【CISSP备考笔记】第6章:安全评估与测试

第六章:安全评估与测试

6.1 审计策略

信息系统的安全审计是对特定范围的人/计算机/过程和信息的各种安全控制所实施的一个系统性评估。
安全审计流程:确定目标--适合的业务部分领导参与--确定范围--选择审计团队--计划审计--执行审计--记录结果--将结果转达给合适的领导
内部审计
    优点:熟悉内部系统,更容易发现信息系统中的脆弱性
    缺点:可能存在利益性冲突
第三方审计
    优点:带来新知识。保持客观,合规审计必须由外部团队来实施
    缺点:成本高
服务性组织控制审计标准框架(SOC)
    SOC报告类型
        1、SOC1:适用于财务控制
        2、SOC2:适用于信任服务,详细数据,一般不公开
        3、SOC3:适用于信任服务,细节较少,可用于一般公众性目的

6.2 审计技术控制

技术控制是通过使用IT资产来实现的安全控制
脆弱性测试:执行脆弱性测试之前,需要拟定一份书面协议。
    黑盒测试:模拟外部攻击者,可能覆盖不全
    白盒测试:评估更完整,但无法代表外部攻击者行为
    灰盒测试:介于其他两种方法之间,减少白盒或黑盒测试中的各种问题

渗透测试:模拟攻击一个网络及其系统的过程。 渗透过程:发现--枚举--脆弱性映射-利用--向管理层报告。
盲测是评估者仅持有公开可用的数据用于测试,而网络安全人员已获悉测试的发生。
双盲测试是一项在网络安全人员未被通知的情况下进行的盲测。

战争拨号攻击:拨打大量的电话,搜索可用的调制解调器。

其他脆弱性类型
    内核缺陷: 及时安装安全补丁
    缓冲区溢出:
    符号链接:编写程序和特定的脚本,确保无法绕过文件的完整路径。
    文件描述符攻击:
    竞态条件
    文件和目录许可

日志审查
        检查系统的日志文件,以检测各种安全事件或验证各种安全控制的有效性
        防止日志被篡改:远程日志/单向通信/复制/一次性写入介质/加密散列链

综合事务:编写脚本模拟真实用户,系统的测试关键服务的行为和性能。一种测试关键服务的行为和性能的方法。

误用案例测试:各种威胁角色和他们想要在系统上执行的任务用例。

代码审查:系统地检查组成一个软件各部分的指令,并由该代码作者以外的其他人来执行。遵循编码标准。

接口测试:一个被称为集成测试的特例,评估系统的不同部分彼此之间如何进行交互。

6.3 审计管理控制


管理控制通常主要通过策略或流程来实施

账户管理
    盗用现有特权账户:使用强身份验证(例如强密码或双因素验证)/执行特定任务时使用特权账户
    创建新的特权账户
    提升常规用户账户的权限
        密切关注账户创建/修改/暂停来消减

备份验证
    数据类型:用户数据文件/数据库/邮箱数据
    实施备份验证

灾难恢复和业务连续性
    测试和灾难恢复演练应当至少每年进行一次
    结构化的排练性测试:代表聚在一起对计划进行检查。
    模拟测试:根据一个特定场景练习执行灾难恢复计划。逼真。
    并行测试:主备系统一起同时启动。影响最小。
    全中断测试:将原始站点关闭并将业务处理转移到备用站点完成。

安全培训和安全意识培训
    安全培训通常是提供给安全人员,安全意识培训应该提供给组织的每个成员。
    社会工程:网络钓鱼/鱼叉式网络钓鱼(针对特定个人)/捕鲸(针对高级管理人员)/冒充
    上网安全
    数据保护
    文化

关键绩效和风险指标
    关键绩效指标(KPI):衡量目前情况的进展程度,描述ISMS有效性的一个或多个度量的解释。
    关键风险指标(KRI):衡量未来情况会差到什么程度,将组织相对其风险偏好的位置告知管理者。

6.5 管理评审

管理评审是高级组织领导层的正式会议,定期发生,并将审计结果作为关键的输入。

posted @ 2020-11-19 10:43  Bypass  阅读(189)  评论(0编辑  收藏