【CISSP备考笔记】第1章：安全与风险管理
第一章：安全与风险管理
1.1 安全基本原则（CIA）
机密性（Confidentiality）：确保信息在存储、使用、传输过程中不会泄露给非授权用户或实体。
- 加密静止数据（整个磁盘、数据库加密）
- 加密传输（IPSec、SSL、PPTP、SSH）中的数据
- 访问控制（物理和技术的）
完整性（Integrity）：确保信息在存储、使用、传输过程中不会被非授权篡改，防止授权用户或实体不恰当地修改信息，保持信息内部和外部的一致性。
- 散列（数据完整性）
- 配置管理（系统完整性）
- 变更控制（进程完整性）
- 访问控制（物理和技术的）
- 软件数字签名
- 传输循环冗余校验（Cyclic Redundancy Check,CRC）功能
可用性（Availability）：确保授权用户或实体对信息及资源的正常使用不会被异常拒绝，允许其可靠而及时地访问信息及资源。
- 独立磁盘冗余阵列（RAID）
- 群集
- 负载均衡
- 冗余数据和电源线
- 软件和数据备份
- 磁盘映像
- co-location和异地备用设备
- 回滚功能
- 故障切换配置
与之相反的DAD三元组：
泄露（Disclosure）、篡改（Alteration）、破坏（Destruction）
1.2 安全定义
脆弱性（Vulnerability）：系统中允许威胁来破坏其安全性的缺陷
威胁（Threat）：利用脆弱性而带来的任何潜在危险
风险（Risk）：威胁源利用脆弱性的可能性以及相应的业务影响
暴露（Exposure）：造成损失的实例
控制（Control）或对策（countermeasure）：能够消除或降低潜在的风险
1.3 控制类型
管理控制：安全文档、风险管理、人员安全和培训
技术控制：逻辑控制，由软件或硬件组成，如防火墙，入侵检测系统，加密，身份识别和身份验证机制
物理控制：用来保护设备，人员和资源，保安，锁，围墙，照明
安全控制措施的功能：威慑性、预防性、检测性、纠正性、恢复性、补偿性。
1.4 安全框架
ISO/IEC 2700系列：安全控制管理的最佳行业实践
27001 体系建设--管理系统要求
27002 最佳实践—怎么做
27003 实施指南
27004 测量标准
27005 风险管理标准
企业架构开发：Zachman框架--企业架构框架 、开放群组架构框架（TOGAF）、美国国防部架构框架（DoDAF）、英国国防部架构框架（MODAF）、SABSA--应用安全架构
安全控制开发：COBIT 5IT治理模型 NIST SP800-53 COSO 内部控制--综合框架，企业治理模型
过程管理开发：ITIL IT服务管理最佳实践、六西格玛（SIX Sigma） 、能力成熟度模型（CMMI）
1.5 计算机犯罪法的难题
犯罪类型：
计算机辅助犯罪（Computer-assisted crime）：使用计算机作为工具来帮助实施犯罪
判断依据：不使用计算机，仍然可以实施计算机辅助犯罪，如攻击竞争对手，商业间谍获取机密商业数据
针对计算机的犯罪（Computer-targeted crime）：计算机成为专门针对它们进行攻击的受害者
判断依据：针对计算机的犯罪，没有计算机就不可能发生，如DDOS、捕获密码、安装恶意软件和rookit等
计算机牵涉型攻击（Computer is incidental）：攻击发生时碰巧涉及其中
判断依据：计算机没有攻击其他计算机，计算机也没有受到攻击，但是计算机仍然以某种重要的方式参与。
1.6 网络犯罪的复杂性
电子资产
数据是一种资产
攻击的演变
从脚本小子到APT
国际问题
犯罪跨境的复杂性，针对网络犯罪尝试创建国际标准
安全港隐私原则，应对欧洲隐私原则的方式
法律类型
民法（民事准则）：欧洲大陆国家使用的法律体系，基于准则而非优先权，基于规则的法律，而不是基于程序的法律。
普通法：优先权自上而下，基于对法律的先前解释。
刑法：坐牢。
民法/民事侵权行为：常常规定有责任的一方向受害方进行赔偿
行政（管理）法：监管表现和行为的规范标准。
习惯法：主要处理个人行为和行为模式。
宗教法律体系：基于该地区的宗教信仰。
混合法律体系：最常见的是由民法和普通法组成。
1.7 知识产权法
商业秘密
公司保密的，带来竞争优势的信息，如产品配方、程序源代码、加密算法
商业秘密法保护某些类型的资源不被未授权使用或公开
版权
版权法保护原创作品的作者控制其原创作品公开发行、翻印、展览和修改的权利
商标
保护单词、名称、符号、声音、形状、颜色、设备或这些项的组合
专利
最强的知识产权保护形式，授予个人或公司的法律所有权，如药品配方和加密算法。
1.8 隐私
个人可标识信息（Personally Identifiable Information,PII）
1.9 数据泄露
个人可标识信息（PII）
知识产权（IP）
个人健康信息（PHI）
机密信息或者可能对个人或组织造成损害的任何其他信息
1.10 策略、标准、基线、指南和过程
方针：由组织的高级管理者发布，关于信息安全最一般性的声明。
安全策略：高级管理层的一份全面声明
规章性策略
建议性策略
指示性策略
标准：强制性的活动、动作或规则
基线：用于定义所需要的最低保护级别
指南：提供建议性动作和操作
措施：为了达到特定目标而应当执行的详细的、分步骤的任务
实施：实现和实施，实行应尽关注职责
流程：所有的人员都必须遵循的具体操作。
- 11-14 风险管理
风险管理（Risk Management,RM）:识别并评估风险，将风险降低至可接受级别并确保能维持这种级别的过程。
风险评估方法能够识别脆弱性和威胁以及评估可能造成的损失，从而确定如何实现安全防护措施
风险分析方法：
定量的风险分析：提供正式的成本/收益分析。
资产价值*暴露因子=单一损失预期 Value * EF = SLE
单一损失预期* 年发生率=年度损失预期 SLE * ARO =ALE
定性的风险分析
定性分析技术包括判断、最佳实践、直觉和经验
资产价值*暴露因子=单一损失预期 Value * EF = SLE
单一损失预期* 年发生率=年度损失预期 SLE * ARO =ALE
（实施防护措施前的ALE）-（实施防护措施后的ALE）-（防护措施每年的成本）=防护措施对公司的价值
威胁*脆弱性*资产价值=总风险
（威胁*脆弱性*资产价值）*控制间隙=剩余风险
总风险-对策=剩余风险
什么是风险管理？识别风险+评估风险+控制风险+可接受风险 == 风险管理机制
识别风险：识别信息资产+识别威胁+识别弱点+现有控制措施
评估风险：损害影响程度+发生的可能性=概率（数值）
控制风险：根据高层的风险偏好程度，进行控制风险（风险降低、转移（外包、保险）、规避（放弃业务）、接受（什么措施都不做）），投钱投人作处理这风险，投多少钱是合理的？ALE就是每年对于风险投入的预算。
可接受风险水平：残余风险可接受。
- 15 BCP&DRP
最高可承受的停机时间（MTD）
恢复时间目标（RecoveryTime Object，RTO）：从灾难恢复所花费的时间。
工作恢复时间（Work Recovery Time，WRT）：在RTO已经超时后整个MTD值的剩余。
恢复点目标（Recovery Point Objective，RPO）：同一场灾难中可容忍的数据丢失量，用时间表示。
业务影响分析（Business Impact Analysis，BIA）的三个主要目标是：优先级排序、停机时间预估和资源需求。考虑到BIA的重点是业务流程，业务影响分析应该强调依赖关系。
设施恢复--异地租用设施：
完备场所（hot site）：几个小时就可以投入运行，最昂贵。
基本完备场所（warm site）：只进行部分配置，提供一个配备一些外网设施的备用设施。
基础场所（cold site）：提供基本环境、电路、空调、管道和地板，但不提供设备或其他服务，空数据中心，最便宜。
互惠协议：与其他异地选择相比，这种方法更便宜，但会面临很多问题。
冗余场所：完全的可用性、可即刻投入使用和受组织的完全控制，最昂贵的备份设施选项。
滚动完备场所或移动完备场所：大型卡车移动的数据中心。
多处理中心：在世界各地拥有不同的设施。
数据备份方案：
完全备份：对所有数据进行备份。 1-0
差量备份：对最近完全备份以来发生变化的文件进行备份。 不改变档位1
增量备份：对最近完全备份或增量备份以来发生改变的所有文件进行备份。 1-0
电子备份解决方案：
磁盘映像（disk duplexing）：两个或多个硬盘保存完全相同的数据。
电子传送（electronic vaulting）：在文件发生变化时进行备份，再定期将它们传送到一个异地备份站点。电子链接：为实现备份而向异地设施传送批量信息的方法。异地备份方式。
远程日志（remote journaling）：离线数据传输方法，只将日志或事务日志传送到异地设施，而不传送文件。数据库备份方式。
磁带传送：数据备份到磁带上，手动运输到异地设施。自动磁带传送技术，数据通过一条串行线路传送到异地设施的备份磁带系统。
同步复制：实时复制
异步复制：数据复制不同步
磁带恢复：对恢复时间要求不高。
高可用性：
冗余、容错和故障转移技术
数据可通过磁带、电子传送、同步或异步复制或者RAID来进行恢复。
处理能力可通过群集、负载均衡、镜像、冗余、容错技术来恢复。
1.16 人员安全
职责分离（Separation of duties）：是一种预防性的管理控制，落实到位，可以减少潜在的欺诈。知识分割与双重控制是职责分离的两种方式。
岗位轮换（Rotation of duties）：管理检测控制，落实到位则可以发现欺诈活动。减少合谋而采取的最佳实践。
强制休假（Mandatory vacation）：在敏感领域工作额员工被强迫去度假，可以检测到欺诈性的错误或活动。
思维导图：
题目要点：
1、年度损失预期(SLE)的目的：估计一年时间内威胁的损失。
2、定量分析是一种在风险评估中危资产评估价值的方法。实现难度主要是处理定量元素必须使用定量措施，很难估量。
3、不确定分析让风险管理的结果 ，可以被明智地使用。
4、定性风险分析相比定量风险风险的优点：区分风险优先级，并识别需要立即实施解决漏洞的整改措施。
5、当发现机构信息系统受到入侵时，应当首先采取的操作：确定系统和数据受损程度。
6、完全中断测试，是在成功完成并行测试后执行的最完整的灾难恢复计划测试类型。
