【CISSP备考笔记】第1章:安全与风险管理

第一章:安全与风险管理

1.1 安全基本原则(CIA)

机密性(Confidentiality):确保信息在存储、使用、传输过程中不会泄露给非授权用户或实体。
  - 加密静止数据(整个磁盘、数据库加密)
  - 加密传输(IPSec、SSL、PPTP、SSH)中的数据
  - 访问控制(物理和技术的)

完整性(Integrity):确保信息在存储、使用、传输过程中不会被非授权篡改,防止授权用户或实体不恰当地修改信息,保持信息内部和外部的一致性。
  - 散列(数据完整性)
  - 配置管理(系统完整性)
  - 变更控制(进程完整性)
  - 访问控制(物理和技术的)
  - 软件数字签名
  - 传输循环冗余校验(Cyclic Redundancy Check,CRC)功能

可用性(Availability):确保授权用户或实体对信息及资源的正常使用不会被异常拒绝,允许其可靠而及时地访问信息及资源。
  - 独立磁盘冗余阵列(RAID)
  - 群集
  - 负载均衡
  - 冗余数据和电源线
  - 软件和数据备份
  - 磁盘映像
  - co-location和异地备用设备
  - 回滚功能
  - 故障切换配置

  与之相反的DAD三元组:
  泄露(Disclosure)、篡改(Alteration)、破坏(Destruction)

1.2 安全定义

脆弱性(Vulnerability):系统中允许威胁来破坏其安全性的缺陷
威胁(Threat):利用脆弱性而带来的任何潜在危险
风险(Risk):威胁源利用脆弱性的可能性以及相应的业务影响
暴露(Exposure):造成损失的实例
控制(Control)或对策(countermeasure):能够消除或降低潜在的风险

1.3 控制类型

管理控制:安全文档、风险管理、人员安全和培训
技术控制:逻辑控制,由软件或硬件组成,如防火墙,入侵检测系统,加密,身份识别和身份验证机制
物理控制:用来保护设备,人员和资源,保安,锁,围墙,照明

安全控制措施的功能:威慑性、预防性、检测性、纠正性、恢复性、补偿性。

1.4 安全框架

ISO/IEC 2700系列:安全控制管理的最佳行业实践

27001           体系建设--管理系统要求
27002           最佳实践—怎么做
27003           实施指南
27004           测量标准
27005           风险管理标准

企业架构开发:Zachman框架--企业架构框架 、开放群组架构框架(TOGAF)、美国国防部架构框架(DoDAF)、英国国防部架构框架(MODAF)、SABSA--应用安全架构

安全控制开发:COBIT 5IT治理模型  NIST SP800-53   COSO 内部控制--综合框架,企业治理模型

过程管理开发:ITIL IT服务管理最佳实践、六西格玛(SIX Sigma) 、能力成熟度模型(CMMI)

1.5 计算机犯罪法的难题

犯罪类型:
计算机辅助犯罪(Computer-assisted crime):使用计算机作为工具来帮助实施犯罪
判断依据:不使用计算机,仍然可以实施计算机辅助犯罪,如攻击竞争对手,商业间谍获取机密商业数据

针对计算机的犯罪(Computer-targeted crime):计算机成为专门针对它们进行攻击的受害者
判断依据:针对计算机的犯罪,没有计算机就不可能发生,如DDOS、捕获密码、安装恶意软件和rookit等

计算机牵涉型攻击(Computer is incidental):攻击发生时碰巧涉及其中
判断依据:计算机没有攻击其他计算机,计算机也没有受到攻击,但是计算机仍然以某种重要的方式参与。

1.6 网络犯罪的复杂性

电子资产
    数据是一种资产
攻击的演变
    从脚本小子到APT
国际问题
    犯罪跨境的复杂性,针对网络犯罪尝试创建国际标准 
    安全港隐私原则,应对欧洲隐私原则的方式
法律类型
    民法(民事准则):欧洲大陆国家使用的法律体系,基于准则而非优先权,基于规则的法律,而不是基于程序的法律。
    普通法:优先权自上而下,基于对法律的先前解释。
        刑法:坐牢。
        民法/民事侵权行为:常常规定有责任的一方向受害方进行赔偿
        行政(管理)法:监管表现和行为的规范标准。
    习惯法:主要处理个人行为和行为模式。
    宗教法律体系:基于该地区的宗教信仰。
    混合法律体系:最常见的是由民法和普通法组成。

1.7 知识产权法

商业秘密
    公司保密的,带来竞争优势的信息,如产品配方、程序源代码、加密算法
    商业秘密法保护某些类型的资源不被未授权使用或公开
版权
    版权法保护原创作品的作者控制其原创作品公开发行、翻印、展览和修改的权利
商标
    保护单词、名称、符号、声音、形状、颜色、设备或这些项的组合
专利
    最强的知识产权保护形式,授予个人或公司的法律所有权,如药品配方和加密算法。

1.8 隐私
个人可标识信息(Personally Identifiable Information,PII)
1.9 数据泄露
个人可标识信息(PII)
知识产权(IP)
个人健康信息(PHI)
机密信息或者可能对个人或组织造成损害的任何其他信息

1.10 策略、标准、基线、指南和过程

方针:由组织的高级管理者发布,关于信息安全最一般性的声明。
安全策略:高级管理层的一份全面声明
        规章性策略
        建议性策略
        指示性策略
标准:强制性的活动、动作或规则
基线:用于定义所需要的最低保护级别
指南:提供建议性动作和操作
措施:为了达到特定目标而应当执行的详细的、分步骤的任务
实施:实现和实施,实行应尽关注职责
流程:所有的人员都必须遵循的具体操作。
  1. 11-14 风险管理

  风险管理(Risk Management,RM):识别并评估风险,将风险降低至可接受级别并确保能维持这种级别的过程。

  风险评估方法能够识别脆弱性和威胁以及评估可能造成的损失,从而确定如何实现安全防护措施

  风险分析方法:

定量的风险分析:提供正式的成本/收益分析。
                    资产价值*暴露因子=单一损失预期  Value * EF = SLE
                    单一损失预期* 年发生率=年度损失预期  SLE * ARO =ALE
定性的风险分析
                    定性分析技术包括判断、最佳实践、直觉和经验
资产价值*暴露因子=单一损失预期  Value * EF = SLE
单一损失预期* 年发生率=年度损失预期  SLE * ARO =ALE
(实施防护措施前的ALE)-(实施防护措施后的ALE)-(防护措施每年的成本)=防护措施对公司的价值
威胁*脆弱性*资产价值=总风险
(威胁*脆弱性*资产价值)*控制间隙=剩余风险
总风险-对策=剩余风险

 

什么是风险管理?识别风险+评估风险+控制风险+可接受风险 == 风险管理机制

识别风险:识别信息资产+识别威胁+识别弱点+现有控制措施

评估风险:损害影响程度+发生的可能性=概率(数值)

控制风险:根据高层的风险偏好程度,进行控制风险(风险降低、转移(外包、保险)、规避(放弃业务)、接受(什么措施都不做)),投钱投人作处理这风险,投多少钱是合理的?ALE就是每年对于风险投入的预算。

可接受风险水平:残余风险可接受。

  1. 15 BCP&DRP
最高可承受的停机时间(MTD)
恢复时间目标(RecoveryTime Object,RTO):从灾难恢复所花费的时间。
工作恢复时间(Work Recovery Time,WRT):在RTO已经超时后整个MTD值的剩余。
恢复点目标(Recovery Point Objective,RPO):同一场灾难中可容忍的数据丢失量,用时间表示。

业务影响分析(Business Impact Analysis,BIA)的三个主要目标是:优先级排序、停机时间预估和资源需求。考虑到BIA的重点是业务流程,业务影响分析应该强调依赖关系。

设施恢复--异地租用设施:
完备场所(hot site):几个小时就可以投入运行,最昂贵。
基本完备场所(warm site):只进行部分配置,提供一个配备一些外网设施的备用设施。
基础场所(cold site):提供基本环境、电路、空调、管道和地板,但不提供设备或其他服务,空数据中心,最便宜。
互惠协议:与其他异地选择相比,这种方法更便宜,但会面临很多问题。
冗余场所:完全的可用性、可即刻投入使用和受组织的完全控制,最昂贵的备份设施选项。
滚动完备场所或移动完备场所:大型卡车移动的数据中心。
多处理中心:在世界各地拥有不同的设施。

数据备份方案:
完全备份:对所有数据进行备份。 1-0
差量备份:对最近完全备份以来发生变化的文件进行备份。 不改变档位1
增量备份:对最近完全备份或增量备份以来发生改变的所有文件进行备份。 1-0

电子备份解决方案:
磁盘映像(disk duplexing):两个或多个硬盘保存完全相同的数据。
电子传送(electronic vaulting):在文件发生变化时进行备份,再定期将它们传送到一个异地备份站点。电子链接:为实现备份而向异地设施传送批量信息的方法。异地备份方式。
远程日志(remote journaling):离线数据传输方法,只将日志或事务日志传送到异地设施,而不传送文件。数据库备份方式。
磁带传送:数据备份到磁带上,手动运输到异地设施。自动磁带传送技术,数据通过一条串行线路传送到异地设施的备份磁带系统。
同步复制:实时复制
异步复制:数据复制不同步
磁带恢复:对恢复时间要求不高。

高可用性:
冗余、容错和故障转移技术
数据可通过磁带、电子传送、同步或异步复制或者RAID来进行恢复。
处理能力可通过群集、负载均衡、镜像、冗余、容错技术来恢复。

1.16 人员安全

职责分离(Separation of duties):是一种预防性的管理控制,落实到位,可以减少潜在的欺诈。知识分割与双重控制是职责分离的两种方式。

岗位轮换(Rotation of duties):管理检测控制,落实到位则可以发现欺诈活动。减少合谋而采取的最佳实践。

强制休假(Mandatory vacation):在敏感领域工作额员工被强迫去度假,可以检测到欺诈性的错误或活动。

 

题目要点:

1、年度损失预期(SLE)的目的:估计一年时间内威胁的损失。

2、定量分析是一种在风险评估中危资产评估价值的方法。实现难度主要是处理定量元素必须使用定量措施,很难估量。

3、不确定分析让风险管理的结果 ,可以被明智地使用。

4、定性风险分析相比定量风险风险的优点:区分风险优先级,并识别需要立即实施解决漏洞的整改措施。

5、当发现机构信息系统受到入侵时,应当首先采取的操作:确定系统和数据受损程度。

6、完全中断测试,是在成功完成并行测试后执行的最完整的灾难恢复计划测试类型。

posted @ 2020-11-19 10:30  Bypass  阅读(416)  评论(0编辑  收藏