢？因为全世界都能访问公钥。这似乎不合逻辑。我们将在后续学习数字签名和代码签名时，探讨我们如何用私钥加密某些东西，以便全世界都能验证。这听起来很奇怪，我们稍后会深入探讨。
接下来，让我们深入了解如何交换密钥。
如果我通过我们正在使用的**同一通信信道**向您发送密钥，这被称为**带内交换**。我使用相同的通信信道来发送关于我们加密方案的信息。
还有一种方式是**带外交换**。这是我们主要的通信线路，但在这里我有另一条途径，我将通过它向您发送密钥，以便您可以使用该密钥来促进我们的主要通信。这可能是通过聊天消息、电子邮件、普通邮件、烟雾信号等形式。只要我使用与主要通信方式不同的渠道将信息传递给您，就被称为带外交换。这就是我们在发送方和接收方之间交换密钥的方式。
此外，当我们谈论密钥长度时，我说过这些密钥是天文数字般巨大。对于密钥强度而言，**长度即强度，越长越强**。因此，当您查看密钥长度时，例如 AES 256，其位数远比如 AES 128（仅128位）强大得多。所以，长度即强度，越长越强。
我们在许多不同的场景中看到加密的应用。我们有一个概念，稍后会深入探讨，称为**全盘加密**，即加密驱动器上的所有数据。或者，我们也可以只加密一个分区，或者加密驱动器卷，具体取决于我们的结构。我们可以在不同级别上使用加密：我们也可以加密单个文件，这取决于我们想要实现的目标。如果我们在数据库中存储数据，我们可以加密整个数据库，也可以加密该数据库中的单个记录。加密级别在考试目标中被提及，并以几种不同的方式出现在考试中。但这里要理解的主要一点是，**非对称加密是一种进行公钥和私钥交换的方式**。
在本节课中，我们一起学习了非对称加密的基本原理，包括公钥和私钥的概念、迪菲-赫尔曼密钥交换的思想、非对称加密的计算密集型特点、带内与带外密钥交换的区别，以及密钥长度与强度的关系。我们还简要了解了加密在不同级别的应用。
在接下来的章节中，我们将更深入地探讨如何利用加密。
# 011：PKI与数字证书 🔐
在本节课中，我们将要学习公钥基础设施和数字证书的核心概念。我们将了解PKI如何利用公钥和私钥来确保通信安全，以及证书颁发机构在验证身份和建立信任链中的关键作用。
## 公钥基础设施概述
公钥基础设施利用公钥和私钥对。我们已经讨论过如何使用公钥加密信息，然后只有对应的私钥才能解密。PKI通过确保一个公钥只属于一个组织来支持这一机制。
为什么这一点很重要？因为使用该公钥加密的信息，只有对应的私钥才能解密。我们不希望两个组织共享一个公钥，因为这可能意味着它们会共享私钥，从而能够读取对方的机密信息。
因此，我们利用证书颁发机构颁发的数字证书来确保每个组织只有一个证书或一个公钥。
## 证书颁发机构
这些证书由证书颁发机构颁发。每个个体或组织获得的证书都是唯一的。对于世界上每个拥有证书的组织来说，只要证书是由第三方公共证书颁发机构颁发的，它们就拥有一个唯一的证书。
也存在自行签署证书的情况。这意味着您充当了自己组织的证书颁发机构。但这仅限于您的组织内部，您只能为自己的组织颁发证书。这类证书通常用于未连接到互联网的内部网络。如果外部人员连接到您的网络，而您使用的是自签名证书，他们将会收到“无效证书”的弹出警告。
## 信任链与证书签发
证书颁发机构的信任来自其他组织。它们向其他组织颁发证书。一个证书颁发机构从另一个证书颁发机构获得授权，然后才能向您提供证书。整个过程由证书签名请求启动。
您需要在考试中能够识别这个术语，它可能作为答案选项出现。证书签名请求启动了证书签发流程。当您希望从证书颁发机构获得证书时，您需要向它们提交一个CSR，然后它们的系统才会开始运作。
## 证书验证与状态查询
证书颁发机构会查看其他证书颁发机构已颁发的证书。它们会检查现有的其他证书，以确认即将颁发给您的公钥是否已存在匹配项，这暗示着可能存在与之关联的私钥。证书颁发机构维护着它们已颁发证书的记录。
它们还提供查询服务，以便其他证书颁发机构可以检查该证书是否已被注册。此外，这也允许您进行查询，以了解该证书是否已被使用，以及信息是否来自合法来源。证书颁发机构提供该查询服务。
它们还可以提供您证书的谱系、传承或血统，展示信任链。您的证书来自颁发它的证书颁发机构，但它们的信任又从何而来？它们从某个中间证书颁发机构获得信任，而中间机构最终又从根证书颁发机构获得了证书。正如您在此处图像中看到的，存在一个类似家族树的信任链。
## 证书状态检查机制
当您在此处进行查询时，我们有两种机制可以查看证书的状态。
我们可以使用OCSP，即在线证书状态协议。或者，我们也可以使用证书吊销列表。在线证书状态协议允许主机（您或我）查询证书颁发机构，询问“嘿，我收到了这个证书，它的状态如何？”您也可以查阅由该证书颁发机构颁发的证书吊销列表。在这种情况下，CRL几乎就像一个禁飞名单，它列出了已被吊销、不再受支持的证书，这些证书在某种意义上已失去信任。
## 证书字段结构解析
接下来，我们来看看证书上不同字段的结构。在这个演示中，我们有一个示例证书。在本例中，Infosec的母公司Cengage拥有以下字段（这是我们手头的一个较旧的证书）。
在最顶部，您可以看到信任链。它显示Cengage的证书来自DigiCert。DigiCert的颁发机构又从DigiCert的根证书颁发机构获得信任，后者是全球根证书颁发机构的一部分。
下面的字段提供了证书持有者的信息。在本例中是Cengage Learning Inc.。它显示了我们的公司邮寄地址位于俄亥俄州梅森。然后它说明了使用该证书的站点或服务器名称是 `*.cengage.com`。Cengage维护的任何子域名，例如邮件服务器或Infosec网站，只要是 `cengage.com` 的子域名，并且托管在面向Cengage.com的服务器上，都将由同一证书覆盖。
下面的这个字段告诉我们关于颁发证书机构的信息。这就是顶部信任链显示的地方。它提供了关于此证书颁发机构的信息。在本例中，颁发者是DigiCert，并提供了颁发该证书的证书颁发机构的信息。
## 证书有效期与替代名称
在这下面，或许最吸引检查证书的人注意的是**过期日期**——这个证书的有效期是多久？这是一个管理控制措施。从技术上讲，没有理由规定证书不能持续三个月、六个月、一年甚至十年。这将由过期日期定义。事实上，有些证书确实可以持续数十年，但大多数颁发机构只给您一年或可能仅三个月的有效期。这将在实际证书本身的过期日期中列出。
接下来在证书上要看的是**主题替代名称**。在本例中，它显示 `*.cengage.com` 或具体的 `cengage.com`。这是一个我们可以放入其他域名的地方。因此，如果 `cengage.com` 拥有此证书，并且希望将Cengage集团的其他部分列在此处，那么我们会在这里列出。例如，`infosecinstitute.com` 理论上可以由同一证书覆盖，但正如我们将在即将到来的演示中看到的，它拥有自己的证书。
## 加密算法与公钥
我们示例证书上的最后一个字段在最底部。它显示了用于提供证书公钥的算法细节。这可以有很多不同的格式。在这里，我们看到这是一个RSA加密证书。还有椭圆曲线密码学被使用，许多不同类型的算法被用在证书中，这将在此证书的底部定义。这些是证书中需要注意的一些字段。
现在，让我们花点时间去看看一个真实的、正在使用的证书是什么样子。
---
本节课中，我们一起学习了公钥基础设施和数字证书的基本原理。我们了解了PKI如何通过公钥和私钥确保安全通信，证书颁发机构在建立信任链中的核心作用，以及如何通过CSR申请证书。我们还解析了数字证书的关键字段，如信任链、持有者信息、颁发者、有效期、主题替代名称和使用的加密算法。最后，我们探讨了检查证书状态的两种机制：OCSP和CRL。理解这些概念对于管理网络安全和身份验证至关重要。
# 012：PKI证书演示 🛡️
在本节课中，我们将通过实际演示来探索互联网上真实存在的数字证书。我们将查看两个不同网站的证书，了解其包含的关键信息，例如颁发者、有效期和主题备用名称。
---
## 查看证书信息
上一节我们介绍了公钥基础设施的基本概念，本节中我们来看看如何在实际的网站证书中识别这些信息。
首先，我们访问了InfoSec Institute的网站。在浏览器地址栏的顶部，可以看到一个锁形图标，这表示与该服务器建立了安全连接。
点击这个锁形图标，可以查看网站的证书。弹出的证书窗口展示了我们之前在视频中学到的相同字段。
* **证书持有者**：此证书颁发给了 `infosecinstitute.com`。
* **颁发者**：此证书由Google Trust Services颁发，具体来自其下属的证书颁发机构 `G1`。
* **有效期**：证书的有效期从2024年6月22日到2024年9月20日。在此日期之后，系统管理员需要更新证书，否则它将被加入**证书吊销列表**并被新证书取代。
* **主题备用名称**：此证书仅覆盖 `www.infosecinstitute.com` 这一个网站。
* **加密信息**：证书使用了椭圆曲线密码学。
继续向下滚动，可以看到颁发此证书的中间CA（`G1`）的证书信息。它的有效期更长，从2023年12月到2029年2月。
而最顶层的根CA证书（`GlobalSign Root CA`）有效期则非常长，从2016年6月到2036年6月，长达20年。这是因为根CA不经常直接颁发终端证书，因此其证书寿命很长。
---
## 主题备用名称的扩展应用
了解了单个网站的证书后，我们来看一个更复杂的案例，它展示了证书如何服务于多个服务。
我们访问了YouTube.com并查看其证书。有趣的是，证书的“颁发给”字段显示的是 `google.com`，完全没有提及YouTube。
以下是此证书的关键特点：
* **证书名称**：颁发给 `*.google.com`。
* **有效期**：相对较短。
* **主题备用名称**：这是最值得关注的部分。此证书通过**主题备用名称**字段覆盖了谷歌大量的服务和域名。
当我们展开主题备用名称列表时，会发现一个庞大的列表：
* 全球各地的谷歌服务，如 `google.ca`（加拿大）、`google.co.jp`（日本）、`google.co.in`（印度）等。
* 谷歌的其他项目和服务，如AMP服务、广告服务、Google Flights等。
* 其中也包含了 `youtube.com`。这正是为什么在YouTube网站上能查看到此证书的原因。
**结论**：谷歌为其众多服务使用了一张统一的证书。这是一种高效的管理和安全策略，通过**主题备用名称**扩展，用一张证书保护了所有相关的域名和服务。
这张证书的信任链同样可以追溯回我们之前看到的Google Trust Services根证书。
---
## 动手实践建议
建议你花点时间访问一个你常用的网站，点击地址栏的锁形图标查看其证书。仔细查看各个字段，特别是**主题备用名称**，你会发现这是用一个证书保护多个不同服务的巧妙方法。
---
本节课中，我们一起通过实际例子查看了网站的数字证书，学习了如何识别证书的持有者、颁发者、有效期等关键信息，并重点了解了**主题备用名称**如何让一张证书服务于多个域名，这是现代PKI应用中一个非常实用的功能。
# 013：密码学的应用 🔐
在本节课中，我们将要学习密码学在网络安全中的几种具体应用方式。我们将探讨代码签名、数字签名以及区块链技术，了解它们如何确保数据的真实性、完整性和不可否认性。
## 代码签名
上一节我们介绍了密码学的重要性，本节中我们来看看它的第一个具体应用：代码签名。代码签名用于验证软件或更新的来源和完整性。
假设一个组织（例如微软）需要向客户发送一个操作系统更新。接收方如何确认这个更新确实来自微软，并且在传输过程中未被篡改？代码签名可以解决这个问题。
以下是代码签名的运作流程：
1. **生成哈希摘要**：组织（如微软）首先对其要发布的代码、更新或补丁文件运行哈希算法，生成一个唯一的“哈希摘要”。这个摘要就像文件的数字指纹，任何对文件的微小改动都会导致摘要值完全不同。
2. **使用私钥加密**：然后，组织使用其严格保密的**私钥**对这个哈希摘要进行加密。在非对称加密体系中，用私钥加密的数据，只能用对应的**公钥**来解密。
3. **分发签名代码**：加密后的哈希摘要（即数字签名）和相关的证书（证明签名者身份）会与原始代码文件一起打包分发给用户。
4. **接收方验证**：用户的系统收到签名代码后，会提取签名和证书。系统会获取微软的**公钥**（这是公开可用的），并用它来解密数字签名，得到原始的哈希摘要。
5. **完整性校验**：同时，用户的系统会对接收到的代码文件重新计算哈希摘要。最后，将新计算的摘要与解密得到的原始摘要进行比对。
这个过程的意义在于：
* **不可否认性**：如果公钥能成功解密签名，就证明该签名一定是用对应的私钥加密的。由于只有微软持有其私钥，因此可以确信代码确实来自微软。
* **完整性**：如果两个哈希摘要完全一致，则证明代码在传输过程中未被篡改。
因此，代码签名同时提供了**完整性**和**不可否认性**的保障。
## 数字签名
理解了代码签名后，我们来看看一个非常相似的概念：数字签名。数字签名的工作原理与代码签名完全相同，都是通过哈希和加密来运作。
数字签名同样提供不可否认性。你会将数字签名用于诸如数字合同等场景，即在线上签署具有法律效力的文件。其核心流程同样是：发送方用私钥加密文件的哈希值，接收方用公钥解密并验证哈希，从而确认签名者的身份和文件的完整性。
## 区块链
另一个在课程目标中提到的密码学概念是区块链。虽然它在近期的Security+考试中出现不多，但未来可能涉及。区块链在业界被广泛讨论，那么它是如何工作的呢？
解释区块链运作的最佳类比之一是房地产交易。在美国各地的郡县，房地产交易记录是公开的、分布式的账本。任何人都可以去当地法院查询某块土地历史上所有的所有权变更记录。当你购买房产时，会进行“产权调查”，以确保产权清晰，没有历史遗留的所有权争议。这要求所有交易都必须公开记录并归档。
区块链与之类似，它是一个**去中心化的、分布式的公共账本**。
* **去中心化**：意味着没有单一的中央管理机构。如果要攻击它，无法通过攻击单一点来破坏整个网络，这增强了系统的健壮性，避免了单点故障。
* **分布式**：账本数据分布在网络的所有节点上。
* **公共账本**：它记录了所有公开的交易。区块链最常与加密货币（如比特币）关联。每个加密货币单位都有其价值，可以像分割土地一样被分割和交易。
以下是区块链交易的简化过程：
1. 当一笔交易发生时（例如，Tommy将一些加密货币转给Tiffany），该交易信息会被广播到区块链网络。
2. 网络中的所有节点都会收到这笔交易信息。
3. 节点会验证交易的有效性，并为其生成哈希摘要。
4. 通过一种共识机制（如工作量证明），网络中的节点对这笔交易达成一致认可。
5. 一旦达成共识，这笔交易就会作为一个“区块”，被添加到所有节点共同维护的、不可篡改的历史交易记录链（即区块链）上。
这种设计带来了安全性：由于所有节点都拥有完整的交易历史记录，事后任何人试图篡改或否认某笔交易（例如，声称钱是转给他的而不是Tiffany）都会与其他节点的记录冲突，从而被拒绝。篡改区块链需要同时控制网络中超过半数的节点（即51%攻击），这对于大型区块链网络来说极其困难且成本高昂，虽然并非完全不可能，尤其是在一些小型加密货币网络中曾有发生。
总而言之，区块链是一种利用密码学哈希和分布式共识来确保交易安全与透明的技术。
## 总结
本节课中我们一起学习了密码学的三种关键应用。
* **代码签名**和**数字签名**利用非对称加密和哈希函数，为软件和数字文档提供了**完整性**验证和**不可否认性**证明。
* **区块链**则构建了一个去中心化的分布式账本，通过共识机制和密码学哈希来确保交易记录的透明与防篡改，为像加密货币这样的系统建立了信任基础。
这些技术是构建安全数字世界的基石。
# 014：密码学工具 🔐
在本节课中，我们将要学习几种关键的密码学工具。这些工具对于实现安全的密码学协议至关重要，它们包括密钥管理、安全飞地、可信平台模块和硬件安全模块。理解这些工具如何协同工作，将帮助我们更好地在网络安全实践中应用密码学。
---
上一节我们介绍了密码学在网络安全中的核心地位，本节中我们来看看几种辅助我们运用密码学协议的具体工具。
以下是课程目标中列出的几种主要工具：
* **可信平台模块**
* **硬件安全模块**
* **密钥管理**
* **安全飞地**
首先，我们来探讨密钥管理。这主要涉及密钥的轮换。正如我们讨论证书时提到的，你需要能够轮换你的密钥。这确保了即使攻击者获取了你密钥的副本，他们也无法长期利用它，因为你每隔一段时间就会更换密钥。
---
接下来要讨论的术语是安全飞地。大多数现代移动设备内部都内置了一个安全飞地。手机中会有一块专门用于存储密码学数据的内存区域，这些数据在设备内部受到保护，这就是所谓的安全飞地。许多手机会使用生物识别技术来解密或提供对安全飞地中存储数据的访问权限。数据以加密状态存储，因此，在未首先通过身份验证访问该信息之前，无法直接从设备中窃取数据。
---
下一个主题是可信平台模块。可信平台模块是一个微小的芯片。它可以是主板上的一个外围设备，也可以直接焊接在主板上。从图示中可以看到，这个小型设备的核心是一个微小的专用芯片。这个芯片能够生成哈希值，并存储特定的密码学密钥。这些密钥既存储在短期内存中，也有只读内存用于存储密码学安全密钥。它的作用是提供一种识别计算机身份的方式。例如，当我的系统与某个远程系统通信时，我会访问该设备并要求：“从你的可信平台模块发回一些信息给我。”这样我就知道我正在与我了解和信任的那个远程系统通信。
看着屏幕上的图示，我想让你思考一下可信平台模块。你可以把它想象成一个“微小平台模块”，因为它与我们接下来要看的硬件——硬件安全模块——有很大不同。
---
硬件安全模块。如果你了解计算机硬件，你可能会看着它想：这看起来真像一张显卡。你是对的。它的内部核心是一个图形处理器单元。GPU 是这台设备的数学处理核心，上面有巨大的散热片来散发 GPU 产生的热量。但如果你仔细观察这张硬件安全模块的图片，你会发现它上面没有视频输出接口。它看起来就像一张没有视频连接器的显卡。这就是硬件安全模块。在上面安装 GPU 的意义何在？
你的主计算机处理器速度非常快，是一个性能强大的处理器。但你的主 CPU 是一个通用处理器。它非常擅长管理大量不同的进程，并一次处理一点点任务，可以说是一个分时处理器。我们以为计算机同时做很多事情，但实际上，它们是以极快的速度轮流处理一大堆不同任务的一小部分。
另一方面，为电子游戏生成图形而创建的图形处理器单元则非常专注于数学计算。它处理所有的几何变换，比如当你在走廊转弯、看到走廊尽头的怪物，或者开门看到僵尸时，你的视角发生变化，所有这些几何计算都由你的图形处理器单元处理。GPU 非常擅长处理数学运算。
因此，通过添加一个硬件安全模块，你可以将生成或处理那些庞大的公钥和私钥密码学算法的计算负担转移或卸载出去。所有那些公钥和私钥的加密解密操作，你的通用 CPU 处理起来效率不高，而 GPU 则可以轻松应对。所以，拥有一个硬件安全模块，就等于为你的系统添加了另一个图形处理器。
我想让你思考一下，这是一块硬件，它体积很大。你甚至可以认为 HSM 中的“H”代表“巨大”，而 TPM 则代表“微小”。这样你就有了一个规模上的差异。它们都为主计算机处理密码学过程，但硬件安全模块比微小的可信平台模块大得多。所以，你有微小的 TPM 和巨大的 HSM。
---
本节课中我们一起学习了密钥管理、安全飞地、可信平台模块和硬件安全模块这四种密码学工具。所有这些工具协同工作，为我们的主计算机提供密码学处理能力，使我们能够在多种不同的场景中有效地利用密码学。
# 015：威胁行为体
在本节中，我们将学习CompTIA Security+ 701考试中可能出现的各种威胁行为体。我们将了解他们的特点、动机和技能水平，这对于评估安全风险和制定防御策略至关重要。
## 概述
不同的系统漏洞总是会吸引不同的威胁行为体。这些行为体可能采取行动，利用这些漏洞发起各种攻击。本节我们将逐一审视考试中可能出现的各类威胁行为体。
以下是我们要讨论的威胁行为体列表，我们将按此顺序进行讲解：国家行为体、无技能攻击者、黑客行动主义者、有组织犯罪、内部威胁以及影子IT。
## 国家行为体/高级持续性威胁
在这些威胁行为体中，最重要或最引人注目的，通常是新闻中最常出现的国家行为体或高级持续性威胁。
这些行为体由外国政府或国家资助和运作。识别国家行为体攻击者的一个关键标志是其**高度复杂性**。他们会想出新颖且有创意的方法来利用各种漏洞，其资金水平是无与伦比的。如果他们需要某些特殊知识、特殊工具或培训，他们会聘请世界顶尖专家并为此提供资金。
驱动国家行为体的主要因素不一定是声望或为其母国创造财富，尽管有时也会涉及。真正驱动他们的是**国家利益**。无论其母国或东道国的国家利益是什么，这都将成为他们的行动目标。
## 无技能攻击者
与国家行为体处于光谱另一极的是无技能攻击者。
如前所述，它过去在某些圈子中被称为“脚本小子”，现在考试中我们称其为“无技能攻击者”。这是一个略带贬义的术语，意指技能水平低、可能对正在发生的事情理解不深的攻击者。同时，由于他们主要是自筹资金，因此资金水平也较低。
这是典型的刻板印象中的黑客形象。他们并不完全清楚自己在做什么，只是连接使用他人创建的工具。他们不创造新的漏洞或利用漏洞的新工具，而是使用现成的工具。他们只知道按部就班操作以获得某种回报。驱动他们的动机通常是**声望**，以便向他人炫耀。
许多组织可能会轻视这类攻击者，认为无需担心。但请不要急于忽视他们。即使无技能攻击者可能不理解其行为，他们用来攻击你组织的漏洞利用仍然可能对你的组织安全造成重大损害。
## 黑客行动主义者
接下来，在技能水平上稍高一些的是黑客行动主义者。
这是一群有“事业”的黑客。他们受道德、社会、政治或哲学差异驱动，试图传播他们的信息。他们试图侵入其他组织，向该组织的支持者或拥护者传播信息，以期改变观点或政策。
就技能水平而言，他们处于**中等**水平，比脚本小子更先进、更复杂。这些人知道自己在做什么。在资金方面，他们可能会得到某些同情团体的支持。
黑客行动主义者就是一个试图传播特定信息的黑客团体。例如，黑客团体“匿名者”就符合这个特征。多年来，匿名者一直向其受害者传达信息，表明他们不会容忍对方在特定问题上的立场，并试图破坏该组织的通信。
## 有组织犯罪
另一个更高级的团体，在某些方面可与高级持续性威胁或国家行为体相提并论的，就是有组织犯罪。
这里我们谈论的不是黑手党或贩毒集团，尽管它们确实都有网络行动。我们更关注的是勒索软件团伙、网络漏洞利用团伙等试图从组织那里勒索钱财的团体。就技能水平而言，这些行为体确实非常复杂。在资金方面，他们资金雄厚，并且舍得投入。
驱动有组织犯罪的唯一动机就是**赚钱**。他们不关心政治信息、道德观点、声望甚至国家荣誉，他们只想要钱。有组织犯罪从其受害者那里寻求资金，进行勒索、敲诈、实施身份盗窃等。在行业中，有时也会将其称为高级持续性威胁，但在考试中，APT特指国家行为体攻击者。
## 内部威胁
也许更贴近办公室环境的是内部威胁。
这是指从建筑物内部进行操作攻击者。可能是一个心怀不满的员工，也可能是一个笨手笨脚的员工。例如，有人错过了晋升机会，或者认为自己的合同不会被续签，他们可能会寻求报复，并对雇佣他们的组织发起某种攻击。
内部威胁的技能水平可能是**中等**。他们可能是IT团队的一员、服务器管理员或程序员。他们知道如何隐藏行踪、掩盖痕迹。在资金方面，他们主要是自筹资金，不会花费大量金钱，也不一定得到外部组织的支持。内部威胁真正危险之处在于，他们拥有对网络的**授权访问权限**。他们本应因为工作而在网络中，但同时却在私下进行恶意活动。
这里列出的还包括缺乏经验的员工，他们也可能是问题所在。仅仅因为他们无意造成伤害，并不意味着伤害没有发生。例如，“不小心”删除了所有客户数据或“意外”破坏了设施的供电线路。即使他们是员工，你仍然需要保护组织免受用户行为的影响。
## 影子IT
影子IT是指办公室里的员工，他们自认为精通计算机，并试图“帮忙”。
例如，他们可能会说：“我知道这个怎么弄，我们不需要叫IT，我们自己就能搞定。”或者“为什么其他公司的同事都有Wi-Fi，我们不能有？午餐时我去买个无线路由器，我们自己建个Wi-Fi网络。”这违反了公司政策。公司没有Wi-Fi可能是因为需要遵守不同的政策和法规。
影子IT试图绕过官方政策，他们本意是想帮忙，但实际上却造成了问题。同样，你需要保护组织免受这些内部人员行为的影响。他们属于你的网络，受雇工作，但同时也在尝试做其他事情。他们的技能水平参差不齐，可能懂也可能不懂。在资金方面，除了午餐时间买个路由器之类，他们的资金水平也较低。
## 总结
在这个表格格式中，列出了所有不同的威胁行为体。请花点时间复习一下。考试需要你了解的是表格中列出的**技能水平**、他们拥有的**资金量**，并真正思考是**什么驱动着这些不同威胁行为体的利益**。
你不需要死记硬背这些主题的任何列表，也不一定需要填写像这样的表格中的所有空白。但你需要知道，在给定情境或描述的情况下，是哪种威胁行为体在起作用。这些就是Security+ 701考试中需要了解的威胁行为体。
本节课中，我们一起学习了CompTIA Security+ 701认证考试中涉及的六类主要威胁行为体：国家行为体、无技能攻击者、黑客行动主义者、有组织犯罪、内部威胁和影子IT。我们分析了每类行为体的典型特征、技能水平、资金来源和核心动机。理解这些差异对于在实际工作中进行威胁评估、制定针对性的安全防御策略至关重要。
# 016：威胁向量
在本节课中，我们将学习组织可能面临的各种攻击途径，即威胁向量。了解这些向量是构建有效防御的第一步。我们将逐一探讨Security+考试中提到的关键威胁向量和攻击服务。
## 概述
攻击可以通过多种不同的方式针对我们的组织。本节将详细介绍Security+考试中提及的一些主要威胁向量和攻击服务，包括基于消息、文件、网络和供应链的攻击。
## 基于消息的攻击 📨
上一节我们介绍了攻击的多样性，本节中我们来看看基于消息的攻击。这类攻击通过电子邮件、短信或聊天消息等形式传递。
以下是几种常见的基于消息的攻击类型：
* **网络钓鱼**：通过欺诈性电子邮件诱骗用户点击恶意链接或提供敏感信息。
* **短信钓鱼**：通过短信进行类似网络钓鱼的攻击。
* **即时消息/社交媒体钓鱼**：通过社交媒体平台上的私信或即时消息进行欺诈。
此外，我们还会看到基于语音的攻击，例如**语音钓鱼**。攻击者会冒充微软支持或国税局等机构拨打电话进行诈骗。
## 基于文件的攻击 📁
除了直接发送消息，攻击者还会利用文件作为载体。基于文件的攻击涉及携带恶意软件的文件。
需要特别注意的是**无文件恶意软件**。这种恶意软件在执行后不会在系统中留下文件痕迹，从而掩盖其行踪。但严格来说，在攻击过程的某个阶段，仍然有一个初始文件被加载并执行了恶意代码。
以下是其他一些基于文件的攻击方式：
* **隐写术**：将信息或恶意代码隐藏在其他文件（如图片）中。
* **图像携带的恶意软件**：恶意代码隐藏在图像文件中，由系统中的其他程序触发执行。隐写术也可用于从网络中秘密窃取数据。
## 可移动媒体与物理隔离系统 💾
数据不仅可以通过网络传输，也可以通过物理设备移动。可移动媒体是一个重要的威胁向量。
这包括大容量存储设备，如外接硬盘、U盘、数码相机或各种记忆棒。攻击者可以利用这些设备从组织内部窃取数据，或者将恶意软件带入组织内部。
与此相关的一个概念是**物理隔离系统**。这类系统通常不连接外部网络，数据通过可移动介质进行传输。历史上著名的伊朗震网病毒攻击，就是通过U盘将恶意软件引入了物理隔离的核设施系统。
## 软件与网络漏洞 🔓
软件和网络本身的弱点也是常见的攻击入口。
**存在漏洞的软件**如果未能及时安装补丁和更新，就会被攻击者利用。此外，网络中可能存在**不受支持的系统或应用**。这些可能是用户私自引入的，由于不被官方管理，它们往往得不到监控和更新，从而成为安全漏洞。
网络本身也可能存在问题：
* **有线网络**：办公室中未使用的网络端口如果仍处于激活状态，可能被未经授权的人员接入。
* **无线网络**：无线电信号是公开的，攻击者可以监听未加密的无线网络流量。
* **蓝牙**：许多移动设备和电脑都配备蓝牙。蓝牙设备会不断广播其唯一标识符，这可能被用于跟踪设备位置（例如在零售店中）。不使用时应关闭蓝牙。
## 开放端口与弱凭证 🚪
网络配置不当会直接打开攻击之门。
**开放的网络端口**是潜在的攻击向量。防火墙上的服务端口如果无需使用，应当保持关闭。端口号（例如**80**）用于指示数据包的目标服务（如网页服务器）。
**弱密码或默认凭证**是另一个严重问题。许多设备出厂时使用如 `admin`/`admin` 这样的默认密码，如果未更改，攻击者可以轻易登录。必须确保所有系统，尤其是面向互联网的系统，都使用了强密码。
## 供应链攻击 ⛓️
即使组织自身的安全防护很强，攻击者也可能通过第三方找到突破口。
**供应链攻击**指攻击者通过入侵组织的供应商、合作伙伴或服务提供商，进而利用其访问权限渗透到目标组织网络。因此，监控和管理所有第三方实体的安全状况至关重要。
## 总结
本节课中，我们一起学习了Security+考试涵盖的主要威胁向量。我们探讨了基于消息、文件、可移动媒体的攻击，分析了软件漏洞、网络弱点（包括有线、无线和蓝牙）、开放端口与弱密码的风险，并了解了供应链攻击的概念。认识这些攻击途径是制定全面安全策略的基础。
# 017：社会工程学攻击剖析 🎣
在本节课中，我们将要学习社会工程学攻击的各种形式。社会工程学是指攻击者利用心理操纵技巧，试图从组织或个人处获取敏感信息，或诱使人们做出他们通常不会做的事情。理解这些攻击手法对于构建有效的安全防御至关重要。
## 社会工程学概述
社会工程学攻击的核心在于利用人性弱点，而非技术漏洞。攻击者通过欺骗、诱导和操纵，使目标在不知不觉中泄露信息或执行危险操作。接下来，我们将逐一剖析几种常见的社会工程学攻击类型。
## 钓鱼攻击
钓鱼攻击是最常见的社会工程学攻击形式之一。攻击者向大量目标发送欺诈性信息，期望其中一部分人会上当。这种攻击成本低，但往往出奇地有效。
以下是钓鱼攻击的主要特点：
* **广撒网**：攻击者并不确定具体谁会中招，因此向尽可能多的目标发送信息。
* **低投入高回报**：对攻击者而言，只需制作一封伪造的电子邮件或网站，就有可能获得丰厚的回报。
* **利用信任**：通常伪装成可信的来源，如银行、知名公司或同事。
## 鱼叉式钓鱼与鲸钓攻击
上一节我们介绍了广撒网式的钓鱼攻击，本节中我们来看看更具针对性的变种。
**鱼叉式钓鱼** 是一种针对特定个人或组织的定向攻击。攻击者会事先收集目标信息，使欺诈信息看起来高度可信。其攻击逻辑可以概括为：
`攻击目标 = 特定个人（基于其职位、权限、行为）`
**鲸钓攻击** 是鱼叉式钓鱼的一个子类，特指针对组织内“大鱼”的攻击，例如首席执行官、首席财务官等高管。攻击者看中的是他们手中的高级权限和影响力。在考试中，一个重要的提示是：**如果题目中出现了“CEO”，那么极有可能在考查“鲸钓攻击”**。
## 其他媒介的钓鱼攻击
钓鱼攻击不仅限于电子邮件，它已扩展到其他通信渠道。
以下是基于不同媒介的钓鱼攻击变种：
* **语音钓鱼**：攻击者通过电话进行欺诈，常伪装成技术支持或政府机构。
* **短信钓鱼**：通过短信发送欺诈链接，诱骗用户点击。
* **品牌冒充**：攻击者伪造知名品牌的标识、名称或通信风格，以增强欺骗性。
## 冒充与虚假信息
攻击者常常通过冒充他人或散布虚假信息来建立信任或制造恐慌。
**冒充** 可以发生在个人层面，也可以是对整个品牌的冒充。其目的是利用被冒充方的良好声誉来降低目标的警惕性。
**虚假信息** 是指故意传播不实信息，以误导目标或促使其采取特定行动。例如，弹窗警告用户电脑已感染病毒，并诱导其下载所谓的“安全补丁”（实为恶意软件）。
## pretexting攻击
Pretexting是指攻击者为实施攻击而精心编造一个合情合理的场景或借口。这个“剧本”旨在让后续的欺诈行为显得顺理成章。
例如，攻击者可能提前数天致电目标公司，冒充安全检查员，预告“下周将上门巡检”。随后在约定时间，同伙装扮成检查员出现，由于有之前的“预告”，门卫或员工更容易允许其进入。**Pretexting的核心是创造一个虚假的上下文，为攻击行为铺平道路。**
## 水坑攻击
最后一种我们要看的是水坑攻击。这种攻击不是主动追逐目标，而是潜伏在目标必然会访问的地点，守株待兔。
其攻击模式类似于自然界中鳄鱼在 watering hole（水坑）边伏击前来饮水的动物。攻击者会入侵目标群体经常访问的网站（如行业论坛、供应商网站），或利用 **typosquatting** 攻击。
**typosquatting** 是指注册与知名网站域名极其相似的错误拼写域名。例如：
* 将 `google.com` 注册为 `gooogle.com`（多一个o）。
* 将 `workday.com` 注册为 `w0rkday.com`（用数字0代替字母o）。
当用户因拼写错误访问这些恶意网站时，就可能泄露凭证或下载恶意软件。
## 总结
本节课中我们一起学习了社会工程学的主要攻击手法。我们从广泛的钓鱼攻击讲起，深入探讨了更具针对性的鱼叉式钓鱼和鲸钓攻击，并了解了通过电话、短信等不同媒介实施的变种。我们还分析了攻击者如何通过冒充、散布虚假信息、编造借口等手段进行欺骗，最后探讨了以逸待劳的水坑攻击及与之相关的typosquatting技术。牢记这些攻击的本质是操纵人心，对于识别和防范社会工程学威胁至关重要。
# 018：密码学攻击 🛡️
在本节课中，我们将要学习各种针对加密数据的攻击方法。攻击者常常试图获取我们通过加密措施保护的数据。了解这些攻击的原理，有助于我们更好地保护信息安全。
## 密码攻击 🔑
上一节我们介绍了密码学攻击的总体概念，本节中我们来看看最常见的攻击形式——密码攻击。攻击者试图获取我们已加密的密码。
以下是几种主要的密码攻击类型：
* **暴力破解攻击**：这是最简单、最直接的密码攻击形式。攻击者会尝试**每一个可能的输入组合和排列**，直到猜中PIN码、密码或其他目标。其核心问题是耗时极长，理论上最终会成功，但现实中可能因时间、连接中断等因素而不可行。
* **字典攻击**：这种攻击并非使用真正的词典，而是使用一个由**先前泄露过的密码**组成的列表。这个列表可能非常庞大（例如超过1TB）。如果你在不同系统中重复使用密码，一旦某个系统被攻破，你的密码就可能被加入这个列表，从而在其他系统上被轻易破解。
* **密码喷洒攻击**：与字典攻击针对单个用户尝试所有密码不同，密码喷洒攻击是使用**一个或少数几个常用密码**，去尝试**攻击系统上的所有用户**，直到找到使用该密码的账户。
## 生日攻击 🎂
上一节我们讨论了针对密码的直接攻击，本节中我们来看看一种基于统计原理的密码学攻击——生日攻击。这种攻击与个人的生日无关，而是基于一个统计学上的奇特现象。
统计学告诉我们，在一个群体中，**只需要23个人**，就有超过50%的概率使得其中任意两人的生日相同。这之所以成立，是因为随着人数增加，两两比较的次数会急剧增长，远超我们的直觉。
生日攻击正是利用了这种原理：将一个看似很大的数字（如365天），在实践中匹配成功的概率所需尝试次数**远小于预期**。在密码学中，这意味着找到哈希碰撞（两个不同输入产生相同哈希值）可能比想象中更容易。
## 碰撞攻击 💥
上一节我们了解了生日攻击的原理，本节中我们来看看一种具体的哈希函数攻击——碰撞攻击。
碰撞是指**两个不同的输入经过哈希函数计算后，得到了相同的输出摘要**。碰撞攻击就是针对密码学哈希函数，**刻意寻找能产生相同哈希输出的两个不同输入**。
这种攻击主要影响那些已知存在碰撞缺陷的哈希算法。攻击者可能利用这一点，例如，将一个恶意软件嵌入到官方补丁中，并使其哈希值与官方补丁相同。用户验证哈希值一致后，可能会安装这个恶意补丁，从而在系统中释放恶意软件。
## 已知明文攻击 📜
除了针对哈希函数的攻击，加密算法本身也可能受到攻击。本节我们介绍已知明文攻击。
已知明文攻击是指攻击者**已经知道部分或全部加密前的原始数据（明文）**，以及其对应的加密后的数据（密文）。利用这些信息，攻击者可以尝试推导出加密密钥或算法模式。
一个著名的例子是电影《模仿游戏》中破解恩尼格玛密码机的场景。密码破译员知道每条德国密电的结尾都是“Heil Hitler”（向希特勒致敬）。这个**已知的固定明文结尾**，成为了他们逆向推导恩尼格玛密码机转子设置的关键突破口，从而开始破解整个加密体系。
如果攻击者不知道明文，只有密文（即唯密文攻击），破解难度会大得多。但已知明文攻击无疑能暴露加密机制的弱点。
## 彩虹表攻击 🌈
最后，我们来学习一种针对哈希密码的高效攻击方法——彩虹表攻击。
彩虹表利用了**预先计算好的哈希值**数据库。它通过寻找哈希值的模式，进行反向查找，试图找出能产生特定哈希输出的原始输入。
你可能会问：哈希不是单向的吗？仅凭哈希摘要无法反推输入。这没错，但彩虹表会**遍历所有可能的输入**，计算其哈希值并存储起来。当需要破解一个哈希值时，它就在这个庞大的预计算表中进行查找匹配。
彩虹表在破解哈希密码方面非常有效，但前提是攻击者**必须知道系统所使用的具体哈希算法、加盐方式等**。它的名字来源于其涵盖了所有可能的输入范围，就像彩虹包含了所有颜色的光谱一样。
---
**本节课总结**：本节课我们一起学习了多种密码学攻击方法。我们了解了**暴力破解、字典攻击和密码喷洒**等针对密码的直接攻击；探讨了基于统计的**生日攻击**和针对哈希函数的**碰撞攻击**；分析了利用已知信息进行逆向推导的**已知明文攻击**；最后，认识了利用预计算数据进行高效破解的**彩虹表攻击**。理解这些攻击的原理，是构建有效防御策略的第一步。
# 019：硬件攻击剖析 🛡️
在本节课中，我们将要学习CompTIA Security+ 701认证考试中需要了解的几种硬件攻击。我们将深入探讨这些攻击是什么、它们如何运作，以及它们可能对我们造成的影响。
## 恶意USB线缆 🔌
上一节我们介绍了硬件攻击的概述，本节中我们来看看第一种具体形式：恶意USB线缆。这是一种内部含有特殊电路的USB线缆。它允许数据正常通过，提供你期望的常规功能，但同时会**复制你的数据**或向连接的计算机**注入恶意代码**，其行为类似于一个可移动的U盘。
## 恶意USB驱动器 💾
除了线缆，另一种需要警惕的硬件威胁是恶意USB驱动器。以下是其工作原理：
当你将其插入计算机时，它会直接向计算机注入代码。它可能表现得像一个正常的U盘，但事实上携带着用于发起各种攻击的恶意软件。
一个提供此类设备的知名零售商是HaCC5组织。他们制造渗透测试工具，包括恶意USB线缆和恶意闪存驱动器。当这些设备被载入脚本并插入计算机时，它们会自动在系统上运行这些脚本，执行各种恶意载荷，从而获取对计算机的访问权限。市场上还有许多其他类型的此类设备，但HaCC5是其中较为知名的供应商之一。
## 卡片克隆与侧录 💳
我们还需要关注各种卡片如何被滥用，这就引出了卡片克隆和侧录攻击。
卡片克隆是指攻击者复制你的RFID卡（例如门禁卡）。他们使用读卡器接近你（例如在你的笔记本电脑包或钱包附近），读取你RFID卡上的唯一标识符并复制它。随后，攻击者可以利用这个复制的唯一ID，在你通常进入的设施重放该信号，从而伪装和冒充你的身份。
另一种设备被称为侧录器。侧录发生在你使用信用卡或借记卡等支付卡进行支付时。当你将卡片划过磁条阅读器或插入（例如加油泵的）读卡器时，攻击设备实际上在进行中间人攻击或从卡片上侧录信息。它允许正常操作流程继续进行（你仍然能成功支付），但同时会复制你的卡片信息。
这里有几个视觉示例，这些图片来自安全研究员Brian Krebs，他收集了大量在国际上发现的不同卡片侧录器的案例。下图是执法部门在不同支付卡设备上发现这些设备后拍摄的照片。
* 左边的设备是一个ATM读卡器侧录器。当你插入银行卡时，它会复制你借记卡磁条上的所有磁数据。数据存储在此设备上，攻击者之后可以利用这些信息冒充你访问银行账户。
* 右边的设备是一个中间人信用卡侧录器。当支付卡插入机器时，正常的读卡器会读取它，数据会经过此设备并继续传递以完成正常交易，允许你支付油费，但设备内部会存储这些信息。之后，攻击者可以在夜间无人注意时接近加油泵，通过手机蓝牙连接到设备，下载当天所有的信用卡号，然后消失无踪。
本节课中我们一起学习了几种关键的硬件攻击方式，包括恶意USB线缆、恶意USB驱动器，以及卡片克隆与侧录技术。了解这些攻击的原理和表现形式，对于识别和防范物理层面的安全威胁至关重要。
# 020：网络与应用攻击
## 概述
在本节课中，我们将学习几种基本的网络攻击和应用攻击。这些攻击是网络安全领域的常见威胁，了解它们对于通过CompTIA Security+ 701认证考试至关重要。
---
## 路径攻击
上一节我们介绍了课程概述，本节中我们来看看第一种攻击类型：路径攻击。
在CompTIA Security+资料中，这种攻击被称为**路径攻击**。它以前被称为**中间人攻击**。在这种攻击中，攻击者会介入用户与其连接的服务之间的通信路径。
攻击者会中断用户与服务之间的原始通信，然后让信息流经自己控制的设备。这样，攻击者就能查看和分析所有流经其设备的数据流量。如果数据未加密，攻击者可能看到诸如社会安全号码、电话号码、信用卡号、用户名和密码等各种信息，并可以复制这些信息供后续使用。
路径攻击这个名称更贴切，因为攻击者不一定处于连接的“中间”，也可能不是一个具体的人，而可能只是一个运行特定软件的系统。其核心是攻击者介入通信的两个端点之间。
---
## 域名系统投毒攻击
了解了路径攻击后，我们来看另一种可能出现在考试中的攻击：**DNS投毒攻击**。
这种攻击的目标是DNS服务器。DNS是一个将域名转换为IP地址的系统。例如，当你输入“google.com”时，DNS服务器会返回对应的IP地址。
在DNS投毒攻击中，攻击者会介入这个查询过程。当你请求某个域名的IP地址时，攻击者会快速返回一个伪造的IP地址，伪装成合法的DNS服务器。你的计算机会连接到攻击者提供的IP地址，而不是真正的DNS服务器返回的地址。
你的计算机会发送域名查询请求，期望从服务器获得IP地址回复。攻击者通过提供一个伪造的IP地址，将你引导到他们控制的地址。你的计算机会相信这个地址是合法的，因为“DNS服务器”是这么说的。通过这种方式，攻击者“毒害”了你与DNS服务器之间的通信。
---
## 地址解析协议投毒攻击
另一种投毒攻击是**ARP投毒攻击**。
在这种攻击中，攻击者利用地址解析协议，使网络上的另一台主机能够伪装成不同的主机。例如，网络上的攻击者可能会发布路由器的MAC地址，并声称“那也是我”或“我就是那台主机”。
结果，路由器和攻击者都会收到数据的副本。因此，任何发送到路由器的数据帧也会发送给攻击者。攻击者就能读取所有这些数据，实质上是在执行一次路径攻击或中间人攻击。这就是所谓的ARP投毒攻击。
---
## 拒绝服务攻击
另一种非常流行的网络攻击是**拒绝服务攻击**。
拒绝服务攻击是指向接收者发送过多信息，使其不堪重负。这就像多人同时对你说话，你的大脑无法处理所有信息，导致你无法理解任何内容，最终“死机”。
拒绝服务攻击也称为**资源耗尽攻击**。它会耗尽目标服务器或主机网络上的所有可用资源。
攻击者甚至可以不发送大量信息来压垮主机，而只需发送足够的信息，缓慢地进行，并从同一主机建立多个不同的连接。这种特定的攻击称为**慢速攻击**。
例如，一个系统可以攻击远程的Apache网络服务器。这种攻击会耗尽该网络主机所有可用的连接。攻击者只需极其缓慢地发送单个字符，让网络服务器一直等待。如果同时进行成千上万次这样的连接，网络服务器就无法处理任何外部连接了。这是一种不仅消耗带宽，更耗尽网络服务器所有资源的拒绝服务攻击。
---
## 分布式拒绝服务攻击
拒绝服务攻击的一种扩展形式是**分布式拒绝服务攻击**，这也是目前新闻中最常见的一种。
在分布式拒绝服务攻击中，攻击者控制着许多不同的主机，所有这些主机同时向一个特定目标发送大量信息。屏幕上显示的图形展示了我们控制下的三台不同主机，它们同时向一台主机发送信息，导致该主机“死机”，从而拒绝为合法用户提供服务。
在实际中，这可能是数百、数千甚至数十万台主机同时连接到一个特定目标，一波接一波地向目标发送大量未经请求的流量。
---
## 放大攻击
我们可以使用应用攻击来压垮主机，这就是**放大攻击**。
放大攻击发送少量流量，却能收到大量的响应。例如，发送一个查询“google.com”所有DNS记录的小请求。作为响应，你会得到不止一个IP地址，而是一大堆不同的回复。一个小的出站请求和一个超大的返回响应，就构成了放大攻击。
攻击者可以放大从其网络发出的带宽量，让大量流量涌向目标。如果攻击者控制着数十、数百或数千台主机，他可以从所有设备向互联网上的DNS服务器发送查询，让这些服务器的响应流量压垮目标。这就是**DNS放大攻击**。
我们还可以利用其他协议，例如**网络时间协议**，来执行放大攻击。我们需要防范任何未经请求的返回响应，这是阻止分布式拒绝服务攻击的方法。
---
## 缓冲区溢出攻击
另一种我们必须讨论的放大攻击是**缓冲区溢出**。
在计算中，**缓冲区**是一块内存，用于存储来自用户的输入信息。任何输入进来，我们都会将其保存在缓冲区中进行处理。缓冲区的大小是预设的，我们需要编程确定要存储多少信息。
在缓冲区溢出攻击中，如果你发送的信息过多，它实际上会溢出到其余的内存中。我们的缓冲区内存是有限的，如果发送的信息过多，就会溢出，并可能覆盖计算机内存中其他位置的值。
通过适当的研究和工作，攻击者可以在许多不同的应用程序中引发缓冲区溢出，因此这在很大程度上是特定于应用程序的。
在接下来的图示中，我们看到了一个我在家庭度假时遇到的缓冲区溢出例子。那是一个老式的模拟汽油泵，其显示表盘有数字。想象一下，如果我加了999.9加仑汽油（或消费了999.90美元），显示表盘就满了。如果我再多加10美分，显示会变成0, 0, 0, 0吗？这意味着我得到免费汽油了吗？实际上，那个“1”没有空间在我们的模拟显示器上显示，所以它会溢出。
同样地，在计算机中，我们有一定数量的内存专用于某项任务。缓冲区溢出时，多出的数据可能会覆盖系统中的其他信息。这可能以更改用户凭据、或让我们访问原本无权访问的内容的形式出现。
例如，如果系统内存中存储着管理员用户的ID，我们实际上可以引发缓冲区溢出，向内存写入值，然后更改用户ID。如果我们恰好将其更改为我们自己的用户ID，这将允许我们执行**权限提升攻击**。我们能够将权限提升到超出最初分配的范围，这就是权限提升：超越正常权限以获得通常未经授权访问的权限。
---
## 总结
本节课中，我们一起学习了多种网络和应用攻击，包括路径攻击、DNS投毒、ARP投毒、拒绝服务攻击、分布式拒绝服务攻击、放大攻击以及缓冲区溢出攻击。理解这些攻击的原理是构建有效网络安全防御的基础，也是通过Security+ 701认证考试的关键。
# 021：恶意软件类型详解 🦠
在本节课中，我们将学习网络安全领域中最核心的威胁之一：恶意软件。我们将详细介绍多种不同类型的恶意软件，理解它们的工作原理、传播方式以及潜在危害。这些知识对于通过CompTIA Security+ 701认证考试至关重要。
恶意软件是“恶意”与“软件”两个词的合成词，指任何设计用于对计算机、服务器或网络造成损害的软件。它是网络安全防御的主要对象。
## 病毒与蠕虫 🦠
上一节我们介绍了恶意软件的基本概念，本节中我们来看看两种最常见的类型：病毒和蠕虫。它们都具备自我复制和传播的能力，但关键区别在于传播方式。
* **病毒**：类似于生物病毒，计算机病毒需要一个宿主。它依赖于用户交互来激活和传播。例如，需要用户点击链接、下载文件或依赖某个预定的系统进程来启动。其行为模式可概括为：**需要宿主 + 用户交互**。
* **蠕虫**：与病毒不同，蠕虫不需要任何形式的人工交互。它能够独立地在网络中移动、传播、自我复制和自我执行。其行为模式可概括为：**自我传播 + 无需交互**。
## 木马与后门 🐴
了解了能够主动传播的恶意软件后，我们来看一些更隐蔽的类型。木马和后门都侧重于提供非授权的访问途径，而非自我复制。
以下是两种相关的恶意软件类型：
* **木马**：名称来源于特洛伊木马。它是一种隐藏在合法软件内部的恶意程序，或者本身就是伪装成其他功能的软件。例如，一个看似正常的免费软件或破解版软件，可能内含木马。
* **后门**：后门程序允许用户绕过正常的身份验证流程进入系统。它最初可能出于开发测试等非恶意目的被创建（例如，为了方便测试而绕过登录流程），但一旦被恶意攻击者发现，就会成为严重的安全漏洞。后门的核心是**提供非授权访问**。
## 远程访问木马与僵尸网络 🤖
上一节我们讨论了提供访问权限的恶意软件，本节中我们来看看一种能够实现远程控制的特定木马——远程访问木马，以及由其构成的庞大网络。
* **远程访问木马**：这是一种安装在受害者系统上的木马。一旦运行，它会主动连接到互联网上的命令与控制服务器，接收攻击者下达的指令，并在本地系统上执行，仿佛攻击者直接登录了该系统一样。其工作流程为：`RAT本地运行 -> 连接C2服务器 -> 获取指令 -> 本地执行`。
* **僵尸网络**：由大量被RAT或其他恶意软件感染的计算机（称为“僵尸”或“肉鸡”）组成的网络。控制这些僵尸的恶意软件作者被称为“僵尸主”。僵尸主可以指挥整个网络进行协同攻击，例如发动分布式拒绝服务攻击。其规模可达数千甚至数十万台设备。
## 键盘记录器与间谍软件 👁️
除了控制系统，恶意软件的另一大目的是窃取信息。接下来我们将探讨两种专门用于监视和窃取数据的恶意软件。
以下是两种信息窃取类恶意软件：
* **键盘记录器**：这类恶意软件（可以是硬件或软件）会记录用户在计算机上的每一次击键。其目标是窃取用户名、密码、信用卡号、社会安全号码等所有通过键盘输入的敏感信息。记录的数据可能存储在本地，也可能发送到远程服务器。
* **间谍软件**：间谍软件是键盘记录器的“增强版”。它除了记录击键，还可能进行屏幕截图、偷拍摄像头画面、监控网络流量和浏览历史等，全方位地监视用户的一切活动。
## 逻辑炸弹 💣
最后，我们来看一种特殊类型的恶意软件，它通常与内部威胁相关联，其破坏行为由特定条件触发。
**逻辑炸弹**是一种恶意代码，它会潜伏在系统中，等待一个或多个预设的逻辑条件被满足（例如，到达某个特定日期、某位员工离职后30天、某个文件被删除等）。一旦条件成立，它就会触发恶意操作，如删除数据、破坏系统功能等。
这种“条件触发”机制有时也被称为“死人开关”。历史上曾发生过真实的案例，例如某政府资助机构的内部员工因预感将被解雇，而植入了旨在删除大量抵押贷款数据的逻辑炸弹，所幸在引爆前被发现。
---
本节课中我们一起学习了多种主要的恶意软件类型，包括：
* 依赖宿主传播的**病毒**和可自我传播的**蠕虫**。
* 伪装成合法软件的**木马**和用于绕过验证的**后门**。
* 实现远程控制的**远程访问木马**及由其构成的**僵尸网络**。
* 窃取输入信息的**键盘记录器**和进行全方位监视的**间谍软件**。
* 由特定条件触发的**逻辑炸弹**。
理解这些恶意软件的区别和运作原理，是构建有效网络安全防御体系的基础，也是通过Security+认证考试的关键。
# 022：SQL注入攻击详解 🛡️
在本节课中，我们将学习一种非常常见且流行的攻击形式——SQL注入攻击。我们将从高层次了解SQL注入攻击的工作原理及其操作方式。
## 什么是SQL注入？
SQL是结构化查询语言。SQL注入攻击通过在标准的SQL查询中注入一小段逻辑来实施。例如，一个典型的查询可能是：`SELECT * FROM users WHERE id = 2968`。这个查询会从名为“users”的表中，选取所有ID等于2968的记录并返回结果。
## SQL注入如何运作？
SQL注入攻击会在这个标准查询的末尾附加额外的逻辑。例如，攻击者可能将 `OR 1=1` 附加到查询条件之后。SQL处理器会评估整个条件：如果 `id = 2968` 为真，则返回对应记录；**或者**，如果 `1=1` 为真，则返回当前正在考虑的数据。由于 `1=1` 永远为真，这会导致查询返回**所有**记录，而不仅仅是ID为2968的那一条。
**核心攻击模式公式：**
`SELECT * FROM table WHERE condition **OR 1=1**`
在CompTIA Security+考试中，如果你在SQL语句中看到 `OR 1=1`，这几乎可以肯定是SQL注入攻击的迹象。请务必记住这一点。
## 通过示例数据库理解影响
为了更清晰地理解，让我们通过一个简单的“products”产品表示例，看看 `OR 1=1` 如何彻底改变查询返回的结果。
以下是我们的产品表：
| ID | 产品名称 | 成本 | 售价 | 库存 |
| :--- | :--- | :--- | :--- | :--- |
| 1 | Thingy | $0.50 | $1.00 | 24 |
| 2 | Doohickey | $0.25 | $0.75 | 52 |
| 3 | Widget | $1.25 | $2.50 | 1915 |
| 4 | Dinglehopper | $0.50 | $6.00 | 10 |
### 正常查询过程
假设一个Web应用程序执行以下查询来获取ID为3的产品信息：
`SELECT * FROM products WHERE id = 3`
数据库系统会逐行检查表格：
1. 检查第一行：`id = 1`。条件 `1 = 3` 为**假**，不放入结果集。
2. 检查第二行：`id = 2`。条件 `2 = 3` 为**假**，不放入结果集。
3. 检查第三行：`id = 3`。条件 `3 = 3` 为**真**，**将整行数据放入结果集**。
4. 检查第四行：`id = 4`。条件 `4 = 3` 为**假**，不放入结果集。
查询结束，返回结果集，其中只包含ID为3的“Widget”产品记录。这正是用户期望看到的结果。
### 注入攻击后的查询过程
现在，如果攻击者将输入从“3”修改为“3 OR 1=1”，查询就变成了：
`SELECT * FROM products WHERE id = 3 OR 1=1`
数据库系统再次逐行检查，但逻辑条件改变了：
1. 检查第一行：条件是 `(id=1) OR (1=1)`。`id=1` 为假，但 `1=1` **永远为真**。整个条件为**真**，**将第一行放入结果集**。
2. 检查第二行：条件是 `(id=2) OR (1=1)`。同样，`1=1` 为真，**将第二行放入结果集**。
3. 检查第三行：条件是 `(id=3) OR (1=1)`。`id=3` 为真，**将第三行放入结果集**。
4. 检查第四行：条件是 `(id=4) OR (1=1)`。`1=1` 为真，**将第四行放入结果集**。
查询结束，返回的结果集包含了**产品表中的所有记录**。攻击者借此窃取了整个产品列表的机密信息，如成本价和库存量。
## SQL注入的危害与防护
通过这个例子，我们可以看到SQL注入的危害：攻击者能够绕过应用程序的正常逻辑，访问或篡改其无权查看的数据。泄露的成本等商业机密可能被对手在谈判中利用，给企业带来损失。
因此，防范SQL注入至关重要。开发人员应使用参数化查询等安全编码实践，对用户输入进行严格的验证和过滤。
## 总结
本节课我们一起学习了SQL注入攻击。我们了解到：
1. SQL注入是通过在SQL查询中注入恶意逻辑（如 `OR 1=1`）来实施的攻击。
2. 攻击会导致数据库返回远超预期的数据，造成信息泄露。
3. 在CompTIA Security+考试中，`OR 1=1` 是识别SQL注入问题的关键标志。
4. 防范此类攻击需要采用安全的编程方法，如使用参数化查询。
理解SQL注入的基本原理是识别和防御此类威胁的第一步。
# 023：第4.1.6节 - 漏洞类型详解 🛡️
在本节课程中，我们将学习可能影响我们网络的各种漏洞。不同组织处理这些漏洞的方式各不相同，但在考试中，我们需要熟悉这些术语，以便能够识别它们。
## 零日漏洞
首先，我们将介绍一个在网络安全领域反复出现的术语：令人畏惧的**零日漏洞**。当一个漏洞被发现或被**披露**时，一个计时器就开始了。我们通常会讨论这个漏洞存在了多久。那些全新的、前所未见的漏洞，我们对其了解的天数是**零**，因此被称为“零日漏洞”。零日漏洞之所以令人担忧，是因为目前没有已知的解决方案可以阻止它。为了应对零日漏洞，我们尝试通过**分层防御**来堆叠尽可能多的缓解措施。
## 配置错误
接下来，我们来看看不同类型的配置或漏洞。首先要讨论的是**配置错误**，即系统或其某部分配置不正确，导致安全风险的情况。
以下是几种常见的配置错误：
* **默认账户**：例如，出厂默认的用户名和密码都是 `admin`。如果未更改这些默认凭据，就属于配置错误。
* **错误处理不当**：如果未妥善处理报告给用户的错误信息，可能会**过度分享**系统信息（如服务器类型、操作系统），攻击者可以利用这些信息。
* **不必要的软件组件**：不需要的软件应卸载。每个软件都是潜在的漏洞，若无必要，应予以移除。
## 操作系统漏洞
上一节我们介绍了配置错误，本节中我们来看看操作系统层面的漏洞。操作系统漏洞主要分为两类：**恶意库**和**恶意驱动程序**。
首先，我们来理解什么是**库**。在编程中，库是一段可重用的代码块。开发者无需重复编写通用功能（如创建窗口），可以直接使用他人编写好的库。这就像通过阅读图书馆里的书籍来获取知识，而无需亲自去研究。
**恶意库**的问题在于，如果攻击者知道程序使用了某个库，他们可以篡改该库的代码。当程序调用这个被篡改的库时，就可能同时引入恶意软件。
与库类似的是**驱动程序**。驱动程序是操作系统与硬件通信的软件。**恶意驱动程序**可以在硬件信号传输过程中加入恶意行为。例如，一个恶意键盘驱动程序可以记录所有击键（即**键盘记录器**），并将数据发送出去。操作系统必须信任驱动程序，因此恶意驱动程序构成了严重的漏洞。我们通常通过**代码签名**等安全控制来保护驱动程序。
## 硬件漏洞
我们的硬件本身也可能成为漏洞来源。攻击者可以安装间谍硬件来监视我们。这通常需要攻击者获得对系统的**物理访问**权限。
为了保护系统免受此类威胁，尤其是通过USB设备等外设的攻击，常见的做法是**禁用系统上所有的USB端口**，以防止恶意软件注入或数据外泄，确保所有数据通信都通过网络进行，以便监控。
## 软件供应链漏洞
除了直接攻击，攻击者还可能采取迂回策略。如果目标组织的安全防护非常严密，攻击者可能会转而攻击其供应商或第三方服务提供商。这就是**软件供应链漏洞**。
我们需要确保与供应商、厂商和业务合作伙伴签订安全协议，以保障供应链安全，并对供应链攻击保持警惕。
## 加密漏洞
我们可能遇到的另一类漏洞是**加密漏洞**。这类漏洞的出现可能是因为加密算法本身存在缺陷或被破解。
例如，在使用哈希算法时，如果算法能产生**哈希碰撞**，就会形成漏洞。假设攻击者制作了一个带恶意软件的可执行文件，并使其MD5哈希值与合法软件相同。当用户验证哈希值时，就会误以为该文件是合法的，从而安装并运行了恶意软件。
另一个相关概念是**传递哈希**攻击。如果哈希值在传输或存储过程中未被加密保护，攻击者就可能截获并利用它。因此，我们必须使用加密技术来保护传输中、存储中和使用中的数据。
## 移动设备漏洞
最后，我们来看看移动设备漏洞。移动设备带来了多种安全顾虑。
以下是几个关键的移动设备安全问题：
* **第三方应用商店**：组织可能要求用户只使用官方应用商店，也可能禁止使用官方商店，而强制使用经过内部审核的私有应用商店。策略取决于具体情况。
* **侧载**：指直接将应用从电脑安装到移动设备上。开发者常用此方法测试应用。但许多无法通过官方商店审核的应用也通过这种方式传播，带来了安全风险。
* **Root/越狱**：**Root**指获取设备的根权限，从而可以禁用移动设备管理（MDM）等安全控制。**越狱**指解除设备限制，启用被策略禁用的功能（如摄像头）。
* **摄像头与短信**：出于安全考虑，组织可能通过策略禁用设备摄像头。同时，短信（SMS/MMS）也可能成为安全威胁，例如用于数据外泄、传播恶意软件或社会工程学攻击。
## 总结
本节课中，我们一起学习了多种网络安全漏洞。我们从最令人担忧的**零日漏洞**开始，探讨了因设置不当导致的**配置错误**，深入分析了操作系统层面的**恶意库**和**恶意驱动程序**。我们还了解了攻击者如何利用**硬件**和**软件供应链**作为攻击入口，认识了因算法缺陷或使用不当产生的**加密漏洞**。最后，我们讨论了移动设备特有的安全风险，包括**第三方应用商店**、**侧载**、**Root/越狱**以及对**摄像头**和**短信**的管理。理解这些漏洞是构建有效防御体系的第一步。
# 024：跨站请求伪造（CSRF）
在本节中，我们将探讨Security+考试中会涉及的一种漏洞：跨站请求伪造。我们将了解其运作原理，并学习如何识别它。
## 概述
跨站请求伪造是一种利用用户已认证会话来执行非授权操作的攻击方式。本节将详细解析攻击者、受害者与服务提供商之间的交互过程。
## CSRF攻击流程解析
上一节我们介绍了CSRF的基本概念，本节中我们来看看一个典型攻击场景的具体步骤。整个过程涉及三个角色：受害者、服务提供商（如银行网站）和攻击者。
以下是攻击发生的典型步骤：
1. **受害者登录服务**：受害者登录其服务提供商（例如 `MyBank.com`）。在完成登录（可能包括多因素认证）后，服务提供商会向受害者的浏览器发送一个认证Cookie。
2. **会话保持**：此时，受害者的浏览器持有该Cookie，这代表着一个已通过认证的有效登录会话。
3. **诱导点击**：攻击者通过电子邮件或其他方式向受害者发送一个链接，诱使其点击。例如，一封伪装成银行发来的中奖邮件：“恭喜您成为今日六位幸运用户之一，将获得免费笔记本电脑！感谢您作为 `MyBank.com` 的忠实客户。”
4. **访问攻击者站点**：受害者被诱导点击链接，访问了攻击者的网站（例如 `attacker.com`）。
5. **触发恶意请求**：攻击者的网页中包含一个精心构造的请求（即CSRF攻击载荷）。这个请求会利用受害者浏览器中已存在的 `MyBank.com` 认证Cookie，自动向银行服务器发送一个操作请求。
6. **执行非授权操作**：银行服务器收到来自受害者浏览器的请求，由于附带了有效的认证Cookie，便执行该操作。例如，攻击者构造的请求可能是：“将受害者账户中的所有资金转移到某个海外账户”。
7. **攻击完成**：受害者对此操作毫不知情，而攻击者已利用其认证会话完成了非法操作。
## 核心机制与总结
通过上述流程可以看出，CSRF攻击的核心在于**利用受害者浏览器中已存在的认证凭证**。攻击者**伪造**一个指向目标站点的请求，并诱使受害者的浏览器代为发送。由于该请求是从受害者浏览器发出且携带合法Cookie，服务端难以区分这是用户的真实意图还是攻击。
其核心关系可以用以下简单逻辑表示：
**攻击成功条件 = 受害者已登录目标网站 + 受害者访问了恶意页面 + 目标网站仅依赖Cookie进行会话验证**
本节课中我们一起学习了跨站请求伪造的攻击原理和完整流程。关键点在于理解攻击者如何通过诱导用户点击，利用用户已有的登录状态来“借刀杀人”。在Security+考试中，需要对此类漏洞保持警惕。
# 025：目录遍历攻击
在本节中，我们将探讨一个可能在Security+考试中出现的漏洞，这个漏洞被称为目录遍历。
目录遍历攻击的工作原理是，它能够访问Web服务器文件系统上的文件，而这些文件通常不属于Web服务器提供的文件范围。
## 目录遍历攻击原理 🔍
如上图所示，在最顶层，我们看到的是应用程序（即Web服务器软件）可以访问的文件列表。
Web服务器软件有一个名为`HTTPD`的目录。其内部有一个名为`files`的目录。在这个目录里，可能有一个文件，例如我们看到的`index.htm`。
然而，通过目录遍历攻击，攻击者可能能够浏览Web服务器的主机操作系统，以访问通常不属于Web服务器提供的文件。在本例中，这个文件是`/etc/passwd`。
## 攻击手法：使用`..`操作符 🛠️
攻击者执行目录遍历攻击的方式是使用`..`操作符。
在Linux甚至DOS/Windows的命令行中，都有`..`操作符。`..`意味着返回上一级目录。`.`表示当前目录，`..`则表示返回上级目录。
观察我们幻灯片上的URL：`www.somesite.org/files/`。然后，`..`使我们从`files`目录返回上一级。在本例中，这使我们返回到主网站`somesite.org`的根目录。
接着，`..`使我们从该目录退出，进入`user`目录。然后，`..`再次使我们从`user`目录退出，回到主根目录。从那里，我们现在可以导航进入`/etc`目录，并最终访问`passwd`文件。
## 潜在风险与后果 ⚠️
如果Web服务器没有配置防御此类攻击，它可能会被欺骗，从而提供`passwd`文件。该文件将包含基于Linux或Unix系统上所有用户的列表。
这将带来严重问题，因为攻击者现在拥有了系统上授权用户的列表。随后，攻击者可以发起密码攻击或其他授权攻击。
## 识别与考试要点 📝
目录遍历攻击是通过使用`..`操作符来识别的。在Security+考试中，请留意这一点，它很可能会出现在考题中。
## 总结
本节课我们一起学习了目录遍历攻击。我们了解了其基本原理，即攻击者利用`..`操作符遍历服务器目录结构，访问本不应公开的系统文件（如`/etc/passwd`）。我们还探讨了这种攻击带来的风险，以及如何在考试中识别它。理解此漏洞是构建安全Web应用的重要一步。
# 026：04_01_09 哈希传递攻击 🔑
在本节课程中，我们将探讨一个可能在Security+考试中出现的漏洞类型。这种漏洞被称为“哈希传递”攻击。这是一种重放攻击的形式。首先，让我们了解什么是重放攻击。
## 什么是重放攻击？🔄
重放攻击是指攻击者能够监听并窃听你的通信过程。当你尝试向一个系统进行身份验证时，系统可能会询问“密码是什么？”，然后你将传输你的秘密密码。攻击者可以窃听到这个密码。他们只需要监听这个密码是什么，之后就可以在任意时间连接到该系统进行身份验证。系统会说：“发送你的密码”，而攻击者只需回复：“这是上次的密码”。
作为人类，我们可能会想，计算机会听出声音的不同，因为不同用户的声音不会一样。但请记住，计算机都使用同一种语言——全是0和1。没有音调、口音或声音的变化，一切都是0和1。因此，通过重放任何身份验证信息，服务器将像对待授权用户一样，授予攻击者访问权限。这就是所谓的重放攻击。
## 哈希传递攻击详解 🛡️
在哈希传递攻击中，我们有一个用户正在向服务器传输其登录凭据，例如密码。服务器不会要求直接发送明文密码，为了更安全，它会要求：“哈希你的密码然后发给我”。于是用户对自己的密码进行哈希运算，然后将哈希值发送给服务器。
服务器端存有该密码的正确哈希摘要。服务器会比较收到的哈希值和存储的哈希摘要。如果两者相同，服务器就会说：“是的，是这位用户，请进。”
然而，在整个过程中，位于底层的攻击者一直在监听用户和服务器之间的对话。攻击者复制了用户使用的凭据（即密码哈希值）。当用户断开连接后，攻击者便可以连接到服务器。
服务器说：“发送你的密码。”攻击者回答：“当然，这是我的密码。”他们只需要发送之前截获的那个密码哈希值即可。
那么，攻击者知道这个密码的明文是什么吗？**不知道**。他们在乎吗？**不在乎**。他们只需要该密码的哈希形式。
攻击者将这些数据发送给服务器，服务器验证后说：“是的，这和上次登录的哈希值相同，请进。”这样，攻击者就获得了授权用户账户的访问权限。这就是所谓的“哈希传递”攻击，它是我们可能在Security+考试中遇到的漏洞类型之一。
## 核心概念总结 📝
* **重放攻击**：攻击者截获并重新发送有效的身份验证数据以获取未授权访问。
* **哈希传递**：一种特殊类型的重放攻击，攻击者截获并重用的是密码的**哈希值**，而非明文密码。
* **攻击流程**：
1. 用户哈希密码并发送至服务器。
2. 攻击者窃听并捕获该哈希值。
3. 用户会话结束。
4. 攻击者使用捕获的哈希值直接向服务器进行身份验证。
5. 服务器验证哈希值匹配，授予攻击者访问权限。
## 本节课总结
在本节课中，我们一起学习了哈希传递攻击的原理。我们首先了解了其基础——重放攻击的概念，即攻击者通过重复使用截获的凭据来冒充合法用户。接着，我们深入探讨了哈希传递攻击的具体过程：攻击者窃取的是密码的哈希值，并利用这个哈希值，在不知道原始明文密码的情况下，成功通过服务器的身份验证。理解这种攻击方式对于识别和防范相关安全风险至关重要。
# 027：跨站脚本攻击（XSS） 🛡️
在本节中，我们将学习一个可能在Security+考试中出现的漏洞。这个漏洞被称为跨站脚本攻击，简称XSS。
跨站脚本攻击是指攻击者向Web服务器或Web应用程序发送恶意代码，意图造成数据错误表示或导致Web应用程序本身功能失常。这是一种注入攻击形式，其有效载荷通常是JavaScript代码。
## XSS攻击原理
上一节我们介绍了XSS的基本概念，本节中我们来看看它的工作原理。
攻击过程如下：当Web应用请求用户输入信息时（例如“您想购买多少个小部件？”、“您想查看多少件商品？”、“您要搜索什么？”或“您想查看哪家餐厅的评论？”），攻击者并不直接回答问题。例如，对于“您想购买多少个小部件？”这个问题，攻击者不是输入数字“2”，而是在“2”后面附加了其他代码。这段代码本身也可能就是答案。
当Web服务器处理这段输入时，就会落入陷阱。这种情况的发生，是因为Web应用程序或服务器没有对输入进行**净化**。它没有确保：如果我需要一个数字，用户就必须发送一个数字，我必须确认用户提交的是数字。同时，我还需要确保在用户提交响应时，**过滤掉**所有可能的代码操作符，例如分号、斜杠、花括号等任何可能引发跨站脚本攻击的字符。
## XSS攻击类型
了解了基本原理后，以下是Security+考试中需要了解的两种主要XSS攻击类型：
### 反射型XSS攻击
在反射型XSS攻击中，Web服务器可能会问“您想购买多少个小部件？”，攻击者不直接提供答案，而是说“实际上，我想让你去那边的那个网站，那里的代码会告诉你我想要多少件商品”。Web服务器会照做，从其他地方获取并运行那段代码，从而触发陷阱，导致Web应用程序崩溃或出现其他问题。攻击之所以成功，是因为对“您想购买多少个小部件？”这个问题的回答，实际上是指向了另一个Web服务器，并从那里获取、接收并运行了恶意代码。陷阱在此时触发，因为它将答案“反射”到了另一个站点。
### 存储型XSS攻击
另一种类型是存储型XSS攻击。在这种攻击中，攻击目标通常是存储用户评论、论坛帖子或其他文本输入的数据信，常见于社交媒体或社区讨论平台。当系统读取所有最新的用户评论或论坛消息时，存储的恶意代码就会被执行。
以下是存储型XSS攻击的过程：
1. 攻击者将恶意代码注入到网站评论、帖子或餐厅评论中。
2. 每当有用户访问并加载这些评论或帖子时，攻击者注入的JavaScript代码就会随之一起被加载，并在每一位访问该页面的用户浏览器上执行。
这被称为存储型XSS攻击，因为提交给系统的JavaScript代码实际上被存储在了数据库中，并且每次有访客阅读那些产品评论、餐厅评论等信息时，都会被提供并执行。
## 攻击示例分析
为了更直观地理解存储型XSS，我们来看一个具体场景。
假设我们访问“Scott's Pizza”的页面，这是西雅图一家不错的披萨店。但我们实际上经营着“Ian's Pizza”，我们希望吸引更多顾客来“Ian's Pizza”，而不是“Scott's Pizza”。
于是，我们到“Scott's Pizza”的页面下留下一条评论。我们可能会说：“食物还行，服务不错。”但在评论的末尾，我们插入了一段JavaScript代码。这是一个**alert**语句，它的作用是：当浏览器遇到这段JavaScript代码块时，会执行alert命令，弹出一个窗口。
我们来看一下这段示例代码：
```javascript
alert("Ian's pizza is better.");
在实际中，用户会看到一个弹出窗口，上面写着“Ian's pizza is better.”。用户本想了解关于“Scott's Pizza”的信息，现在却收到了关于“Ian's Pizza”的弹窗。这可能会在用户心中植入一个想法：“也许我应该去试试Ian's Pizza，它可能更好。”从而将一些顾客引导至我们的披萨店。
这是一小段被放入评论字段的JavaScript代码，它被存储在了存放所有餐厅评论的数据库中。在这种情况下，Yelp（评论平台）需要审查并移除这类信息，必须净化其代码，过滤掉我们插入的那些尖括号、圆括号等。平台需要阻止某些内容被写入评论，以屏蔽任何JavaScript代码。这正是一个存储型XSS攻击的例子，因为我们将恶意活动代码作为一条记录存储在了数据库中。
总结
本节课中我们一起学习了跨站脚本攻击。我们了解了XSS是一种向Web应用注入恶意代码的注入攻击。我们探讨了其核心原理在于输入未经过滤和净化。我们重点分析了两种主要类型：反射型XSS（恶意代码通过用户输入“反射”回浏览器执行）和存储型XSS（恶意代码存储在服务器数据库，在用户访问时执行）。最后，我们通过一个餐厅评论的示例，直观地看到了存储型XSS如何被用于误导用户。在Security+考试中，请注意识别这两种XSS攻击。
028：特权访问管理 🛡️
在本节课中，我们将学习组织数据保护的基础——特权访问管理。我们将探讨如何通过控制用户对数据的访问权限来保护组织资产，并详细介绍三种核心的管理技术。
保护组织数据始于对用户访问权限的控制。在本节中，我们将讨论特权访问。通过管理特权访问，我们可以精确控制用户能够访问哪些数据。
最小权限原则 🔐
上一节我们提到了访问控制的基础，本节中我们首先来看看一个核心原则：最小权限。最小权限原则要求确保用户仅拥有完成其本职工作所必需的数据访问权限和特权。我们不希望给予用户过多权限，因为这可能对组织和用户本人都构成风险。
最小权限原则主张：只提供完成工作所需的信息，绝不多给。
以下是遵循此原则的重要性：
- 降低勒索风险：如果用户拥有过多访问权限，他们可能因这些信息访问权而受到勒索。通过最小权限原则保护用户，他们根本接触不到某些数据，从而降低了因此被勒索和敲诈的可能性。
- 保护个人与组织：最小权限原则既保护个人免受此类勒索，也保护组织免受用户窃取数据并将其外泄到其他网络的风险。
- 访问管理核心：最小权限是访问管理中至关重要的一部分。
特权访问管理（PAM） 🧑💼
理解了基本原则后，我们来看看如何具体管理高权限账户。我们拥有管理谁可以访问特权账户的方法。特权访问是指超越普通用户所拥有的访问级别，能够使用此级别权限的用户被称为特权用户。
特权用户通常是我们的系统管理员、网络管理员和安全管理员。他们拥有超越典型用户的权限，以便为他人授予权限并控制不同的服务器和系统。
我们通过不同的特权访问管理技术来控制特权用户的访问级别。以下是三种主要的解决方案：
1. 即时权限（JIT）
第一种管理技术是即时权限。采用即时权限时，用户仅在需要时才被授予信息访问权。
其工作流程如下：
- 用户提出特权访问权限申请。
- 用户需说明正在处理的工作订单或故障单。
- 系统会询问需要多长时间，用户可能回答“大约10分钟”。
- 系统随后授予他们15分钟的权限。从用户登录该系统的那一刻起，计时开始。到他们注销时，这些权限将被自动撤销。
这种方法可以保护用户，避免因持续拥有特权访问权限而意外对系统造成损害，或意外落入某些陷阱。例如，如果一个拥有特权访问权限的用户遭到鱼叉式网络钓鱼攻击，攻击者就可能利用此权限。采用即时权限等技术有助于防止此类事件发生。
2. 密码托管
接下来要讨论的是密码托管。在密码托管方案中，管理账户的密码保存在一个所谓的“保险库”中。
其流程如下：
- 用户请求访问权限。
- 用户需陈述使用此权限的原因和计划执行的操作。
- 用户需说明需要此权限的时长。
- 系统根据请求的具体情境批准或拒绝该权限。
密码托管是保护特权访问的另一种方法。
3. 临时账户
第三种方法是使用临时账户。临时账户即我们设置的临时性账户。
假设我们有一个服务提供商或供应商需要现场为我们执行某些活动，他们需要登录某个系统进行配置或维修。在这种情况下，我们可以采取以下措施：
- 限定位置：安排他们在指定工位，使用特定电脑进行连接。
- 限定目标：只允许他们连接到那台需要操作的远程设备。
- 限定权限：他们只拥有与那台设备交互的权限。
- 限定时间：该账户仅在特定时间段内有效（例如上午8点到下午4点），到期必须完成操作。
- 限定来源：如果远程登录，只允许从特定的IP地址或IP段连接，并且只能访问指定的、直接面向工作设备的虚拟机。
- 全程监控：我们会监视、记录和监控他们的所有操作。
如果需要延长时间，我们可以酌情批准，但这本质上是一个临时账户。这种方法被称为特权访问管理中的临时账户。
请注意这三种特权访问管理类型以及围绕特权访问的整体理念，这些是可能在我们的Security+考试中出现的术语。
总结 📝
本节课中，我们一起学习了特权访问管理。我们首先介绍了最小权限原则，即只授予用户完成工作所必需的最低权限。接着，我们深入探讨了三种关键的特权访问管理技术：即时权限（JIT） 实现了按需、限时的权限授予；密码托管 将高权限密码集中管理，并基于上下文进行访问审批；临时账户 则为外部人员或临时任务创建了受严格限制（时间、地点、范围）的访问环境。掌握这些概念和技术对于构建安全的数据访问控制体系至关重要。
029：身份与访问管理（IAM）
在本节课程中，我们将学习身份与访问管理（IAM）的核心概念，重点关注用户账户的管理与保护。我们将探讨如何安全地创建和管理用户账户，以及各种用于验证用户身份和控制访问权限的技术与协议。
用户账户管理
身份与访问管理关注用户以及我们保护其账户的方式。首先，我们需要确保用户账户的创建过程是安全的。
我们不希望由组织内的单一个体负责创建所有用户账户。原因是，如果这项工作由一个人承担，此人可能成为鱼叉式网络钓鱼攻击或勒索的目标。一旦被攻破，攻击者可能强迫其违背意愿创建账户。此外，此人本身也可能成为内部威胁，私下为自己创建账户，以便在离职后仍能登录系统并制造问题。
因此，我们需要确保账户创建过程有适当的制衡与记录。
以下是保障账户创建过程安全的关键措施：
- 职责分离：账户的创建、激活和权限分配应由不同的人员或角色完成。
- 流程文档化：所有账户创建请求必须有正式的工单或授权记录。例如，只能根据人力资源部门或技术总监的请求来创建账户。
- 基于角色的访问控制：为用户分配的权限应与其工作任务和角色严格匹配。这通常通过基于角色的访问控制来实现，确保用户的访问权限与其职位相符。
身份验证与访问控制
上一节我们讨论了账户创建的安全流程，本节中我们来看看如何验证用户身份和控制其访问权限。
身份验证是确认用户声称身份的过程。例如，在新员工入职第一天，我们可能需要其提供出生证明和多种身份证明文件，以核实其身份，然后才发放访问卡。这样，该员工在组织内的所有活动都能追溯到其本人。这就是身份验证的概念。
在考试中可能遇到的另一种访问控制形式是联合身份认证。
联合身份认证是指两个或多个实体之间共享身份凭证。例如，大学A和大学B的学生可以互选课程。学生希望使用其本校的凭证登录到另一所大学的系统。这种场景就是联合登录，即使用另一个组织的资源来验证你所在组织的用户身份。
单点登录可以被视为联合身份认证的一种延伸。
单点登录允许用户通过一次安全的登录（可能需要用户名、密码及多因素认证）访问多个关联的应用系统，而无需为每个应用单独登录。其核心优势是用户只需记住一组强密码。
公式表示：SSO 登录凭证 -> 访问所有授权应用
目录服务与协议
在单点登录等系统中，我们通常依赖LDAP来管理用户信息和认证。
LDAP基于X.500标准构建，该标准定义了目录服务的结构。在考试中，你需要知道LDAP是一个我们提交登录凭证（用户名、密码等）以获取访问权限的系统。它负责存储权限信息，并在组织范围内提供访问控制。LDAP是Active Directory的前身，两者功能类似。
代码示例（概念性）：
# 用户尝试通过LDAP认证
用户提交 -> username: “alice”, password: “secret123”
LDAP服务器验证 -> 检查凭证是否与目录中的记录匹配
认证结果 -> 成功/失败，并返回用户权限属性
云与互联网身份管理
随着组织使用本地和云资源，账户同步成为挑战。云访问安全代理是一种软件解决方案，用于同步本地目录服务（如Active Directory）和云服务中的用户账户与权限，确保当员工离职时，其在所有系统的访问权限能被一致地撤销。
对于通过开放互联网进行的认证，我们使用OAuth和OpenID Connect等协议。
- OAuth：一种开放的授权框架，允许用户让第三方应用访问其在某服务中的特定资源，而无需分享密码。例如，使用Twitter账户登录某个网站。
- OpenID Connect：在OAuth 2.0之上构建的一个身份层，用于客户端验证用户身份。它简化了流程，速度更快。例如，使用Facebook或Google账户登录其他应用。
这些协议之间通过SAML交换认证信息。
SAML是一种基于XML的标准，用于在不同的安全域之间交换认证和授权数据。当您选择“使用Google账户登录”时，服务提供商会生成一个SAML请求，发送给Google（身份提供者）。Google验证您的身份后，会发回一个SAML断言，告知服务提供商“此用户已通过验证”。
代码示例（概念性）：
<!-- SAML断言示例片段 -->
<saml:Assertion>
<saml:Subject>
<saml:NameID>user@example.com</saml:NameID>
</saml:Subject>
<saml:Conditions>
<saml:AudienceRestriction>
<saml:Audience>https://service.provider.com</saml:Audience>
</saml:AudienceRestriction>
</saml:Conditions>
</saml:Assertion>
这些技术能够协同工作，得益于互操作性。因为它们是开放的、有文档记录的标准（如XML、JSON），允许不同的系统、服务提供者和身份提供者无缝协作。
证明
在身份与访问管理领域，最后要了解的概念是证明。
证明是确认信息正确性和有效性的行为。它相当于为数据盖上“批准”印章，声明“我特此证明这些凭证信息是正确且有效的”。证明可以通过某种用户标识形式追溯到特定用户。
总结
本节课中，我们一起学习了CompTIA Security+ 考试中身份与访问管理部分的核心内容。我们涵盖了：
- 安全的用户账户创建与管理流程。
- 身份验证、联合认证与单点登录。
- LDAP目录服务协议。
- 云访问安全代理。
- 用于互联网认证的OAuth、OpenID Connect和SAML协议。
- 互操作性的重要性。
- 信息证明的概念。
理解这些概念对于设计和维护安全的访问控制系统至关重要。在备考Security+时，请务必关注这些主题。
030：密码核心概念 🔐
在本节课程中，我们将学习密码学中的核心概念，这些是准备Security+认证考试必须掌握的基础知识。我们将探讨密码强度、复杂性、管理策略以及新兴的认证方式。
密码长度与强度
上一节我们介绍了密码的重要性，本节中我们来看看决定密码强度的首要因素：长度。
密码的长度直接关系到其强度。密码越长，通常就越强。这个概念在考虑密码由多少个字符组成时至关重要。
考虑一个三位数的PIN码，范围从000到999。要猜出这个PIN码，最多需要尝试多少次？从000开始到999结束，总共是1000次。这仅仅是1000次猜测。但如果增加一位数字，就变成了10,000次猜测；再增加一位，则是100,000次。因此，密码越长，破解它所需的猜测次数就越多。
密码复杂性
理解了长度的重要性后，我们接下来探讨另一个增强密码安全性的关键：复杂性。
复杂性是另一种增加密码潜在取值数量的方法。所谓复杂性，指的是在密码中混合使用不同类型字符。
以下是实现密码复杂性的关键要素：
- 大写字母：A-Z
- 小写字母：a-z
- 数字：0-9
- 特殊字符：例如 !, @, #, $ 等
我们不应只使用数字或只使用字母，而应混合使用大小写字母、数字和特殊字符。
再次以三位PIN码为例，从000到999，共有1000种可能，即 10^3（10个数字，3个位置）。如果密码由大写字母A-Z（26个）、小写字母a-z（26个）和数字0-9（10个）组成，那么每个位置就有62种潜在取值。对于一个三字符的密码，可能性就是 62^3，这远比仅由数字组成的三位PIN码强大得多。
当然，正如前面提到的，长度与复杂性结合效果更佳。使用这62种字符，密码每增加一位长度，指数值就增加一次。例如，一个8字符长的密码，其可能性就是 62^8。密码越长、越复杂，攻击者破解的难度就呈指数级增长。
密码管理策略
掌握了创建强密码的方法后，我们还需要了解如何妥善管理它们，避免安全漏洞。
你需要确保避免密码重用。不应在不同的系统上使用相同的密码，也不应重复使用旧密码。我们需要限制曾用密码的数量，因为一旦其他网络遭到入侵，攻击者窃取并存储了你的凭证，这些密码就可能被加入破解字典，从而变得容易被攻破。
同时，需要考虑密码的使用期限。不应过长时间使用同一个密码。如果密码遭到泄露，攻击者在你更改密码前可以多次登录并冒充你。因此，需要在更改密码的频率上找到平衡点：既不能使用过久，也不宜更换过频，因为频繁更改密码往往会导致用户选择弱密码。在密码使用过久与更换过频之间，存在一个最佳平衡点。
密码管理器
面对众多复杂密码的管理难题，密码管理器提供了一个高效的解决方案。
密码管理器是一种软件工具，用于管理极其长且复杂的密码。它们可以随机生成优质、长且强的密码。用户只需向密码管理器进行一次身份验证，之后它便会为你要登录的各个账户提供相应的密码。
密码管理器在管理大量复杂密码并按需更改密码方面非常有用。但你必须确保用于登录密码管理器本身的认证方案足够强大。将所有密码存放在一个密码管理器中，犹如将鸡蛋放在同一个篮子里。如果该密码管理器被黑客攻击，你所有的密码都可能泄露。因此，密码管理器虽是管理密码的好工具，但也存在一定的风险。
无密码认证
最后，我们来看一种正在兴起的、旨在从根本上解决密码问题的认证机制：无密码认证。
一些组织正在尝试另一种认证机制：无密码认证。在这种情况下，组织依赖的是“你知道的”因素（如密码）以外的其他因素组合。
这意味着无需记忆任何密码、PIN码、密码图片或口令。没有任何需要你记住（或可能忘记）的东西。研究表明，如果让用户自行决定安全措施，他们常常会设置出较弱的方案。因此，无密码认证不依赖用户创造和记忆信息。
在无密码认证中，我们将依赖“你拥有的”东西。例如，使用硬件令牌、软件令牌，或者向手机发送一次性PIN码等。任何不依赖于“你知道的”因素的组合认证方式，都属于我们所说的无密码认证范畴。
总结
本节课中我们一起学习了密码的核心概念。我们探讨了密码长度与强度的直接关系，理解了通过混合字符类型来增加复杂性的重要性。我们还讨论了避免密码重用、合理设置密码期限等管理策略，并介绍了密码管理器这一辅助工具及其利弊。最后，我们展望了无密码认证这一新兴趋势，它通过依赖“你拥有的”等因素，试图从根本上解决传统密码的弱点。这些概念是构建安全认证体系的基础，对于通过Security+考试至关重要。
031：多因素身份验证（MFA）🔐
在本节课中，我们将学习多因素身份验证（MFA）的核心概念。MFA是一种通过结合多种不同类型的身份验证因素来增强系统安全性的方法。即使攻击者窃取了您的密码，他们仍然需要其他因素才能成功验证身份。
身份验证因素概述
上一节我们介绍了身份验证的基本概念，本节中我们来看看构成多因素身份验证的不同因素。理解这些因素对于通过Security+考试至关重要。
以下是考试中列出的主要身份验证因素：
- 您知道的东西：这是传统的身份验证方式，例如密码或PIN码。它依赖于只有您自己知道的信息。例如，一个只有您和特定亲友知道的共同记忆细节。
- 您拥有的东西：指您拥有的某种物理对象，例如您的手机、身份证、或物理密钥。这些东西是独一无二的，您拥有它即证明您的身份。例如，您的家门钥匙授权您进入自己的家。
- 您固有的特征：指您个人固有的生物特征，这些信息编码在您的基因中。例如，您的指纹、面部形状或声音。即使您试图改变外貌，这些根本的生物信息依然存在。
- 您的行为特征：指您做某事的方式，这是一种行为生物识别技术。例如，您签名的笔迹、在键盘上打字的节奏和模式，或者您走路时的步态（步幅长度、脚着地的方式）。
- 您所在的位置：指您连接系统时所处的网络或地理位置。例如，您的IP地址或GPS坐标。如果系统检测到您从一个从未连接过的陌生网络登录，可能会触发额外的身份验证。
多因素身份验证与相关术语
当您使用上述两个或更多因素进行身份验证时，即构成多因素身份验证。这显著提升了安全性。
在考试中，您还会遇到以下相关术语：
- 生物识别技术：这通常指“您固有的特征”和“您的行为特征”这两类因素，即基于个人生理或行为特征进行身份验证的技术。
- 硬件令牌与软件令牌：
- 硬件令牌：指某种物理硬件设备，用于生成或存储身份验证凭据。
- 软件令牌：指基于软件的虚拟身份，存储着某种唯一的身份验证信息。
- 安全密钥：这通常指一种证书，无论是编码在硬件令牌还是软件令牌中，都用于验证身份。
硬件令牌示例
了解了核心概念后，我们来看看一些具体的硬件令牌示例。在考试中遇到关于硬件令牌的问题时，请回想以下三种常见类型：
以下是三种常见的硬件令牌设备：
- RSA令牌：一种小型设备，通常每60秒生成一次变化的6位数字（滚动代码）。您持有的令牌与服务器保持同步，您需要提供当前显示的数字作为“您拥有的东西”这一因素。
- 智能手机（作为令牌）：您的手机可以作为一种硬件令牌。通过安装特定的认证应用程序（如Google Authenticator、Microsoft Authenticator），手机可以生成动态验证码，实现“您拥有的东西”这一因素。
- USB安全密钥/YubiKey：一种插入计算机USB端口的物理设备，内含安全证书。插入时即可完成身份验证，是“您拥有的东西”这一因素的典型代表。
- 受控访问卡：在政府（如美国联邦部门、国防部网络）中广泛使用。这种卡片嵌入了存储唯一证书的芯片，同时印有持卡人照片等信息。刷卡是进入系统的重要身份验证步骤。
总结
本节课中，我们一起学习了多因素身份验证（MFA）的五大核心因素：您知道的东西、您拥有的东西、您固有的特征、您的行为特征以及您所在的位置。MFA要求结合其中两个或更多因素，从而大幅提升账户安全性。我们还了解了相关的生物识别技术、硬件/软件令牌概念，并认识了RSA令牌、智能手机、USB安全密钥和受控访问卡等具体硬件令牌示例。掌握这些知识，将有助于您在Security+考试中准确识别和分析与MFA相关的场景。
032：访问控制模型
概述
在本节课中，我们将学习组织用于保护数据的几种不同访问控制模型。理解这些模型是构建安全系统和通过Security+考试的关键。
访问控制模型主要分为两大类：自主访问控制和基于规则的访问控制。基于规则的访问控制又可细分为几种具体类型。
自主访问控制
上一节我们介绍了访问控制模型的基本分类，本节首先来看自主访问控制。
自主访问控制类似于您在家用电脑上的体验。当您在个人电脑上创建文件时，您可以自主决定该文件的访问权限。例如，您可以将其设置为只读，或使用密码保护。是否设置权限、如何设置权限，完全由您自行决定，没有强制性的规则必须遵守。
基于规则的访问控制
与自主访问控制相对的是基于规则的访问控制。在此类模型中，访问权限由预先定义的规则决定，用户必须遵守这些规则。基于规则的访问控制包含三种主要类型。
以下是三种主要的基于规则访问控制模型：
-
强制访问控制
- 这种模型的实施在组织内是强制性的，常见于联邦或国防部级别的系统。它遵循Bell-LaPadula模型，根据信息的密级（如绝密、机密）来决定访问权限。核心规则是：如果一份文件中包含任何绝密信息，那么整个文件都被视为绝密。用户必须遵守这一模型，无权自行更改。
-
基于角色的访问控制
- 这是一种基于规则的访问控制，其规则围绕组织内的不同角色制定。例如，经理可以查看下属的文件，但下属不能查看经理的文件。销售部门的员工可以访问销售共享文件夹，但可能无法访问工程部门的文件。您的访问权限取决于您在组织中被赋予的角色。
-
基于属性的访问控制
- 这种模型围绕一个决策引擎运行，该引擎会考虑访问请求的多种属性。其决策逻辑可以用一个简化的伪代码表示：
if (用户权限等级 >= 文件密级 and 请求时间在允许范围内 and 用户地理位置 == 安全区域 and ... # 其他属性条件): 授予访问权限 else: 拒绝访问权限 - 引擎会综合评估各种属性，例如：用户的访问级别、请求时间、连接来源的网络位置、用户近期的访问行为等。即使所有条件都看似满足，但若在错误的时间或从不被允许的国家/地区发起请求，访问仍会被拒绝。
- 这种模型围绕一个决策引擎运行，该引擎会考虑访问请求的多种属性。其决策逻辑可以用一个简化的伪代码表示：
其他访问控制考量
除了上述核心模型，还有一种常见的访问控制形式是基于时间的限制。
时间限制是一种访问控制形式，完全基于一天中的具体时间。根据组织结构，您可能只能在特定工作时间或轮班时段访问某些文件。这种限制定义了允许访问的“时间窗口”。
总结
本节课中，我们一起学习了CompTIA Security+考试中涉及的主要访问控制模型。
- 自主访问控制：权限由数据所有者自行决定。
- 基于规则的访问控制：权限由强制规则决定，包括：
- 强制访问控制：基于信息密级的强制性模型（如Bell-LaPadula）。
- 基于角色的访问控制：基于用户在组织中的角色分配权限。
- 基于属性的访问控制：基于访问请求的多个动态属性（如时间、地点、用户行为）进行综合评估。
在准备Security+考试时，请务必牢记这些模型及其关键区别。
033：企业安全控制概述
在本节中，我们将学习保护组织数据时可用的多种不同安全控制技术。我们将探讨网络分段、隔离、访问控制、补丁管理、加密以及配置执行等核心概念，并了解它们如何共同构建一个强大的企业安全防御体系。
网络分段
上一节我们介绍了企业安全的基本目标，本节中我们来看看实现这些目标的具体技术。首先，网络分段是一种将整个企业网络划分为更小、更易管理的部分的方法。这样做可以限制恶意软件感染的影响范围。如果恶意软件在一个系统上扎根，它将不会蔓延到整个企业网络，而只会影响少数用户。
我们可以通过两种主要方式细分网络。
以下是两种网络分段方法：
- 逻辑分段：我们使用子网划分技术将企业网络划分为更小的部分。当数据通过网关从一个网段传输到下一个网段时，网关提供了一个检查点。我们能够检查从一个网络发送到下一个网络的数据类型，并据此决定是否允许该数据通过。我们可以在网络段之间安装防火墙。
- 物理分段：这是指我们拥有物理上完全独立的网络。在许多政府和国防部网络中，存在非安全网络和安全网络，分别称为NIPRNet和SIPRNet。这两个网络是物理上完全独立的网络。它们需要重复的硬件和布线，并且物理上是不同的。至少在较低的办公层级，没有流量可以从一个网络跳转到另一个网络。
另一种物理分段形式称为空气间隙。通过空气间隙，我们将一台主机与网络的其他部分物理断开连接。这意味着该设备完全脱离了互联网连接的网络，没有任何Wi-Fi或有线互联网连接。跨越这个间隙的唯一方式可能是通过可移动存储设备来向空气间隙系统传输文件。空气间隙适用于非互联网连接的设备，使其免受任何形式的入侵。
设备隔离
接下来，我们探讨如何隔离这些不同的设备。通过隔离，我们禁止一台设备将其受感染的通信传播到网络上的其他设备。我们阻止恶意软件连接到其他设备。隔离允许我们将该设备隔离起来，将其置于一个“虚拟监狱”中，成为一个“孤岛”，没有其他设备可以与之通信。我们是在遏制恶意软件，阻止其传播，这样其他设备就不会被感染。从那时起，我们可以进入调查模式，开始查看该设备发生了什么问题。这就是将隔离作为一种安全控制的用途。
访问控制
另一种我们可以采用的安全控制形式是访问控制，即控制谁有权访问什么。当我们查看这些关于我们向谁提供访问权限的不同控制列表时，我们可以开始确定谁将拥有访问权限、他们何时拥有访问权限、他们将被允许做什么等等。访问控制列表决定了允许和不允许进行何种活动，谁可以做，谁不可以做。我们还可以利用文件系统权限，控制谁有权读取、写入和执行单个文件。所有这些主题都包含在访问控制的概念之下，但其核心是描述谁有权访问什么。
我们还可以利用允许列表和阻止列表，它们有几种不同的形式。你可以有应用程序允许列表和应用程序阻止列表。当我们讨论防火墙时，也会看到防火墙允许列表和阻止列表。但在这里，对于应用程序允许列表，我们拥有的是一个允许的应用程序列表。这些是我们希望在系统上允许的程序。如果某个程序不在列表上，我们将阻止它。还有应用程序阻止列表，这是一个我们不希望在我们的操作系统上执行的应用程序列表。阻止列表会进行检查，并说明这些是可执行文件不允许执行，它们被禁止运行，其他一切都可以运行，只是这些不行，就像一个“禁飞名单”。与之相对的是允许列表，它更像一个“宾客名单”，如果你在宾客名单上，你就被允许进入。但如果你不在名单上，你就会被拒绝。因此，在这两种技术中，当你考虑名称时，思考一下会很有趣。允许列表实际上限制性更强，而阻止列表实际上更宽松。因为当你考虑阻止列表时，你只将其限制在少数应用程序上，所以阻止列表的限制性较低，而允许列表对你可以运行的应用程序数量限制更严格。要能够审视这两种不同的列表，并在讨论是允许其他应用程序运行还是拒绝其他应用程序运行时，考虑它们的权衡。
补丁管理
这里要看的另一个主题是补丁管理。补丁管理对于保持我们企业网络的安全性至关重要。通过补丁管理，如果发现漏洞，我们将从供应商或解决方案提供商那里寻找补丁，并确保该补丁能够解决该漏洞。如果不能，我们希望记录这一点，并继续研究其他方法来缓解该威胁。
加密技术
我们可以利用的另一种安全技术是加密。请记住，加密保护机密性。我们希望确保任何未经授权访问的人都不能访问我们系统上的任何文件。因此，为了实现这一点，我们可能会利用文件系统加密，例如全盘加密或自加密驱动器。这里列出了几个例子，分别是Windows的BitLocker和Mac的FileVault。这些文件系统加密技术旨在帮助保护存储在驱动器上的文件。如果该驱动器从机器上被物理移除，其内容是加密的，因此对任何拿走它的人来说都是无用的。
加密的另一种形式是保护传输中的数据。这是使用虚拟专用网络形式的加密。通过VPN，我们利用加密来保护在开放的公共网络上传输的数据，但它给了我们虚拟专用网络的概念。最后，当我们通过电子邮件在开放的互联网上发送数据时，重要的是要知道，除非采取其他安全措施，否则电子邮件本身是不安全的。因此，我们利用电子邮件加密。电子邮件加密可以加密通过电子邮件发送的消息内容。在这种情况下，我们可以利用PGP或GPG。或者，我们也可以加密在该电子邮件中发送的附件，形式是使用S/MIME。电子邮件加密是一种通过加密所有内容来保护未加密电子邮件安全的方法。
配置执行
我们可以利用的另一种安全技术是配置执行。这是确保我们部署的配置正在安全地运行。我们将创建安全基线，并将该通用的安全系统部署到我们引入网络的所有计算机上，确保我们所有的系统都同样准备好应对我们拥有的任何防御措施。我们还可以利用可能来自供应商或最佳实践机构的安全配置指南。这些机构会告诉我们，通过其他组织的经验，你应该如何配置这些不同的设备。我们将整合这些指南，并根据我们讨论的平台或是否来自特定供应商来选择我们将遵循哪些指南。因此，如果我们谈论的是思科、Palo Alto或Fortinet，这取决于制造我们所查看硬件的公司，我们将根据他们的最佳实践来配置我们的解决方案。
最后，为了检查并确保我们确实将事物配置得尽可能安全，我们将让其他人，比如同事，在我们之后跟进并验证我们已实施的安全更改。我们将确保我们遵循这些指南，然后对其进行抽查，以确保我们互相照应。
总结
在本节课中，我们一起学习了多种关键的企业安全控制技术。我们探讨了如何通过逻辑分段和物理分段来划分网络以限制威胁影响范围；了解了设备隔离如何遏制恶意软件传播；认识了访问控制、允许列表和阻止列表在管理资源访问权限中的作用；强调了补丁管理对于修复漏洞的重要性；介绍了加密技术（包括静态加密、传输加密和邮件加密）如何保护数据机密性；最后，学习了通过配置执行和遵循安全基线来确保系统安全设置的一致性。在准备Security+考试时，请牢记这些不同的安全解决方案。
034：应用程序安全
在本节中，我们将探讨应用程序安全。我们将了解针对应用程序的各种软件攻击方式，以及如何防范这些攻击。
输入验证与净化
首先，我们来看输入验证。输入验证是指，当我们在某个字段中期望输入特定类型的数据时，我们只允许该类型的数据，并且只允许一个有效的数值范围。
例如，一个网络应用程序询问“您想购买多少个小部件？”。如果我们期望用户输入数字2，那么我们将只允许数字“2”被输入。我们不允许输入单词“TWO”，也不允许用户提交图片或输入可能用于跨站脚本攻击的恶意代码。我们只允许数字输入。
净化是指清除任何我们不希望允许的字符。如果用户输入了无效内容，我们要么完全丢弃它，要么不接受该输入。这被称为输入验证与净化。
这是一种保护应用程序的方法，因为从用户那里接收的任何信息都将存储在缓冲区中，这些信息可能对我们的系统造成潜在危害。如果我们的代码根据用户提供的值执行操作，可能会导致应用程序出现一些不期望的行为。因此，输入验证与净化非常重要。
安全Cookie
上一节我们介绍了输入验证，本节我们来看看另一种防护措施。如果我们使用安全Cookie，可以阻止跨站请求伪造和其他类型的恶意活动。
通过在Cookie中使用关键字“secure”，可以限制该Cookie只能通过超文本传输安全协议通道传输。它必须使用HTTPS，并且只能返回到设置该Cookie的主机。
Cookie永远不应被信任用于提供有关用户的输入信息。它通常只用于引用该用户的个人设置，例如背景颜色等。
因此，安全Cookie非常重要。我们不应在Cookie上存储任何敏感信息，因为这些信息可能在用户的系统上被泄露。我们也不应信任来自Cookie的任何数据，因为这些数据可能已被篡改。安全Cookie是保护应用程序和代码的另一种方式。
代码分析
接下来，我们转向开发过程中的防护。在查看开发过程时，我们有几种分析代码的方法，可以进行代码分析。CompTIA希望我们了解两种主要的通过代码分析来保护代码的方法：静态代码分析和动态代码分析。
静态代码分析是指有人提交一段代码，你查看该源代码，通读并理解它，然后判断代码是否良好。
例如，你可能会发现代码在某一行期望接收输入，但在后续的任何页面中都没有看到对这些输入进行净化或验证的步骤。你可以要求开发者回去修正这个问题。静态代码分析不需要执行代码，仅仅是阅读源代码。尽管我用手势比划像是在翻阅页面，但通常你只是在电脑屏幕上进行静态代码分析。
然而，动态代码分析需要我们执行代码。我们将运行代码，执行程序，观察其运行情况。如果我们看到一个输入框，例如“您想购买多少个小部件？”，我们将尝试输入各种疯狂的数值。
如果你打算输入值2，我会检查值2。如果我输入2.0，我会观察程序如何反应。如果我输入2.543.1415926，我可以输入许多不同的数字。我可以尝试负数，如果我输入数千呢？比如2000件商品，但你手头并没有2000件库存。我们会尝试各种疯狂、古怪的输入，不仅仅是数字。我会尝试字母、不同的代码、提交图片，尝试我能想到的每一种可能的输入。
这就是所谓的模糊测试。模糊测试是给它一些垃圾输入，并不断冲击该应用程序，以观察应用程序如何响应垃圾输入。我可能会尝试看看是否能使其以某种异常的新方式运行，从而可能泄露一些信息。
代码签名
最后，我们可以通过代码签名来保护我们的代码。我们在之前的另一个视频中讨论过这一点。
在这个例子中，代码签名是一种保护代码免受恶意第三方交互的方法，防止他们植入恶意软件，或者声称代码来自他们。通过代码签名，我们可以向客户和用户保证代码确实来自我们。
他们知道代码来自我们，是因为代码签名中包含了不可否认性。我们还可以保护代码的完整性，确保没有人恶意修改我们的代码，因为我们使用了代码签名算法中的哈希值。
因此，代码签名是另一种保护我们为客户开发的软件的方法。在Security+考试中，请注意这些保护应用程序的方法类型。
总结
本节课中，我们一起学习了保护应用程序安全的几种核心方法。我们首先探讨了输入验证与净化，这是防止恶意数据进入系统的第一道防线。接着，我们了解了使用安全Cookie来防止会话劫持和数据泄露。然后，我们分析了两种代码审查方式：静态代码分析和动态代码分析（包括模糊测试），它们分别在不运行和运行代码的情况下发现潜在漏洞。最后，我们回顾了代码签名，它通过数字证书确保软件来源的真实性和完整性。掌握这些概念对于构建和维护安全的应用程序至关重要。
035：防火墙详解 🔥
在本节课中，我们将要学习防火墙的核心概念，这是保护组织与网络安全的关键技术。防火墙作为网络流量的过滤器，根据预设规则决定数据包的放行或阻止。我们将探讨不同类型的防火墙及其工作原理，并解析防火墙规则的构成与解读方式。
什么是防火墙？
防火墙本质上是一个过滤器。它根据一组规则，过滤来自互联网或本地网络中其他设备的流量。这是防火墙最基本的功能。
防火墙不仅存在于企业网络中，也可以安装在单个系统上，这类防火墙被称为主机防火墙。
为什么需要主机防火墙？
上一节我们介绍了网络防火墙，那么为什么还需要主机防火墙呢？主机防火墙为每个系统提供独立的保护。如果网络中某个系统爆发了恶意软件，主机防火墙可以保护其他设备免受其影响。这就是主机防火墙的价值所在。
其他类型的防火墙
除了主机防火墙，在Security+考试中可能还会遇到其他类型的防火墙。
Web应用防火墙
Web应用防火墙也是一种过滤器。它的作用是过滤从互联网发往我们Web应用的网络流量，专门针对各种网络注入攻击进行过滤。
以下是它主要防范的攻击类型：
- SQL注入攻击
- 跨站脚本攻击
它还可以过滤拒绝服务攻击。其工作原理是，将Web应用设置为只接受来自Web应用防火墙的流量。该防火墙会检查所有请求，寻找注入攻击、跨站脚本攻击或任何嵌入到Web应用请求中的恶意内容。
下一代防火墙
接下来我们看看下一代防火墙。这种防火墙内置了逻辑判断能力，能够识别传入网络的流量类型，并据此决定是否应该允许该流量通过。
例如，假设网络中有一个设备通过端口3000向外发送数据，目标是Web服务器的80端口。如果该流量从80端口发出，但下一代防火墙发现响应将通过端口3000返回，它就会临时开放端口3000并等待响应返回，响应到达后再关闭该端口。因此，下一代防火墙能够根据当前的网络活动，独立判断网络中应允许何种类型的活动。
防火墙规则解析
防火墙的核心驱动力是防火墙规则。正是这些规则让防火墙得以工作。
以下是一个防火墙规则集的示例。我们按从上到下的顺序读取这些规则，规则的顺序至关重要，这由最左侧的规则编号表示。
我们总是从上到下读取防火墙规则。在最底部，通常有一条“兜底”规则，称为隐式拒绝。这条规则的意思是：如果之前没有通过任何显式规则明确允许某种流量，那么我将拒绝它。
让我们分析屏幕上的规则：
- 规则1：如果流量来自IP地址
192.168.0.64，目的地是任意地址，并且通过端口22或3389连接，则允许该流量。 - 规则2：如果流量来自任意地址，目的地是IP地址
192.168.0.32，并且通过端口80或443（Web服务端口）连接，则允许该流量。
这两条规则明确指出了允许通过的流量类型。除此之外的所有其他流量都会被规则3（即隐式拒绝规则）捕获并阻止。它隐含的意思是：如果我没有明确允许，那么我就会阻止该流量。
因此，防火墙规则的一般结构包含以下元素：
- 源IP地址
- 目的IP地址
- 源端口号
- 目的端口号
- 可能还会指定协议（TCP或UDP）
请记住，我们从上到下读取规则，最后一条通常是至关重要的隐式拒绝规则。
常见端口号
在考试中，你会遇到许多不同的端口号示例。刚才我们提到了用于远程访问的端口22和3389，以及用于Web流量的端口80和443。
让我们深入了解一下考试中可能遇到的一些端口号。
本节课中我们一起学习了防火墙的基础知识，包括其作为过滤器的本质、主机防火墙的作用、Web应用防火墙和下一代防火墙的特点，以及防火墙规则的构成、读取顺序和隐式拒绝原则。理解这些概念对于构建有效的网络安全防御至关重要。
036：网络端口详解 🔌
在本节课中，我们将要学习CompTIA Security+ 701认证考试中需要了解的一系列关键网络端口。理解这些端口及其对应的服务是网络安全的基础。
概述 📋
网络端口是计算机上用于区分不同网络服务的逻辑端点。每个服务通常监听一个特定的端口号。掌握常见端口有助于进行网络配置、故障排查和安全分析。本节将介绍几个在Security+考试中常见的网络端口及其相关服务。
端口与服务详解
以下是几个关键的网络服务、其端口号及功能的列表。我们将逐一进行说明。
- HTTP (超文本传输协议)
- 端口号：
80 - 描述： 这是Web服务器监听的端口，用于处理未加密的网页浏览流量。
- 端口号：
上一节我们介绍了基础的HTTP协议，本节中我们来看看其加密版本。
- HTTPS (超文本传输安全协议)
- 端口号：
443 - 描述： 这是HTTP的安全版本。最初称为“HTTP over SSL”，现在使用TLS（传输层安全）进行加密，确保客户端与服务器之间的通信安全。
- 端口号：
接下来，我们转向文件传输相关的协议。
- FTP (文件传输协议)
- 端口号：
21 - 描述： 一种较旧的协议，用于在系统间传输文件。其问题在于数据以明文形式发送，未加密，因此现在已较少使用。
- 端口号：
与FTP类似，以下也是一个以明文通信的旧协议。
- Telnet
- 端口号：
23 - 描述： 用于远程访问系统命令行界面的协议。它同样发送所有数据（包括登录凭证）且不加密，存在安全风险。
- 端口号：
由于Telnet的不安全性，催生了一个安全的替代方案。
- SSH (安全外壳协议)
- 端口号：
22 - 描述： 提供加密的命令行远程访问功能。其创建者特意申请将端口号设置在FTP(
21)和Telnet(23)之间，便于记忆。这三个端口是连续的：21(FTP),22(SSH),23(Telnet)。
- 端口号：
下面我们看看电子邮件传输使用的协议。
- SMTP (简单邮件传输协议)
- 端口号：
25 - 描述： 用于在邮件服务器之间发送电子邮件的协议。
- 端口号：
域名解析是互联网运作的核心，以下是其使用的端口。
- DNS (域名系统)
- 端口号：
53 - 描述： 用于将主机名（如
www.example.com）解析为IP地址的系统。DNS查询默认发送到服务器的53端口，且通常不加密（尽管存在加密选项）。
- 端口号：
最后，我们介绍用于远程图形化桌面访问的协议。
- RDP (远程桌面协议)
- 端口号：
3389 - 描述： 由微软开发，允许用户远程连接并控制另一台计算机的图形化桌面界面（GUI）。
- 端口号：
总结 🎯
本节课中我们一起学习了CompTIA Security+ 701考试中需要掌握的多个核心网络端口。我们了解了80（HTTP）、443（HTTPS）、21（FTP）、23（Telnet）、22（SSH）、25（SMTP）、53（DNS）和3389（RDP）这些端口分别对应的服务及其基本特性，特别是关注了通信是否加密这一关键安全区别。记住这些端口是构建网络安全知识体系的重要一步。
037：03 负载均衡器 🚦
在本节课中，我们将要学习负载均衡器。负载均衡器是确保网络服务高可用性的关键技术。我们将探讨其工作原理、核心概念以及不同的工作模式。
概述
为了确保我们的计算机和服务器对用户可用，我们需要维持高可用性。本节将介绍如何通过集群技术实现高可用性，并重点讲解负载均衡器在其中扮演的关键角色。
集群与高可用性
上一节我们介绍了高可用性的目标，本节中我们来看看实现它的常见方法。我们通常通过使用集群来实现高可用性。集群是指使用多台计算机来提供相同服务的能力。如果其中一台计算机发生故障，其他计算机可以接管其工作，这被称为集群。
然而，如果我们有一个Web服务器集群，用户如何知道应该连接到哪一台服务器呢？这时就需要使用负载均衡器。负载均衡器帮助将负载分散到我们所有的Web资源上。在下图中，我们只展示了三个系统，但在一个负载均衡器后面，可能有成百上千台不同的Web服务器。客户端将连接到负载均衡器，然后负载均衡器将流量分流到它所连接的系统之一。
负载均衡方法
负载均衡器可以使用不同的方法来分配负载。以下是考试中需要关注的几种方法：
以下是几种核心的负载均衡算法：
- 轮询：这种方法按顺序循环分配请求。每个系统依次获得下一个连接机会。其核心逻辑是：
当前服务器 = (当前服务器 + 1) % 服务器总数。 - 最少连接数：负载均衡器会检查哪台服务器当前的活跃连接数最少，并将新连接分配给那台服务器。其决策基于：
目标服务器 = 连接数最少的服务器。 - 最快响应：负载均衡器发出一个探测请求，响应最快的服务器将获得新的客户端连接。
会话亲和性
另一个在考试中可能遇到的术语是亲和性。亲和性是指每次连接都指向同一台服务器。
负载均衡器后面可能有三台不同的服务器，你连接到哪一台呢？第一次连接时，你可能会基于响应最快（例如地理上离你最近）或轮询算法被分配到其中一台服务器。但下次你回来重新连接时，你将被发送回完全相同的服务器。
这样做可能出于合规性原因。例如，你上传到该服务器的数据，我们不希望它被发送到其他服务器，因此你将信息存储在该服务器上，并且每次都会连接到该服务器。这可以出于多种不同的原因，通常是为了满足法规报告的要求。
主动/主动与主动/被动模式
接下来，我们想了解的关于负载均衡器的其他术语是主动/主动和主动/被动的概念。
在当今这个大量使用虚拟化和云计算的时代，我们几乎严格使用主动/主动模式。主动/主动是指所有服务器（无论两台、三台还是四台）都面向客户端提供服务，没有任何服务器被保留。
主动/被动模式则不同。假设我有两台服务器，一台面向客户，另一台作为备用保留。我保留一台备用的原因可能是，除非第一台服务器出现故障，否则我不希望它面向外网，然后我可以启动另一台。因此，我可以将这些备用服务器上线以维持高可用性。
然而，如今我们使用主动/主动模式，因为借助虚拟化，我们可以根据需要快速关闭系统并重新启动。我不想运行不需要的虚拟机，因为我不想为那些虚拟机付费，也不想为未使用的云计算资源付费。我可以根据需要快速启动它，也可以在不需要时关闭它，这样就不会产生任何费用。我可以保持一台服务器运行，如果需要，我可以再启动另一台、再一台、再一台，我可以不断将这些服务器上线，使它们可用。
因此，我可以扩展我的主动/主动集群，让它们全部面向外网。我不需要开启一台不可用的服务器，因为即使我保留它作为备用，我也要为那台服务器付费。那么主动/被动模式还有什么用呢？谁会使用它？
曾经有一段时间，计算机需要手动打开物理开关。你必须在数据中心打开那个系统的电源，因此无论你是否使用它们，你所有的系统都必须通电。所以我们会有一些系统一直开着，以防主系统出现故障，然后我们可以启用另一台，因为让人去数据中心拨动开关并非易事。所以我们让它们一直开着，但可能其中一些是断开的。它们不立即面向互联网，没有活动连接，不执行任何操作，只是闲置在那里。这就是一个被动系统。但再次强调，在当今这个云化和虚拟化如此普及的时代，我们不再真正使用主动/被动模式，而是主要围绕主动/主动模式进行。
总结
本节课中我们一起学习了负载均衡器。我们了解了它是如何通过将流量分发到后端服务器集群来确保服务高可用性的。我们探讨了轮询、最少连接和最快响应等核心调度算法，理解了会话亲和性的概念及其应用场景。最后，我们比较了主动/主动和主动/被动两种部署模式，并认识到在云和虚拟化环境下，主动/主动模式已成为主流。掌握这些概念对于构建 resilient 的网络架构至关重要。
038：入侵检测与防御系统 🛡️
在本节课程中，我们将学习两种至关重要的网络安全工具：入侵检测系统和入侵防御系统。理解它们如何工作、有何区别以及各自的优缺点，对于保护企业网络免受恶意活动侵害至关重要。
检测模式：在线与被动 🔍
在深入了解具体系统之前，我们首先需要区分两种基本的检测模式。
- 在线检测：采用此模式的设备位于网络数据流中。数据从一个网络流向另一个网络时，必须经过该设备。因此，设备能够检查流经的每一个数据包。
- 被动检测：采用此模式的设备位于网络数据流之外。它不直接处理数据，数据也不流经该设备。它从“远处”监控网络，观察和分析网络上正在发生的情况。
入侵检测系统 👀
上一节我们介绍了检测模式，本节中我们来看看具体的系统。首先是被动的入侵检测系统。
IDS 位于数据流之外，被动地监控网络。它观察网络中传输的数据，并做出判断：这是否是可疑或恶意的活动？如果是，IDS 会发出警报，就像在说：“这里需要处理，有人来检查一下，我认为这不应该发生。”
IDS 除了发出警报外，不会采取任何行动。它允许安全团队随后采取纠正措施，或者判断这是一次误报，无需担心。
以下是 IDS 的核心特点：
- 被动监控：不干扰网络流量。
- 仅告警：发现威胁时发出警报，但不阻止。
- 依赖人工响应：需要安全分析师介入判断和处理。
入侵防御系统 ⚡
了解了被动的检测系统后，我们来看看更主动的入侵防御系统。
与 IDS 不同，IPS 是在线的，数据实际流经 IPS 设备。IPS 的关键定义在于：它内置了入侵检测功能，但它不呼叫帮助，而是直接介入网络活动，与威胁交战并执行纠正措施。
一个简单的类比是：
- IDS 像一个夜班保安，看到停车场有人砸车，他会用对讲机报告：“好像有人在砸车，你们快来看看。”
- IPS 则像一个更“冲动”的保安，看到同样情况，他会直接冲下去制止：“住手！不许砸车！”
IPS 的问题是，它有时可能过于“冲动”，会误判威胁。就像那个保安冲下去用枪指着正在往自己车里装 groceries 的顾客，这会对正常业务造成严重干扰。因此，部署 IPS 时，需要在它的攻击性之间找到平衡。这也正是为什么并非所有组织都只使用 IPS 的主要原因。
一些组织更倾向于使用 IDS，因为它更被动，不会跳出来造成一些误报或误警。IDS 发出警报后，人类可以回来判断并说：“那其实不是问题，可以解除警报。”而对于 IPS，它可能会说：“我已迅速行动，处理了威胁。”而你则可能回应：“你实际上导致我们一些用户的工作中断了，因为你误判了威胁。”因此，IPS 因其急于阻止任何潜在威胁的特性，可能会带来问题。
网络型与主机型 🖥️
你可能已经注意到，我们在前面提到了网络入侵检测系统和网络入侵防御系统。实际上，还有基于主机的版本。
我们可以利用这些技术来帮助加固和提高我们终端设备（我们的机器）上活动的安全级别。这是发生在你的主机上的事情。
需要了解的是，它们在概念上运作非常相似：
- 入侵检测系统更被动。
- 入侵防御系统更主动。
- 它们有相同的问题和缺点：IDS 可能看到威胁但无人及时响应；IPS 可能误判并中断用户活动，造成破坏。
因此，即使考试中提到 NIDS、NIPS、HIDS 或 HIPS，要知道它们讨论的就是入侵检测系统和入侵防御系统，只是部署的位置（网络或主机）不同。
本节课总结：我们一起学习了网络安全中两种核心的监控与防护技术。入侵检测系统 被动监控并告警，依赖人工响应；而 入侵防御系统 则主动在线拦截并阻止威胁，但存在误报风险。它们均可部署在网络层面或单个主机上。理解两者的区别与适用场景，是构建有效防御体系的关键一步。
039：无线网络安全 🔐
在本节课中，我们将要学习无线网络中的安全协议与概念。无线网络使用共享的无线电波作为传输介质，因此对通信进行加密至关重要，以防止敏感信息被拦截。本节将介绍几种无线网络加密方法，并详细讲解在Security+考试中会遇到的协议类型。
有线等效保密协议
上一节我们介绍了无线网络安全的背景，本节中我们来看看最早被广泛使用的加密协议：有线等效保密协议。
WEP旨在为无线网络提供与有线网络相当的安全性。其名称暗示，使用WEP的无线网络在安全性上可与有线网络媲美，外部攻击者难以窃听网络流量。
然而，WEP存在固有的加密缺陷，其加密机制已被证明是脆弱的。因此，破解一个使用WEP加密的无线网络相对容易。鉴于其安全性不足，WEP已被更先进的协议所取代。
Wi-Fi保护访问
为了替代WEP，我们引入了WPA。
WPA在一段时间内被认为是有效的，但随后也被发现了加密漏洞。因此，我们最终放弃了WPA，转而采用WPA2。
WPA2
WPA2是目前最常使用的无线加密形式。在最新版Security+考试大纲发布前，WPA2被视为无线安全的最高标准。
WPA2的核心由两个组件构成：
- AES：高级加密标准。
- CCMP：计数器模式密码块链消息完整码协议。
对于考试，你需要记住以下关联：
WPA2 = AES + CCMP
考试中可能会给出这三个要素中的两个，要求你选出第三个。例如，题目可能问“WPA2在使用AES时，配合使用了以下哪一项？”，答案就是CCMP。或者直接问“哪种无线安全标准使用AES和CCMP？”，答案则是WPA2。
以下是一个帮助记忆的联想方法（尽管有些滑稽）：
- 将AES想象为“一台娱乐系统”。
- 一台娱乐系统就是“一台电脑”。
- 电脑的英文是“Computer”，取其首字母“C”，加上AES，就是“AES and C-CMP”，即WPA2。
WPA3
我们提到WPA2曾是无线安全的标杆，但现在我们有了新的标准：WPA3。
WPA3的操作方式与WPA2略有不同，并内置了一些增强功能，例如支持通过扫描二维码自动加入并验证网络。如果你曾仅通过扫描二维码就连接上了无线网络，那很可能使用的是WPA3。
对于考试，你需要知道WPA3的核心构成：
WPA3 = AES + GCMP
同样，这里有一个记忆联想：
- AES依然是“一台娱乐系统”。
- 这次是一台“游戏电脑”。
- 游戏电脑的英文是“Gaming Computer”，取其首字母“G”，所以是“AES and G-CMP”，即WPA3。
个人版与企业版
在讨论无线网络时，考试中还会提到一些特定的术语，即WPA2/WPA3的两种模式：个人版和企业版。
以下是两者的主要区别：
WPA2/3 个人版
- 使用预共享密钥。
- PSK是“预共享密钥”的缩写。
- 这通常就是我们所说的“Wi-Fi密码”。所有用户使用同一个密码接入网络，常见于家庭或小型办公环境。
WPA2/3 企业版
- 使用基于用户的身份验证。
- 用户需要提供用户名和密码（可能还包括多因素认证）来接入网络。
- 这种方式允许网络管理员为不同用户分配独立的凭证，便于权限管理和访问控制，常见于企业或组织环境。
现场勘测与热图
最后，在专业环境中部署无线网络时，我们可能会进行现场勘测并生成热图。
现场勘测是指在实际办公环境中，通过移动设备测量各位置的无线信号强度。通常的做法是将一台笔记本电脑放在推车上，在办公室、隔间等所有区域移动，同时记录位置坐标和对应的信号强度数据。
完成勘测后，可以将收集到的数据输入专用软件，软件会生成一张热图。
热图能直观地展示无线网络在办公室各区域的覆盖情况。通过分析热图，网络管理员可以识别出信号覆盖薄弱或缺失的区域，从而优化无线接入点的摆放位置，确保为组织内的所有用户提供全面的无线网络覆盖。这是在Security+考试中需要掌握的关于无线网络规划的实用概念。
本节课中我们一起学习了无线网络安全的演进历程，从已被淘汰的WEP到目前主流的WPA2和更先进的WPA3。我们明确了WPA2使用AES+CCMP，而WPA3使用AES+GCMP的核心公式，并区分了个人版（使用预共享密钥）与企业版（使用独立用户认证）的应用场景。最后，我们还了解了通过现场勘测和热图来规划和优化无线网络覆盖的专业方法。掌握这些知识对于理解和实施无线网络安全至关重要。
040：虚拟专用网络 (VPNs) 🛡️
在本节课中，我们将要学习虚拟专用网络。VPN是一种重要的安全技术，它允许我们在不安全的公共网络上建立安全的通信通道，保护数据在传输过程中的机密性和完整性。
概述
我们并非总在组织的主办公室工作，有时需要连接到远程的卫星办公室。因此，我们可以利用虚拟专用网络来保护数据从一个地点传输到另一个地点的通信安全。
VPN的类型
VPN主要有两种类型：远程访问VPN和站点到站点VPN。以下是这两种VPN的详细介绍。
远程访问VPN
远程访问VPN可能是您讨论VPN时首先想到的类型。当您远程连接到网络时，会看到人们通过VPN进行连接。这个过程是：您在自己的系统上通过某个远程系统进行身份验证，然后您的系统通过公共开放的互联网进行连接。它会加密返回主办公室的数据，这样其他人虽然能看到您正在连接到网络，但无法理解在该通道上被加密的数据内容。之后，您就可以通过该VPN访问公司网络。
站点到站点VPN
站点到站点VPN用于连接两个不同的办公室。在这种情况下，两个办公室的所有流量都将通过同一个网络隧道进行传输。它们会利用所有连接性，通过VPN连接到另一个站点，然后在另一端“弹出”。与远程访问VPN不同，站点到站点VPN不需要用户手动进行身份验证来建立VPN链路。连接由两端设备自动建立，它们会使用预共享密钥、证书或其他认证措施，这个过程对用户是透明的，无需用户干预。
VPN的核心技术：隧道技术
无论是远程访问还是站点到站点VPN，都依赖于相似的技术，它们可以使用隧道技术在数据从一个站点流向另一个站点时对其进行加密。
隧道技术使我们能够通过不受信任的网络进行连接，并保护其上的信息安全。关于隧道技术，我们主要讨论两种处理方式。
传输层安全
传输层安全是一种加密协议。它加密我们的信息，确保隐私，并且是之前广泛使用的安全套接字层的继任者。我们不再使用SSL，因为它被发现存在加密漏洞。TLS是我们保护VPN数据安全的一种方式。
IP安全扩展
IP安全扩展是另一种方式。利用IPsec，我们可以加密所有数据，使得从您到我之间流动的所有数据都在这种隧道中被加密。其他人可以看到我们正在通信，但无法看到我们发送的内容。
IPsec结构的一部分是，您可以选择如何加密数据包。我们有两种主要的安全协议：认证头协议和封装安全载荷协议。
- 认证头：提供数据完整性，确保其中的数据不被更改，但它不一定提供机密性。
- 封装安全载荷：提供机密性。
理解AH和ESP：一个类比
为了帮助理解认证头和封装安全载荷的区别，我们可以考虑邮寄信件的两种方式：信封和明信片。
使用明信片时，正面可能是一张图片，背面写着“致奶奶”以及“天气很好，希望你在这里”之类的信息。任何人都能看到这个信息。如果有人用笔将“希望你在这里”改成“希望你不在这里”，信息就被篡改了。奶奶收到被篡改的明信片会感到难过。
如果您不想让任何人更改您的信息，可以采取保护措施。例如，用透明胶带覆盖信息。这并没有比之前提供更多的机密性，但至少没有人能够实际更改那条信息。这就是认证头提供完整性的例子。任何人都能看到您正在与主办公室通信，这没有机密性，但确保了信息未被篡改。
如果您通过邮件发送一封信，并将其密封在信封里，任何人都能看到有一封从A寄往B的通信，但无法打开信件，无法看到发送的内容。这就是封装安全载荷，它将所有内容封装起来，放入一个“信封”中，从而保护了信息。您可以通过不受信任的网络发送它，由于包装的安全性，没有人能够看到信息或对其进行篡改。
总结
本节课中，我们一起学习了虚拟专用网络。我们了解了VPN的两种主要类型：远程访问VPN和站点到站点VPN，并探讨了其核心技术——隧道技术。我们重点分析了TLS和IPsec两种安全协议，并通过类比深入理解了IPsec中认证头与封装安全载荷在提供完整性和机密性方面的不同作用。VPN正是通过这些方式，保护我们的数据在穿越不受信任的网络时安全无虞。
041：电子邮件安全 📧
概述
在本节课程中，我们将学习如何保护组织的电子邮件安全。核心目标是确保其他实体无法冒充我们的品牌，利用我们的良好声誉欺骗他人。我们将重点介绍自2024年初起在行业内广泛应用的DMARC框架，并解释其如何与DKIM和SPF技术协同工作，以验证电子邮件来源并抵御垃圾邮件和钓鱼攻击。
DMARC框架简介
上一节我们讨论了电子邮件的基本安全威胁。本节中，我们来看看一个综合性的解决方案：基于域的消息认证、报告与一致性框架，即DMARC。
DMARC并非一项独立的技术，而是一个利用现有标准来提升电子邮件认证的框架。它主要整合了以下两项关键技术：
- DKIM：域名密钥识别邮件。它使用非对称加密技术为外发邮件添加数字签名，以验证邮件在传输过程中未被篡改，并确认发送域的真实性。
- SPF：发件人策略框架。它通过DNS记录明确列出被授权代表某个域发送邮件的邮件服务器列表。
SPF记录详解
以下是SPF在DNS记录中的具体应用。假设你收到一封来自comptia.org的邮件，你的邮件接收服务器会查询该域的DNS记录，以验证发送服务器是否被授权。
如上图右侧高亮部分所示，这是一个SPF记录示例：
v=spf1 include:spf.protection.outlook.com -all
include:spf.protection.outlook.com表示授权outlook.com的保护服务器可以代表comptia.org发送邮件。-all是策略指令，意思是对于未通过列出的服务器（即spf.protection.outlook.com）发送的邮件，应直接拒绝。
SPF策略主要包含三种处理方式：
+all：接受所有邮件（即使未通过验证）。-all：拒绝所有未通过验证的邮件。~all：将未通过验证的邮件标记为可疑（软失败），但可能仍会放入收件箱。
DKIM与SPF协同工作流程
理解了SPF的基本规则后，我们通过一个具体场景来看看邮件服务器如何综合运用DKIM和SPF来判断邮件真伪，并决定是放行还是拒绝。
上图展示了整个验证流程：
- DNS记录配置：组织（例如
Sageage.com）在其DNS中发布SPF记录和DKIM公钥。 - 攻击场景：攻击者（
hacker.ru）伪装成Sageage.com向你的邮箱发送欺诈邮件。 - 合法场景：合法的
Sageage.com邮件服务器也向你发送了一封真实邮件。 - 接收方验证：你的邮件服务器收到两封声称来自
Sageage.com的邮件后，会启动验证：- 它会向
Sageage.com的DNS请求其DKIM公钥。 - 对于合法邮件，它是用
Sageage.com的私钥签名的。你的服务器使用对应的公钥能成功解密签名，从而通过DKIM验证，确认邮件来源真实且未被篡改。 - 对于欺诈邮件，它没有也无法使用
Sageage.com的私钥签名。因此，用Sageage.com的公钥无法验证通过，DKIM检查失败。
- 它会向
- 策略执行：根据
Sageage.com的SPF记录策略（例如-all），对于DKIM验证失败的邮件，你的服务器会执行拒绝操作。同时，它也会检查发送服务器的IP是否在SPF授权列表中，提供另一层验证。 - 结果：合法邮件被送达你的收件箱；欺诈邮件被拦截或丢弃。这个过程实现了不可否认性，并利用公钥基础设施确保了邮件来源的可信度。
邮件网关的作用
除了在协议层面进行认证，我们还可以在网络边界部署硬件或软件设备来增强安全。
邮件网关为进入组织的电子邮件提供了一个集中检查点。所有从外部流入的邮件都会先经过邮件网关，在这里可以进行深度内容检查，扫描潜在的恶意软件、可疑链接或钓鱼企图。这样，各种威胁在到达内部邮件服务器之前就被过滤掉了。
以下是邮件网关的主要功能列表：
- 病毒与恶意软件扫描
- 垃圾邮件过滤
- 内容策略执行（如阻止特定附件类型）
- 数据丢失防护
总结
本节课中，我们一起学习了保护组织电子邮件安全的核心技术。
- 我们首先介绍了DMARC框架，它整合了DKIM和SPF来提供强大的邮件认证。
- 然后，我们详细分析了SPF记录的构成及其策略（
+all，-all，~all）。 - 接着，通过一个对比图示，我们深入理解了DKIM如何利用公钥加密技术验证邮件完整性和发送方身份，并与SPF协同工作以区分合法邮件与欺诈邮件。
- 最后，我们了解了邮件网关作为一道附加防线，如何通过内容检查来拦截威胁。
这些安全技术层层叠加，共同为组织构建了一个安全可靠的电子邮件环境。
备考提示： 在Security+考试中，请密切关注这些术语和概念。
042：变更管理 🔄
在本节中，我们将学习变更管理的核心概念。变更管理是确保组织在引入新系统、更新或修改时，能够有序、安全地进行，并最小化业务中断的关键流程。我们将探讨其组成部分、重要性以及实施最佳实践。
概述
变更管理涉及对IT环境中的任何修改进行系统化的规划、测试、批准、实施和回顾。其目标是降低风险、确保稳定性并维持业务连续性。一个有效的变更管理流程能帮助组织避免因未经计划或测试的更改而导致的意外停机、安全漏洞或效率下降。
变更管理的核心组成部分
上一节我们介绍了变更管理的总体目标，本节中我们来看看支撑这一流程的具体组成部分。
版本控制
版本控制是跟踪软件、配置或文档从一个版本到下一个版本变化的过程。它允许团队清晰地了解当前部署的状态、历史修改记录，并在必要时回滚到之前的稳定版本。
以下是版本控制的关键作用：
- 跟踪变更：记录每次更新的具体内容。
- 状态管理：明确当前环境中安装的软件版本。
- 回滚能力：如果新版本出现问题，可以快速恢复到上一个已知的正常版本。其核心思想可以用一个简单的状态转换来描述：
稳定版本 -> 应用更新 -> 新版本 (测试) -> [成功则确认] / [失败则回滚]。
文档记录
完整的文档是变更管理的基石。它确保每一次变更都有迹可循，明确责任归属。
一份完整的变更记录应包含以下要素：
- 变更者：谁执行了变更？
- 变更内容：具体修改了什么？
- 变更时间：何时进行的变更？
- 变更原因：为什么要进行这次变更？
- 批准者：谁授权了这次变更？
这不仅是为了保护组织，明确网络上的操作者，也是为了保护执行者个人，提供其操作经过审批和测试的证据。
图表与政策更新
技术和流程在不断发展，相关的支持文档也必须同步更新，以保持其参考价值。
需要保持更新的文档主要包括两类：
- 技术图表：如网络拓扑图、业务流程图。确保它们反映最新的技术部署状态，避免因图表过时而增加维护的复杂性。
- 政策与流程：当技术增减时，相关的操作政策和步骤手册必须修订。一个充满“例外”和过时步骤的政策无法被有效执行。
实施变更管理的最佳实践
了解了变更管理的基本组成部分后，我们接下来看看如何在实际操作中应用这些原则。
评估业务影响与维护窗口
在实施任何变更前，必须评估其对业务和用户的潜在影响。目标是最小化停机时间和防止工作中断。
关键考虑点包括：
- 影响分析：评估变更可能导致的用户生产力损失或服务中断。
- 使用维护窗口：在预先通知的、业务低峰时段（如下班后）执行变更，为用户设定明确的服务中断和恢复预期，从而将影响降至最低。
建立标准工作流程
一个清晰、标准化的操作流程能确保变更活动协调一致，如同一个润滑良好的机器。
一个健全的工作流程应包含以下步骤：
- 提出变更请求。
- 规划与测试：在非生产环境中充分测试变更。
- 审批流程：获得相关负责人的正式批准。审批前应审查测试结果。
- 制定回滚计划：这是安全网。如同在挑战游戏Boss前存档，在执行企业级变更（如更新路由器、防火墙）前，必须确保有可快速恢复的备份或还原点。
- 实施与验证：在维护窗口内执行变更，并验证结果。
- 回顾与文档更新：完成后，更新所有相关文档。
考虑连锁效应
变更，尤其是安全策略的变更，可能会产生意想不到的连锁反应，影响其他看似不相关的业务流程。
实施变更前，请思考以下问题：
- 允许列表/拒绝列表变更：允许某个新网站或应用，是否会引入安全风险？阻止某个地址，是否会阻断业务必需的合法软件或服务？
- 限制活动变更：例如，若全面禁止访问招聘网站，当人力资源部门需要从这些网站寻找候选人时，业务是否会受阻？
- 对遗留系统的影响：“遗留系统”是“老旧系统”的委婉说法。组织可能因成本、用户习惯或特定业务需求而保留它们。任何新技术或安全措施的变更，都必须评估其对仍在运行的遗留应用的影响，并制定应对方案（如升级、替换或隔离）。
总结
本节课中我们一起学习了变更管理的完整框架。我们认识到，有效的变更管理远不止是安装一个补丁或更新一个配置，它是一个包含版本控制、详尽文档、影响评估、标准化流程和回滚准备的系统性工程。核心在于前瞻性的规划与责任化的跟踪，以确保每一次变更都朝着提升组织安全性与稳定性的目标迈进，同时最大限度地保障业务连续运营。记住，在技术世界中，未经管理的变更本身就是一种重大风险。
043：系统加固 🛡️
在本节中，我们将学习如何通过系统加固来提升组织计算系统的安全性。系统加固是一个识别并修复系统弱点和漏洞的过程，旨在增强系统的韧性和抵御攻击的能力。我们将探讨从端点安全到网络设备保护的一系列关键措施。
端点安全
上一节我们介绍了系统加固的概念，本节中我们来看看如何确保端点的安全。端点是指任何与数据进行交互的地方，包括服务器和本地工作站。我们需要确保这两类端点都得到妥善保护。
以下是确保端点安全的核心实践：
- 遵循基线安全配置：遵循组织设定或行业建议的基线安全配置。
- 实施补丁管理：确保及时应用可用的安全补丁，修复已知漏洞。
- 执行定期备份：对系统上的数据进行定期备份，以防数据丢失。
- 部署防病毒软件：使用防病毒程序检测和清除系统中的恶意软件。其工作原理是通过扫描网络或系统上已知的恶意软件签名来提供保护。
- 采用端点检测与响应：在端点上部署EDR解决方案，用于检测恶意活动并执行响应操作。
- 应用数据防泄漏：使用DLP软件防止敏感信息泄露。例如，可以设置监控关键词“蜂鸟项目”，当该词在通信中被使用时，系统会标记并交由安全团队审查上下文，以判断是否为违规泄露。
磁盘与文件保护
在保护了端点的基础运行环境后，我们还需要关注存储数据本身的安全。这主要涉及对磁盘和文件的加密与完整性监控。
以下是两种主要的磁盘加密方式：
- 全盘加密：一种软件加密解决方案。它使用软件（如Windows的BitLocker）和存储在设备可信平台模块中的密钥，对写入硬盘的所有数据进行加密。读取时，数据被解密后再交给操作系统。公式表示为：
加密数据 = 加密算法(原始数据, 密钥)。其缺点是会对系统性能产生一定影响。 - 自加密硬盘：一种硬件加密解决方案。SED与TPM协同工作，除非同时获得硬盘和对应的TPM，否则即使物理窃取硬盘也无法解密数据。相比FDE，它对主机操作系统的性能影响更小。
除了加密，确保文件未被篡改也至关重要。
- 文件完整性监控：该技术基于哈希原理工作。系统为受保护的文件生成一个哈希摘要并存储。当文件被任何未授权方式修改后，其新生成的哈希值将与存储的原始值不匹配，从而触发警报。这能有效监控系统上文件的任何意外或恶意更改。
网络设备安全
最后，要完成全面的系统加固，我们必须确保连接各个端点的网络设备本身也是安全可靠的。
我们需要利用加密和加密协议来保护端点之间传输的数据。同时，通过部署路由器、防火墙和访问控制列表，我们可以控制数据的流向，确保网络高效运行，并防止攻击者在我们的网络中肆意妄为。
总结
本节课中，我们一起学习了系统加固的完整框架。我们从确保端点安全的基础实践开始，探讨了通过磁盘加密和文件完整性监控来保护静态与动态数据，最后强调了网络设备安全对于整体防御的重要性。综合运用这些措施，能够显著提升我们系统的整体安全性和韧性。
044：安全基线 🛡️
在本节课中，我们将要学习安全基线的概念。安全基线是确保企业网络中所有计算机和终端设备安全运行的基础。通过建立和实施安全基线，我们可以为系统创建一个统一、安全的操作环境。
什么是安全基线？📋
上一节我们介绍了安全的重要性，本节中我们来看看如何通过安全基线来实现它。一个安全基线为网络上的所有计算机定义了一个共同的安全操作状态。它本质上是一套标准化的安全配置。
在基线中，通常需要完成系统加固工作。以下是构成一个安全基线的核心操作：
以下是建立安全基线时需要执行的关键步骤：
- 禁用不必要的网络服务或端口：例如，对于一台普通的办公工作站，如果不需要运行Web服务器，就应关闭端口80和443。
- 移除不必要的软件：任何安装在系统上的软件都是潜在的攻击媒介。因此，应卸载对该设备工作非绝对必需的软件。代码示例：在策略中规定
仅允许安装经批准的软件列表中的应用程序。 - 使用安全协议：尽可能使用加密协议，避免使用任何明文协议（如FTP、HTTP），转而使用FTPS、HTTPS等。
- 实施应用程序控制列表：通过允许列表（仅允许列表内的程序运行）或阻止列表（明确禁止特定程序运行）来保护系统，防止未授权的应用程序被执行。
如果你要实施应用程序控制，最好将其纳入基线。这样，每当为新用户部署新计算机时，你安装的都是一个统一的、安全的系统镜像。通过这种方式，你可以确保所有设备从一开始就运行在安全的环境中。
如何实施与维护安全基线？🔄
每当使用安全基线时，你需要确保遵循以下三个步骤：
以下是实施和维护安全基线的三个循环步骤：
- 建立基线：首先定义在自身环境中“安全”意味着什么。确定所有用户通用的软件、必需的软件以及不需要的软件。这是建立基线的部分。
- 创建并部署基线：根据定义创建基线镜像，并将其部署到所有新入网的系统中。例如，我曾工作的大学每年夏天都会收到大量新电脑，我们会为所有新电脑部署这个统一的基线镜像。
- 维护基线：基线不是一成不变的。偶尔我们需要调出用于这些系统的镜像（例如在学年中期）。我们需要维护这个基线，将自创建该基线以来发布的任何更新或补丁集成到镜像中。这样，当我们下次为一批新电脑或需要为教职员工更换电脑而部署该基线时，使用的就是已更新的镜像，无需在安装基线后再等待漫长的补丁更新过程。
总结 📝
本节课中我们一起学习了安全基线。安全基线有助于在企业网络中建立一个统一、安全的操作环境。我们了解了基线的构成要素，包括禁用非必需服务、移除多余软件、使用安全协议和实施应用程序控制。同时，我们也掌握了实施和维护基线的三个关键步骤：建立、部署和维护。通过持续维护更新的基线，可以确保网络中的设备始终保持最新的安全状态。
045：安全技术 🛡️
在本节课中，我们将探讨一系列用于保护组织及其网络连接安全的技术。我们将从网络过滤开始，逐步深入到操作系统保护、网络准入控制以及用户行为分析。
网络过滤技术
上一节我们介绍了安全技术的整体概念，本节中我们来看看如何通过网络过滤来保护我们的网络。网络过滤的核心目标是防止用户连接到可能有害的服务器、服务或网站。我们可以通过多种方式实现这一目标。
以下是几种主要的网络过滤方法：
- 代理与代理服务器：在计算机上安装代理客户端，或使用中央代理服务器。代理服务器会根据预设的阻止列表，阻止用户访问被列入黑名单的网页。
- URL扫描：通过检查URL中是否包含特定的关键词来实施过滤。即使访问的域名本身是安全的，但如果URL路径中包含敏感关键词，访问也会被阻止。
- 内容分类：由第三方组织根据网站内容或运营类型（如游戏、成人内容、社交媒体、求职网站）对网站进行分类。管理员可以按类别批量阻止特定类型的网站。
- 信誉工具：例如AbuseIPDB。该服务的客户端会提交可疑IP地址。如果一个IP地址被多个来源报告为有害或恶意，它就会被标记并加入阻止列表，从而防止组织内的用户访问该IP地址。
- DNS过滤：在DNS解析层面进行过滤。当用户请求访问一个网站时，如果该域名在阻止列表中，DNS服务器将不会返回正确的IP地址，从而阻止访问。例如，可以阻止所有对
facebook.com的解析请求。一个著名的免费DNS过滤工具是Pi-hole。它可以运行在树莓派或虚拟机上，通过维护一个与广告相关的域名列表，在DNS层面阻止广告请求，使用户在浏览网页时看不到广告。
操作系统安全技术
除了网络层面的过滤，我们还可以利用操作系统内置的服务来保护用户和设备。
在Windows操作系统中，我们可以使用组策略来集中定义和强制执行系统上允许或禁止的操作。对于Linux系统，则有安全增强型Linux。SELinux实现了强制访问控制等众多安全机制，确保进程和用户必须获得明确授权才能访问系统资源或执行特定操作。虽然SELinux可能不适合作为日常桌面系统使用，但它非常适合用于需要高安全性的服务器环境。
网络准入控制
现在，让我们将焦点从单台设备转向整个网络的接入点。网络准入控制的核心思想是：在允许设备接入网络之前，先对其进行验证和控制。
802.1X 标准
首先，我们需要了解802.1X标准。这是一个由IEEE制定的技术规范，其核心原则是“未经认证，不得接入”。你可以把它想象成网络入口处的一道关卡，所有设备在获得网络访问权限前都必须先通过身份验证。
可扩展认证协议
那么，如何具体实现802.1X的“先认证，后接入”呢？这就要用到可扩展认证协议。EAP定义了一个实现认证的框架，它将802.1X的理念具体化为可操作的协议。EAP本身不规定具体的实现代码，因此衍生出了多种不同的实现方式。
以下是EAP的几种常见实现示例（了解即可，非考试重点）：
- EAP-TLS：使用传输层安全隧道在用户设备和认证服务器之间建立安全连接来传递凭证。
- EAP-TTLS：EAP隧道化TLS。
- PEAP：受保护的EAP。
- EAP-FAST：通过安全隧道灵活认证。
RADIUS 与 AAA 服务器
在EAP认证过程中，用户提交的凭证最终会被发送到一个中心化的认证服务器进行校验。这个服务器通常就是RADIUS服务器。RADIUS代表“远程用户拨号认证服务”，这是一个历史悠久的协议，最初用于拨号上网的认证。在现代网络中，它依然是处理网络接入认证的核心。
在CompTIA考试中，你经常会看到AAA服务器这个术语。AAA代表认证、授权和记账。RADIUS服务器本质上就是一种AAA服务器。在考试语境下，RADIUS和AAA这两个术语经常互换使用，都需要留意。
主机健康检查
NAC不仅限于身份认证，还可以包含主机健康检查。在允许设备接入网络前，系统会检查该设备的安全状态，例如：
- 操作系统是否为最新版本？
- 是否安装了所有必要的补丁？
- 是否运行了反恶意软件和终端检测响应程序？
- 是否满足了所有必需的安全策略？
健康检查可以通过安装在设备上的代理来完成，也可以通过无代理的方式，由网络上的服务器远程扫描设备来实现。
永久性与临时性NAC代理
根据代理的驻留方式，NAC可以分为两种：
- 临时性NAC代理：用户在接入网络时临时下载一个代理程序。该程序完成主机健康检查，验证通过后即允许接入，随后代理程序自行删除。
- 永久性NAC代理：代理程序长期驻留在用户设备上，持续或定期进行主机健康检查，确保持续符合安全策略。只要设备需要保持网络连接，该代理就必须存在并运行。
用户行为分析
最后，我们来探讨一种更智能的安全监控技术：用户行为分析。人类是习惯性生物，日常行为通常具有规律性。UBA通过持续监控用户的活动，建立每个用户的“正常行为”基线。
一旦检测到某用户的行为明显偏离其正常模式（例如，在非工作时间登录、访问从未接触过的敏感数据），系统就会发出警报。这有助于安全团队及时发现潜在的内部威胁或账户被盗用的情况。
总结
本节课中我们一起学习了多种关键的安全技术。我们从基础的网络过滤（如代理、DNS过滤）开始，了解了如何控制网络流量。接着，我们探讨了操作系统级的安全机制，如Windows组策略和Linux SELinux。然后，我们深入研究了网络准入控制的完整流程，包括其核心标准802.1X、实现框架EAP、认证服务器RADIUS/AAA，以及增强安全性的主机健康检查。最后，我们介绍了用户行为分析，这是一种通过识别异常行为来发现潜在威胁的智能方法。这些技术共同构成了一个多层次、纵深防御的安全体系，用于保护现代组织的网络和系统。
在Security+考试中，请务必留意这些术语及其应用场景。
046：安全监控 🛡️
在本节课中，我们将要学习安全监控的核心概念与实践方法。安全监控是确保网络持续安全运行的关键环节，它涉及对系统、应用和基础设施的持续观察，以发现潜在的威胁与漏洞。
概述
确保网络的安全态势是保障业务安全运行的重中之重。在本节中，我们将探讨安全监控的各个方面，包括数据来源、分析方法和常用工具。
监控数据来源
为了有效监控，我们需要关注网络中各个组件产生的信息。以下是主要的数据来源：
- 系统日志：来自防火墙、终端设备、操作系统等。
- 安全设备日志：来自入侵检测系统（IDS）和入侵预防系统（IPS）。
- 网络设备日志：来自路由器、交换机等。
- 元数据：来自各类文件和数据，记录了文件的属性与使用情况。
所有这些日志汇集在一起，构成了调查事件和监控网络健康状况的信息源。
监控工具与方法
除了日志，我们还可以利用多种工具和技术来增强监控能力。
- 漏洞扫描：自动识别系统中的安全弱点。
- 自动化报告：提供系统整体健康状况的定期总结。
- 仪表盘：例如安全信息和事件管理（SIEM）系统，提供可视化视图。
- 数据包捕获：记录流经网络的全部原始数据。
日志聚合与分析
上一节我们介绍了监控数据的来源，本节中我们来看看如何处理这些海量数据。从所有系统、应用和基础设施中收集日志文件后，关键步骤是将它们聚合到一个统一的平台。
以下是聚合与分析的主要步骤：
- 统一格式：将不同来源、不同格式的日志标准化，确保字段（如系统名、活动、时间）对齐，以便进行有效比较。
- 扫描与检测：在统一平台上扫描日志文件，寻找可疑或恶意的活动模式。
- 告警与响应：发现异常后，触发告警、创建故障工单、隔离系统或寻求协助。
- 报告与归档：记录调查结果并生成报告，作为事后追溯的“检测性控制”。报告需要长期归档，以便进行历史趋势分析。
威胁情报共享
当我们从网络日志中发现可操作的情报时，可以将其打包并分享给其他组织。这样，其他组织也能将这些信息输入其安全基础设施，防范类似活动。这种共享所使用的标准格式称为SCAP。
SCAP（安全内容自动化协议）是用于在组织间交换安全威胁信息的标准化协议格式。考试中需要了解SCAP本身，但其下的具体XML格式（如OVAL、XCCDF）则无需记忆。
网络健康监控协议
除了日志分析，我们还可以使用专门的协议来监控设备状态。
SNMP（简单网络管理协议）用于查询网络设备的健康状况。通常，管理站会主动查询设备，设备将状态信息响应给MIB（管理信息库）。
然而，当设备发生紧急情况（如过热、断网）时，它不会等待查询，而是主动发送一个SNMP Trap告警信息，相当于在喊：“我这儿出问题了，需要立即处理！”
流量分析与数据包捕获
进一步，我们可以使用流量分析技术。NetFlow是思科开发的一种解决方案，它捕获的是通信的“本质”或元数据。
NetFlow记录的是通信结束后汇总的信息，例如：主机A 与 主机B 在 X 时间段内，使用 Y 协议，交换了 Z 量的数据。它是一种事后记录系统。
这与数据包捕获形成对比。数据包捕获是实时抓取流经网络设备的每一个数据包并完整存储。虽然信息详尽，但会消耗巨大的存储空间，可能不适合全网络长期实施。
那么，NetFlow这种事后记录的方式对监控有何用处呢？虽然通信已经发生，但NetFlow能以更高效的方式提供流量模式。例如，通过分析NetFlow记录，我们发现“每周二下午2:03，某内部主机都会与一个外部主机进行固定时长的数据交换”。虽然我们不知道具体内容，但这个模式足以引起警惕。于是，我们可以计划在“下周二”对该主机的出站通信进行全量数据包捕获，进行深入调查。因此，NetFlow常用于启动调查，而数据包捕获则用于深度挖掘。
漏洞扫描
最后，在持续关注网络安全的实践中，漏洞扫描器是一个重要工具。它能主动发现网络中出现的漏洞，并按严重程度列出，帮助我们按优先级进行修复。
总结
本节课中我们一起学习了安全监控的完整流程。我们从监控数据的多种来源（如各类日志）讲起，探讨了如何通过聚合、分析和告警来处理这些数据。我们还介绍了用于威胁情报共享的SCAP协议、用于设备健康监控的SNMP与Trap、用于流量模式分析的NetFlow与用于深度调查的数据包捕获，以及主动发现弱点的漏洞扫描。所有这些解决方案共同构成了我们监控网络、保障网络安全的有效手段，这些都是Security+考试中可能涉及的重要术语。
047：第08章第01节第06讲 - 安全信息与事件管理（SIEM）🔍
概述
在本节课程中，我们将学习安全信息与事件管理系统。SIEM 是组织安全运营的核心仪表盘，它能够持续监控网络活动，聚合与分析日志，并自动响应安全事件。理解 SIEM 的功能对于构建有效的安全监控体系至关重要。
什么是SIEM？
监控网络中发生的事件对组织而言至关重要。
本节我们将讨论安全信息与事件管理。它通常被视为安全运营的“一站式”仪表盘，是你安全态势的“全视之眼”。
这也被称为 SIEM。SIEM 即安全信息与事件管理。重申一次，它就是“全视之眼”。作为人类，我们很简单，会疲倦、会饥饿、需要休息、需要去洗手间。在监控网络时，会发生各种各样影响我们注意力的事情。
当我们开始查看不同的日志文件时，我们总会遗漏一些东西。而 SIEM 则不会疲倦，不需要休息，它将始终保持警惕。它会持续监控网络上的活动，因此能够收集来自网络上所有不同网络设备的数据，将它们集中起来，消化处理，并为我们提供有关网络运行状况的信息。
在接下来的内容中，我们将讨论 SIEM 具备的不同功能以及它为我们所执行的不同操作。
SIEM的核心功能
上一节我们介绍了SIEM的基本概念，本节中我们来看看它的具体功能。SIEM主要执行以下几项关键操作。
日志聚合
SIEM 所做的第一件事是日志聚合。它会与网络上的不同设备通信，将所有日志集中到一个平台下。
它抓取这些日志文件，当它从路由器、交换机、服务器和终端系统摄取这些日志文件时，随着不同的文件和日志进入，它能够识别信息的各个列。
如果你查看过不同的日志文件，你可能注意到某些文件以“时分秒。月日年。事件内容。受影响的计算机”开头。另一些可能以“事件内容、受影响的计算机、然后是年月日时分秒”开头。还有一些可能有“年月日、受影响的系统、时间”。顺序是混乱的，对吧？因此，当你的 SIEM 摄取所有这些信息时，它可以开始识别：“好的，这是年份列，这是月份列，这是日期列”。无论它们在日志文件中的顺序如何，当它摄取这些信息时，它能够将它们全部对齐，并保持这些日志和报告的结构统一。
活动关联
一旦摄取了日志，SIEM 就能够对活动进行关联。当你登录系统时，你进行了登录，然后不同的活动会被视为：“好的，这是一个用户登录、检查电子邮件、下载这个文件、打印出来，然后他今天的工作就结束了”。这就是我们会看到的那种活动。
他们可能在这个过程中接触了十几个不同的系统，那些日志文件将会是12个不同的日志文件，并且它们都指向同一种活动。SIEM 能够看到所有这些并说：“是的，所有这些都是一个用户在做这件事。”
因此，我们能够全面了解正在发生的事情，而不是仅仅查看单个网络设备，我们通过 SIEM 看到了全局。
自动警报与响应
SIEM 可以做的另一件事是，一旦它关联了这些活动，并且发现其中某个活动可疑或恶意，我们就能够触发自动警报或启动某种响应活动。
它可以自动向你发送 Slack 消息或 Teams 消息，自动创建故障工单，或发出寻呼/短信。它可以通过多种不同方式提醒你的安全团队。
你还可以设置触发警报，因此它可以自动触发某个脚本，以响应某种活动。这有点像我们入侵防御系统的功能。入侵检测系统发现某些情况可能会引发警报，SIEM 看到后会说：“是的，我同意这是个问题”，并触发一个脚本来响应。
你的团队也能够接收这些警告和警报，并且你可以对其进行调整。你可以微调这个警报是否值得处理，你可以说“这不是问题”，或者说“是的，这是个问题，我绝对希望你每次都能捕捉到”。
隔离处置
本页幻灯片上的最后一点是，如果我们看到某种可疑或恶意活动，我们可以进行隔离。我们可以让该系统离线，可以“拔掉插线”这么说，切断该主机的访问权限，使其无法在网络其余部分传播恶意软件或进行恶意活动。
SIEM 能够完成所有这些操作。
SIEM的高级特性
了解了SIEM的核心监控与响应功能后，我们再来看看它如何处理一些复杂场景，例如跨时区日志和重复事件。
时区归一化
SIEM 可以做的另一件事是，如果你的组织跨越多个时区，遍布全球，你的 SIEM 能够摄取这些日志文件，并调整其中发现的时间，以与单一时区关联。也许你将所有安全活动时间与协调世界时对齐。
以下是时区转换的一个概念性表示：
事件本地时间 + 时区偏移量 = UTC时间
这样我们就能比较这些事件是否同时发生，或者它们是否在不同时间发生。这也有帮助，因为世界各地的某些时区，并非每个时区都恰好相差整小时。在美国这很容易，他们是早一小时、早两小时、晚三小时、晚两小时。所以是简单的整数。
但在世界各地，有些时区相差半小时，我认为甚至有些时区相差15分钟。当你开始讨论时区时，事情会变得非常、非常古怪。对于 SIEM 来说，这不是问题，它只会调整所有这些时间，接收本地时间，然后将其与 UTC 对齐。
事件去重
你的 SIEM 能够做的另一件事是事件去重。
如果五楼的打印机缺墨粉，它可能会触发一个故障通知，SIEM 会看到：“嘿，我缺墨粉了”，然后有人可以为此下订单。但也许我们收到警报说墨粉缺货或两天后到货。与此同时，打印机不断报告：“嘿，我缺墨粉了。嘿，我缺墨粉了。”并且每五分钟报告一次。
（图示：一个卡通人物对着一台不断弹出“缺墨粉”警报的打印机说“闭嘴！”）
闭嘴，我们不需要每五分钟听到一次。你的 SIEM 能够抑制这种警报，就像：“好的，是的，你不断给我发送警报，以防有什么不对劲，但如果只是关于墨粉，我就把它收起来。”然后我们可以只增加我们收到了多少此类警报的计数，也许我们看到了一千个之类的。我们知道这件事，我们正在处理，但我们不需要一遍又一遍地收到那些警报。这就是我们谈论 SIEM 上的事件去重时的意思。
总结
本节课中我们一起学习了安全信息与事件管理系统。我们了解到SIEM作为安全运营的“全视之眼”，核心功能包括日志聚合、活动关联、自动警报与响应以及隔离处置。此外，它还具备时区归一化和事件去重等高级特性，以应对复杂的运维环境。这些关于SIEM的不同主题，是考试中可能会涉及的内容。掌握SIEM的工作原理，是构建自动化、智能化安全防御体系的基础。
048：虚拟化技术概述 🖥️
在本节中，我们将学习虚拟化技术。虚拟化是IT行业的一项革命性技术，它允许在一台物理计算机上模拟运行多台虚拟计算机。我们将探讨其核心概念、优势以及相关的安全考量。
什么是虚拟化？
虚拟化是指使用一台物理计算机来模拟另一台计算机，从而能够在单个物理硬件上运行一个或多个虚拟机。
其核心思想可以追溯到20世纪60年代，但直到90年代中后期及21世纪初才真正成熟并成为IT行业的主导力量。
理解虚拟环境的一个好方法是联想游戏模拟器。模拟器在软件中重现游戏主机的硬件逻辑电路，让为原主机编写的软件能在模拟环境中运行。同样，在虚拟机中运行的操作系统并不知道自己不在真实的物理计算机上，它认为自己就在一台真实的计算机上运行。
虚拟化带来的挑战
尽管虚拟化带来了巨大便利，它也引入了一些特定的管理问题和安全风险。
虚拟机蔓延
虚拟机蔓延是指虚拟机的数量不受控制地增长，导致管理负担过重的问题。
以下是虚拟机蔓延的典型过程：
- 起初，组织开始部署少量虚拟机，成本低廉，管理简单。
- 随着其他部门得知可以轻松获取专属服务器，他们也开始申请虚拟机。
- 由于初期部署成本近乎为零，IT部门往往轻易批准。
- 虚拟机数量开始激增，很快超出了管理能力。
- 管理员需要跟踪、打补丁、监控所有这些系统，并进行合规性扫描和文档记录，工作量变得难以承受。
问题的核心在于组织未能预先认识到管理每台虚拟机的长期成本。最终，大量可能已不再使用的虚拟机仍在运行，导致资源浪费和安全风险。一旦尝试关闭某台机器，很可能立即有用户报告服务中断。
虚拟机逃逸
虚拟机逃逸是一种严重的安全威胁，指攻击者从一台虚拟机内部突破隔离，访问到宿主机或其他虚拟机。
这类似于电影《黑客帝国》中尼奥意识到自己生活在虚拟世界后，能够突破该世界的物理规则。在虚拟化环境中，如果攻击者发现自己身处虚拟机内，他们可能会尝试利用漏洞绕过虚拟层的隔离限制。例如，他们可能试图直接访问宿主机的内存或跳转到同一宿主机上的其他虚拟机，而不是通过常规的网络路径进行攻击。
因此，虚拟化软件的开发者必须持续修补漏洞，防止此类逃逸攻击的发生。
虚拟化的高级概念与应用
虚拟化技术不仅限于模拟完整的计算机，它已扩展到网络和应用程序层面。
软件定义网络
软件定义网络是将网络硬件设备的功能虚拟化，并通过软件进行集中控制和管理的技术。
其优势在于能够快速、灵活地调整网络配置。管理员可以通过点击鼠标来部署防火墙、路由器，或调整它们的策略和位置，而无需进行物理布线更改。虽然底层仍有物理电缆连接，但核心的网络功能都运行在虚拟环境中，实现了高度的敏捷性。
容器化
容器化是一种轻量级的虚拟化技术，用于将应用程序及其依赖环境打包在一个隔离的“容器”中运行。
容器有助于保护宿主机操作系统的完整性和数据安全。如果容器内的应用程序（或恶意软件）发生故障或试图耗尽资源，其影响通常会被限制在该容器内部。管理员可以简单地关闭并重启该容器，而不会影响系统上运行的其他服务。此外，容器化允许在单台服务器上高效运行同一应用程序的多个实例。
基础设施即代码
基础设施即代码是一种通过机器可读的定义文件来管理和配置基础设施的方法。
这意味着所有的后端基础设施（如服务器、网络、存储）的创建、部署和操作都像管理软件代码一样，可以通过脚本自动完成，确保了环境的一致性和可重复性。
无服务器架构
无服务器架构是一种云计算执行模型，开发者无需管理服务器即可构建和运行应用程序。
需要明确的是，“无服务器”并非指没有物理服务器，而是指服务器管理职责完全由云提供商承担。开发者只需关注代码和业务逻辑。计算资源会根据实际需求自动弹性伸缩，并且只在代码执行时计费，这非常适合间歇性或可变的工作负载。
微服务与API
微服务与API是构建和连接现代虚拟化应用的关键技术。
微服务是一种将应用程序构建为一套小型、独立服务的方法，每个服务运行在自己的进程中，并通过API进行通信。例如，一个查询IP信誉的微服务，可以按每月查询次数计费。
API是不同软件组件之间的预定义通信接口。可以将自动取款机类比为银行的API：ATM定义了用户与银行交互的有限且标准化的操作集（如查询、取款），用户无需直接与银行柜员交互即可完成这些操作。
软件定义广域网
软件定义广域网将SDN的概念扩展到广域网连接上。
SD-WAN利用软件智能地管理多个WAN链路（如MPLS、宽带、LTE），根据应用程序需求、链路成本、延迟和带宽状况，动态选择最佳路径来传输数据，从而优化连接性能和用户体验。
安全访问服务边缘
安全访问服务边缘是一种融合了网络和安全功能的云交付架构。
SASE将广域网能力与全面的网络安全功能（如防火墙即服务、零信任网络访问、安全Web网关等）结合，统一作为服务交付。无论用户位于何处（办公室、家中、路上），也无论应用程序托管在何处（数据中心、公有云、SaaS），SASE都能为其提供一致、安全的访问体验。
总结
本节课我们一起学习了虚拟化技术。我们首先了解了虚拟化的基本概念，即在一台物理硬件上模拟多台计算机。接着，我们探讨了虚拟机蔓延和虚拟机逃逸这两个主要的管理与安全挑战。然后，我们介绍了虚拟化的一系列高级应用，包括软件定义网络、容器化、基础设施即代码和无服务器架构。最后，我们学习了连接和构建这些现代应用的关键技术，如微服务、API、软件定义广域网以及整合性的安全访问服务边缘架构。虚拟化是一个热点话题，也是Security+考试中的重要考点。
049：编排与自动化 🚀
在本节课中，我们将学习如何在大型复杂组织中管理众多系统。核心方法是利用编排与自动化。我们将探讨它们如何作为劳动力倍增器，确保操作一致性，并缩短安全响应时间。同时，我们也会审视引入自动化可能带来的复杂性、前期投资、单点故障风险以及技术债务等问题。
编排与自动化的核心价值
上一节我们介绍了管理大型系统的挑战，本节中我们来看看编排与自动化如何提供解决方案。它们主要指通过脚本和自动化程序来管理系统。
作为劳动力倍增器
当组织拥有数千个需要管理的系统时，自动化可以显著提升管理效率。以下是其作为劳动力倍增器的具体体现：
- 提升管理效率：通过编写脚本，少数人员即可管理大量系统。
- 确保操作一致性：自动化能确保在所有系统上执行完全相同的变更、安装相同的补丁、生成相同的报告。
- 缩短安全响应时间：一旦安全设备检测到网络异常，自动化脚本可以立即启动，在管理员介入前执行纠正措施。
实施自动化的潜在挑战
尽管自动化益处显著，但在考虑引入时，也必须认识到其伴随的复杂性与风险。
主要挑战与考量
以下是组织在部署自动化时需要面对的几个关键问题：
- 系统复杂性：创建自动化脚本需要深入理解所有系统及其相互关联性。对一个系统的改动可能对其他系统产生连锁影响。
- 高昂的前期投入：为大型复杂组织创建和维护全套自动化脚本，需要投入大量的时间和人力成本。
- 单点故障风险：如果所有脚本都依赖于某一种特定的脚本语言或某个核心脚本，一旦该依赖失效，整个自动化操作可能陷入停滞。
- 技术债务积累：技术债务是一个源自计算机编程的概念。它指的是一个小问题可能像滚雪球一样演变成更大的问题。随着在成百上千个系统上运行的脚本数量不断增加，技术债务也会随之增长。
- 持续的代码支持：脚本的原始作者可能早已离职。当需要修复或改进这些旧脚本时，必须确保有文档记录且现有人员经过培训，能够更新和创建新的脚本来替代旧版本。
总结
本节课中我们一起学习了编排与自动化在管理大型IT环境中的核心作用。它们通过脚本和自动化程序实现了劳动力倍增、操作一致性和快速安全响应。同时，我们也深入探讨了实施自动化时必须考虑的系统复杂性、前期成本、单点故障以及技术债务等挑战。成功部署自动化的关键在于权衡这些利弊，并做好充分的规划与文档工作。
050：云服务模型 ☁️
在本节课中，我们将要学习云计算中的核心服务模型。理解这些模型对于区分云服务提供商和客户之间的责任至关重要，这也是CompTIA Security+ 701考试的重点内容。
在现代计算中，我们越来越依赖不同的云服务。每当我们从云运营商处购买服务，或者激活一个云账户并选择想要运行的服务类型时，我们都会在CompTIA Security+考试中列出的三种不同类型中进行选择。我们需要了解的三种模型是：软件即服务、平台即服务和基础设施即服务。
对于每一种模型，云运营商和客户（即你和我）之间的责任都会发生转移。这就是所谓的云责任矩阵。这种责任从一种模型到另一种模型的转移，以及我们系统所需的要求，决定了我们需要做什么来维护系统，以及云运营商需要做什么来维护系统。
在所有情况下，云运营商都将负责维护数据中心的物理结构。这包括冗余的互联网链路、冗余电源和备用电源解决方案、暖通空调系统、物理安全以及实际的物理计算机硬件本身。这些是云运营商的责任。除此之外，就进入了我们在这三种服务模型中看到的云责任矩阵的范围。这三种模型再次是：软件即服务、平台即服务和基础设施即服务。
让我们深入了解每一种模型的具体内容。
软件即服务 (SaaS) 💻
首先讨论的是软件即服务。这可能是最容易理解的一个，因为我们已经体验过使用各种类型的软件即服务。
我常用的例子是像Google Docs这样的服务。Google Docs不是你在系统上安装的东西，它只是你使用的软件，但并非需要安装，而是作为一种服务来使用。因此，Google Docs是谷歌提供的一种软件即服务解决方案。
平台即服务 (PaaS) 🛠️
接下来我们要看的是平台即服务。如果你要构建一个Web应用程序，你可能会获得的平台即服务是一个Web服务器或数据库服务器。他们为你提供了一个平台，你可以在其上构建你的解决方案。然后，你需要去填充该Web服务器的内容或该数据库的内容。你提供内容，他们提供平台。
基础设施即服务 (IaaS) 🖥️
我们这里的第三个选项是基础设施即服务。有时人们会对平台即服务和基础设施即服务感到有些困惑。所以，当你看到IaaS时，我希望你这样想：把它想成HaaS。记住，字母H和I在字母表中是相邻的。所以，字母H代表硬件即服务。当你看到基础设施时，就想到硬件。
基础设施即服务是指云运营商为你提供一台计算机。他们提供一个操作系统。仅此而已，其他一切都取决于你。他们给你可以使用的硬件。但该操作系统的所有内部运作都由你负责。你将安装Web服务器，你将负责该Web服务器的安全和打补丁。你将安装数据库服务器，你将负责其安全和打补丁。无论你要安装什么应用程序，无论你想使用什么安全解决方案，都由你负责。你只是在以服务的形式使用他们的硬件。
在考试中，我们会看到它被列为IaaS，但你可以把它想成HaaS，即硬件即服务。
上一节我们介绍了三种核心的云服务模型，本节中我们来看看云的不同部署方式。
从另一个角度来看，我们可以看到云运营商如何提供不同类型的云。首先要看的是公共云、私有云，以及某种混合云。
对于公共云，这就是每当我谈论云运营商时你所想到的。大多数时候，人们会想到AWS、Google Azure（应为Microsoft Azure）、Google Cloud等。这些是不同的云部署模型。这些不同的云运营商为我们提供公共云。你刷一下信用卡，说“来一份云服务”，他们就会提供服务。这就是公共云。
也有组织运行私有云。这些云由他们的团队、他们的员工运营和维护，供内部公司使用。研究机构可能有这种大型计算能力，事实上，即使是亚马逊AWS也有自己的私有云。AWS源于亚马逊自身对这些计算资源的需求，但在这个过程中，有人说：“如果我们抽象出所有这些，并将其提供给其他人使用，那将是一个好主意。如果我们有这种需求，他们肯定也有。”于是，AWS从他们自己内部的私有云需求中诞生了。然后他们将其转变为公共云，但他们也维护着自己的私有云。你不能走进去刷信用卡说“来一份云服务”，他们会说：“还你卡，我们不这样做，我们没有向你收费的方式，这不是我们这里做的。”因此，私有云是你无法访问的，由该组织为该组织运营和维护。
接下来是混合云。混合云是指一个私有组织说我们想运行一个私有云，但我们实际上没有工具、硬件、专业知识或人员来自己运行这个私有云。那么，我们让一个公共云运营商为我们运行这个私有云。每当你有一个云账户时，如果你拥有的是公共云，你的数据会与云中那些虚拟机上运行的其他一堆系统混合在一起。如果你希望你的数据不与他人混合，你需要一个私有云。但如果运行云不是你的技能范围，你可能会告诉公共云运营商：“嘿，你能为我运行一个混合云吗？即使你是公共运营商，你能为我运行这个私有云吗？”于是，他们会收费为你这样做。过去几年新闻中出现的最佳案例是美国国防部建立了各种云账户，他们与公共云运营商签订了合同，这些运营商擅长运行这些不同的系统。他们将为国防部运行这套隔离的计算资源，这被认为是混合云。它是私有的，但由公共云提供商运行。
最后我们在这里看到的是社区云。这并不意味着你的城市或城镇聚集在一起说“嘿，让我们建立一个云”。相反，这可能是一个志同道合者的社区。我的例子是，每当不同学术机构的教职研究人员在进行一些资助研究时，他们可能需要一些云计算能力，他们会与不同的公共云提供商签订合同。一位研究人员建立了他们的服务，使其运行起来，但也许他们需要雇佣一个助手来帮助运行自己的计算需求。然后，他们机构的一位同事过来说：“嘿，我真的很喜欢你在做的事情，我能搭你的便车吗？我能使用你已有的相同云计算资源吗？我会出资分担费用。”然后，来自另一个机构的研究人员加入进来，接着又一个，又一个。很快，就形成了一个研究相同类型工作的研究人员社区，他们都投入资金来资助云运营，帮助支付运行该云的助手或助手们的费用。但他们不属于任何一个机构，他们的资金来源也不相同，比如国家科学基金会。相反，他们将汇集所有的资金和资源来运行这个云，以便他们可以共享数据和研究成果，无论他们各自具体的研究兴趣是什么。这就是社区云的一个例子。
本节课中我们一起学习了云计算的核心概念。我们探讨了三种主要的云服务模型：软件即服务 (SaaS)、平台即服务 (PaaS) 和 基础设施即服务 (IaaS)。对于IaaS，我们可以将其理解为 硬件即服务 (HaaS)。此外，我们还了解了不同的云部署模型：公共云、私有云、混合云 和 社区云。理解这些模型和责任划分对于通过Security+考试和在实际工作中管理云安全至关重要。
051：移动设备部署模型 📱
概述
在本节课程中，我们将学习组织内部移动设备部署的不同模型。理解设备所有权、数据所有权以及服务连接方式对于制定有效的安全策略至关重要。我们将探讨三种主要的部署模型，并分析它们各自的优缺点。
移动设备部署的考量因素
如今，许多组织内部都在大量使用移动设备。在审视不同的移动设备时，我们需要考虑数据所有权和设备所有权的问题。
上一节我们介绍了移动设备安全的整体背景，本节中我们将深入探讨具体的部署模型。首先，我们需要审视设备本身的归属问题。这与设备上的数据所有权是独立的，也与为该设备提供的服务是分开的。因此，许多组织会对以下方面存在所有权担忧，随之而来的是需要考虑的法律问题。
你必须思考：谁拥有这台设备？进而，谁拥有其中的数据？例如，如果你使用个人手机处理工作，之后又离开了雇主，那么这些数据归谁所有？如果数据在你的设备上，当你不再是该组织的一员时，雇主实际上无法强制你做任何事情。这些来回拉扯的法律顾虑，是许多组织在涉及移动设备使用时都会面临的问题。
移动设备的连接方式
认证目标中提到的一个概念是“连接性”。虽然这听起来可能不言自明，但当我们查看蜂窝手机的不同连接类型列表时，其重要性便凸显出来。
以下是移动设备的主要连接方式：
- 蜂窝网络：移动设备可以通过蜂窝网络连接。这一点被特别提及，是因为许多组织可能投入大量心思、努力和资金来保护其无线网络，防范可能针对移动设备的无线网络攻击。但请记住，移动设备可以随时关闭Wi-Fi并开启蜂窝数据，从而使用其蜂窝连接来绕过组织网络上的所有安全措施。
- Wi-Fi：移动设备也通过Wi-Fi连接。
- 蓝牙：移动设备具备蓝牙连接功能。请记住，蓝牙会广播其唯一标识，寻找与其他设备建立连接。因此，蓝牙可能成为针对移动设备各种攻击的媒介。
这些连接方式都内置于我们的移动设备中。不过，在本节中，我们将重点探讨这些移动设备的所有权结构。
三种移动设备部署模型
在本节中，我们需要考虑三种不同的移动设备部署模型。
以下是三种主要的移动设备部署模型：
- 自带设备：也称为 BYOD。
- 公司所有，个人启用：即 COPE。
- 选择你的设备：即 CYOD，也称为公司所有且仅限商务使用。
这三种模型是CompTIA Security+考试要求我们掌握的内容。让我们逐一深入探讨。
1. 自带设备
大多数组织采用BYOD模式。很多组织只是简单地表示，他们与员工在使用手机方面没有正式的协议。如果你有手机，你可以连接工作邮箱，可以连接Teams或Slack等专业网络应用，可以通过这些移动设备与同事交流。如果你想这样使用，那是你的事，我们对此没有正式的期望。
对于一些组织来说，BYOD模式的问题在于：如果你的移动设备上存储了公司数据，当你离开该组织时，你将保留这些数据。因此，他们可能会说，我们不希望你使用个人移动设备处理任何工作，不要用手机进行工作相关活动，因为信息可能泄露，存在隐私担忧和数据所有权问题。如果你的手机上有某些数据，除非是非法内容，否则没有人能强迫你删除。他们能做的最极端的事情就是与你解除劳动关系，但这可能引发法律诉讼。组织意识到这一点，并认为如果让员工使用自己的手机，他们真的无法控制员工如何处理那些数据。BYOD的一个核心问题是：员工拥有手机，因此员工拥有数据。无论组织是否希望他们访问这些数据，组织最多只能解雇该员工，但这仍然无法取回数据。因此，对于安全性要求极高的组织，BYOD模式是远远不够的。
2. 公司所有，个人启用
鉴于BYOD的局限性，组织会转向下一个可用选项：公司所有，个人启用 模式。
在这种模式下，设备上的数据以及设备本身都属于公司。如果你离开组织，那台设备是我们的，我们期望你归还设备，你不能带走它，因为上面有所有信息，那是我们的设备。一些组织会考虑不同员工如何访问信息，因此有了“个人启用”这一面。“个人启用”是指，我们不知道员工具体住在全国哪个地方，目前全国范围内正流行远程办公趋势。通过这种“个人启用”方式，我们会给你一笔津贴。你必须有一部用于工作的手机，我们拥有这部手机。但我们不知道哪个运营商在你家所在区域信号最好，所以我们会每月给你一笔津贴，以帮助抵消启用该手机的费用，你可以选择任何你想要的运营商，选择在你居住或旅行的地方服务最好的那个。
然而，COPE模式中“个人启用”方面也存在法律问题：是的，手机设备本身属于组织，其上的数据属于组织，你必须归还。但是，该设备的位置信息、任何通话记录、短信等，都存在于电话记录中。如果你是签订手机服务协议的人，这些信息就追溯到你。因此，那是你的信息。尽管组织支付了每月津贴，我们想获取那些信息，但那些信息在法律上属于签订合同的人。所以，即使有津贴来帮助抵消成本，它仍然在法律上是那个人的名义，那是他们的数据。
3. 选择你的设备
为了规避上述所有问题，我们有了第三个选项。许多安全性最敏感的组织都采用这种模式，即 选择你的设备。
在CYOD模式下，组织会说：我们知道iPhone用户忠于那个平台，那是他们想使用的界面；Android用户忠于那个平台。选择你想要的任何一个。但通常，组织提供的可能是两款老旧、磨损的手机。如果你曾经不得不从中选择，你会知道这些手机不是最新、最好的，它们可能已经传用了一段时间。但你选择你想使用的手机。这是一台公司所有的设备，公司或组织拥有这台设备，并且由他们来开通服务。他们与主要运营商洽谈，协商出能为所有用户提供服务的最佳服务合同。通过这种方式，组织同时控制了设备本身、服务以及与之相关的所有数据。这就是“选择你的设备”模式，有时也被称为“仅限公司使用”或“公司所有且仅限商务使用”。
总结
本节课中，我们一起学习了三种主要的移动设备部署模型。我们首先探讨了自带设备，其特点是员工拥有设备，但也带来了数据所有权的挑战。接着，我们分析了公司所有，个人启用模式，该模式解决了设备所有权问题，但在服务合同和个人数据方面仍存在复杂性。最后，我们介绍了选择你的设备模式，这是安全性要求高的组织的常见选择，它让组织能够完全控制设备、服务和数据。在Security+考试中，请留意BYOD、COPE和CYOD这些模型，并能够区分它们。
052：移动设备管理 (MDM) 核心概念 🛡️
在本节课程中，我们将学习移动设备管理。随着移动设备在工作场所的普及，保护存储在设备上的数据安全变得至关重要。我们将探讨如何通过移动设备管理软件来实现这一目标。
概述
许多组织在工作场所使用移动设备。雇主通常会为员工配备用于工作的移动设备。本节将讨论移动设备管理，重点是如何保护这些移动设备上存储的数据安全。我们利用一种称为移动设备管理的软件技术来实现这一目标。
通过MDM，我们可以在设备本身上实施多种安全策略来保护信息。例如，我们可以分离个人活动与专业或业务活动，从而对移动设备上的数据进行分段管理。我们还能确保设备上的应用程序安全，确保它们来自可信来源且不会破坏设备安全。此外，我们可以通过加密数据或强制使用加密来保护数据安全，甚至在必要时销毁数据。
核心概念与实施方式
接下来，我们看看实施移动设备管理的一些具体方式。以下是本部分涉及的关键术语和功能。
地理围栏
通过移动设备管理，我们可以利用地理围栏来强制执行策略。您所在的位置可能会影响您拥有的权限。例如，如果移动设备带有摄像头，我们可能不希望摄像头进入研发设施，因为这可能导致数据泄露。因此，当员工进入我们的设施时，我们可以通过MDM软件禁用其移动设备上的摄像头。我们会在物业周边设置地理围栏路径点，一旦设备进入该区域，摄像头功能即被禁用。或者，我们可以设定摄像头仅在工作场所启用，禁止员工使用工作设备拍摄家庭照片等活动。
推送通知
我们也可以要求使用推送通知。例如，我们可以将包含一次性PIN码的消息推送到您的移动设备，用作多因素认证的登录凭证。同时，我们会保护这些通知的安全。默认情况下，除非设备已解锁，否则大多数移动设备不会显示通知或消息的内容。您可能看到通知来自哪个应用，但无法查看具体内容。这样设计是为了防止攻击者拿到手机后直接看到弹出的PIN码，从而绕过多因素认证。要求解锁设备才能查看消息内容，有助于保障设备安全。
远程擦除
如果包含公司数据的移动设备被盗或丢失，您可以向支持人员报告，然后我们可以发出远程擦除命令。这将清除移动设备上的所有数据，防止数据落入竞争对手或恶意攻击者手中。
屏幕锁定
我们可以强制使用屏幕锁定功能。如果您离开移动设备一段时间，手机可以自动锁定。对于个人设备，您可能可以控制此设置，但对于工作设备，我们会要求设备在闲置10秒或30秒后自动锁定。我们不希望您放下手机离开时，设备处于未锁定状态。
身份验证方式
我们可以要求使用密码、PIN码或生物识别技术来解锁设备，例如指纹识别或日益普及的面部识别。这些都是可以通过移动设备管理强制执行的安全控制措施。
上下文感知认证
我们还有一个概念叫上下文感知认证。当您请求访问某些资源时，它会考虑请求的上下文。它会评估用户的访问级别、试图访问的数据、时间、位置、设备是否具备适当的安全控制措施以及设备是否以安全模式运行等。所有这些因素构成了认证请求的上下文。请注意，这与多因素认证不同。上下文感知认证考虑的是整个请求环境，而不仅仅是“您拥有什么”或“您知道什么”。它会整合软件安全控制、地理位置信息等来形成认证请求的上下文。
容器化
在移动设备管理中，我们还有容器化的概念。容器化允许我们创建一个容器，即一个虚拟执行环境，我们可以在其中对数据实施特定的安全控制。如果手机上有不同应用在容器中运行，它将不允许访问移动设备上的其他数据。即使我们不小心安装了恶意应用，它也无法从设备其他地方获取数据，因为它被限制在该容器内。
存储分段
您的移动设备可能工作和生活都会使用。为了保护工作数据并与个人数据分离，我们会进行存储分段。我们会允许您在设备上保留少量个人信息，但要知道这或许是公司的设备，因此信息存储在我们的产品上。您会有一个小的数据段供个人使用，而其余数据则留作专业用途。这就是存储分段的概念，双方各占一部分，从而清楚了解每边使用了多少数据。
全设备加密
移动设备管理的最后一个术语是全设备加密。全设备加密会对移动设备上的所有数据进行加密。如果有人入侵您的设备或试图物理解锁设备，这些数据将无法访问。当移动设备的操作系统将数据写入内存时，数据会被加密。加密过程会与设备的可信平台模块通信以获取密钥。当数据被读取时，再解密以供设备使用。这是一种在数据静态存储时保护设备数据安全的方法。
总结
本节课我们一起学习了移动设备管理的核心概念。我们了解到，MDM通过地理围栏、推送通知、远程擦除、屏幕锁定、多种身份验证方式、上下文感知认证、容器化、存储分段以及全设备加密等一系列技术和策略，能够有效地保护移动设备上的企业数据安全，实现个人与工作数据的分离与管理。所有这些措施共同构成了我们所说的移动设备管理。
053：漏洞识别
在本节中，我们将学习如何识别和评估在漏洞扫描中发现的系统弱点。核心内容包括两种关键工具：用于唯一标识漏洞的CVE，以及用于评估漏洞严重程度的CVSS评分系统。
CVE：漏洞的通用“身份证” 🆔
执行漏洞扫描后，扫描器会反馈结果，并使用一种标识系统来区分不同的漏洞。
我们识别漏洞的通用方法是使用“通用漏洞与暴露”标识符。
这是一种由MITRE公司提出的识别工具或方案。
MITRE公司作为麻省理工学院的衍生机构，创建了这种名为CVE的命名规范。
CVE标识符遵循 CVE-YYYY-NNNNN 的格式。幻灯片中提到，后面的数字部分是“任意的”。这意味着该数字本身不传达任何特定含义。例如，不能因为某个CVE编号是23000，就认为它代表某种特定类型的漏洞。这个数字只是一个唯一的序列号。前面的四位数字年份代表该漏洞被公开或发现的年份。
可以类比COVID-19。COVID-19指的是2019年发现的冠状病毒传染病。它并非只在2019年造成问题，但名称中包含了发现年份。因此，当你看到一个带有特定年份标识的CVE时，不要简单地认为它是一个“旧漏洞”，今天就不会影响你。你需要确认该漏洞是否已经发布了补丁。
屏幕上显示的图像是“美国国家漏洞数据库”。
这是一个由美国国家标准与技术研究院运营的、收录已公开和已发现漏洞的数据库或仓库。
国家漏洞数据库是一个包含各种漏洞的大型目录仓库。每个漏洞都会获得一个标识符，格式为CVE-，例如本例中的 CVE-2023-23397。
该标识符指明了这个特定的漏洞。标识符下方会有一个描述字段以及其他一些信息。
CVSS：漏洞的“危险等级”评分 ⚠️
对于Security+考试，关键的是你在底部看到的CVSS。如果我们放大那个小区域，你会看到CVSS分数是基于许多不同的向量计算得出的。
那个放大框底部的向量列表显示了所采用的不同度量指标的数量。
对于Security+考试，你不需要知道这些具体的度量指标。这些内容将在其他网络安全认证考试中出现。
我们需要知道的是，CVSS代表“通用漏洞评分系统”。
它告诉我们某个特定漏洞的影响程度或危害性。
许多组织是CNA。它们是编号授权机构。它们扫描并计算漏洞的影响程度。它们根据我们刚才在底部看到的那些度量指标，得出一个基础分数。
然后，它们生成的分数就是你在这里侧面看到的。分数范围如下：
- 分数从0.1到4.0，属于低危级别。
- 分数从4.0到7.0，属于中危级别。
- 分数从7.0到9.0，属于高危级别。
- 分数从9.0到10.0，属于严重级别。这意味着你需要立即放下手头工作进行修复，这是一个非常严重的问题。
确实存在潜在的10分漏洞，这些漏洞一旦被利用，绝对会破坏你的系统。
总结 📝
本节课中，我们一起学习了漏洞识别的核心框架。CVSS是我们用来识别漏洞危险程度的方法，而CVE是我们用来命名不同漏洞的方法。这些工具使我们能够在不同系统间引用漏洞，并拥有一个统一的通用命名和评分规范。
在Security+考试中，请务必留意关于CVE和CVSS的题目。
054：漏洞分析 🎯
在本节课中，我们将学习如何对漏洞扫描的结果进行分析。完成漏洞扫描后，关键步骤是审查发现的问题，并分析其中呈现的各种漏洞及其结果。我们将探讨如何判断扫描结果的准确性、如何对漏洞进行分类和优先级排序，以及如何评估漏洞对组织的影响。
漏洞扫描结果的准确性判断 🔍
上一节我们介绍了漏洞扫描的基本概念，本节中我们来看看如何判断扫描结果的准确性。分析的第一步是确定扫描发现是否正确。这涉及到四个核心概念：真阳性、真阴性、假阳性和假阴性。
以下是这四个术语的定义：
- 真阳性：扫描发现了漏洞，并且这个发现是正确的。
- 真阴性：扫描报告没有发现漏洞，并且这个评估是正确的。
- 假阳性：扫描报告发现了漏洞，但这个发现是错误的，实际上该漏洞并不存在。
- 假阴性：扫描报告没有发现漏洞，但这个发现是错误的，实际上存在未被检测到的漏洞。
假阳性和假阴性不仅会误报实际情况，还可能引发后续问题。例如，假阳性可能导致团队耗费大量时间和资源去修复一个根本不存在的“漏洞”。而假阴性则会造成虚假的安全感，让组织误以为一切安全，从而忽视真实存在的威胁。
在考试中，你需要能够根据提供的场景，判断其属于真阳性、真阴性、假阳性还是假阴性。预计会有一到两道相关题目，请仔细思考评估的内容及其真伪性可能带来的影响。
漏洞的优先级排序与分类 📊
了解了如何判断扫描结果的准确性后，下一步我们需要对真实的漏洞进行处理。我们根据技术在本组织中的使用方式以及修复特定漏洞所需的缓解措施来确定不同漏洞的优先级，因此处理方式也会有所不同。
处理漏洞时，可以遵循以下策略：
- 资源分配：某些漏洞可能涉及面广，需要更多人员参与或与不同供应商沟通。
- 快速修复：有些漏洞可能修复起来简单快捷，可以迅速组织团队批量处理。
- 分类处理：可以安排专人负责与外部供应商寻找解决方案，同时让团队其他成员处理具体的漏洞修复工作。
优先级排序因组织而异，取决于相关技术的具体使用情况。
我们还可以根据不同的指标对正在处理的漏洞进行分类。
分类时可以考虑以下维度：
- 漏洞严重程度：这个漏洞的影响是大还是小？
- 影响范围：它影响多少台机器？影响多少用户？
- 受影响对象：它影响什么类型的系统？或正在使用什么版本的软件？
环境变量与漏洞影响评估 ⚖️
每个组织使用技术的方式可能是独特的，因此其他组织可能非常担忧的漏洞，对你的组织来说可能无关紧要。
评估漏洞时，下一个要讨论的术语是影响，即查看该漏洞对我们组织的影响是什么。
漏洞可能带来多种不同的影响：
- 财务损失：直接造成经济损失，或引发监管罚款。
- 声誉损害：导致合作伙伴终止合作，客户信任度下降。
- 运营中断：例如导致订单无法发货、电话系统瘫痪等。
你需要能够考虑漏洞对组织的整体影响，以及其对整个行业的影响。近期历史上，航空制造业发生的一些事件导致整个行业受到审查，一家公司的问题可能会溢出并影响到行业内其他原本没有问题的制造商。
组织的风险承受能力 💰
最后，在查看不同漏洞时，你需要考虑风险承受能力，即我们作为一个组织愿意接受多少风险。
你所在组织愿意承受的风险水平，很大程度上取决于你所处的行业类型、领导层的思维方式以及网络安全预算的多少。业内常有一个玩笑：风险承受能力直接与预算挂钩。如果已经分配了特定金额并已花完，那么超出预算需要修复的部分，就被视为“愿意承担的风险”。
所有这些因素结合在一起——审视组织内的不同漏洞、分析漏洞的方法——构成了完整的漏洞分析流程。请留意安全+考试中可能出现的这些术语。
总结 📝
本节课中，我们一起学习了漏洞分析的核心流程。我们首先学习了如何通过真阳性、真阴性、假阳性和假阴性来判断漏洞扫描结果的准确性。接着，我们探讨了如何根据漏洞的严重性、影响范围和组织环境来对其进行优先级排序和分类。然后，我们分析了漏洞可能带来的财务、声誉和运营等多方面影响。最后，我们了解了组织的风险承受能力如何影响漏洞的处置决策。掌握这些分析技能，对于有效管理网络安全风险至关重要。
055：漏洞管理 🛡️
在本节课中，我们将学习如何识别和管理组织中的潜在安全漏洞。了解这些漏洞的来源和发现方法，是构建有效防御体系的第一步。
概述 📋
对于任何组织而言，在漏洞演变成实际问题之前发现它们至关重要。我们需要了解潜在的威胁，以便能够妥善处理。本节将讨论漏洞管理，以及发现和了解各种漏洞的方法。
发现漏洞的信息来源
有多种信息来源可以帮助我们了解漏洞。以下是几种主要途径。
开源情报
开源情报是指利用任何公开可用的信息来了解正在发生的攻击、已被发现的漏洞，或其他组织在其网络中观察到的现象。这类信息很有用，可以从开放的互联网、社交媒体等渠道获取。开源情报圈内会分享大量信息。
开源情报的问题是，你可能需要筛选大量信息才能提取出可操作的情报。
专有情报
为了浓缩信息，我们可能会依赖专有情报。专有情报是指你求助于那些已经收集并整理好信息的组织。他们筛选了所有信息，剔除了冗余内容，使你无需反复阅读相同的文章来获取微小的细节。他们完成了所有阅读工作，收集了那些微小的细节，从而为你提供一份更精炼、更专注于当前漏洞的报告。
由于是专有的，这类情报具有更高的信噪比。它不面向公众消费，也不在组织间广泛共享。专有情报很有用，因为你无需费力剔除其他文章叙述中可能包含的无关内容。
深网与暗网
我们也可以依赖深网，有时甚至是暗网。
深网是指存在于开放互联网上，但无法轻易通过搜索引擎找到的信息。它没有被主流搜索引擎索引。要访问深网信息，你必须知道去哪里寻找。深网信息并非刻意隐藏，它就在那里，只是搜索引擎无法抓取。深网可以是一个非常有用的工具和资源。
另一个资源是暗网或ToR网络。ToR代表洋葱路由器网络。ToR接收用户的数据，网络中有入口节点或中继节点。在ToR网络的这些节点上，每个链接都会被加密，网络中的每一跳都会增加一层新的加密。因此，你的通信从一点到另一点是随机化的，并且在所有之上提供了保密性。这使得追踪原始信息的发送者变得极其困难，因为数据包被一层又一层地加密，故名“洋葱路由器”。
暗网的问题是，因为它提供了保密性且难以追踪用户，许多黑客类型的人利用暗网进行非法活动。因此，使用ToR需要谨慎。使用ToR本身并不违法，但上面存在大量非法内容。你肯定不希望在没有大量批准、许可和相关人员签字的情况下，从公司网络使用ToR。
我们之前讨论的那些提供专有报告的组织，会搜索并从暗网中收集信息。暗网上存在黑客类型的论坛，他们可以在那里分享信息。例如，一个攻击者可能会说“看，我黑进了这家大公司，这是证据”，并向他人展示证据；或者他们可能说“我收集了这家机构所有客户的信用卡和身份信息，每份卖一美元”，而他们手上有成千上万份。暗网是一个聚集了许多可疑角色的地方，需要小心，但它是了解黑客在做什么、他们的兴趣点、他们正在策划什么以及下一步动向的信息宝库。
情报共享组织
我们还可以依赖其他组织进行情报共享。例如ISAC和SIE等情报共享团体。
ISAC代表信息共享与分析中心。SIE是安全信息交换组织。这些社区和机构的存在是为了在可能处于同一行业、具有相同组织规模或位于同一地理区域的组织之间共享信息。这些组织会分享信息，以便彼此守望相助，这是一种“围成一圈”的防御形式，是针对那些可能试图破坏某个组织的对手的共同统一防御。
在市场上竞争的组织之间共享网络安全情报和信息并非闻所未闻。例如，可口可乐和百事可乐可能在市场上激烈竞争，福特和雪佛兰可能在争夺客户销售，但在后台，他们的安全团队可能会相互分享信息，以确保彼此安全。因此，尽管我们在市场上视他们为竞争对手，但这并不意味着我们对竞争采取敌对态度。保持网络安全需要我们采取共同统一的防御。
渗透测试团队
我们还可以邀请团队对我们的网络进行渗透测试。他们会发起模拟攻击。我们将与他们合作，签署大量协议（这一点稍后会详细讨论）。然后，这些渗透测试将利用任何检测到的漏洞，并能够告诉我们：如果攻击者试图利用我们网络上的这些漏洞，他们可能获得什么访问权限？渗透测试团队由“白帽”黑客组成，他们会与我们分享他们的发现，记录他们做了什么、如何做的以及获得了什么访问权限。
自动化漏洞扫描
一种更自动化的方法是使用漏洞扫描软件，正如我们之前提到的。漏洞扫描是软件执行的自动化过程。而渗透测试则涉及人为因素，不是自动化过程。
漏洞赏金计划
我们还可以依靠其他人通过漏洞赏金计划、负责任的披露程序来提供帮助。如果供应商创建了一个新产品，并希望确保该产品安全且尽可能没有漏洞，他们可能会与Hacker One这样的平台合作。Hacker One是一个市场，漏洞赏金猎人在那里寻找产品中的漏洞，抢在对手之前发现它们。
我们在程序中发现这些漏洞，然后告知供应商：“嘿，你们即将推出的这个新产品存在这个问题、那个问题，需要解决。”而组织为了感谢你的工作，会根据该漏洞提供的风险严重程度向你支付报酬。因此，这些漏洞赏金计划是组织与富有创造力、寻求挑战的“白帽”黑客类型人才合作的好方法，他们希望在产品上市前确保其安全和网络安全。
内部流程审查
最后，我们还可以通过审查来确定我们组织内部各个流程中存在哪些问题、哪些漏洞。我们执行流程的方式可能需要遵守法律、行业法规或某些合规要求。我们将逐步检查这些不同的流程，看看其中存在哪些脆弱的环节，这些环节是我们组织继续正常运营所必需的。
总结 ✨
在本节中，我们讨论了了解不同漏洞的方法。在Security+考试中，请注意其中一些内容。掌握这些信息来源和评估方法，是实施有效漏洞管理策略的基础。通过结合自动化工具、人工测试、外部情报和内部审查，组织可以更全面地识别和应对安全威胁。
056：第11章第1节第4部分 - 漏洞响应 🛡️
在本节课中，我们将学习在组织内检测到系统和网络漏洞后，需要采取的响应措施。我们将探讨从打补丁到制定例外规则等一系列关键步骤，以有效管理安全风险。
上一节我们讨论了漏洞检测，本节中我们来看看如何对已发现的漏洞进行响应和处理。
修补系统
检测到漏洞后，首先要做的是修补存在漏洞的系统。我们需要从软件供应商和产品制造商处获取软件更新和补丁，以确保能够以安全的方式继续使用其产品。
核心操作：应用供应商发布的安全补丁和更新。
网络分段
如果无法为某个软件或系统打补丁，则必须将其与网络的其他部分隔离开来。我们的目标是保持该系统可运行，但通过隔离或分段，限制其与网络其他设备或互联网的通信。网络分段是将网络划分为更小部分的方法，这样即使恶意软件在某系统上扎根，也无法蔓延至整个组织。通过分段，我们能够限制安全事件对公司网络的影响范围。
核心概念：隔离无法修补的系统，防止威胁横向移动。
利用网络安全保险
我们还可以利用网络安全保险。网络安全保险本身并不能防止网络攻击，但它可以限制事件对组织造成的财务影响。如果发生了网络安全事件，并且组织已履行了所有应尽的义务，网络安全保单将向组织进行赔付，以限制该网络事件造成的财务损害。
为了维持保单有效性，网络安全保险公司通常会要求组织做到以下几点：
以下是维持网络安全保险政策通常需要满足的条件：
- 定期进行安全测试。
- 制定并记录可证明的安全策略。
- 确保运营符合行业法规，不使自身暴露于风险之中。
- 确保组织员工接受适当的网络安全培训，并能提供相关证明。
事实上，有些人考取Security+认证，就是为了让当前或未来的雇主能够在网络安全保险政策的相关要求上打勾。保险公司希望知道员工具备网络安全意识，并了解各种安全控制措施如何协同工作。
实施补偿性控制
我们可能会针对各种威胁和漏洞实施多种不同的缓解措施。有时这些缓解措施本身存在弱点，因此我们需要通过提供更多的安全控制（即某种补偿性控制）来解决这些弱点。
之前我们讨论过需要保护系统以防止未授权用户登录，这涉及特定风险。我们如何防止未授权用户访问系统？我们会使用密码。但这里仍然存在一个弱点：有些用户会使用非常弱的密码，攻击者能够猜出这些密码。那么，我们该怎么做？我们通过使用其他形式的身份验证来弥补仅使用密码的弱点，即采用多因素认证来克服该安全控制的缺陷。这是在应对已知漏洞时可以采取的另一种措施。
核心公式：基础控制（如密码） + 补偿控制（如MFA） = 更强的整体安全性
验证扫描结果
此外，如果我们进行了漏洞扫描并发现了某些漏洞，在采取纠正措施之后，下一步就是验证这些发现。我们需要确保没有误报。
回忆一下，误报是指漏洞扫描器声称发现了问题，但实际并不存在。你可能会白费力气去寻找一个根本不存在的漏洞。
因此，验证发现的方法之一是重新扫描这些漏洞，或者进行审计，仔细检查并确认：所采取的缓解措施是否针对扫描器发现的漏洞？是否纠正了该问题？我们希望通过再次运行扫描来验证这些结果。
在验证过程中，你需要做的事情之一是重新扫描系统。
如果你遇到漏报呢？请记住，漏洞扫描的漏报是指你的漏洞扫描器没有检测到任何实际存在的漏洞。
那么你该怎么做？我会准备一个专门用于测试的虚拟机，上面预置了一些已知漏洞。如果我的漏洞扫描器说没有漏洞，我就把这个“漏洞测试机”接入网络，这时我的漏洞扫描器最好能检测出那些漏洞。如果检测不到，我就知道我的漏洞扫描器有问题，因为它没有发现我知道存在于测试机上的漏洞。在这种情况下，我会关闭那个虚拟的漏洞测试系统，收起来下次再用，然后着手解决漏洞扫描器的问题。
记录与例外管理
最后，在我们完成漏洞识别并采取纠正措施后，需要记录我们的发现。其中一些发现可能会归为例外和豁免。
例外是指我们承认某个漏洞的存在，但决定暂时不采取行动，因为我们知道这是个问题但目前无法处理。例如，我们可能知道补丁即将发布，已经联系供应商并被告知补丁大约在45天或35天后就绪。而我们内部政策要求必须在30天内纠正所有漏洞。这时，我们就可以创建一个例外，因为补丁会在30天期限后不久发布。我们将记录我们承认此处存在问题，并正在等待即将发布的补丁。
或者，你也可能有豁免。豁免是指某个系统被允许不遵守那些规则。例如，我时不时拿出来检查漏洞扫描器的那个小虚拟机，我知道它有漏洞。我们的政策规定网络上不能存在此类已知漏洞，但这个系统是豁免的，它不受规则约束，因为我一直让它离线，除了测试漏洞扫描器时从不使用。我们会记录这些发现，并为此制定一个豁免。
以上是我们在组织内发现漏洞后可以采取的一些不同应对措施。在你的Security+考试中，请注意这些内容。
总结
本节课中，我们一起学习了漏洞响应的关键流程。我们探讨了修补系统、实施网络分段、利用网络安全保险、部署补偿性控制、验证扫描结果（包括处理误报和漏报）以及记录发现并管理例外与豁免。掌握这些响应措施，对于有效管理组织网络安全风险至关重要。
057：风险分析 🧮
在本节课中，我们将要学习风险分析的核心概念。我们已经识别了漏洞，列出了威胁，现在开始进行风险分析。
风险分析有两种主要方法：定性分析和定量分析。上一节我们介绍了威胁识别，本节中我们来看看如何评估这些威胁的风险。
定性分析与定量分析
定性分析是主观的，它基于经验和直觉。例如，一位经验丰富的同事可能根据过往经历判断某个情况“会很糟糕”，这就是定性评估。
定量分析则关注数字和可测量的数据。其词根“quantity”意为数量，因此定量分析涉及计算概率、成本等具体数值。
这两种方法都能为我们提供风险可能如何发生的信息，但角度不同。
风险分析的关键因素
以下是风险分析中需要考虑的几个核心因素。
概率与可能性
概率是一个具体的百分比数字，用于描述事件发生的几率。例如，天气预报中“50%的降水概率”意味着预报区域内50%的地区会下雨。
可能性则更偏向定性，基于个人经验和观察进行判断。例如，有人通过观察云层、感受空气湿度后说“很可能要下雨”，这就是对可能性的评估。可能性通常用高、中、低来描述。
影响
影响是指某个事件发生后，对组织造成的后果。我们需要评估：事件会如何损害我们？会如何中断我们的业务运营？
暴露因子
暴露因子用于计算事件造成的财务影响比例。其计算公式为：
暴露因子 = (损失金额 / 资产总价值) * 100%
例如，一扇价值1000美元的窗户，如果更换一块价值500美元的玻璃，那么暴露因子是50%。如果上了保险，只需支付100美元的免赔额就能更换整扇窗户，那么暴露因子就是10%。
在考试中，相关数字通常非常规整，如10%、25%、50%等。暴露因子是计算单次损失期望值和年度损失期望值的重要组成部分，我们将在后续幻灯片中详细讨论。
总结
本节课中我们一起学习了风险分析。我们探讨了两种分析方法：定性分析（基于经验）和定量分析（基于数据）。同时，我们介绍了风险分析的几个核心因素：概率（具体数字）、可能性（经验判断）、影响（后果评估）以及暴露因子（财务影响比例）。这些因素共同构成了完整的风险分析过程。
058：第58节 风险管理 🛡️
在本节课程中，我们将学习如何在组织中管理风险。风险管理是一个核心主题，我们将深入探讨如何计算和应对组织面临的各种风险。
风险识别 🔍
上一节我们介绍了风险管理的概念，本节中我们来看看如何识别风险。首先，我们需要区分漏洞、威胁和风险。
- 漏洞 是系统或流程中的弱点。
- 威胁 是可能利用漏洞的威胁行为者。
- 风险 是当我们开始量化威胁利用漏洞可能对组织造成的潜在损害。
以下是识别风险的几种主要方法：
- 漏洞扫描：通过自动化工具发现系统中的弱点。
- 渗透测试：模拟攻击者的行为，主动测试系统的安全性。
- 安全审计：系统地审查安全策略和控制的合规性。
- 自查：组织内部进行的定期安全检查。
- 威胁情报：关注外部信息，了解当前存在的威胁和攻击手法。
风险评估 📊
识别风险后，下一步是评估风险对组织的影响。风险评估有不同的执行方式。
以下是几种常见的风险评估类型：
- 临时评估：根据需要随时进行的评估。例如，更换网络保险提供商或申请新认证时可能需要进行。
- 一次性评估：仅执行一次的评估，完成后不再重复。
- 周期性评估：按固定周期（如每季度、每年）重复进行的评估。
- 持续评估：一些风险意识强的组织会持续不断地生成风险评估报告，确保随时有最新的评估结果可用。
风险计算 🧮
现在，我们来看看如何为特定风险事件计算具体的金额。这是Security+考试中唯一需要计算的数学部分，数字会非常简单。
风险计算涉及三个核心概念：
- 单次预期损失：指单个风险事件发生一次所造成的损失成本。公式为：
SLE = 资产价值 × 暴露因子。例如，更换一扇破碎的窗户需要1000美元，那么SLE就是1000美元。 - 年发生率：指该风险事件在一年内预计发生的次数。例如，窗户每年破碎两次，那么ARO就是2。
- 年度预期损失：指该风险事件在一年内预计造成的总损失。计算公式为：
ALE = SLE × ARO。
根据上面的例子，窗户的ALE计算如下：
ALE = SLE ($1000) × ARO (2) = $2000
这意味着，组织每年预计要为窗户破碎事件支出2000美元。
风险登记与矩阵 📈
计算出风险价值后，我们需要将其列出并排序。这通常通过风险登记册来完成。
风险登记册会列出组织的各种风险，并可能根据风险等级、成本或发生频率进行分类。同时，组织会设定一个风险阈值，当风险超过这个阈值时，就需要采取行动。
此外，我们常用风险矩阵来可视化风险。它根据事件的可能性（横轴）和影响程度（纵轴）对风险进行评级。
风险矩阵将风险划分为几个等级：
- 极高风险
- 高风险
- 中等风险
- 低风险
风险应对策略 ⚙️
从风险登记册中识别出风险后，我们需要决定如何应对。组织对每个风险有且仅有四种应对策略。
以下是四种风险应对策略：
- 缓解：实施安全控制措施来降低风险发生的可能性或影响。例如，设置密码、安装防火墙。
- 规避：通过完全消除风险原因来避免风险。例如，决定不将某个系统面向互联网以规避相关攻击风险。
- 转移：将风险后果的责任转移给第三方。最常见的方式是购买保险，或者将关键业务托管给数据中心（将断电、断网的风险转移给运营商）。
- 接受：在权衡成本效益后，决定不采取任何措施，主动承担风险。这通常是因为应对措施的成本高于风险本身可能造成的损失。接受风险时需要记录豁免和例外情况，说明为何允许该风险存在。
风险偏好与报告 📋
组织对风险的总体态度称为风险偏好，它决定了组织愿意承担多大的风险以追求目标。
主要有三种风险偏好：
- 扩张型：为了快速增长和获取新业务，愿意承担较高风险。
- 保守型：满足于现状，希望维持稳定，不愿承担过多风险。
- 中立型：在增长与稳定之间寻求平衡，承担适度风险。
最后，安全专业人员需要向组织的决策者进行风险报告。这份报告需清晰列出已识别的风险、已采取的应对措施以及组织仍然面临的风险暴露情况，为决策提供依据。
总结 📝
本节课中我们一起学习了风险管理的完整流程。我们从识别风险开始，然后学习如何评估和计算风险的价值（ALE = SLE × ARO）。接着，我们利用风险登记册和风险矩阵来记录和可视化风险等级。面对风险，我们有四种策略：缓解、规避、转移和接受。最终，组织的风险偏好决定了整体策略方向，并通过风险报告将信息传达给决策者。掌握这些知识，是构建有效信息安全体系的基础。
059：备份策略
在本节课中，我们将要学习信息安全控制中的一个重要组成部分——备份。备份是一种纠正性控制，其核心目的是在信息丢失、损坏或被破坏时，能够将系统或数据恢复到之前的状态。备份是任何安全策略中不可或缺的一环。
接下来，我们将详细介绍在Security+考试中涉及的三种主要备份类型：完全备份、差异备份和增量备份。
完全备份 📦
完全备份是最容易理解的一种备份方式，也是大多数人首先想到的备份类型。
完全备份会备份所有数据，无论这些数据之前是否备份过，也无论上次备份是什么时候。它备份的是全部内容。
关于完全备份，需要记住两个关键点：
- 备份时间最长：因为它需要处理所有数据，所以执行备份所需的时间最长。
- 恢复时间最短（在考试语境下）：在CompTIA的考试体系中，完全备份的恢复时间被认为是最短的。这是因为如果你需要从零开始（例如，在一台裸机电脑上）恢复整个系统，你只需要使用这一个完全备份集即可。相比之下，其他备份类型的恢复过程需要依赖完全备份，因此总恢复时间会更长。
简单来说，完全备份就是“一劳永逸”地备份所有东西。
差异备份 🔄
上一节我们介绍了备份所有数据的完全备份，本节中我们来看看一种更高效的备份方式——差异备份。
差异备份会备份自上一次完全备份以来发生更改的所有数据。
以下是关于差异备份的关键特性：
- 备份目标：它关注的是自上次完全备份以来的所有变更。
- 备份时间中等：由于它可能包含多天甚至数周的变更数据，所以备份时间比完全备份短，但比增量备份长。
- 恢复时间中等：要恢复系统，你需要先恢复最新的完全备份，然后再在其基础上恢复最新的差异备份。因此，总恢复时间比只用完全备份要长，但比使用增量备份要短。
一个帮助记忆的技巧是：差异（Differential）这个单词里包含字母 F，可以联想为它总是关联到上一次完全（Full）备份。
增量备份 📈
了解了基于完全备份的差异备份后，我们来看最后一种备份类型——增量备份，它专注于更小、更频繁的数据变更。
增量备份只备份自上一次任何类型的备份（无论是完全备份、差异备份还是增量备份）以来发生更改的数据。
以下是增量备份的特点：
- 备份时间最短：因为它只备份自上次备份以来的微小数据增量，所以执行速度非常快。
- 恢复时间最长（在考试语境下）：要完成系统恢复，你必须先恢复最新的完全备份，然后按顺序恢复自此之后的所有增量备份。这个链条可能很长，因此总恢复时间是最长的。
你可以将增量备份想象成每小时或每30分钟进行一次的“小快照”，它只捕捉这段时间内的变化。
重要注意事项：快照 ≠ 备份 ⚠️
在讨论增量备份时，我们提到了“快照”这个词，这里需要特别强调一个考试重点。
快照不是备份。在实际工作中，你可能会频繁使用快照，但在CompTIA考试的定义中，快照不被视为真正的备份。
两者的核心区别在于：
- 备份：备份的是数据本身。
- 快照：捕获的是系统在某个时间点的运行状态，更像是将系统“冻结”在那一刻。它并没有完整地复制所有数据文件。
因此，在考试中请务必注意区分这两个概念。
总结
本节课中我们一起学习了三种核心的备份策略：
- 完全备份：备份所有数据，备份时间长，恢复（在考试定义下）时间短。
- 差异备份：备份自上次完全备份以来的所有变更，备份和恢复时间均为中等。
- 增量备份：备份自上次任何备份以来的变更，备份时间最短，但恢复时间最长。
同时，我们明确了快照与备份在考试定义上的关键区别：备份针对数据，而快照针对系统状态。理解这些概念对于制定有效的数据恢复计划和通过Security+认证考试都至关重要。
060：备份相关主题 🗂️
在本节课中，我们将学习与数据备份相关的几个核心概念，包括异地存储、日志文件系统、数据复制以及备用电源系统。理解这些概念对于制定有效的灾难恢复和业务连续性计划至关重要。
异地存储的重要性
上一节我们介绍了备份的基本概念，本节中我们来看看备份存储位置的关键性。确保备份数据存储在异地至关重要。
如果备份数据与原始系统存放在同一地点，一旦发生灾难，备份也可能一同损毁。以下是一些常见的风险场景：
- 火灾或水灾可能同时摧毁计算机和放在旁边的备份介质。
- 盗窃事件可能导致设备和备份一同丢失。
- 意外事故，如液体泼洒，也可能损坏备份。
因此，必须将备份数据安全地存储在另一个物理位置。一个标准的操作流程示例如下：
1. 执行定期全量备份（例如，每周五开始）。
2. 将备份介质（如磁带）装入安全的运输箱。
3. 由第三方物流公司取走并运送至安全的异地存储设施。
日志文件系统
在讨论了物理存储后，我们转向系统层面的数据保护机制。日志文件系统是一种记录数据移动操作的文件系统，用于在意外断电等事件后恢复未完成的操作。
其工作原理如下：
- 当系统准备将数据从源位置移动到目标位置时，它首先在日志中创建一个条目，记录“准备将数据从A移动到B”。
- 然后，系统开始实际的数据移动过程。
- 如果在移动过程中发生断电，当系统重启后，它会检查日志。
- 系统发现一个未完成的移动操作（“从A到B”），并且源数据A仍然存在。
- 系统可以根据日志记录，继续完成将数据从A移动到B的操作。
- 操作完成后，系统从日志中删除该条目。
这本质上是一种纠正性控制，能够在中断后使操作恢复到一致状态。
数据复制：同步与异步
除了传统的备份，现代组织常采用数据复制技术。数据复制涉及将数据实时或定期地拷贝到另一个站点，例如从本地数据中心复制到云端或另一个数据中心。
根据复制的频率和方式，主要分为两种模式：
以下是同步复制与异步复制的关键区别：
- 同步复制：每当主站点发生数据变更时，该变更会立即、实时地传播到复制站点。这确保了两个站点的数据时刻保持完全一致。
- 异步复制：数据变更会定期批量复制到目标站点。复制间隔可以是每分钟、每五分钟、每十五分钟甚至每小时。这不同于实时同步，会存在一定的数据延迟。需要注意的是，这里的定期“快照”本身并不是一个完整的备份。
备用电源系统
最后，我们来探讨保障备份和系统持续运行的基础设施——备用电源。电力中断是导致数据丢失和操作中断的常见原因，因此备用电源系统是业务连续性的关键组成部分。
主要有两种类型的备用电源解决方案：
以下是两种主要的备用电源方案：
- 备用发电机：通常是大型柴油、天然气或丙烷发动机。当市电中断时，它们启动并为整个建筑（如办公楼、数据中心、医院）供电。柴油发电机功率强大，但燃料可能耗尽；天然气发电机则通过管道供应，燃料更持久。
- 不间断电源：这是一种电池备份设备，通常用于单个计算机或服务器机柜。当市电中断时，UPS立即接管供电，确保设备持续运行数分钟到一小时，为发电机启动或安全关机提供缓冲时间。
UPS和发电机通常结合使用。因为大型发电机可能需要20到30秒才能启动并达到全功率输出，而UPS可以在这段间隙提供无缝的电力供应，实现零中断。
本节课中我们一起学习了备份策略的四个关键方面：异地存储确保了备份的物理安全；日志文件系统在系统层面提供了操作一致性保障；数据复制（同步与异步）实现了数据的多站点可用性；而备用电源系统则为所有基础设施提供了持续运行的电力基础。综合运用这些概念，可以构建一个健壮的数据保护和业务连续性框架。
061：业务连续性运营（COOP）🛡️
在本节课中，我们将要学习业务连续性运营（COOP）的核心概念。COOP旨在确保组织在面对各种业务中断时，能够维持关键运营的持续性。我们将探讨其重要性、规划要素以及如何通过演练确保计划的有效性。
业务连续性运营概述
每个组织都可能遭遇业务中断。既有顺境，也会有逆境。当逆境发生时，必须确保组织拥有应对计划。业务连续性运营（COOP）正是为了确保我们能够在面对困境时维持运营。
上一节我们介绍了业务连续性的重要性，本节中我们来看看COOP的具体内涵。业务连续性运营的核心是确保在逆境中能够继续开展业务。因此，我们需要制定替代性的业务实践方案，以便在出现问题时，仍有办法维持基本运营底线。
替代性业务实践案例
以下是两个关于替代性业务实践的案例，说明了计划不当可能带来的后果。
案例一：过时的支付方式
一次在农贸市场，我们想从一位摊主那里购买一件商品。询问价格后，我问他是否接受Venmo或PayPal转账。他回答不熟悉这些，但有一个信用卡读卡器，不过当时在他的手机上无法工作。随后，他从卡车里拿出了一个老式的信用卡压印机。这种设备需要将信用卡和复写纸放在一起，通过滚轮压印出卡号副本，然后再手动填写金额。我表示这种方式可能不太安全，而且我的信用卡卡号没有凸起数字，根本无法使用。他的替代性业务流程（使用压印机）已经无法满足现代支付的安全与技术要求。
案例二：未能适应变化的商业模式
在COVID-19疫情期间，Bed Bath & Beyond这家以店内体验闻名的零售商受到了严重冲击。其商业模式依赖于顾客进店浏览、感受香氛、浏览商品并产生冲动消费。当人们居家隔离时，这一模式无法运转。他们的替代性业务实践是让小时工休假，并由门店经理处理线上订单。然而，许多顾客并不习惯在该店线上购物，其业务本质更偏向于冲动消费。因此，转向处理线上订单的替代方案不足以维持其生存，加之其他商业压力，该公司最终破产清算。
COOP的关键要素：冗余与容量规划
通过业务连续性运营，我们需要确保能够持续为用户提供服务。这通常通过建立冗余运营来实现。
例如，如果需要备用电力，就应配备备用发电机。如果无法承受任何网络中断，那么当主网络服务出现故障时，就必须有备用方案或替代设置，以便能够无缝切换。这样，即使在服务中断的情况下，仍能维持运营。
在规划我们能做什么、能实现什么目标时，需要考虑不同情况。在正常情况下，我们能够完成既定任务。但在可能失去电力、设施供暖制冷或其他正常服务的情况下，我们将以降级容量运行。因此，需要找出限制因素，明确在逆境中仍能完成的任务。
这需要通过审视以下三个方面来实现：
- 人员：你的员工在正常情况和不利条件下分别能完成什么工作？他们是否需要额外培训？
- 技术：现有技术能支持你做什么？是否需要新技术来增强现有能力？
- 基础设施：现有基础设施能支持什么？是否需要更强大或更冗余的基础设施来支持运营的弹性？
这一切都是容量规划的一部分。
确保计划有效性：培训与演练
制定计划后，必须确保相关人员知道如何响应。业务连续性运营的下一步是确保我们能够培训员工，让他们知道在特定情况下应完成什么任务以及该如何做。
我们通常会进行桌面演练和模拟演练。
桌面演练是指团队围坐在会议桌旁，设定一个特定场景。例如，主持人会说：“现在发生某种情况。你正在休假，所以无法参与。你们这组人正在参加会议或忙于其他事务。那么，在这种情况下你们会怎么做？” 接着，团队将讨论应该采取的行动。
桌面演练旨在梳理和确认：你是否了解计划？在这种情况下你的计划是什么？去哪里获取更多信息？如果其他人都无法响应，团队每个成员是否都知道如何应对？当每个人都清楚计划时，我们就能更快地执行。
模拟演练则让我们在实际操作中接受考验，帮助我们弄清楚在逆境中能够承受什么。这些演练有助于完善我们的业务连续性运营。
总结
本节课中我们一起学习了业务连续性运营（COOP）。我们了解了COOP对于维持组织在逆境中运营的重要性，探讨了制定替代性业务实践的必要性，并通过案例看到了计划不当的后果。我们还学习了实现COOP的关键要素，包括建立冗余运营和进行全面的容量规划（涵盖人员、技术、基础设施）。最后，我们强调了通过桌面演练和模拟演练来培训团队、确保计划有效执行的关键步骤。掌握这些概念对于应对CompTIA Security+考试中相关题目至关重要。
062：业务影响分析（BIA） 🎯
在本节课中，我们将学习业务影响分析中的核心概念。业务影响分析是评估风险对组织潜在危害程度的关键过程。我们将重点理解四个关键术语：恢复时间目标、恢复点目标、平均修复时间和平均故障间隔时间。掌握这些概念对于通过Security+认证考试至关重要。
上一节我们介绍了风险评估的基本框架，本节中我们来看看如何具体量化风险事件对业务运营的影响。
恢复点目标与恢复时间目标 📊
以下是两个紧密相关的核心指标，用于定义数据恢复的“起点”和“完成时间”。
- 恢复点目标：该指标关注的是过去。它定义了在灾难发生后，组织能够容忍丢失多少时间内的数据。例如，如果RPO设置为4小时，则意味着系统恢复后，数据最多只能恢复到灾难发生前4小时的状态。公式上，RPO决定了备份的频率：
备份频率 ≤ RPO。 - 恢复时间目标：该指标关注的是未来。它定义了从灾难发生到业务功能恢复运营所能容忍的最长时间。RTO包含了从识别事件、启动恢复流程到数据恢复、系统测试直至重新上线的总时长。整个恢复过程的时间必须满足：
实际恢复时间 ≤ RTO。
为了帮助记忆，可以联想字母：RPO 中的 P 代表 Point in the Past（过去的某个点）；RTO 中的 T 代表 Time in the Future（未来的时间）。
理解这两者的关系至关重要。假设发生了一次系统故障，我们首先根据RPO确定需要从多久之前的备份进行恢复（例如，昨天凌晨的备份）。然后，从加载该备份到系统完全恢复可用所花费的总时间，必须满足RTO的要求（例如，必须在8小时内完成）。因此，总停机时间 由寻找正确恢复点（RPO）和实际执行恢复（RTO）共同决定。
平均修复时间与平均故障间隔时间 ⚙️
除了恢复目标，我们还需要衡量系统本身的可靠性。以下是两个用于评估硬件或系统稳定性的指标。
- 平均故障间隔时间：指系统或组件在两次连续故障之间正常运行的平均时间。MTBF数值越高，表示系统越可靠。其基本计算思路是：
MTBF = 总正常运行时间 / 故障次数。 - 平均修复时间：指修复一个故障组件或系统并使其恢复正常运行所需的平均时间。MTTR数值越低，表示组织的应急响应和修复能力越强。
我们可以通过一个简单的例子来理解：假设一台服务器的硬盘平均每2年（MTBF）会发生一次故障。当故障发生时，如果机房有备用硬盘，工程师可能只需1小时（MTTR）即可更换并恢复服务。但如果需要临时订购硬盘，等待物流可能需要2天，那么这次事件的MTTR就会显著增加。决策者可能会因此决定储备备用硬盘，以降低MTTR。
本节课中我们一起学习了业务影响分析的四个核心指标：恢复点目标 和 恢复时间目标 定义了数据恢复的基准与时限；平均故障间隔时间 和 平均修复时间 则衡量了系统自身的可靠性与组织的修复效率。理解这些术语是制定有效灾难恢复计划的基础。
063：事件响应
概述
在本节中，我们将学习事件响应流程。任何组织都会经历顺境和逆境。当网络事件发生时，确保你有一个应对计划至关重要。我们将详细探讨事件响应的六个步骤，帮助你为“坏日子”做好准备。
事件响应流程概述
事件响应是一个循环的、持续改进的过程。它包含六个关键步骤，旨在系统化地处理安全事件，并从中学习以提升未来的防御能力。
以下是事件响应的六个核心阶段：
- 准备
- 检测与分析
- 遏制
- 根除
- 恢复
- 经验总结
这个流程始于准备，终于经验总结，而总结的成果又会反馈到下一轮循环的准备阶段，形成一个持续改进的闭环。
详细步骤解析
上一节我们概述了事件响应的整体流程，本节中我们将逐一深入解析每个步骤。
1. 准备阶段
准备阶段是事件响应循环的起点，其核心目标是在事件发生前做好一切准备。目前，你正在为你的雇主或未来的雇主进行网络安全方面的准备。
以下是准备阶段的关键活动：
- 系统加固：通过配置和更新，减少系统的攻击面。
- 演练与培训：进行模拟演习，确保团队成员知道如何应对。
- 资源分配与预算：为安全工具、技术和人员分配必要的资源。
- 制定策略：为员工制定清晰的事件响应政策和操作程序。
所有这些工作都是为了在真正的安全事件发生时，团队能够迅速、有效地行动。
2. 检测与分析阶段
在完成准备工作后，我们进入持续的监控阶段。检测与分析阶段涉及对网络活动的持续监视，以判断异常是否构成真正的安全威胁。
以下是此阶段的核心任务：
- 持续监控：利用工具监视网络流量、日志和系统行为。
- 分析判断：当检测到异常时，分析其性质、影响范围和根源。
- 定性评估：判断该活动是误报、普通故障，还是恶意的网络攻击。
如果分析确认事件是恶意的，就需要立即启动后续的响应步骤。
3. 遏制阶段
一旦确认恶意活动，首要目标是阻止其扩散，限制损失。遏制阶段旨在隔离威胁，防止其对网络其他部分造成更大破坏。
常见的遏制措施包括：
- 断开网络连接：切断受感染系统与互联网或内部网络的连接。
- 网络分段：利用VLAN或防火墙规则将受感染区域隔离。
- 临时阻断：根据预设规则，临时阻断可疑的IP地址或端口。
遏制计划应包含短期（立即执行）和长期（彻底解决前维持）策略。
4. 根除阶段
成功遏制威胁后，下一步是彻底清除它。根除阶段的目标是从受影响的系统中完全移除恶意软件、攻击工具或攻击者留下的后门。
根除操作可能包括：
- 系统重装：格式化受感染系统并重新安装操作系统和应用。
- 代码示例（概念性）：对于可修复的感染，可能需要运行专门的清除工具。
# 示例：使用防病毒软件进行深度扫描和清除 antivirus-tool --scan --remove-all /path/to/infected/system - 硬件更换：在极端情况下，可能需要更换被植入持久化恶意代码的硬件（如硬盘）。
5. 恢复阶段
根除威胁后，我们需要让业务恢复正常运行。恢复阶段关注如何将系统、数据和业务功能恢复到安全、可用的状态。
恢复活动通常涉及：
- 数据恢复：从干净的备份中恢复受影响的数据。
- 系统重建：将操作系统和应用程序恢复到已知的安全基准状态。
- 服务重启：在验证安全后，逐步恢复对外服务。
完成恢复后，环境应重新进入常态监控，即返回到检测与分析阶段。
6. 经验总结阶段
在事件处理接近尾声时，启动经验总结至关重要。此阶段的目标是客观记录事件全过程，为未来的准备和响应提供依据。
撰写经验总结报告时，请遵循以下原则：
- 记录事实：客观描述发生了什么、团队做了什么、如何解决的。避免使用“应该”、“本可以”等推测性语言。
- 避免指责：不要追究个人责任（例如，“Carl做错了…”）。聚焦团队的整体行动和结果。
- 量化影响：使用工时损失、系统停机时间等指标来衡量影响，而非具体的金钱损失，因为后者会随时间贬值，参考意义下降。
- 公式示例：
总生产力损失 = 受影响员工数 × 平均处理工时
- 公式示例：
- 进行根本原因分析：明确指出导致事件发生的根本原因（例如，“由于未及时安装某个关键补丁…”），而不是表面现象。
这份报告是为未来的你或团队准备的“历史档案”，当下一次类似情况出现时，它能提供宝贵的行动参考。
主动防御：威胁狩猎
除了被动响应，组织还应主动寻找潜在威胁。威胁狩猎是一种主动安全活动，它结合外部情报和内部数据，主动搜寻可能已潜入网络的攻击者。
威胁狩猎的流程可以概括为以下步骤：
- 收集情报：整合来自信息共享与分析中心、安全厂商公告、威胁情报源等的内外部信息。
- 形成假设：基于情报，推测攻击者可能利用的漏洞或已使用的战术。
- 调查验证：在自有网络中搜索与假设相符的迹象或痕迹。
- 处置与改进：如果发现威胁，则进行处置；无论是否发现，都将狩猎过程和结果反馈到安全策略和监控规则中，提升整体检测能力。
总结
本节课中，我们一起学习了CompTIA Security+ 701认证要求掌握的事件响应流程。我们详细探讨了从准备、检测与分析、遏制、根除、恢复到经验总结的六个阶段，并了解了主动的威胁狩猎概念。记住，一个有效的事件响应流程是循环且持续改进的，每一次事件的处理都应使组织变得更加强韧。
备考提示：请熟悉上述事件响应流程的各个阶段及其关键活动，这在Security+考试中是重点考察内容。
064：数字取证基础
在本节课中，我们将要学习数字取证调查的核心概念与流程。这些知识对于理解如何在安全事件后进行专业的调查至关重要，也是CompTIA Security+ 701认证考试的重点内容。
概述
数字取证是在发生安全事件后，为进行调查而采取的一系列科学方法和流程。它旨在以合法、可被法庭接受的方式收集、保存和分析数字证据。
核心概念与流程
上一节我们介绍了数字取证的基本定义，本节中我们来看看取证过程中涉及的具体术语和关键步骤。
法律保留通知
当组织或个人涉及法律诉讼时，可能会收到一份“法律保留通知”。这意味着必须保留所有相关信息，不得删除或销毁，因为这些信息将用于后续的调查。即使诉讼对象是前员工或高管，其相关的数字信息也需要被保留。
证据监管链
保护“证据监管链”是数字调查的核心。监管链详细记录了在调查过程中，谁在何时、何地接触过证据，以及证据是如何被移交的。其目的是确保证据的完整性和真实性，防止证据被篡改或污染。
以下是维护证据监管链的关键点：
- 记录详细信息：在收集证据时，需记录精确的时间、地点和收集人。
- 全程负责：证据应由收集人亲自保管和移交，避免经手无关人员。
- 签署移交记录：任何证据的移交都必须有双方签字确认，以明确责任。
数据采集与验证
在从存储介质（如硬盘）收集证据时，需要使用“写阻止器”。写阻止器是一种硬件或软件工具，其作用是防止对存储介质进行任何写入操作，从而保护原始证据的完整性。
采集数据后，需要创建硬盘的“镜像”，即逐比特的完整副本。然后，使用哈希算法对镜像文件生成一个唯一的“哈希值”。哈希函数的公式可以简化为：
哈希值 = H(原始数据)
通过对比原始证据和镜像的哈希值，可以验证镜像是否是完全相同的副本，从而在法庭上证明证据未被篡改。
报告与保存
调查结束后，必须撰写调查报告。报告需要清晰、简洁、基于事实，避免使用推测性或复杂的类比，以便非技术人员（如法官或陪审团）能够理解。同时，必须长期妥善保存所有原始证据和副本，因为法律程序可能持续数年，需要确保证据在需要时仍然可用。
电子取证
“电子取证”是指使用专门的软件工具，根据特定条件（如人员、时间范围）自动搜索、识别和收集相关的电子数据（如电子邮件、聊天记录、文件）。这大大提高了从海量数据中查找相关证据的效率。
总结
本节课中我们一起学习了数字取证的关键环节：从接收法律保留通知开始，到维护证据监管链、使用写阻止器采集数据、通过哈希验证完整性，最后完成报告并长期保存证据。理解这些流程对于进行合规、有效的安全事件调查至关重要。
065：数据保护
概述
在本节课中，我们将学习几种保护数据免受窥探的关键技术。数据在使用过程中需要保持可访问性，同时也必须确保其安全性。我们将探讨混淆、隐写术以及数据隐藏（包括令牌化和数据掩码）这三种核心方法，了解它们如何在不同场景下保护敏感信息。
混淆：让代码难以阅读
上一节我们提到了数据保护的重要性，本节中我们来看看第一种技术：混淆。混淆是一种使代码或数据难以被人阅读和理解，但计算机仍能正常处理的技术。其核心目的是保护知识产权或逻辑，防止被轻易逆向工程。
例如，下图展示了一段来自《纽约时报》热门游戏Wordle的JavaScript代码片段。为了保护其投资，《纽约时报》对源代码进行了混淆处理。
即使你熟悉JavaScript，这段代码也几乎无法理解。变量名被替换为无意义的单字符（如 e、a、v、t），结构也被打乱。然而，计算机执行这段代码却毫无问题。混淆的公式可以简单表示为：
原始可读代码 -> 混淆过程 -> 难以理解但功能相同的代码
以下是混淆的一个简单代码示例：
// 混淆前
function calculateTotal(price, quantity) {
return price * quantity;
}
// 混淆后（示意）
function a(b,c){return b*c;}
隐写术：在文件中隐藏文件
混淆技术主要针对代码，接下来我们看看如何隐藏数据本身。隐写术是一种将信息（如文件、文本）隐藏在其他载体文件（如图片、音频、视频）中的技术。从外部看，载体文件看起来完全正常，但内部却包含了秘密信息。
例如，攻击者可能将一份公司机密文档隐藏在一张普通的猫咪图片中。当这张图片被传输时，看起来人畜无害，从而绕过了常规的安全检查。因此，隐写术也可能被用作数据泄露的途径。
安全团队需要对此保持警惕。现代数据防泄露工具能够检测文件中是否隐藏了其他文件。隐写术的过程可以描述为：
秘密数据 + 载体文件（如图片） -> 隐写编码 -> 含隐藏数据的新载体文件
数据隐藏：令牌化与数据掩码
除了完全隐藏，我们更常遇到的需求是：在必须使用数据时，限制对其敏感部分的访问。这就是数据隐藏的范畴，主要包括两种技术：令牌化和数据掩码。
设想一个客服中心的场景。客服人员需要处理客户订单，但出于安全考虑，我们不应让他们看到完整的客户信用卡号。
令牌化：可逆的遮盖
以下是使用令牌化处理信用卡号的示例：
令牌化使用无意义的“令牌”临时替换敏感数据。客服界面可能显示为 ****-****-****-1774，其中星号部分就是令牌。系统在后台存储着令牌与真实卡号的映射关系，当需要完成扣款等授权操作时，可以将其还原。因此，令牌化是可逆的。
核心概念：令牌化是用一个唯一的、无实际意义的标识符（令牌）来临时代表敏感数据，原始数据被安全地存储在别处。
数据掩码：不可逆的遮盖
与令牌化不同，数据掩码是永久性地替换或删除敏感数据。通常，它会用固定字符（如X或*）覆盖原数据。
例如，在显示给用户的交易历史中，信用卡号可能被永久显示为 XXXX-XXXX-XXXX-1774。此时，即使系统管理员也无法从这串掩码后的数据中恢复出完整卡号，因为原始数据已被丢弃或不可逆地转换。
核心概念：数据掩码是永久性地用伪造的或屏蔽的字符替换真实数据，过程不可逆。
两者对比：
- 令牌化：像用可移除的贴纸盖住纸上的数字，需要时可以揭开。
- 数据掩码：像用强力胶带粘住数字，强行揭开只会破坏纸张，永远无法看到原数字。
总结
本节课中我们一起学习了三种关键的数据保护技术：
- 混淆：通过打乱代码结构，使其难以被人理解，从而保护逻辑和知识产权。
- 隐写术：将秘密信息隐藏在其他普通文件中，用于隐蔽通信或构成数据泄露风险。
- 数据隐藏：在必须使用数据时保护其敏感部分。
- 令牌化：使用可逆的令牌临时替换敏感数据，适用于需要后续授权操作的场景。
- 数据掩码：永久性地替换或删除敏感数据，适用于仅需验证身份但无需还原数据的场景。
理解这些技术的区别与应用场景，对于实施有效的数据安全策略至关重要。
066：数据分类 📂
在本节课中，我们将要学习数据分类的核心概念。理解如何对组织内的信息进行分类，是制定有效安全策略和保护敏感资产的基础。我们将探讨不同类型的数据、它们的分类级别，以及地理定位对数据管理的影响。
数据分类概述
保护组织数据时，我们需要考虑不同的分类方式。在Security+考试中，我们可以通过多种方式对组织接收或存储的信息进行分类。这些可分类的不同数据类型包括：受监管信息、商业秘密、知识产权、法律与财务信息，以及人类可读与非人类可读格式。
数据类型详解
以下是几种主要的数据类型及其特点。
受监管信息
这类信息受到行业法规的保护。组织必须遵守这些法规，否则将面临严厉的处罚和罚款。
商业秘密与知识产权
这是使您的组织与众不同的东西。它可能是您组织追求成功的“秘密配方”，例如可口可乐的秘方或肯德基的“11种草药和香料”。这是您组织的独特之处，您需要保护这些知识产权和信息，以防止竞争对手获得与您同样成功的“行业工具”。
法律与财务信息
这也可能是您不希望对手访问的敏感信息。对手可能窃取特定的公司文件，或访问您的财务状况。您当然不希望他们获得这些信息。
人类可读与非人类可读格式
这并非指人类无法阅读此类信息，或计算机无法阅读此类信息。随着人工智能的兴起，我们可以看到计算机能够处理大量人类为人类编写的信息，如新闻文章、电子邮件等。但是，计算机之间传输数据有更高效的方式。
例如，幻灯片上展示的XML图片。XML是一种数据格式，可用于在计算机之间传输数据。它是一种结构化格式，易于计算机解析。但这并不意味着人类无法阅读这些信息。您可以阅读它并理解它引用了特定的CVE漏洞，具有特定的CVSS评分，并且可以通过该URL找到相关信息。然而，如果我要向您（另一个人）传达这些信息，我可能不会直接发送一个XML数据文件，而更可能以叙述性的方式写出来。
这就是人类可读与非人类可读格式的含义。有些格式是为计算机设计的，有些格式是为人类设计的。您的受众将决定您选择哪种解决方案。
数据分类级别
进入我们拥有的不同分类，我们有三种数据分类级别可供选择：公开信息、机密信息和关键信息。
公开信息
这是任何人都知道的信息。您可以在任何地方找到它。这是公开信息，不受任何形式的保护。例如，“今天下午3点在休息室为Carol举办派对”就是公开信息。我们不会对此进行保密或施加任何保密级别。
机密信息
您可能拥有不希望共享的机密信息。这不会是公开信息，仅限组织内的特定个人知晓。您需要将此信息标记为机密。这可能是您组织内部的信息，您不希望竞争对手知晓或了解。
关键信息
这是我们这里的第三个选项。这类信息将仅限于极少数个人访问，可能只有您的高管团队成员，如首席执行官、首席信息官、首席信息安全官等。只有有限数量的个人有权访问此类信息。
我们在不同政府实体对其信息的分类中也看到了这种反映。他们将有未分类信息（正如我们讨论的公开信息）、机密信息（这是受保护、不为公众所知的信息，相当于机密级别）以及绝密信息（可能达到关键级别）。当然，在政府级别中，我们还有其他形式的分类。但这就是我们谈论数据分类时的含义。
其他分类术语
在考试中您可能还会看到其他分类术语被提及：专有信息、私人信息、敏感信息和受限信息。
专有信息
这再次指您的“11种草药和香料”，您的“秘密配方”，或者是您软件解决方案的源代码。这是您绝对不希望竞争对手或对手获取副本的专有信息。
私人信息
这可能还包括个人可识别信息。这包括您的姓名、地址、社会安全号码、银行账号等。所有这些信息，您都不希望任何无权访问的人获得访问权限。这就是私人信息。
敏感信息
这源于GDPR（《通用数据保护条例》）。GDPR明确了哪些信息属于敏感信息的例子。这类敏感信息如果泄露，将对个人造成极大的麻烦和伤害。这包括宗教和政治信仰、性别和性取向等。个人可能不介意与他人分享这些信息，但他们希望控制谁有权在特定领域访问这些信息。在某些情况下，这对他人来说可能极具问题。从商业角度考虑时，您真的需要问自己：存储和保留此类信息对我们有何商业意义？如果我们存储此类信息，给个人带来的风险是否值得？如果我们不需要收集它，就不要收集。
受限信息
我们在这里可以分类的最后一种信息是受限信息。这类信息一旦泄露，将引发国际丑闻。如果这些信息泄露，将对个人造成极端伤害。您可以想到国家机密或其他国家外国特工的身份。这些就是我们将要限制访问的信息类型。绝对没有基层员工能够访问这些信息，只有最高安全许可级别的人员才能知晓这些信息，并且这当然将建立在“需要知道”的基础上。
地理定位的重要性
本节要讨论的最后一个主题是地理定位。关于地理定位，我们将看到：数据所在的位置至关重要。
您的数据必须遵守其所在地区的法律。因此，如果您正在考虑“我应该将数据中心设在哪里？”或“我们的公司总部应该设在哪里？”，您需要考虑该组织在不同地点将适用的规则和法规。您需要查看并了解数据法律，然后能够根据组织的意愿选择您的位置。
总结
本节课中，我们一起学习了Security+考试中关于数据分类的核心内容。我们探讨了不同类型的数据（如受监管信息、商业秘密等），理解了三种主要的分类级别（公开、机密、关键），并认识了其他重要的分类术语（如专有、私人、敏感、受限）。最后，我们明确了地理定位对数据合规性的重要性，即数据必须遵守其物理存储地的法律法规。掌握这些概念是有效实施数据安全策略的第一步。
067：13_01_03_数据销毁
在本节课程中，我们将学习组织内信息保护的一个重要环节：数据销毁。当组织中的硬件设备达到其使用寿命终点时，我们必须考虑如何安全地移除存储在这些硬件上的数据，以防止敏感信息泄露。我们将探讨数据销毁的核心概念、不同存储介质（如机械硬盘、固态硬盘）的处理方法，以及相关的法律和认证要求。
数据销毁概述
当保护组织信息时，我们需要考虑存储在设备上的数据。存储在硬件上的数据，在硬件达到其使用寿命终点时，需要被处理。我们需要思考在处置这些硬件之前，如何移除存储在其上的数据。本节讨论的就是数据销毁。
在数据销毁领域，有几个为Security+考试需要了解的术语。首先，当我们处置硬件时，这被称为停用。这是指将硬件从组织的活跃角色中移除。存储在该设备上的可能是敏感信息，我们需要彻底移除这些信息。根据设备的具体情况，有几种不同的方法可以实现。
数据销毁方法
以下是几种主要的数据销毁方法，适用于不同类型的存储介质和设备。
- 机械硬盘：机械硬盘通过磁力在盘片上存储信息。这些信息必须被彻底移除。仅仅在操作系统中“删除”文件是不够的。现代操作系统删除文件时，通常只是标记该存储空间为“可用”，而不会立即擦除实际数据。为了确保安全，可以进行安全擦除。这个过程会反复用特定的数据模式（如
11111111、00000000、10101010）覆盖硬盘上的原始数据（1和0）。这样做是因为硬盘上的每个磁点周围都有一个微弱的“磁晕效应”。通过反复写入不同的值，可以消除这种效应，防止有决心的攻击者通过读取残留的磁信号来推断原始数据。 - 固态硬盘：对于更现代、更快的固态硬盘，处理方法不同。你无法简单地通过覆盖来删除信息，因为它不是磁性存储，没有“磁晕效应”。通常需要物理销毁驱动器，例如通过研磨或粉碎。
- 网络设备：不同的网络设备，如路由器、交换机和无线接入点，会存储敏感的无线凭证。在停用这些设备之前，必须确保擦除所有凭证。否则，入侵者可能通过拍卖或其他途径获得该设备，从而利用其中存储的凭证获得对你网络的授权访问。
- 特殊设备：其他特殊设备，如扫描仪和多功能打印机，也可能存储信息。它们可以无线连接到设备，需要确保移除存储在其上的任何信息。
核心概念与处理方式
上一节我们介绍了针对不同设备的数据销毁方法，本节中我们来看看数据销毁的几个核心概念和处理方式。
首先，清理是指你选择性地移除设备上的特定信息。你挑选并选择要删除的信息，确保覆盖所有基础。
其次，数据销毁是指物理销毁存储介质本身。你通过某种机械手段物理性地破坏它，例如钻孔、在足够高温下焚化，或者使用工业碎纸机进行研磨或粉碎。
此外，还有一个术语叫认证。通常，一个组织可能没有能力自行物理销毁数据，可能缺乏工业级的碎纸机或研磨机等工具。这时，你会将介质提供给第三方机构。他们收集这些信息并进行物理销毁后，会签署文件进行认证。例如，他们会记录“技术员Tommy在特定时间将带有某个ID号或条形码的硬盘放入某台工业研磨机销毁”，并说明所有废弃物的处理结果。这就是认证过程。
在整个流程开始之前，甚至在开始销毁信息之前，你需要考虑数据保留的法律要求。确保你不需要因任何合规原因保留这些信息。因为一旦数据被正确销毁，就无法恢复。
磁性介质的特殊处理
当处理磁性存储介质时，有一个称为消磁的过程。
消磁会将左侧图中显示的非常均匀、有序的磁介质结构，置于一个变化的、演进的磁场中。这个过程会彻底破坏所有的磁序。消磁就是将磁性介质置于变化的磁场中的过程。
粉碎处理
我们还有粉碎系统。粉碎使用工业碎纸机或研磨机，它们有巨大的滚轮，可以吞入金属并将其压碎。YouTube上有一些展示这个过程的娱乐性视频。它将硬盘研磨、粉碎成电子废弃物，这些废弃物可以被开采并回收其中的贵金属，用于其他用途。但是，有决心的攻击者将无法从这些微小的碎片中提取信息，因为它已经被粉碎得无影无踪。
我得说，我觉得这大概会是一份持续一周的有趣工作。我想我大概需要一周时间来体验粉碎硬盘的乐趣。你知道，把东西扔进碎纸机听起来很有趣。有提供这种服务的公司，他们会通过整个认证流程来签署证明。
设备停用的注意事项
正如前面提到的，某些多功能打印机设备可能存储了无线凭证，它们连接到组织的无线网络。最近一家打印机制造商发布公告称，如果你有他们的设备并且存储了无线凭证，即使你执行了恢复出厂设置，也需要进入并更改你的Wi-Fi凭证。因为本质上，Wi-Fi板卡不属于恢复出厂设置过程的一部分。
因此，如果你要停用一台多功能打印机或任何设备，请确保遵循制造商的指导，以安全销毁该设备上的所有数据。这些就是我们在研究数据销毁时讨论的一些概念。
课程总结
本节课中，我们一起学习了数据销毁的完整流程。我们从数据销毁的必要性讲起，了解了停用硬件的概念。然后，我们详细探讨了针对机械硬盘、固态硬盘、网络设备和特殊设备的不同销毁方法，包括安全擦除、物理销毁和凭证清除。我们还学习了清理、数据销毁、认证和数据保留等核心概念，并特别介绍了针对磁性介质的消磁技术和工业粉碎过程。最后，我们强调了遵循设备制造商指南的重要性。掌握这些知识，对于确保组织信息在硬件生命周期结束时得到安全处置至关重要。
068：组织内的数据保护角色与概念 🔐
在本节中，我们将探讨组织如何构建其团队以保护数据隐私。我们将概述组织内为帮助保障安全运营而设立的不同职位。
概述
在本节中，我们将学习由《通用数据保护条例》（GDPR）定义的关键数据保护角色，以及数据最小化等重要概念。理解这些角色和概念对于构建有效的隐私保护框架至关重要。
GDPR定义的数据保护角色
以下是GDPR定义的不同角色及其职责。
- 数据所有者：组织内对数据隐私负最终责任的个人。通常是首席信息官、首席隐私官或其他高管。他们的名字与责任挂钩，需为组织如何保护数据承担责任。
- 数据管理员：由数据所有者委派，负责确保所收集数据的准确性，并代表数据所有者专注于数据隐私，确保组织行为符合数据安全政策。
- 数据保管员：协助数据管理员，负责实施管理员提出的控制措施。管理员决定“做什么”和“如何做”，保管员则负责具体执行。
- 隐私官：确保组织行为符合法律法规的成员，通常来自法律团队。他们与管理员和保管员合作，确保满足所有法规要求。
- 数据控制者：控制数据访问权限的个人。他们利用其他人制定的安全控制措施，确保只有授权用户才能访问和修改数据。他们是确保政策得到执行、控制措施有效运作的一线人员。
- 数据处理器：基于已收集或正在使用的数据为组织创造价值的个人。他们处理数据以产生业务价值。
上一节我们介绍了GDPR定义的核心角色，本节中我们来看看另外两个关键概念：数据主体与数据最小化。
数据所有者 vs. 数据主体
需要特别注意“数据所有者”和“数据主体”之间的区别。
- 数据所有者：负责数据收集和安全保管的一方（通常是组织）。
- 数据主体：数据所指向的个人。根据GDPR或其他州法规，数据主体拥有决定其数据如何处理的权利。从法律角度看，成为数据主体比成为数据所有者（对自身数据而言）地位更有利。
数据最小化原则
最后，我们讨论数据最小化。组织可能希望最小化其收集的数据类型。
某些信息非常敏感，一旦泄露会造成伤害。因此，组织必须决策是否真的需要收集和存储这些信息，因为这可能带来法律风险。只收集业务决策绝对必需的数据，是进行数据收集的安全方式。数据最小化 能降低组织在收集和处理数据时的法律风险。
总结
本节课中，我们一起学习了GDPR框架下的关键数据保护角色（数据所有者、管理员、保管员、隐私官、控制者、处理器），厘清了数据所有者与数据主体的区别，并理解了数据最小化原则对于降低法律风险的重要性。这些是Security+考试中需要重点关注的概念。
069：第14章 第1节 安全治理 🛡️
在本节中，我们将探讨组织如何监督其安全计划。安全治理这一部分着眼于组织规划和监督其安全计划的各种方式。
概述
在本节中，我们将学习安全治理的核心组成部分，包括指导方针、基准、标准、程序、预案以及各类计划。这些元素共同构成了组织安全管理的框架，确保安全措施得到有效规划、实施和监督。
指导方针
首先，我们来看指导方针。指导方针是关于组织如何处理各种情况的非限制性边界。它不会规定应如何处理特定事件，更像是为情况设置护栏。其含义是：我不希望你超越这些边界，但边界之内的一切都是可行的，具体如何处理由你自行决定。这些是我们拥有的通用指导方针。
基准
我们可能还会遵循各种基准。这些基准将使用其他组织的衡量标准。我们会观察其他组织遵循哪些指标来衡量我们是否在做需要或正确的事情。例如，行业的最佳实践是什么？互联网安全中心会发布 CIS基准，这是一系列最佳实践的集合，供连接到互联网的组织遵循。
标准
我们还有可以提出的标准。不同的组织会提出关于我们应如何处理某些技术的标准。例如，我们可能有一个密码标准，规定如何创建密码，以及什么构成一个好的密码。
接下来，我们可能有必须遵循的访问控制标准。工作组下的所有部门或所有公司，或联邦网络的不同成员，都可能被要求遵守此标准。
此外，我们还可以有物理安全标准，规定我们组织如何处理物理安全的要求。我们可能还会利用加密标准，例如联邦信息处理标准。它概述了哪些形式的加密被允许用于联邦信息处理或在联邦网络上保护数据安全。这些标准会不时更新，如果组织是联邦网络的一部分，则必须更新以符合那些联邦标准。
程序
接下来，我们想要概述各种程序。我们将记录这些程序，并为入职或离职制定流程。
入职是指我们有新员工或用户加入组织时，并规划如何将他们引入组织的过程。这包括创建他们的账户，确保他们拥有正确的文件和系统访问权限来完成工作，确保他们拥有合适的技术（如果向他们发放了电脑或办公电话），以及他们是否有工作空间。所有这些都将在入职程序中列出。
离职几乎是入职的反面。它是指用户或员工将要离开组织时，无论是自愿还是非自愿。每当有人离开我们的组织时，我们需要执行相同的离职流程，以撤销他们的权限，撤销他们对可能拥有的不同文件共享的访问权限，并保留我们的资产。如果我们发放了手机、移动设备、笔记本电脑，我们需要确保收回所有资产，并且不允许访问任何可能导致数据外泄问题的数据。
预案
我们还可以有预案。预案将列出我们的组织或团队在特定事件发生时应该遵循的特定程序或一系列步骤。我们希望确保以相同的方式执行预案，就像运动队中的运动员在足球或篮球比赛中遵循特定战术一样。如果团队的每个成员都做好自己的工作，团队就能推进并得分。有了预案，每个成员都知道自己的工作是一个更大机器的一部分，他们能够完成在应对事件或创建某种新系统并确保其尽可能安全运行时所设定的目标。
其他监督类型
不同安全组织可能使用的其他监督类型包括制定事件响应计划。
在事件响应中，你需要确保为那些发生坏事的时刻制定计划。总会有发生某种网络事件的日子。事件响应计划将帮助你了解你将如何响应，它将定义你的团队成员在做什么，并且你将能够以冷静、沉着和专注的方式处理问题。
业务连续性计划帮助我们了解在事件发生时，我们将如何继续推进并维持我们的底线，继续创造收入。
最后，我们有灾难恢复计划。我们如何从这场灾难中恢复？发生了某些事情，我们希望将服务恢复到最初的状态。这都是灾难恢复过程的一部分，所有这些都包含在事件响应过程的监督之下。
变更管理
接下来，我们需要确保遵循变更管理流程。我们在课程开始时讨论过这一点。我们需要确保遵循一个流程来改变不同的系统。我们要么更新或修补系统，跟踪这些变更，记录我们所做的事情，然后能够观察和监控这些系统，确保根据需要应用了补丁。但变更管理的关键在于文档记录、测试，然后应用这些变更以限制发生的工作中断。
软件开发监督
考试中提到的安全治理的最后一部分是软件开发的监督。
软件开发生命周期在此示例中分为五个不同的步骤：
- 规划：我们为特定项目制定需求。
- 分析：我们仔细研究哪些需求可以通过软件解决方案来满足。
- 设计：我们设计解决方案以满足那些经过分析的需求。
- 实施：我们实施该软件，确保正确推出并安全运行。
- 维护：解决它可能存在的任何不足，包括更新、发布补丁等。
然后整个过程重新开始。这就是我们提到软件开发生命周期时所讨论的内容。这以及我们刚刚讨论的所有术语，都是我们在Security+考试的安全治理部分会看到的内容。
总结
本节课中，我们一起学习了安全治理的各个核心组成部分。我们了解了指导方针作为非限制性边界的作用，基准作为行业最佳实践的参考，以及标准作为必须遵守的具体要求。我们还探讨了程序（如入职/离职）、预案、事件响应计划、业务连续性计划、灾难恢复计划以及变更管理流程。最后，我们回顾了软件开发生命周期作为软件开发监督的框架。所有这些元素共同构成了一个全面的安全治理体系，确保组织的安全计划得到有效规划、执行和监督。
070：资产管理
概述
在本节中，我们将学习资产管理。资产管理是保护组织安全的基础，它帮助我们追踪网络上的资产，明确哪些设备属于我们的网络，哪些不属于。
资产管理的重要性
保护组织时，能够追踪资产至关重要。这有助于确定哪些资产属于我们的网络，哪些不属于。
上一节我们介绍了安全管理的整体框架，本节中我们来看看资产管理。通过资产管理，我们可以对拥有的设备进行核算，并判断它们是否属于组织。
资产管理的核心要素
以下是资产管理的关键组成部分。
1. 追踪采购与获取
首先，我们需要能够追踪资产的获取过程。采购与获取涉及创建书面记录，追踪谁申请了该物品、我们从何处获得、谁提供的。这有助于追踪供应链，避免任何形式的供应链攻击。
2. 使用资产标签追踪单个资产
其次，我们需要能够追踪单个资产。为此，我们通常会使用资产标签。资产标签是一种半永久性、极难移除的标签，粘贴在设备上。如果强行移除，至少会留下一些证据表明该标签已被移除。有些标签含有特殊物质，当从塑料表面移除时，会蚀刻进塑料中，无法完全去除，通常会损坏所附着的设备。这为设备提供了永久性记录。
通过追踪资产标签上的ID号，可以追溯到原始的采购订单和来源。
3. 确定系统所有者
此外，每当收到新资产时，我们需要能够追踪系统所有者。我们会明确指定设备属于哪位员工。例如，计算机1023号属于Tommy，1024号属于Chuck。
这可以防止设备丢失后随意拿取同事的设备，也防止员工自行购买设备替换公司资产。所有权可以通过资产标签来固定和追踪。
4. 对无特定所有者的设备进行分类
对于没有特定所有者的设备，如复印机、咖啡机或休息室的冰箱，需要进行分类。这些设备根据其在组织中的位置来识别。例如，那是三楼的复印机，属于三楼；那个冰箱在四楼休息室。
分类允许我们根据设备的位置或功能来识别其角色。虽然没有个人所有者，但可以将其分配给一个“所有者空间”。
5. 建立资产清单与网络枚举
我们还可以利用资产标签创建系统清单。物理清单是我们拥有的所有物理资产的列表。
与之相对的是网络枚举，这是一种基于网络的逻辑列表。它列出的是网络上的设备。
我们需要对比物理清单和网络枚举列表。例如，我们购买了500台电脑，但网络上发现了520台设备，为什么数字不同？或者我们购买了500台电脑，但只有400台曾在网络上使用过，另外100台笔记本电脑发生了什么？
这有助于确定我们的库存是否与网络上的设备一致，并追踪这些设备在组织内的物理位置。当出现问题时，我们可以快速定位并恢复设备。
总结
本节课中，我们一起学习了资产管理。我们探讨了追踪采购、使用资产标签、确定所有者、对设备进行分类以及建立清单与枚举的重要性。掌握这些核心概念，对于有效管理组织资产、确保网络安全至关重要。
071：1.3 网络安全治理协议类型 📜
在本节课中，我们将要学习网络安全治理中的各种协议类型。这些协议定义了组织内部以及与外部合作伙伴之间的行为准则和责任关系，是构建安全框架的基础。
上一节我们介绍了网络安全治理的基本概念，本节中我们来看看一系列具体的协议类型。在CompTIA Security+考试中，会涉及许多缩写词，了解这些协议的含义至关重要。
标准操作规程
标准操作规程定义了组织内个人应如何执行不同的活动。这确保了每个步骤都按既定程序执行，并且执行得一丝不苟。
- SOP：标准操作规程。它规定了执行特定任务或流程的标准化步骤。
可接受使用政策
可接受使用政策为员工明确了在组织内什么是可接受的行为。它定义了在公司技术设备上允许和禁止的活动。
以下是AUP通常涵盖的内容：
- 允许的工作类型。
- 禁止访问的网站类别。
- 禁止使用个人邮箱等。
合作伙伴与服务协议
当组织需要与商业伙伴或服务提供商合作时，会使用一系列更正式的协议。这些协议明确了各方的责任和期望。
以下是几种常见的合作协议：
- MOU：谅解备忘录。这是一种非约束性的协议，类似于“纸面上的握手”，旨在表达合作意向，可以轻易解除。
- MOA：协议备忘录。这是一种具有法律约束力的协议，正式规定了各方的责任。解除MOA通常需要法律程序。
- BPA：商业伙伴协议。这是一种为长期合作伙伴关系设计的结构，明确规定了各方的投入和收益分配。
- NDA：保密协议。它保护在会议、通话等场合共享的信息，防止信息被泄露给未经授权的第三方。
- ISA：互连安全协议。当两个组织需要连接其网络时，ISA规定了各方如何保护对方的网络，例如在发生恶意软件爆发时如何断开连接。
- MSA：主服务协议。这是客户与服务提供商之间的总体框架协议，确立了双方的合作关系。
- SLA：服务等级协议。它定义了在MSA框架下，服务的具体类型、频率和最低可交付成果。SLA是衡量服务是否达标的关键依据。
- SOW：工作说明书。它定义了特定项目中将执行的具体工作内容。
- 工作订单：在SOW之下，具体的、可交付的单项任务指令。
本节课中我们一起学习了网络安全治理中的多种关键协议类型，从内部管理的SOP和AUP，到与外部合作的MOU、MOA、BPA等。理解这些协议的区别和用途，对于建立有效的安全治理体系和应对相关考试都非常重要。
072：渗透测试
概述
在本节课中，我们将要学习渗透测试。上一节我们介绍了漏洞扫描，本节中我们来看看如何主动利用这些漏洞，即通过渗透测试来模拟真实攻击，评估网络的安全性。
什么是渗透测试？
渗透测试，简称“渗透测试”，是指聘请一组经验丰富的“白帽”黑客，对我们发起模拟攻击。他们的目标是尝试利用在网络上发现和存在的漏洞。他们会利用这些漏洞，并进一步挖掘其他可能存在的弱点，最终向我们报告所有可能被攻击者获取的信息。
由于渗透测试会暴露大量敏感信息，因此需要与测试团队签订严格的协议。这些协议包括保密协议，以及对测试范围和行为的限制。测试团队会记录所有发现，并向我们提供详细的报告。在“入侵”之后，他们会将系统恢复原状。这是一种探索所有漏洞及其潜在危害的有效方法。
渗透测试与漏洞扫描的区别
这与漏洞扫描不同。漏洞扫描是基于软件的自动化过程。渗透测试则是基于人的，无法完全自动化。虽然渗透测试团队会使用特定的脚本和程序，但漏洞扫描只是你可以自行运行的持续扫描。渗透测试则是模拟真实攻击者，实际尝试“入侵”系统。
渗透测试的类型
在渗透测试中，我们模拟攻击。我们让某人“入侵”我们的网络，扮演攻击者的角色。这主要有两种形式：物理渗透测试和基于网络的渗透测试。
以下是两种主要类型的渗透测试：
- 物理渗透测试：测试物理安全措施。例如，尝试进入一个安全设施，评估门禁、警报和安保人员的反应。
- 基于网络的渗透测试：测试网络安全。尝试通过网络入侵系统，窃取信息，利用计算机漏洞，或诱骗用户泄露信息。
有时这两种形式会结合使用，测试团队会同时进行物理和网络渗透，以全面评估安全状况。
信息收集：侦察
在执行渗透测试时，需要收集目标组织的信息。主要有两种侦察类型：被动侦察和主动侦察。
以下是两种侦察方式的区别：
- 被动侦察：从远处收集信息，不直接与目标互动。例如，在设施外观察员工进出规律，或在网络上监听数据流量而不发送任何数据包。
- 主动侦察：直接与目标互动以获取信息。例如，向服务器发送数据包并分析响应，或伪装身份进入设施内部观察安防布局。主动侦察通常会在被动侦察之后进行，以减少被发现的可能。
测试环境考量
当客户聘请渗透测试公司时，需要考虑三种不同的测试环境。
以下是三种主要的测试环境：
- 未知环境：也称为“黑盒测试”。测试团队对目标系统一无所知，需要从零开始侦察。
- 已知环境：也称为“白盒测试”。客户向测试团队提供所有相关信息，如网络拓扑图、系统版本、用户列表等。
- 部分已知环境：也称为“灰盒测试”。客户只提供部分信息，例如公开的IP地址或部分系统类型，介于黑盒与白盒之间。
在CompTIA Security+考试中，需注意这些术语及其对应的测试深度。
总结
本节课中我们一起学习了渗透测试的核心概念。我们了解了渗透测试是通过模拟真实攻击来主动利用漏洞的安全评估方法，它与自动化的漏洞扫描有本质区别。我们探讨了物理与网络两种测试类型，以及被动与主动两种侦察方式。最后，我们明确了在规划测试时需要考虑的三种环境：未知环境、已知环境和部分已知环境。理解这些概念对于构建全面的安全防御策略至关重要。
073：第14章第1节第5讲 - 审计与评估 🧾
在本节课中，我们将学习如何通过创建审计与评估来检查组织的安全状况，以保护组织及其安全。这是确保组织运营符合法规和内部标准的关键环节。
上一节我们介绍了安全监控的整体框架，本节中我们来看看具体的审计与评估类型。
合规性审计
首先，我们将探讨合规性审计。这指的是组织为了确保自身行为符合初始法规、法律、法令等要求而进行的评估或审计。
以下是几种常见的审计与评估形式：
- 审计委员会：由一组个人组成的机构，负责检查董事会的运营，确保组织行为符合相关法律法规。该委员会独立于组织的管理层。
- 自我评估：对组织结构和运营进行的非正式检查，是了解运营状况的一种方式。
外部审计
然而，更正式的做法是依赖外部审计。通过外部审计，我们可以进行监管审计或评估，目的是保持对法规的遵守。法规可能要求我们创建或执行此类审计，以证明我们正在履行承诺并处于合规状态。
以下是外部审计的两种主要形式：
- 正式评估：对组织健康状况的全面检查，确保我们合规且正式地执行了必要的工作。
- 第三方审计：邀请外部人员进入组织，对我们所做的事情进行审计，不受任何偏见或主观意见的影响。我们依赖第三方来告知实际情况。通过这种方式，我们可以获得关于自身行为的诚实评估。
正式检查与证明
最后，我们可以进行正式检查。检查是指由第三方进行的、非常正式的评估类型，这种评估将非常详尽，并覆盖整个组织。
完成审计后，我们需要确保其准确性，这涉及到证明环节。证明是指最终有人签署报告，声明“我证明此报告内容属实，这些发现是正确的”，并署上自己的名字。这通常由组织的首席执行官或其他高管完成，他们将为审计的准确性作证。
在本节课中，我们一起学习了多种审计与评估方法，包括合规性审计、自我评估、外部正式评估、第三方审计以及最终的正式检查与证明。理解这些概念对于在Security+考试中取得好成绩至关重要。
074：第三方监督 👁️
在本节中，我们将探讨如何与其他组织建立合作关系。
每当准备签订合同协议时，在正式达成协议之前，我们都需要核对一些特定事项。在关于第三方监督的这部分内容里，我们将了解与此概念相关的一些术语和概念。
选择供应商时的考量
以下是选择供应商时需要考虑的几个关键方面。
- 渗透测试要求：你可能要求供应商完成渗透测试。记住，渗透测试是主动寻找不同漏洞并可能利用这些漏洞，以了解攻击者若能侵入该网络可以获取什么。
- 审计权条款：我们可以提出审计权条款，表明如果我们达成此协议，我们保留获取其内部审计报告或自费对其进行外部审计的权利。
- 内部审计证据：你可能希望看到内部审计的证据。我们不需要查看可能包含你不愿与我们分享的信息和细节的内部审计报告，但至少需要确认你已完成审计并已提交给相关主管机构。
- 独立评估报告：如果进行了独立评估，我们也应获得一份副本。这可能是出于合规或监管原因的要求。我们保留索取该报告副本的权利，或者，如果我们建立合作关系，你应该主动发送一份副本给我们。
- 供应链分析：你可能还需要深入进行供应链分析。我们不希望自己的组织成为供应链攻击的受害者，因此我们将调查你作为供应商，了解你的供应商是谁，他们的安全性如何。因为如果那个供应商或供应商被攻击，对我们来说也可能是个问题。我们可能是目标，但攻击者会通过供应商或其供应商来攻击我们。因此，在与供应商建立伙伴关系或协议时，进行所有这些检查对于选择合适的供应商至关重要。
尽职调查与利益冲突
上一节我们介绍了选择供应商时的具体检查项，本节中我们来看看更宏观的决策原则：尽职调查和避免利益冲突。
进行尽职调查是许多组织的要求。如果你不考虑我们可能产生利益冲突的所有方式，或者不考虑该供应商或供应商可能无法帮助我们的所有情况，那将不是一个专业的决定。他们可以告诉我们他们能做到，但他们真的能兑现吗？他们真的能提供我们要求的服务吗？
关于我提到的利益冲突，你需要确保你是自由的，并且是在没有任何利益冲突的情况下做出这些决定。
- 财务利益披露：你需要披露是否存在任何财务往来。如果我们这样做，是否会发生某种回扣，或者这会改变我们的考量吗？
- 个人利益冲突：我们是否存在任何个人利益冲突？也许我们的CEO大量投资了这家特定的公司。这会影响我们的判断吗？
- 竞争性利益冲突：我们要确保没有任何竞争性利益冲突。如果我们雇佣一个供应商，我们要确保他们不是我们竞争对手的子公司。因为那样我们就是在从竞争对手那里购买服务，把钱放进他们的口袋。我们不希望发生这种情况。
- 内幕信息：我们还要确保我们的决定不受任何可能使此次特定供应商选择非法或不道德的内幕信息影响。
这整个利益冲突问题都是为了确保我们在没有任何潜在责任的情况下，为组织做出最佳决策。
持续监控与评估
在选定供应商并签订协议后，工作并未结束。我们需要持续监控这些供应商。
确保他们安全运营，没有因其供应商带来的任何风险或问题，因为如果他们向我们提供服务或产品，他们的问题就会变成我们的问题。确保他们做了该做的事，并确保他们以他们声称能够达到的能力水平运营，是确保我们自身安全的一部分。
最后，我们希望向这些供应商发送调查问卷。问卷会询问他们：你们在做这个吗？你们有这些安全计划吗？你们的员工有网络安全意识吗？你们是否处于网络安全防御状态？你们在保护自己网络方面有多积极？因为你们网络的健康状况将决定我们网络的健康状况。
这些是在签订第三方协议时需要关注的一些术语，也是我们可能在Security+考试中看到的一些术语。
总结
本节课中我们一起学习了与第三方监督相关的关键概念。我们探讨了选择供应商时的具体检查项，如要求渗透测试、设立审计权条款以及进行供应链分析。接着，我们了解了尽职调查的重要性以及如何避免各种利益冲突，包括财务、个人和竞争性冲突。最后，我们强调了持续监控供应商和通过问卷调查进行评估的必要性，以确保合作伙伴的安全状况不会危及我们自身组织的安全。掌握这些知识对于建立安全可靠的第三方合作关系至关重要。
075：法律考量事项 🧑⚖️
在本节中，我们将探讨组织需要考虑的各种法律和法规。本节关于法律考量的内容深入探讨了这些主题，并概述了在Security+考试中我们需要了解的一些法律。
概述
在本节课中，我们将学习不同层级（地方、国家、国际）以及不同行业（如教育、医疗、金融）中适用的关键法律和法规。我们还将了解组织治理结构和可提供帮助的政府机构。
法律与法规的层级
首先，我们需要认识到，法律必须在州/地方、国家以及国际层面得到遵守。
州和地方层面
州和地方层面的法律因地区和司法管辖区而异。
国家层面
在国家层面，根据您所在的行业，有许多不同的国家法律必须遵守。
国际层面
在国际层面，这里提到了GDPR（通用数据保护条例）。GDPR是由欧盟通过的综合性数据隐私法。它被认为是国际性的，因为欧盟的每个成员国都是主权国家。根据定义，在欧盟框架下，它们的行为都具有国际性。每个国家都有自己的法律，但它们都遵循相同的GDPR。
行业合规与法规
除了通用法律，我们还需要留意各种行业合规与法规。这取决于您所处的行业。不同行业根据法律和监管该特定行业的机构，有不同的要求。在行业合规与法规方面，我们必须遵守这些规定，否则将面临严厉处罚、吊销执照等后果。
接下来，我们将介绍一些我们必须遵守的法律和法规。
关键合规与法规类型
以下是几种我们必须遵守的不同类型的合规与法规。
隐私法规
- GDPR：欧盟的通用数据保护条例。
- CCPA：加州消费者隐私法案。它保护加州居民的数据和隐私不被窃取。即使您不是加州公民，您仍然受益于CCPA。例如，根据CCPA，消费级家用互联网路由器的无线网络不会使用标准的默认用户名、密码和网络名称，而是会分配一个看似由随机字母和数字组成的唯一网络名称和凭据。这是为了解决用户使用默认设置导致大量网络犯罪活动的问题。
教育领域法规
如果您与儿童合作或在教育领域工作，必须遵守一些不同的合规政策。
- FERPA：家庭教育权利和隐私法案。这意味着您不能将学生的信息分享给其父母或监护人以外的任何人。
- CIPA：儿童互联网保护法案。该法案要求学校和图书馆为儿童过滤互联网活动，以防止他们接触网络上的任何露骨信息。在孩子们连接互联网之前，这些内容已被过滤。
- COPPA：儿童在线隐私保护法案。您是否注意到，注册某些网络应用时，它会询问“您是否年满13岁”？原因就是COPPA。COPPA规定，对于13岁或以下的个人，不能存储其任何信息。对于13至18岁的青少年，随着COPPA 2.0的通过，这将限制未成年人可拥有的账户数量，并普遍禁止社交媒体组织向未成年人推送和提供有害内容。
医疗领域法规
在医疗保健领域，我们有HIPAA（健康保险流通与责任法案）。该法案保护您与医疗保健提供者、医生或药房共享的个人隐私信息，防止这些信息被盗用于身份盗窃。
金融服务领域法规
- GLBA：格雷姆-里奇-比利雷法案。如果您是一家上市公司，您必须遵守该法案，并向投资者和股东提供某些披露信息。
- PCI DSS：支付卡行业数据安全标准。这几乎肯定会出现在您的CompTIA Security+考试中。PCI DSS关注的是，如果您接受支付卡（行业术语，指信用卡、借记卡或由Visa、万事达卡、美国运通、发现卡等支付卡领域大型发行方发行的礼品卡），那么组织必须如何保护自己免受金融欺诈、浪费和滥用。金融服务公司或任何接受支付卡的公司都必须遵守PCI DSS。请注意，CompTIA通常会以自愿性法规的例子来考察PCI DSS。您不一定必须接受信用卡，但在这个时代，有多少公司不接受支付卡呢？因此，您不必遵守PCI DSS，只是如果您不遵守，就不能使用信用卡。如果您接受信用卡，则必须遵守PCI DSS。它是自愿的，但由于市场力量，又“并非完全自愿”。因此，PCI DSS是CompTIA用来举例说明组织“自愿选择”遵守的法规。
其他法规
还存在其他类型的合规与法规，例如FISMA（联邦信息安全现代化法案）和CJIS（刑事司法信息服务安全法案）。这些法规监督在各自行业中运营的组织。
组织治理结构
在组织如何管理自身方面，通常会有一个董事会提供监督。这些董事会由最了解特定组织角色和发展轨迹及其业务类型的行业人士组成。他们可能并不总是具备网络安全意识，可能不理解所有技术，甚至可能对此感到畏惧。因此，有时董事会会授权给一个由更贴近相关主题的专家组成的委员会，由其提供见解和监督，并向董事会汇报。委员会在董事会的授权下运作，但董事会将其责任委托给委员会，通常只是“橡皮图章式”地批准委员会的建议。因此，委员会为董事会服务，董事会提供总体监督，委员会则为其成立的特定主题提供有针对性的监督。
治理的两种结构
我们还有两种不同的治理结构：集中式监督和分散式监督。
- 集中式监督是“一刀切”的模式。例如，一家大公司有总部，然后在其他地方有许多卫星办公室。对于这些卫星办公室，我们可能需要承担安全责任。采用集中式监督，我们可能会说：“是的，我们将在总部实施这些安全措施，并在所有其他站点做同样的事情。”这意味着，在我们拥有100名或更多员工的总部办公室，与在郊区某个可能只容纳四五个人的小型通勤办公室，我们将实施完全相同的安全控制措施。这对于我们谈到的小型办公室来说可能是完全不必要的。
- 因此，我们可能更倾向于采用分散式监督。分散式监督是指，根据每个办公室的规模和位置，我们将实施不同的安全控制措施，或者这些控制措施的表现形式可能不同。因此，适用于我们总部大楼的方案可能完全不同于某个较小的卫星办公室。
提供协助的政府机构
此外，我们还有许多不同的政府实体可以帮助我们组织进行安全运营。
- 监管机构：通常有监管机构提供我们之前谈到的法律和法规方面的监管监督。
- 情报机构：例如CIA（中央情报局），它们会收集外国对手的情报，并将其提供给我们本地机构。
- 执法机构：例如FBI（联邦调查局），它们将提供关于美国境内内部行为者的情报给我们的成员。它们会关注正在进行的活动类型，以及我们如何最好地保护他人，应该向某些网络安全组织提供何种预警。
- 国防和军事组织：例如NSA（国家安全局），或每个联邦军事分支（陆军、海军、空军、海军陆战队、太空军，甚至海岸警卫队）都有自己的网络作战部门。它们都可以提供情报和可操作信息，帮助组织更好地保护自己。
- 数据保护机构：确保客户和消费者信息受到保护，不会在大规模地在黑市上出售。我们希望确保这类数据被捕获并得到保护，而数据保护机构将站在消费者的前沿进行监督。
- 国家网络安全机构：这里想到的是像CISA（网络安全和基础设施安全局）这样的组织。CISA在国家/联邦政府层面提供防御性项目的监督，并拥有随时准备通过区域办公室帮助不同组织的专家。
请留意这些术语和概念，它们可能会出现在您的Security+考试中。
总结
本节课中，我们一起学习了组织运营时必须考虑的多层次法律框架，包括地方、国家和国际法规。我们探讨了针对隐私、教育、医疗和金融等特定行业的关键合规要求，如GDPR、HIPAA和PCI DSS。我们还了解了组织的两种治理结构（集中式与分散式监督）以及董事会和委员会的角色。最后，我们认识了能够为组织网络安全提供支持与情报的各类政府机构，如监管机构、情报机构和CISA。理解这些法律考量和治理结构对于构建合规且有效的安全计划至关重要。
076：安全意识培训
在本节中，我们将探讨组织如何确保其员工和用户保持网络安全意识。我们将介绍安全意识培训所围绕的一些核心概念。
概述
在本节中，我们将学习为何以及如何进行网络安全意识培训。我们将了解培训的目标、常用方法以及一个系统化的培训开发模型。目标是让初学者理解如何通过有效的培训，帮助用户识别风险、避免错误，从而提升组织的整体安全水平。
为何进行安全意识培训
首先，我们来看看为用户开展网络安全培训的方式和原因。核心目标是让用户能够识别工作场所或网络中出现的任何异常活动。我们希望用户能够识别高风险和意外的行为，以及那些由用户无意中造成但仍可能对组织造成损害的失误。
许多组织依赖网络钓鱼意识模拟器。在InfoSec，我们拥有名为“IQ”的网络钓鱼模拟器。该工具会向员工发送模拟的钓鱼邮件。如果用户点击了过多的恶意链接，他们最终将“免费获得”一次强制培训。这就是网络钓鱼意识培训的一种方式。
培训形式与内容
除了模拟测试，我们还有用户指导和培训视频，例如“Workbytes”系列。这是InfoSec制作的一个视频系列。事实上，我的一位朋友即将登场，他正是这些培训视频中的明星。
（视频角色Clack登场互动环节...）
正如刚才与Clack的互动所示，在这些培训视频中，我们会共同探讨许多主题。内容包括识别内部威胁的不同方法、密码管理，当然还有社会工程学等。通过使用可关联的媒体，以轻松有趣的方式涵盖各种密码和安全主题，是开展网络安全培训的有效途径。
系统化培训开发：ADDIE模型
那么，我们出于多种原因开展网络安全培训。在培训他人时，我们通常会遵循一个名为ADDIE的开发模型。这是一个系统化的教学设计过程：
以下是ADDIE模型的五个阶段：
- 分析：分析目标受众的需求。
- 设计：基于分析结果，设计培训方案。
- 开发：开发具体的教学材料。
- 实施：实际执行并开展培训。
- 评估：评估培训效果，确保达到目标。
在实施阶段，你需要确保培训满足用户需求，并能够影响他们的行为，留下持久的印象。
培训的评估与监控
进行此类培训时，必须确保对过程进行报告和监控。这意味着需要收集用户的培训日志，并确认我们旨在改变的行为确实发生了改变。
我们将衡量两种效果：
- 初始有效性：培训后几天或一周内，用户的行为发生了哪些变化。
- 持续有效性：由于网络安全培训而产生的那些长期行为改变。
总结
本节课中，我们一起学习了组织进行用户安全意识培训的原因和方法。我们探讨了通过模拟测试（如钓鱼演练）和多媒体内容（如培训视频）进行培训的实践。更重要的是，我们介绍了一个系统化的ADDIE模型（分析、设计、开发、实施、评估）来指导培训的开发与执行。最后，我们强调了通过收集日志和衡量短期与长期行为改变来评估培训效果的重要性。所有这些努力都是为了保护我们的用户，并为组织可能发生的网络安全事件做好准备。
浙公网安备 33010602011771号