分類
CISSP

實施零信任架構以防止橫向移動,XACML最不可能進行身份驗證

https://ithelp.ithome.com.tw/upload/images/20211201/20132160Y2ag06gT1I.jpg
-示例 XACML 實現
XACML 旨在支持授權,而不是身份驗證。
XACML 代表“可擴展訪問控制標記語言”。該標准定義了一種聲明性細粒度、基於屬性的訪問控制策略語言、架構和處理模型,描述瞭如何根據策略中定義的規則評估訪問請求。
-資料來源:維基百科

縮寫 學期 描述
PAP 政策管理點 管理訪問授權策略的點
PDP 政策決策點 在發布訪問決定之前根據授權策略評估訪問請求的點
PEP 政策執行點 攔截用戶對資源的訪問請求,向PDP發出決策請求以獲得訪問決策
(即對資源的訪問被批准或拒絕),並根據收到的決策採取行動的點
PIP 政策信息點 充當屬性值來源的系統實體(即資源、主題、環境)
PRP 策略檢索點 XACML 訪問授權策略的存儲點,通常是數據庫或文件系統。
-資料來源:維基百科

端口敲門和單包授權 (Port Knocking and Single Packet Authorization
:SPA)

802.1X是為認證而設計的,用於網絡訪問控制,而端口敲門是傳輸層的一種認證機制。連接嘗試的正確順序可以被視為身份驗證的秘密。只有當端口敲門序列正確時,防火牆才會動態地允許連接。
在 計算機聯網, 端口碰撞 是從外部打開方法 的端口 上的 防火牆 通過產生一組預先指定關閉的端口的連接嘗試。一旦接收到正確的連接嘗試序列,防火牆規則就會動態修改以允許發送連接嘗試的主機通過特定端口進行連接。存在一種稱為單包授權 (SPA) 的變體 ,其中只需要一次“敲門”,由加密 包組成 。
資料來源:維基百科

PKI 和 802.1X
公鑰基礎設施 (PKI) 和 802.1X 通常用於在 VPN、LAN 或無線網絡環境中進行身份驗證。
https://ithelp.ithome.com.tw/upload/images/20211201/201321607or5cYGhuB.jpg
-VPN 和 EAP

參考
敲端口

資料來源: Wentz Wu QOTD-20210910

分類
CISSP

RESTful API

用戶或資源所有者向身份提供者而不是聯合系統中的資源或 API 服務器進行身份驗證。身份提供者向客戶端提供令牌,以便它可以訪問 API 服務器。
HTTPS 強制保密,但 POST 方法沒有。使用 POST 方法的 HTTP 請求以明文形式傳輸。
API 有一個漏洞,可以在設計階段通過威脅建模儘早識別。
RESTful API
RESTful API 通常可以通過基本 URI 訪問,使用標準 HTTP 方法並返回媒體類型。HTTP 請求 GET https://api.WentzWu.com/user/ {username}/{password} 看起來像一個 RESTful API 請求。但是,我們不知道 API 如何返回結果,也不能斷定它是 RESTful。

以下是維基百科關於 RESTful API 的總結:
表現層狀態轉換(REST) 是一種軟體架構風格,旨在指導萬維網架構的設計和開發。REST 已被整個軟件行業採用,並且是一套被廣泛接受的用於創建無狀態、可靠的 Web API 的指南。
遵守 REST 架構約束的 Web 服務 API 稱為 RESTful API。基於 HTTP 的 RESTful API 的定義有以下幾個方面:
–基本 URI,例如http://api.example.com/;
–標準 HTTP 方法(例如,GET、POST、PUT 和 DELETE);
–定義狀態轉換數據元素的媒體類型(例如,Atom、微格式、application/vnd.collection+json、[13]:91-99 等)。當前表示告訴客戶端如何編寫轉換到所有下一個可用應用程序狀態的請求。這可以像 URI 一樣簡單,也可以像 Java 小程序一樣複雜。

參考
表象狀態轉移
一個不好的例子:裸奔的帳密就在你我身邊

資料來源: Wentz Wu QOTD-20210909

分類
CISSP

風險評鑑(risk assessment)

https://ithelp.ithome.com.tw/upload/images/20211129/20132160Vu6KW3p74V.jpg
-NIST SDLC 和 RMF
NIST RMF 的第一步,Categorize System,通過評估系統處理的資訊類型的高水位來確定係統的影響級別,以便根據系統特定的要求選擇和定製或修改一組基線控制,作為風險評估的結果。
資訊安全政策是關鍵和高水平的。它沒有直接定制安全控制的詳細或特定要求。

資料來源: Wentz Wu QOTD-20210908

分類
CISSP

(ISC)² 道德準則

(ISC)² 道德準則僅適用於 (ISC)² 會員。垃圾郵件發送者的身份不明或匿名,這些垃圾郵件發送者不請自來,吹捧代理考生在 CISSP 考試中作弊。換句話說,他們不一定是 (ISC)² 成員。作為 CISSP,只有在您確定垃圾郵件發送者是 (ISC)² 成員的情況下,您才能向 (ISC)² 提交投訴,說明違反了道德規範的規範。

所有獲得 (ISC)² 認證的信息安全專業人員都承認,此類認證是一項必須獲得和維護的特權。為了支持這一原則,所有 (ISC)² 成員都必須承諾完全支持本道德準則(“準則”)。(ISC)² 成員故意或故意違反本準則的任何條款將受到同行評審小組的製裁,這可能會導致認證被撤銷。(ISC)² 會員有義務在發現 (ISC)² 會員違反本準則的任何行為後遵守道德投訴程序。不這樣做可能會被視為違反Canon IV 的準則。
資料來源: (ISC)²

參考
(ISC)² 道德準則
Hack-Back:邁向網絡自衛的法律框架
回擊利弊:反擊前您需要了解的內容

資料來源: Wentz Wu QOTD-20210907

分類
Information Security

EDR、NDR、XDR、MDR – 檢測和響應的不同概念

“威脅檢測和響應”現在被認為是保護企業網絡不可或缺的手段。由於環境規模大,需求日益複雜,因此應盡可能主動、快速、高效、自動地發現或預防潛在的危險和威脅,並恢復或清理相應的系統。

一組三個字母可以隱藏市場上提供的幾種類型的“檢測和響應”模型。這些首字母縮略詞代表什麼?一種解決方案與另一種解決方案的區別是什麼?

以下是您需要了解的內容的概述。

EDR

…代表’端點檢測和響應’。連接到網絡的每台設備都代表來自 Internet 的威脅的潛在攻擊媒介,並且這些連接中的每一個都是通往您的數據的潛在網關。一般而言,EDR 解決方案從端點收集數據,使用它來識別潛在威脅,並提供有用的方法來調查和響應這些潛在威脅——現代解決方案甚至可以通過後續報告實現自動化。

  • 範圍:端點和主機
  • 意圖:端點/接入區域保護免受滲透、監控和緩解、漏洞評估、警報和響應
  • 方法:惡意行為、攻擊指標 (IoA)、妥協指標 (IoC)、簽名、機器學習
  • 挑戰:高級持續威脅 (APT)、勒索軟件、惡意腳本等。

NDR

…是“網絡檢測和響應”。這是從傳統的網絡安全演變而來的,是 NTA(網絡流量分析)的一個子領域。它確保全面了解通過網絡的已知和未知威脅。這些解決方案通常提供集中的、基於機器的網絡流量分析和響應解決方案,包括高效的工作流程和自動化。網絡中的定位和機器學習的幫助提供了對網絡的全面洞察和分析,以識別和消除特別是橫向運動。

  • 範圍:網絡和設備間流量
  • 意圖:網絡流量的可見性/透明度、已知和未知威脅和橫向移動的檢測、警報和響應
  • 方法:攻擊指標 (IoA)、異常檢測、用戶行為、機器學習
  • 挑戰:高級攻擊和入侵、無惡意軟件攻擊

MDR

…代表’託管檢測和響應‘。這裡的重點不是技術,而是服務。作為 MDR 的一部分,客戶將他們的安全運營外包,並從全年、24 小時的可靠安全中受益。

安全提供商為他們的 MDR 客戶提供訪問他們專門從事網絡監控、事件分析和安全事件響應的安全分析師和工程師池的權限。

由於所需的技能和資源,該服務在SOC(安全運營中心)和 SIEM(安全信息和事件管理)領域尤其受歡迎。

  • 範圍:組織
  • 意向:安全專業知識外包、安全信息集中、高質量諮詢和安全合規
  • 方法:通過各種接口(API、日誌、DataLake 等)集成客戶系統
  • 挑戰:組織內缺乏安全技能/資源、xDR 工具的部署、日常安全的簡化:警報/事件的處理/最小化

探索耐多藥

XDR

…借助更強大的人工智能和自動化方法,擴展了 EDR 的潛力,因此“擴展檢測和響應”。

XDR 不僅集成端點,而且通過超越單向量點解決方案,將設備間流量以及用於分析和評估的應用程序包括在內,從而提供對企業網絡的可見性。

由此產生的海量數據庫/數據湖實現了基於機器的精確分析和高效檢測,主要是通過使用部署的組件對數據進行深度集成和關聯。

結合使用SIEM,可以進一步增強這種相關性和可見性。可以向指示和事件提供進一步的(元)數據,以促進惡意軟件的緩解(攻擊預防)和/或補救(攻擊後系統的恢復)。

  • 範圍:端點、主機、網絡和設備間流量、應用程序
  • 意圖:多個安全級別(網絡、端點、應用程序)的可見性/透明度、在橫向級別檢測已知和未知威脅,包括所有組件、整體監控和緩解、漏洞評估、警報和響應、事件的簡化和整合,以及活動和有針對性的反應
  • 方法:機器學習、攻擊指標 (IoA)、異常檢測、用戶行為、惡意行為、妥協指標
  • 挑戰:製造商的集成可能性/接口、透明度差距、部分 EDR 典型和 NDR 典型挑戰

資料來源:https://www.nomios.com/news-blog/edr-ndr-xdr-mdr/

分類
CISSP

最大可容忍停機時間(MTD)

https://ithelp.ithome.com.tw/upload/images/20211122/20132160CZhX8PXc30.jpg
-業務影響分析 (NIST)
支持產品或服務交付的業務流程通常取決於一個或多個資源。作為約束的業務流程的最大可容忍停機時間由業務人員決定,這推動了依賴資源恢復目標的設置。
https://ithelp.ithome.com.tw/upload/images/20211122/20132160Tmb44jT1qP.jpg
-常見的 BIA 術語

資料來源: Wentz Wu QOTD-20210906

分類
CISSP

什麼是假名化?

假名化 是歐盟通用數據保護條例 (GDPR)推動的一種數據管理程序。當數據被假名化時,可以指向主體身份的信息被“假名”或標識符替換。這可以防止數據專門指出用戶。

將假名數據與唯一的個人聯繫起來的唯一方法是將其與其他單獨存儲和保護的數據相結合。該系統允許組織分析個人數據並繼續為客戶提供服務,同時保護主體的隱私權。

在 GDPR 第 4(5) 條中,假名化過程被定義為“在不使用額外信息的情況下,個人數據無法再歸屬於特定數據主體的方式處理個人數據。” 

資料來源:https://www.trendmicro.com/vinfo/us/security/definition/pseudonymization

分類
CISSP

Bruce讀書方法

一本書, 要在1到3小時內看完第一次. 第一輪就要把書的背景, 結構及重點抓出來. 第一輪的快速看書, 就是要確定這本書值不值的繼續看下去. 值的看的書, 要看第二輪去詳讀, 第三輪去細讀. 經典等級的書不但值得收藏, 更值得看一輩子. 像心經, 短短的. 一下子就看完了, 但裏面的東西要一輩子去參.

大部份的書都是工具書, 都可以很快看完第一輪. 例如, CISSP的考試用書可以先快速看完第一輪(1~3小時), 然後就開始作題目, 再查書, 找資料, 看書, 及作題目. 如此反覆. 千萬別想等看完書再來作題目.

關於看書, 我很有心得. 學生時代, 我幾乎沒有完整看完過一本書. 因為我覺得”看完”很花時間, 而且大部份都看不懂, 所以不愛看書. 但後來, 我才知道看書是怎麼一回事: 有效看書的重點是好奇跟看懂. 不過, 好奇心不會自己產生. 我對一本書好奇, 是因為我有很多工作或長久以來的問題無法解決, 想要知道書上怎麼寫, 自然就會有好奇心. 若能找到書上的內容來解決工作上的問題, 好奇心被滿足了, 就自然覺得懂了. 因此, 看懂 = 好奇心被滿足了.

很好奇, 就會迫不急待想要快速找出書中的觀點, 所以速度就會快. 再搭配一些閱讀技巧, 很快就能找到答案. 關於閱讀技巧, 我最大的收穫就是: 只有閱讀技巧是沒有用的, 因為書的作者也要有好的寫作技巧. 若作者程度太差, 書就不會有好的結構. 還到這種寫得不好的書, 你有再好的閱讀技巧也沒有用. 這種不合格的書, 我就不會浪費時間去看了.

我上課的內容都有圖, model, 都很結構化. 其實也是這樣來的.

分類
Information Security

[專訪] 資訊安全治理(Governance) vs 資訊安全管理(Management): 為什麼需要ISO 27014?

隨著資料數位化,大數據、AI分析等技術相繼被各企業、政府單位採用,近年來企業內的資安單位,已從支援角色變成重要策略單位,單就國際標準ISO 27001資訊安全管理系統,逐漸無法完整凸顯企業競爭力。2013年發布的ISO 27014:2013資訊安全治理標準,將資訊安全「管理」進階至「治理」層級,將成為5G及雲端時代下重要的稽核標準。

從資安「管理」進階到資安「治理」

國際專業驗證機構,SGS驗證及優化事業群產品經理劉士弘,談到「過去組織通過ISO 27001驗證是魅力品質,但現在看來僅只是基本品質。」多數組織的資訊安全管理的範圍多著重於資訊單位,但若導入「治理(Governance)」的概念,需要考量的範圍與情境會豐富而且實際許多,例如除了一般常見的資訊相關風險外,就組織營運角度,也許更應該將財務、法律責任、客戶、合作夥伴、產品或服務研發、企業聲譽及形象、客戶及伙伴的信任、營收…等與組織營運策略方向直接相關的因素及風險納入考慮。

ISO 27014六大原則、五大流程

當層級提高到資安治理,資訊安全這件事不再只是由單一資訊單位或是少數單位來主導和參與,而是應該因應整個組織的策略、目標、方向與優先順序來與組織內各功能、各部門協同運作,而運作的方向須與組織營運方向一致,呈現的績效也須與組織營運績效連結且相符。

針對如何達成資訊安全治理,ISO 27014提出了「六大原則」以及「五大流程」。

六大原則包含:

  1. 建立全組織資訊安全(Establish organisation-wide information security)。
  2. 採用基於風險作法(Adopt a risk-based approach)。
  3. 設定投資決策方向(Set the direction of investment decisions)。CapEx和營運支出OpEx流程,以確保最佳化資訊安全投資以支援組織目標。
  4. 確保內、外部要求一致性(Ensure conformance with internal and external requirements)。
  5. 培養安全良好的環境(Foster a security-positive environment)。
  6. 審查相關營運成果績效(Review performance in relation to business outcomes)。 

欲達成上述六項原則, ISO 27014明定五項流程。

  1. 評估(Evaluate)。
  2. 指導(Direct)。
  3. 監視(Monitor)。
  4. 溝通(Communicate)。
  5. 保證(Assure)。 

劉士弘補充說道「政府2018年頒布的資通安全管理法,處處皆存在資安治理概念,例如:重視高階長官的參與度,要求組織投注一定比例的經費預算與人力配置。該法也將提升組織資安意識納入,強調橫向情資分享、縱向溝通、回報與監督,推行資安治理成熟度的評估等。」

資安觀念要站到前線

劉士弘說,ISO 27014主要涉及治理層面,管理階層愈高,代表跨產業的可能性愈大,整體來說,這項標準是比較通用的。但一些風險比較高的產業,或許可優先考慮滿足ISO 27014國際標準,包括高科技產業、醫療產業、金融產業、有機密資料的公務機關、關鍵基礎設施…等,劉士弘建議這些產業「要儘快將資安治理思維導入組織,以更宏觀地發現與因應可能的風險。」

席間SGS驗證及企業優化事業群部經理何星翰說,若數位智慧製造廠商參考遵循ISO 27014將資安「管理」拉高至「治理」層級後,許多IoT許多設備與應用可能發生的資安問題將可進行較為合適的處理方案。他說,目前部份廠商將智慧醫療、智慧家電系統賣給醫療院所或家庭後,由資訊單位單獨面對及管理IoT設備安全問題,銷售、設計製造或客服部門並未參與,若仍用傳統家電服務概念進行管理,而不是企業治理以涵蓋整體服務生命週期,恐發生數據外洩,隱私遭侵犯等問題。

因此,「資安觀念要站到前線」,相關業務與售後服務單位,需提升IoT安全意識,高階管理也要展現重視資安之承諾及決心,跨部門協調及整合,以整體強化資安成熟度。
 
何星翰說,2021年在資安上確有不少重要議題,如資安法修法,ISO 27001改版,「一旦改版,國內預估有800至900張證書,都需在兩、三年內完成轉版。」此外,金管會發佈金融資安行動方案,保險公司、證券業須導入資安管理系統及營運持續管理系統等,國防產業鏈是否能做到美國國防部要求的乾淨供應鏈網路,與資安相關人才需求及培訓,都是令人關注的資安議題。

資料來源:https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=9023

分類
CISSP

虛擬機器監視器(Hypervisor)

https://ithelp.ithome.com.tw/upload/images/20211115/20132160JUYvH34qbW.png
-虛擬機和容器部署(來源:NIST SP 800-190)
虛擬機器監視器(Hypervisor)是虛擬機管理器,如上圖所示。來賓 VM 託管一個單獨的操作系統實例,而容器與其他容器共享操作系統內核。
內存邊界(Memory bounds)是一種常見的操作系統內存管理機製或計算機語言結構,用於限制進程的內存訪問。
https://ithelp.ithome.com.tw/upload/images/20211115/20132160Y8QODVqOW4.jpg
-進程的內存佈局(Memory Layout of a Process)
解釋器( interpreter)可以被視為限制腳本行為的沙箱(sandbox)。例如,瀏覽器(browser)是解釋器作為 JavaScript 沙箱的一個很好的例子。
https://ithelp.ithome.com.tw/upload/images/20211115/20132160lSALZX9CWo.jpg
-軟體運行環境

資料來源: Wentz Wu QOTD-20210903

分類
CISSP

工業控制系統(ICS)

以下是 NIST SP 800-82 R2 的摘要:
控制系統用於許多不同的工業部門和關鍵基礎設施,包括製造、分銷和運輸。
工業控制系統(ICS)是包含幾種類型的控制系統,包括一個通用術語,監督控制和數據採集(SCADA)系統,分佈式控制系統(DCS) ,和其他控制系統的配置,例如可編程邏輯控制器(PLC)常常在工業部門和關鍵基礎設施中發現。
ICS 用於控制地理上分散的資產,通常分散在數千平方公里的範圍內,包括分配系統,例如配水和廢水收集系統、農業灌溉系統、石油和天然氣管道、電網和鐵路運輸系統。
典型的 ICS 包含大量控制迴路、人機界面以及遠程診斷和維護工具,這些工具是使用分層網路架構上的一系列網絡協議構建的。
SCADA 系統用於控制分散的資產,其中集中式數據採集與控制同等重要。
DCS 用於控制同一地理位置內的生產系統。

參考
. NIST SP 800-82 R2
ENISA ICS SCADA
OT、ICS、SCADA 和 DCS 之間有什麼區別?
ICS/SCADA 網絡安全

資料來源: Wentz Wu QOTD-20210901

分類
Information Security

NanoCore 惡意軟件信息

概要

NanoCore 遠程訪問木馬 (RAT) 於 2013 年首次在地下論壇上出售時被發現。該惡意軟件具有多種功能,例如鍵盤記錄器、密碼竊取器,可以遠程將數據傳遞給惡意軟件操作員。它還能夠篡改和查看來自網絡攝像頭的鏡頭、屏幕鎖定、下載和盜竊文件等。

當前的 NanoCore RAT 正在通過利用社會工程的惡意垃圾郵件活動傳播,其中電子郵件包含虛假的銀行付款收據和報價請求。這些電子郵件還包含帶有 .img 或 .iso 擴展名的惡意附件。磁盤映像文件使用 .img 和 .iso 文件來存儲磁盤或光盤的原始轉儲。另一個版本的 NanoCore 也在利用特製 ZIP 文件的網絡釣魚活動中分發,該 ZIP 文件旨在繞過安全電子郵件網關。某些版本的 PowerArchiver、WinRar 和較舊的 7-Zip 可以提取惡意 ZIP 文件。被盜信息被發送到惡意軟件攻擊者的命令和控制 (C&C) 服務器。

此 RAT 收集以下數據並將其發送到其服務器:

  • 瀏覽器的用戶名和密碼
  • 文件傳輸協議 (FTP) 客戶端或文件管理器軟件存儲的帳戶信息
  • 流行郵件客戶端的電子郵件憑據

能力:

  • 信息竊取
  • 後門命令
  • 漏洞利用
  • 禁用使用能力

影響:

  • 危害系統安全 – 具有可以執行惡意命令的後門功能
  • 侵犯用戶隱私 – 收集用戶憑據、記錄擊鍵並竊取用戶信息

感染詳情:

樣本垃圾郵件 – 銀行付款收據附件垃圾郵件

MITRE ATT & CK 矩陣

資料來源:https://success.trendmicro.com/tw/solution/1122912-nanocore-malware-information

分類
Information Security

IceRAT 惡意軟件

什麼是 IceRAT 惡意軟件?

儘管它的名字,IceRAT 與其說是遠程訪問木馬,不如說是一個後門。它的主要功能是針對連鎖感染和額外的惡意軟件下載,而缺少傳統的 RAT 功能(例如命令執行)。自 2020 年 1 月被發現以來,IceRAT 成功地用大量信息竊取程序、密碼挖掘程序、鍵盤記錄程序和剪報程序感染了受害者。值得注意的是,惡意軟件主要通過垃圾郵件活動和木馬化“破解程序”進行傳播。例如,第一個檢測到的 IceRAT 版本通過包含用於 CryptoTab 瀏覽器的木馬軟件下載的惡意文件感染受害者。IceRAT 的主機和 C2 服務器 hxxp://malina1306.zzz(.)com.ua 位於西里爾文網站上,這可能表明 IceRAT 開發人員可能來自東歐或俄羅斯。

IceRAT 後門規避策略

IceRAT 的深入分析表明,它是有史以來第一個用 JPHP 編寫的惡意軟件,JPHP 是一種運行在 Java VM 上的 PHP 實現。因此,IceRAT 依賴於 .phb 文件而不是傳統的 Java .class 文件。由於 .php 文件通常不受 AV 引擎支持,因此這種特性允許威脅在 VirusTotal 上達到極低的檢測率。另一個有助於成功規避的不常見功能是 IceRAT 的架構。該實現高度分散,避免將所有功能放在一個文件中。特別是,IceRAT 惡意軟件使用多個文件分別執行每個信號功能。因此,萬一下載器組件被發現,它可能被認為是良性的,因為缺少惡意內容。

資料來源:https://socprime.com/blog/icerat-malware-detection-catch-me-if-you-can/

分類
CISSP

惡意程式(malware)

蠕蟲可以主動利用網路服務漏洞或被動使用群發郵件來傳播自身。但是,只有當用戶執行附加到電子郵件的惡意代碼時,它才會變為活動狀態。
. 病毒不會自我複制;它可以被操作系統(例如編譯病毒)或應用程序(例如巨集病毒)加載和執行。
. “惡意移動代碼是具有惡意意圖的軟體,從遠程主機傳輸到本地主機,然後在本地主機上執行,通常沒有用戶的明確指令。惡意移動代碼的流行語言包括 Java、ActiveX、JavaScript 和 VBScript。” (NIST SP 800-83 R1)
惡意移動代碼不涉及移動應用程序,並且在沒有用戶明確指示的情況下穿越移動設備。
. 特洛伊木馬不會自我複制。這是一個自成一體的程式,似乎是良性的,但實際上有一個隱藏的惡意目的。

參考
. NIST SP 800-83 R1

資料來源: Wentz Wu QOTD-20210831

分類
Cissp-WentzWu

治理

治理就是管理, 它只是強調經營高層(董事會及高階主管)的管理作為. 皇帝只會用”朕”, 不會用”我”這個字. 只要是高階主管的管理作為, 就可以說是治理.

如果你是CISO, 那就可以說是在治理資安. 但本質就是在管理資安而已.

CISSP只是一個資格, 要知道治理的意義. 但不是取得CISSP就會當上CISO或成為經營高層的一員. 所以CISSP可能懂治理是什麼, 但可能沒有實權去治理資安.

經營高層如何治理資安?

1. 想東想西: 戰略管理

2. 出一張嘴: 政策指示

治理的目標就是創造價值, 實現組織的使命與願景. 白話文就是: 作生意賺錢, 永續經營, 善盡社會責任.

然後, 經營高層就要晝大餅(願景), 想辦法(戰略)帶大家(領導)往目標邁進, 以實現願景.

簡單說, 經營高層要把公司管好(治理好), 才能賺錢, 實現使命與願景.

經營高層如何管好(治理好)公司? 要有一套辦法(戰略), 要叫人家去作(政策)

這些都是同一回事, 也是很簡單的道理. 只是簡單的東西被複雜化而已.

分類
CISSP

電路級(Circuit-level)授權策略不是常見的服務網格授權策略類型

以下是 NIST SP 800-204B 的摘錄:
可以通過配置身份驗證和存取控制策略來實施對微服務的細粒度存取控制。這些策略在服務網格的控制平面中定義,映射到低級配置,並推送到構成服務網格數據平面的邊車代理(sidecar proxies)中。
授權策略,就像它們的身份驗證對應物一樣,可以在服務級別和最終用戶級別指定。此外,授權策略是基於存取控制模型的構造來表達的,並且可能會根據應用程序和企業級指令的性質而有所不同。此外,存取控制數據的位置可能因企業中的身份和存取管理基礎設施而異。這些變化導致以下變量:
● 兩個授權級別——服務級別和最終用戶級別
● 用於表達授權策略的存取控制模型
● 存取控制數據在集中或外部授權服務器中的位置或作為頭數據攜帶
服務網格中支持的存取控制使用抽象來分組一個或多個策略組件(在第 4.5.1 節中描述),用於指定服務級別或最終用戶級別的授權策略。由於基於微服務的應用程序被實現為 API(例如,表現層狀態轉換(REST)ful API),使用鍵/值對描述的授權策略組件將具有與 API 相關的屬性,包括相關的網絡協議。授權策略的類型有:
● 服務級授權策略
● 最終用戶級授權策略
● 基於模型的授權策略

參考
. NIST SP 800-204B

資料來源: Wentz Wu QOTD-20210830

分類
CISSP

表現層狀態轉換REST

表現層狀態轉換英語Representational State Transfer縮寫REST)是Roy Thomas Fielding博士於2000年在他的博士論文[1]中提出來的一種全球資訊網軟體架構風格,目的是便於不同軟體/程式在網路(例如網際網路)中互相傳遞資訊。表現層狀態轉換是根基於超文字傳輸協定(HTTP)之上而確定的一組約束和屬性,是一種設計提供全球資訊網絡服務的軟體構建風格。符合或相容於這種架構風格(簡稱為 REST 或 RESTful)的網路服務,允許使用者端發出以統一資源標識符存取和操作網路資源的請求,而與預先定義好的無狀態操作集一致化。因此表現層狀態轉換提供了在網際網路的計算系統之間,彼此資源可互動使用的協作性質(interoperability)。相對於其它種類的網路服務,例如SOAP服務,則是以本身所定義的操作集,來存取網路上的資源。

目前在三種主流的Web服務實現方案中,因為REST模式與複雜的SOAPXML-RPC相比更加簡潔,越來越多的Web服務開始採用REST風格設計和實現。例如,Amazon.com提供接近REST風格的Web服務執行圖書查詢;雅虎提供的Web服務也是REST風格的。

資料來源:https://zh.wikipedia.org/wiki/%E8%A1%A8%E7%8E%B0%E5%B1%82%E7%8A%B6%E6%80%81%E8%BD%AC%E6%8D%A2

分類
CISSP

XACML

XACML代表“可擴展訪問控制標記語言”。該標准定義了一種聲明性細粒度、基於屬性的訪問控制策略語言、[2]架構和描述如何根據策略中定義的規則評估訪問請求的處理模型。

作為已發布的標準規範,XACML 的目標之一是促進多個供應商的訪問控制實現之間的通用術語和互操作性。XACML 主要是一種基於屬性的訪問控制系統 (ABAC),也稱為基於策略的訪問控制 (PBAC) 系統,其中與用戶或操作或資源相關聯的屬性(數據位)被輸入到決定是否給定用戶可以以特定方式訪問給定資源。基於角色的訪問控制(RBAC) 也可以作為 ABAC 的特化在 XACML 中實現。

XACML 模型支持並鼓勵將執行 (PEP) 與決策 (PDP) 與授權的管理/定義 (PAP) 分離。當訪問決策在應用程序中硬編碼(或基於本地機器用戶 ID 和訪問控制列表(ACL))時,很難在管理策略發生變化時更新決策標準,並且很難實現對訪問決策的可見性或審計。授權到位。當客戶端與訪問決策分離時,授權策略可以即時更新並立即影響所有客戶端。

資料來源:https://en.wikipedia.org/wiki/XACML

分類
CISA

X/Open XA

在計算技術上,XA規範開放群組關於分布式事務處理 (DTP)的規範。規範描述了全局的事務管理器與局部的資源管理器之間的接口。XA規範的目的是允許多個資源(如資料庫,應用伺服器,消息隊列,等等)在同一事務中訪問,這樣可以使ACID屬性跨越應用程式而保持有效。XA使用兩階段提交來保證所有資源同時提交或回滾任何特定的事務。

XA規範描述了資源管理器要支持事務性訪問所必需做的事情。遵守該規範的資源管理器被稱為XA compliant

資料來源:https://zh.wikipedia.org/wiki/X/Open_XA

分類
CISSP

Confusion and diffusion混淆與擴散

密碼學當中,混淆(confusion)與擴散(diffusion)是設計密碼學演算法的兩種主要方法。這樣的定義最早出現在克勞德·夏農1945年的論文《密碼學的數學理論》當中[1]

在克勞德·夏農的定義之中,混淆主要是用來使密文和對稱式加密方法中金鑰的關係變得盡可能的複雜;而擴散則主要是用來使用明文和密文關的關係變得盡可能的複雜,明文中任何一點小更動都會使得密文有很大的差異。 混亂用於掩蓋明文與密文之間的關係。這可以挫敗通過研究密文以取得冗餘度和統計模式的企圖。做到這一點最容易的方法是「代替」。 擴散通過將明文冗餘度分散到密文中使之分散開來。即將單個明文或金鑰位的影響儘可能擴大到更多的密文中去。產生擴散最簡單的方法是換位(置換)。

分類
CISSP

L2TP最不可能用於加密 VPN 連接中的數據

https://ithelp.ithome.com.tw/upload/images/20211105/20132160DIGEKxJZrk.jpg
-VPN 訪問(來源:ActForNet)
VPN 是一種通過隧道連接節點的虛擬網路。L2F、PPTP 和 L2TP 是早期的隧道協議。通過 VPN 隧道傳輸的數據通常由安全協議加密,例如 SSL/TLS、IPsec、SSH、MPPE。
L2F 不提供加密。PPTP 使用 MPPE(Microsoft 點對點加密)加密數據。L2TP 本身建立隧道但不加密數據;它通常通過 IPsec 強制保密。
Secure Shell (SSH)是一種加密網路協議,用於在不安全的網路上安全地運行網路服務。” (維基百科)它可用於建立 SSH VPN 或與其他隧道協議一起使用。
https://ithelp.ithome.com.tw/upload/images/20211105/2013216035Xn0ZWeQh.png
-SSH隧道

參考
NIST SP 800-77 R1
NIST SP 800-113
如何使用 SSH 配置端口轉發
如何找到SSH隧道

資料來源: Wentz Wu QOTD-20210827

分類
CISSP

IEEE 802.1X

IEEE 802.1XIEEE制定關於使用者接入網路的認證標準(注意:此處X是大寫[1]),全稱是「基於埠的網路接入控制」,屬於IEEE 802.1網路協定組的一部分。於2001年標準化,之後為了配合無線網路的接入進行修訂改版,於2004年完成。它為想要連接到LANWLAN的裝置提供了一種認證機制。

IEEE 802.1X協定在使用者接入網路(可以是乙太網路802.3或者WLAN網)之前執行,執行於網路中的資料鏈路層EAP協定RADIUS協定。

IEEE 802.1X定義了在IEEE 802上執行擴充認證協定(EAP,即”EAP over LAN”或EAPOL[2])的封裝方式[3][4]。EAPOL最初被定義在802.1X-2001,設計物件為IEEE 802.3乙太網路,但是後來為了適應其他IEEE 802 LAN技術,如IEEE 802.11無線和光纖分散式資料介面(FDDI)(ISO 9314-2),在802.1X-2004中又做了澄清[5]。為了與IEEE 802.1AE (「MACsec」)和IEEE 802.1AR (Secure Device Identity, DevID)一起使用,EAPOL協定在802.1X-2010中還進行了修改[6][7],以支援服務辨識和在本地LAN段上的可選對等加密。

概述

EAP資料首先被封裝在EAPOL影格中,傳輸於申請者(Supplicant)和驗證者(Authenticator)之間。隨後又封裝在RADIUS或Diameter,傳輸於驗證者和驗證伺服器(Authentication server)之間。

802.1X驗證涉及到三個部分:申請者、驗證者和驗證伺服器。申請者是一個需要連接到LAN/WAN的客戶端裝置(如可攜式機),同時也可以指執行在客戶端上,提供憑據給驗證者的軟體。驗證者是一個網路裝置,如乙太網路交換機或無線存取點。驗證伺服器通常是一個執行著支援RADIUSEAP協定的主機。 驗證者就像是一個受保護網路的警衛。申請者(如客戶端裝置)不允許通過驗證者存取到受保護一側的網路,直到申請者的身分被驗證和授權。這就像是允許進入一個國家之前要在機場的入境處提供一個有效的簽證一樣。使用802.1X基於埠的驗證,申請者向驗證者提供憑據,如使用者名稱/密碼或者數位憑證,驗證者將憑據轉發給驗證伺服器來進行驗證。如果驗證伺服器認為憑據有效,則申請者(客戶端裝置)就被允許存取被保護側網路的資源[8]

資料來源:https://zh.wikipedia.org/wiki/IEEE_802.1X

分類
CISSP

OWASP Top 10 2021 介紹

Top 10 for 2021 有什麼新的變化?

這次在 OWASP Top 10 for 2021 有三個全新的分類,有四個分類有做名稱和範圍的修正,並有將一些類別做合併。

Mapping of the relationship between the Top 10 2017 and the new Top 10 2021

A01:2021-權限控制失效 從第五名移上來; 94% 被測試的應用程式都有驗測到某種類別 權限控制失效的問題。在權限控制失效這個類別中被對應到的 34 個 CWEs 在驗測資料中出現 的次數都高於其他的弱點類別。

A02:2021-加密機制失效 提升一名到第二名,在之前為 敏感資料外曝,在此定義下比 較類似於一個廣泛的問題而非根本原因。在此重新定義並將問題核心定義在加密機制的失敗,並 因此造成敏感性資料外洩或是系統被破壞。

A03:2021-注入式攻擊 下滑到第三名。94% 被測試的應用程式都有驗測到某種類別 注入式攻擊的問題。在注入式攻擊這個類別中被對應到的 33 個 CWEs 在驗測資料中出現 的次數為弱點問題的第二高。跨站腳本攻擊現在在新版本屬於這個類別。

A04:2021-不安全設計 這是 2021 年版本的新類別,並特別針注在與設計相關的缺失。 如果我們真的希望讓整個產業”向左移動”*註一*,那我們必須進一步的往威脅建模,安全設計 模塊的觀念,和安全參考架構前進。

*註一: Move Left 於英文原文中代表在軟體開發及交付過程中,在早期找出及處理相關問題, 同 Shift Left Testing。*

A05:2021-安全設定缺陷 從上一版本的第六名移動上來。90% 被測試的應用程式都有驗測 到某種類別的安全設定缺陷。在更多的軟體往更高度和有彈性的設定移動,我們並不意外這個類別 的問題往上移動。在前版本中的 XML 外部實體注入攻擊 (XML External Entities)現在屬 於這個類別。

A06:2021-危險或過舊的元件 在之前標題為 使用有已知弱點的元件。在本次版本中於業 界問卷中排名第二,但也有足夠的統計資料讓它可以進入 Top 10。這個類別從 2017 版本的第 九名爬升到第六,也是我們持續掙扎做測試和評估風險的類別。這也是唯一一個沒有任何 CVE 能被 對應到 CWE 內的類別,所以預設的威脅及影響權重在這類別的分數上被預設為 5.0。

A07:2021-認證及驗證機制失效 在之前標題為 錯誤的認證機制。在本次版本中油第二名 下滑至此,並同時包含了將認證相關缺失的 CWE 包含在內。這個類別仍是 Top 10 不可缺少的 一環,但同時也有發現現在標準化的架構有協助降低次風險發生機率。

A08:2021-軟體及資料完整性失效 這是 2021 年版本全新的類別,並在軟體更新,機敏及 重要資料,和 CI/CD 管道中並沒有做完整性的確認為前提做假設並進行評估。在評估中影響權重 最高分的 CVE/CVSS 資料都與這類別中的 10 個 CWE 對應到。2017 年版本中不安全的反序列 化現在被合併至此類別。

A09:2021-資安記錄及監控失效 在之前為不完整的紀錄及監控並納入在業界問卷中在本次 列名為第三名並從之前的第十名上移。這個類別將擴充去納入更多相關的缺失,但這也是相當難去驗 證,並沒有相當多的 CVE/CVSS 資料可以佐證。但是在這個類別中的缺失會直接影響到整體安全的 可視性,事件告警及鑑識。

A10:2021-伺服端請求偽造 這個類別是在業界問卷排名第一名,並在此版本內納入。由資料 顯示此問題有較低被驗測次數和範圍,但有高於平均的威脅及影響權重比率。這個類別的出現也是 因為業界專家重複申明這類別的問題相當重要,即使在本次資料中並沒有足夠的資料去顯示這個 問題。

資料來源:https://owasp.org/Top10/zh_TW/

分類
CISSP

CSMA/CD 與 CSMA/CA 之間的差異

CSMA/CD(載波偵測多重存取/碰撞偵測)運作過程如下:

  • 訊號採用廣播的方式傳送(所以才會發生碰撞)
  • 當節點要發送訊號時,會先偵測通道是否有其他節點正在使用(carrier sense)
  • 當通道沒有被其他節點使用時,就傳送封包
  • 封包傳送之後立即檢查是否發生碰撞(carrier detection),若是發生碰撞則對通道發出高頻訊號高知其他節點已經發生碰撞
  • 碰撞後隨機等待一段時間重新發送封包
  • 嘗試 15 次都失敗的話則告知上層 Timeout

CSMA/CA(載波偵測多重存取/碰撞避免)運作過程如下:

  • 訊號採用廣播的方式傳送(非常容易受到無線電波干擾)
  • 當節點要發送訊號時偵測頻道是否空閒
  • 若是空閒則等待 IFS, Interval Frame Space 時間後再次偵測頻道是否空閒
  • 若是空閒則發送封包,反之重新進入等待頻道空閒(隨機等待時間)
  • 發送 RTS 之後必須在限定時間內收到來至目的端的 CTS 訊號
  • 當失敗 32 次之後通知上層 Timeout

資料來源:https://blog.toright.com/posts/1243/csmacd-%E8%88%87-csmaca-%E4%B9%8B%E9%96%93%E7%9A%84%E5%B7%AE%E7%95%B0.html

分類
CISSP

密碼是支持單因素身份驗證的最佳機制

https://ithelp.ithome.com.tw/upload/images/20211102/201321608ckrqS6xtu.jpg
-數字身份模型(來源:NIST SP 800 63-3)
“秘密”是用於驗證主體身份的最關鍵元素。一個認證是秘密的載體,例如,密碼,在你的大腦記憶(你知道的),私有密鑰儲存在令牌設備(你有什麼),或生物識別嵌入在你的身體(你是)。
 生物識別(您的身份)不足以構成秘密,因為它可能會暴露給公眾。例如,您的自拍可能會讓您容易受到黑客的攻擊。NIST SP 800-63 系列指南“僅允許在與物理身份驗證器強綁定時使用生物識別技術進行身份驗證。”
 用於基於知識的身份驗證的認知密碼是您知道的一種形式,但它們也不是秘密。顧名思義,它們就是知識。
 基於位置的身份驗證(您所在的某個地方)不是身份驗證因素。
以下是 NIST SP 800-63-3 的摘錄:
身份驗證系統的經典範例將三個因素確定為身份驗證的基石:
• 您知道的東西(例如,密碼)。
• 您擁有的東西(例如,ID 徽章或加密密鑰)。
• 您的身份(例如,指紋或其他生物特徵數據)。

MFA是指使用以上因素中的一種以上。
身份驗證系統的強度在很大程度上取決於系統所包含的因素的數量——採用的因素越多,身份驗證系統就越強大。就這些準則而言,使用兩個因素足以滿足最高的安全要求。
如第 5.1 節所述,RP 或驗證者可以使用其他類型的信息(例如位置數據或設備身份)來評估所聲明身份中的風險,但它們不被視為身份驗證因素。
在數字認證申請人擁有和控制的一個或多個鑑定人已註冊與CSP和用於證明申請人的身份。身份驗證器包含索賠人可以用來證明他或她是有效訂戶的秘密,索賠人通過證明他或她擁有和控制一個或多個身份驗證器來對網路上的系統或應用程序進行身份驗證。
在本卷中,身份驗證器始終包含一個秘密。一些經典的身份驗證因素並不直接適用於數字身份驗證。例如,物理駕駛執照是您擁有的東西,並且在向人類(例如保安人員)進行身份驗證時可能很有用,但它本身並不是數字身份驗證的身份驗證器。
歸類為您所知的身份驗證因素也不一定是秘密。 基於知識的身份驗證,其中提示申請人回答可能只有申請人知道的問題,也不構成數字身份驗證可接受的秘密。一個生物特徵也並不能構成一個秘密。因此,這些指南僅允許在與物理身份驗證器強綁定時使用生物識別技術進行身份驗證。
來源:NIST SP 800-63-3

參考
NIST SP 800-63-3
你的自拍可能會讓你容易受到黑客攻擊
化妝和假手指——領先於網絡騙子
照片中隱藏的指紋

資料來源: Wentz Wu QOTD-20210825

分類
Information Security

帳號填充(Credential Stuffing)

密碼猜測攻擊手法演進的4種型態

攻擊者在嘗試猜測出帳號密碼,進而取得帳號控制權的方式,依據方法的精細程度,可區分成4種──從早期的暴力破解和字典攻擊,後來為了避免被受害單位察覺,並遭到系統鎖定,陸續出現了密碼潑灑與帳號填充攻擊手法。資料來源:ForceShield,iThome整理,2019年5月

資料來源:https://www.ithome.com.tw/news/131019

分類
CISSP

微服務的應用程序-會話層是ISO OSI模型的服務程序(即sidecar代理)所屬的層

https://ithelp.ithome.com.tw/upload/images/20211101/20132160PLcP3CGBgQ.png
-API 網關和服務網格(來源:Liran Katz)

服務網格(service mesh)是便於一個專用基礎設施層服務對服務的通信通過服務發現,路由和內部負載均衡,流量的結構,加密,認證和授權,指標和監測。
它提供了在由於服務實例脫機和不斷重定位而導致網路拓撲變化的環境中通過策略聲明性地定義網路行為、節點身份和流量流的能力。
它可以被視為一種網路模型,它位於開放系統互連 (OSI) 模型(例如,傳輸控制協議/互聯網協議 (TCP/IP))的傳輸層之上的抽象層,並處理服務的會話層(OSI 模型的第 5 層)關注。然而,細粒度的授權可能仍然需要在微服務上執行,因為這是唯一完全了解業務邏輯的實體。
服務網格概念上有兩個模塊——數據平面和控制平面。在數據平面承載通過服務特定代理服務實例之間的應用請求的流量。所述控制平面配置數據平面,提供了一種用於遙測點聚集,以及用於通過各種特徵,諸如負載平衡,斷路,或速率限制修改網路的行為提供API。
來源:NIST SP 800-204

參考
NIST SP 800-204
邊車模式(Sidecar pattern)

資料來源: Wentz Wu QOTD-20210824

分類
Project Management

好好說話》主管兩難:教多了員工不思考,教太少卻怕出包⋯怎麼辦

摘要

1.教新人是管理基本功,但對忙碌的主管來說,這項差事卻可能費時費力,成效不彰。

2.教導例行性工作時,要先確認對方的程度,由主管演示一遍,再請對方操作一遍,確認要注意之處。

3.本文整理了例行性工作教學的理想步驟,以及教學時須注意的2個觀念。

王主任最近的心情不太美麗。公司新進幾位員工,每一個都非常難帶。

像是昨天,王主任拿了一本手冊要新人A影印:「20頁到25頁,你去幫我印18份。」印完一看,頁面沒有置中,紙張一對摺,左半頁的字就被切掉。「你要細心一點啊!這是給客戶的資料,很多人會把資料對摺再看,印的時候手冊裝訂處要對準中央,懂嗎?印了18份都不能用,快去重印!」

A一臉委屈地走了,過了5分鐘,他回來,王主任又一頓罵:「中間都變黑,字看不清楚啊!還有些字都扭曲變形了,你印的時候,要把書完全攤開用力壓住啊!」

好不容易印好18份影本,會議開始後⋯⋯王主任又跑出會議室:「喂,多來了兩個客戶,你再去印兩份來。啊?你不知道原稿在哪?這不是你剛才印的嗎?你怎麼都不會用點心?」

經過一陣折騰,王主任決定改變作法。今天,同份會議資料,他請新人B去印。這次,他給了詳盡指示,他把B帶到影印機旁,一邊講解、一邊把影印機的按鍵操作全部一次,印出一份完美影本。

他拍拍B的肩膀:「好了,你接著做吧!」結果B僵在原地,一副不知所措的樣子。

「我剛不是教過一次了嗎?」王主任很納悶。

主管們,別讓你的員工「思考外包」

王主任做錯了什麼?錯在他沒有先釐清兩位新人對影印工作的上手程度。王主任幾乎天天影印,但新進年輕員工,可能平時都用電腦,用筆寫字的機會都少,何況使用影印機。

教導例行性工作時,建議先問下屬:「我想請你去做這件事,你會嗎?」這句話不只能夠釐清對方對工作的熟悉度,也能引導對方提問,避免下屬陷入明明不懂、卻不敢問的情況。

人類有個不可思議的習性,當身邊有人仔細教學時,就會產生「反正我不想,他也會幫我想」的偷懶想法,變得不願思考。凡事幫下屬打點妥貼的主管,因此可能帶出「思考外包」的下屬。

理想的教學步驟,是在確認對方程度後,先示範操作一次,接著讓對方做一次,中途不插嘴、不插手,看到有錯也要忍住,留時間給對方檢查錯誤。等到對方說「我覺得應該可以了」,再一起檢查,逐一告知要注意的地方。確認對方正確操作一次後,先行離開,告訴對方「做完再叫我」,讓他獨立完成工作。

當主管不在場了,下屬遇到困難,就不會直接開口問,反而會回想主管示範的步驟、自己剛才操作的過程。記憶更深刻,重複幾次後,自然會做得更有效率。

你可以這樣做

1.別急著給答案

承上,凡事幫忙想好答案的主管,只會帶出被動、不愛動腦的下屬。作為主管,給出明確指示確實重要,但也要留下一些素材給下屬思考。

以王主任來說,若新人來問「要印幾份?」他可以回:「預計18人參加,不過有時也會有人不請自來,你覺得怎麼辦才好?」

新人可能會答:「不然我多印3份?」

這時可以繼續引導:「是不錯,但萬一用不到那3份,會很浪費紙。」

盡量提供思考線索,新人可能就會想到「不然我先帶著原稿,開會前再確認一次人數,份數不夠再補印。」

2.忍住「自己來比較快」的念頭

獨當一面的下屬,可以讓主管更輕鬆,但培育要花時間。自身能力強的主管,尤其容易因為下屬動作太慢而火大,因此萌生「與其交給他,不如自己做比較快」的念頭。

但,如果王主任很急躁,往後遇到影印問題,都決定自己處理。那他的行事曆,勢必排滿各種緊急卻不重要的任務。

主管之所以為主管,是因為擔負著管理的工作:規劃、組織、領導、控制。處理文書、操作機具、外部聯繫,這些都不是管理的工作。身為主管,要有管理自覺,耐住性子、放手練兵,才能帶出獨當一面的下屬。

*本文經整理參考自《給主管的教科書》(商周出版)

資料來源:https://www.businessweekly.com.tw/management/blog/3008084?utm_source=facebook.com&utm_medium=social&utm_content=bw&utm_campaign=content&fbclid=IwAR2n2Qb_6oDdKwIgLcJvYp9CiPxWpdAO9pBv2TmxHoYlmRSZuyjH3I1MJLE

分類
CISA

SOAP(Simple Object Access Protocol)

OAP(原為Simple Object Access Protocol首字母縮寫,即簡單物件存取協定)是交換資料的一種協定規範,使用在電腦網路Web服務(web service)中,交換帶結構的資訊。SOAP為了簡化網頁伺服器(Web Server)從XML資料庫中提取資料時,節省去格式化頁面時間,以及不同應用程式之間按照HTTP通信協定,遵從XML格式執行資料互換,使其抽象於語言實現、平台和硬體。此標準由IBMMicrosoftUserLandDevelopMentor在1998年共同提出,並得到IBM、蓮花(Lotus)、康柏(Compaq)等公司的支援,於2000年提交給全球資訊網聯盟World Wide Web Consortium,W3C),目前SOAP 1.1版是業界共同的標準,屬於第二代的XML協定(第一代具主要代表性的技術為XML-RPC以及WDDX)。

資料來源:https://zh.wikipedia.org/wiki/%E7%AE%80%E5%8D%95%E5%AF%B9%E8%B1%A1%E8%AE%BF%E9%97%AE%E5%8D%8F%E8%AE%AE

分類
CISSP

微服務-API 閘道器

https://ithelp.ithome.com.tw/upload/images/20211028/20132160vo7Cp5OeRE.png
-API 閘道器和服務網格(來源:Liran Katz)
實施 API 閘道器以促進跨境通信;他們控制著南北和東西向的交通。外部或邊緣 API 閘道器將來自客戶端的入站請求路由到適當的服務;內部 API 閘道器促進了各種服務網格範圍之間的通信。服務網格促進特定範圍內的服務到服務通信。
API 閘道器架構可以是整體式的,也可以是分佈式的。
在整體式API 閘道器架構中,通常只有一個 API 閘道器部署在企業網路的邊緣(例如,非軍事區 (DMZ)),並在企業級為 API 提供所有服務。
在分佈式API閘道器架構中,有多個微閘道器實例,部署在更靠近微服務API的地方。微閘道器通常是低的覆蓋區,其可以被用來定義和執行自定義策略,因此適合用於基於微服務的應用程序,必須通過特定的服務的安全策略來保護可腳本API閘道器。
微閘道器通常作為使用 Node.js 等開發平台的獨立容器實現。它不同於服務網格架構的 sidecar 代理,後者是在 API 端點本身實現的。
來源:來源:NIST SP 800-204

服務網格(Service Mesh)
服務網格是一個專用的基礎設施層,它通過服務發現、路由和內部負載平衡、流量配置、加密、身份驗證和授權、指標和監控來促進服務到服務的通信。
服務網格為微服務應用程序中的每個服務創建一個小型代理服務器實例。這種專門的代理汽車有時在服務網格術語中被稱為“ sidecar 代理”。Sidecar 代理形成了數據平面,而執行安全性(訪問控制、通信相關)所需的運行時操作是通過從控制平面向 sidecar 代理注入策略(例如訪問控制策略)來啟用的。這也提供了在不修改微服務代碼的情況下動態更改策略的靈活性。
來源:NIST SP 800-204

API閘道器(API Gateway)
API 閘道器的主要功能是始終將入站請求路由到正確的下游服務,可選擇執行協議轉換 (即 Web 協議之間的轉換,例如 HTTP 和 WebSocket,以及內部使用的 Web 不友好協議,例如作為 AMQP 和 Thrift 二進制 RPC)並且有時組合 requests。在極少數情況下,它們被用作前端后端 (BFF) 的一部分,從而支持具有不同外形因素(例如,瀏覽器、移動設備)的客戶端。
來自客戶端的所有請求首先通過 API 閘道器,然後將請求路由到適當的微服務。API 閘道器通常會通過調用多個微服務並聚合結果來處理請求。
由於API閘道器是微服務的入口點,所以它應該配備必要的基礎服務(除了其主要的請求整形服務),如服務發現、認證和存取控制、負載平衡、緩存、提供自定義API對於每種類型的客戶端,應用感知健康檢查、服務監控、攻擊檢測、攻擊響應、安全日誌記錄和監控以及斷路器。
來源:NIST SP 800-204

參考
NIST SP 800-204
網路層複習
服務網格與 API 閘道器:有什麼區別?
API 閘道器和服務網格的區別
API 閘道器與服務網格
API 閘道器和服務網格:打開應用現代化的大門

資料來源: Wentz Wu QOTD-20210823

分類
CISSP

ATO Attack

什麼是 ATO 攻擊?

通過 SolarWinds Passportal 2019 年 12 月 30 日

帳戶接管 (ATO) 攻擊呈上升趨勢,使個人和企業面臨財務損失和聲譽受損的風險。這些攻擊涉及登錄憑據的洩露——通常針對在線帳戶或云平台。例如,在個人層面,ATO 對個人賬戶的攻擊可能會導致最終用戶意識到黑客入侵了他們的銀行或亞馬遜賬戶。然而,商業環境中的 ATO 攻擊在範圍上可能更具破壞性。

鑑於 ATO 攻擊可能造成嚴重後果,託管服務提供商 (MSP) 應了解密碼安全與 ATO 攻擊之間的關係,以幫助其客戶避免成為欺詐活動的受害者。

什麼是 ATO 攻擊?

帳戶接管攻擊本質上是身份盜竊的一種形式。身份盜竊涉及竊取和使用個人身份識別信息 (PII),例如駕照號碼或社會安全號碼,以冒充他人。ATO 攻擊是身份盜竊的一種形式,黑客使用竊取的 PII 訪問在線帳戶,例如電子商務、銀行或電子郵件帳戶。

這種類型的帳戶接管很難被發現,並且通常會導致被盜帳戶上的欺詐交易。ATO 攻擊可能會給敏感信息被盜的人帶來費用或其他損失。黑客可能會使用被盜用的帳戶來轉移資金、進行購買或將數據用於其他目的。如果這種情況發生在業務環境中,則會影響生產力和公司安全。ATO 攻擊很容易損害公司聲譽——尤其是在違規行為很普遍的情況下。

ATO 攻擊的步驟是什麼?

ATO 攻擊通常包括以下步驟:

  • 數據洩露:數據洩露可能由於系統、網絡或網站中的漏洞而發生。在違規期間,黑客可能會訪問用戶名、電子郵件、密碼或帳戶安全問題和答案等信息。
  • 憑據破解:憑據破解或填充是犯罪者試圖發現和使用完整登錄憑據的過程,通常是通過自動化機器人。黑客可能會猜測密碼,使用單詞列表方法,或者只是通過機器人使用蠻力。這些操作可能會導致無效登錄嘗試突然增加——這是黑客試圖訪問帳戶的潛在跡象。
  • 金融交易:竊取用戶名和密碼的黑客實際上可能不會將它們用於 ATO 攻擊——他們可能會在暗網上出售這些敏感數據,供更專業的 ATO 黑客購買和使用。
  • 欺詐性帳戶使用:當黑客確實決定對帳戶執行欺詐性操作時,這些行為可能有多種形式。例如,不良行為者可能會竊取更多敏感數據,例如地址。他們可能會直接竊取資金。對於電子商務網站,他們可能會利用用戶的信用或獎勵。如果他們訪問您的電子郵件,他們可能會使用您的帳戶發送垃圾郵件或網絡釣魚電子郵件。在許多情況下,直到事後很久才發現損壞。

我的密碼是否安全免受 ATO 攻擊?

許多身份盜竊的受害者甚至可能不知道他們的數據已被盜。您的用戶名、電子郵件或密碼可能已經成為數據洩露的一部分。雖然有一些簡單的工具可以幫助您檢查您的信息是否存在於暗網上,但針對 ATO 攻擊的最佳防禦是智能預防。

為防止 ATO 攻擊,最終用戶和公司等應考慮一些安全和密碼最佳實踐。這些預防措施有助於確保盡可能保護客戶信息。

設置密碼要求: 您不一定需要使用強密碼生成器,但公司應該要求強密碼,如美國國家標準與技術研究院 (NIST)的最新指南所述。這些密碼要求包括: 

  • 至少需要八個字符,但不一定需要任何特殊字符。
  • 限制序列或重複。
  • 避免使用特定於上下文的詞和常用密碼。
  • 請記住——不一定需要混合使用大小寫字母和特殊字符。
  • 重要的是,需要根據已洩露密碼列表篩選新密碼。

考慮強密碼示例: 對於最終用戶,了解說明上述某些原則的強密碼想法可能會有所幫助。例如,避免僅使用英語單詞或單詞模式,例如“ILoveCats”。機器人可以非常快速地測試“字典”詞——尤其是常用詞,比如“密碼”。但是,包含數字或添加額外的單詞以獲得更高的字符數會很有用。 

應用更新:未能更新和修補軟件或網站可能導致黑客急於利用的漏洞。確保也更新防病毒軟件。

使用多因素解決方案:雙因素或多因素身份驗證解決方案(可能需要電子郵件或文本確認以確認用戶身份)比傳統登錄更安全。 

設置安全規則:某些安全規則和措施可以幫助防範黑客。嘗試只允許固定次數的登錄嘗試,永久阻止已知為惡意的 IP 地址,並確保充分的防火牆保護。像 CAPTCHA 這樣的工具可以幫助防止機器人自動登錄。

實施密碼管理工具: 使用密碼管理工具是確保高度安全的極好方法。密碼工具可以支持身份驗證功能、快速密碼重置功能、審計和憑據注入(在不洩露明文的情況下應用憑據的過程)。

實施密碼保護

如果您是希望為客戶提供密碼保護的 MSP,請從 SolarWinds ® Passportal開始。Passportal 專為希望為客戶提供符合最佳實踐和合規性要求的密碼管理的MSP 構建

使用 Passportal,MSP 可以輕鬆設置密碼要求,並確保客戶能夠在發生 ATO 攻擊時快速更改密碼。該工具還提供了一個自動強密碼生成器,以幫助防止憑據黑客攻擊並防止 ATO 攻擊。如果您正在尋找一種方法來保護客戶免受所有太常見的帳戶接管,請從SolarWinds Passportal的演示開始。

資料來源:https://www.passportalmsp.com/blog/what-is-an-ato-attack

分類
CISSP

微服務(microservices)

https://ithelp.ithome.com.tw/upload/images/20211026/20132160hOiqBvwcvp.png
-微服務架構
微服務是一種分佈式架構風格。它具有多種優點,例如:
. 可以提高可擴展性。
. 開發團隊可以獨立工作並變得更加敏捷。
. 服務的獨立性提高了代碼的可重用性。
. 系統的整體架構可以與組織結構保持一致。
但是,由於分佈式架構的性質,微服務的可用性、可管理性和監控可能需要更多的開銷。可擴展性和可用性的概念經常被混淆。可伸縮性是關於服務可以服務多少客戶端,而可用性是客戶端可以可靠和及時地訪問服務的程度。
服務或系統可以採用不同的可擴展性策略,例如,縱向擴展或橫向擴展。擴展策略可能不會提高可用性。橫向擴展策略在不同程度上有助於提高可用性,例如,沒有心跳檢查的基於 DNS 的循環負載均衡器呈現的可用性程度低於檢查服務健康狀態的基於集群的負載均衡器。
以下是 NIST SP 800-204 的摘錄:

微服務的優勢
. 對於大型應用程序,將應用程序拆分為鬆散耦合的組件可以實現分配給每個組件的開發團隊之間的獨立性。然後,每個團隊都可以通過選擇自己的開發平台、工具、語言、中間件和硬件來優化,基於它們對正在開發的組件的適用性。
. 每個組件都可以獨立縮放。資源的有針對性的分配導致資源的最大利用。
. 如果組件具有 HTTP RESTful 接口,只要接口保持不變,就可以在不中斷應用程序整體功能的情況下更改實現。
. 每個組件中涉及的代碼庫相對較小,使開發團隊能夠更快地生成更新,並為應用程序提供響應業務流程或市場條件變化的敏捷性。
. 組件之間的鬆散耦合能夠抑制微服務的中斷,從而將影響限制在該服務上,而不會對其他組件或應用程序的其他部分產生多米諾骨牌效應。
. 當組件使用異步事件處理機制鏈接在一起時,組件中斷的影響是暫時的,因為所需的功能將在組件再次開始運行時自動執行,從而保持業務流程的整體完整性。
. 通過將服務定義與業務能力對齊(或通過基於業務流程或能力的整體應用程序功能的分解邏輯),基於微服務的系統的整體架構與組織結構保持一致。當與組織單位相關的業務流程發生變化並因此需要修改和部署相關服務時,這促進了敏捷響應。
. 微服務的獨立功能特性促進了跨應用程序的代碼更好的可重用性。
. 必須監控多個組件(微服務)而不是單個應用程序。需要一個中央控制台來獲取每個組件的狀態和應用程序的整體狀態。因此,必須創建具有分佈式監控和集中查看功能的基礎設施。
. 多個組件的存在會造成可用性問題,因為任何組件都可能隨時停止運行。
. 一個組件可能必須為某些客戶端調用另一個組件的最新版本,並為另一組客戶端調用同一組件的先前版本(即版本管理)。
. 運行集成測試更加困難,因為需要一個測試環境,其中所有組件都必須工作並相互通信。
. 當基於微服務的應用程序內的交互設計為 API 調用時,必須實現安全 API 管理所需的所有必要流程。
. 微服務架構可以分解縱深防禦的做法。許多架構都有一個運行在 DMZ 中的 Web 服務器,預計會受到威脅,然後是 Web 服務器與之通信的後端服務,最後是後端服務與之通信的數據庫。後端服務可以充當暴露的 Web 服務器和數據庫中的敏感數據之間更堅固的層。微服務架構往往會破壞這一點,現在 Web 服務器和後端服務被分解為微服務,可能比以前的模型暴露得更多。這會導致調用者和敏感數據之間的保護層更少。因此,安全地設計和實現微服務本身以及服務網格或API 網關部署模型。

參考
NIST SP 800-204

資料來源: Wentz Wu QOTD-20210822

分類
CISSP

面向服務的架構 (SOA)、Web 服務和微服務

https://ithelp.ithome.com.tw/upload/images/20211025/20132160gPcsiV1rta.jpg
-面向服務的架構 (SOA)
面向服務的架構 (SOA) 可以通過 Web 服務或微服務來實現。Web 服務方法導致 SOA,而微服務架構是 SOA 的擴展。基於 SOA 的企業應用程序集成 (EAI) 通常為企業應用程序實現共享的企業服務總線 (ESB) 以交換消息。微服務託管在一個或多個容器中,這些容器在 Google Kubernetes (K8S)、Docker Swarm 或 Apache Mesos 的編排下協作。

面向服務的架構 (SOA)
服務是一個自包含的松耦合邏輯。在 SOA 中,傳統的單體應用程序被劃分為協作以實現共同目標的服務。服務提供商向私人或公共服務註冊機構註冊服務;服務消費者根據註冊中心查找或發現感興趣的服務以消費(綁定和調用)這些服務。
-SOA 的查找-綁定-執行範式(來源:Qusay H. Mahmoud)
“幾年前,IBM、微軟和 SAP 曾經託管公共 UDDI 服務器,但現在已經停產了。”
https://ithelp.ithome.com.tw/upload/images/20211025/20132160zvejsQ5fti.jpg
~ user159088 on stackoverflow
https://ithelp.ithome.com.tw/upload/images/20211025/2013216028cuEcZdQk.png
-SOA 元模型,The Linthicum Group,2007

微服務
微服務:微服務是一個基本元素,它源於將應用程序的組件架構分解為鬆散耦合的模式,這些模式由自包含的服務組成,這些服務使用標准通信協議和一組定義良好的 API 相互通信,獨立於任何供應商、產品或技術。
微服務是圍繞能力構建的,而不是服務,構建在 SOA 之上,並使用敏捷技術實現。微服務通常部署在應用程序容器內。
資料來源:NIST SP 800-180(草案)

容器編排
https://ithelp.ithome.com.tw/upload/images/20211025/20132160pFFykVlUwI.png
-Mesos、Swarm 和 Kubernetes(來源:Nane Kratzke
https://ithelp.ithome.com.tw/upload/images/20211025/2013216084Za3rKWKO.png
-Kubernetes 架構(來源:Dorothy Norris)

參考
SOA宣言
面向服務的架構
是否有任何公共 UDDI 註冊中心可用?
UDDI 註冊中心:可由啟用總線的 Web 服務引用的 Web 服務目錄
模式:微服務架構
2019年容器編排
使用 Kubernetes、Docker Swarm 和 Mesos 進行 Neo4j 容器編排
Kubernetes vs. Mesos——架構師的視角
Apache Mesos PNG 4
SOA 與微服務:有什麼區別?
企業服務總線
企業應用集成
面向服務的架構 (SOA) 和 Web 服務:企業應用程序集成 (EAI) 之路
面向服務架構的 Web 服務方法

資料來源: Wentz Wu網站

分類
CISSP

NIST 通用風險模型-威脅來源

https://ithelp.ithome.com.tw/upload/images/20211019/20132160IrgoB7nC2L.jpg
-NIST 通用風險模型 (NIST SP 800-30 R1)
NIST 通用風險模型描述了威脅源如何發起利用漏洞導致不利影響的威脅事件(例如,TTP、策略、技術和程序)。垃圾郵件發送者、恐怖分子和機器人網絡運營商是威脅來源,而網絡釣魚則是威脅事件。
風險與威脅
https://ithelp.ithome.com.tw/upload/images/20211019/20132160b5MvBtKgcI.jpg
-什麼是風險?

資料來源: Wentz Wu QOTD-20210818

分類
CISSP

驗證及確認

驗證及確認(Verification and validation)兩者是獨立的過程,若兩者一起使用,可以用來檢查產品、服務或系統滿足需求規格並且符合其原來預期的目的[1]。這些是品質管理系統(例如ISO 9000)的關鍵組件。有時會在「驗證及確認」前面加上「獨立」(independent)一詞,表示驗證及確認是由公正的第三方執行的。「獨立驗證及確認」可以簡稱為「IV&V」。

在實務上,在質量管理方面,驗證及確認的定義可以不一致。有時甚至可以交換使用[2][3][4]

電氣電子工程師學會(IEEE)採用的標準PMBOK指南中在第 4 版中的定義如下 [5]

  • 「確認(Validation):保證產品、服務或系統滿足客戶和其他已識別的利益相關者的需求。它通常涉及外部客戶的接受度和適應性。與驗證形成對比。」
  • 「驗證(Verification):評估產品、服務或系統是否符合規定、需求、規格或其他附加條件。多半是組織內部的流程。與確認形成對比。」

資料來源:https://zh.wikipedia.org/wiki/%E9%A9%97%E8%AD%89%E5%8F%8A%E7%A2%BA%E8%AA%8D

分類
CISSP

通用漏洞評分系統 (CVSS)

https://ithelp.ithome.com.tw/upload/images/20211013/20132160ufJCtaw4OH.jpg
-CVSS 指標組(來源:FIRST
通用漏洞評分系統 (CVSS) 標准定義了三個指標組:基本、時間和環境指標組。基本指標組是強制性的,而時間和環境指標組是可選的。
基本指標組有兩個指標集,可利用性指標和影響指標,用於評估風險。風險包括兩個關鍵因素:不確定性(可能性或可能性)和影響(影響)。針對風險可能性或可能性的漏洞可利用性標準。如果一個風險的可能性很大,但對安全目標(機密性、完整性和可用性)沒有影響,那麼它就無關緊要或不是風險。
https://ithelp.ithome.com.tw/upload/images/20211013/201321609fehbo5rCq.jpg
-CVSS 度量和方程(來源:FIRST

參考
通用漏洞評分系統 v3.1:規範文檔
常見漏洞評分系統計算器

資料來源: Wentz Wu QOTD-20210817

分類
CISSP

cissp重點_20211008

– 資安的定義: 手段、標的與目標

– 三階目標與風險管理: 1-2-3-4

– 安全控制措施的種類

– 戰略管理: 組成、形成與執行(政策框架與專案管理

– 將安全融入組織的各個業務流程: 人事與採購 (甲、乙、丙方及保證制度)

– 業務持續管理: 七步驟

– 資產安全: 盤點、分類、保護

– NIST RMF

– 資料治理: 企業自有資料與個資、智財、資料生命週期與狀態、資料清洗與殘留

– 存取控制概念: 主體、客體、安全核心及3A

– 隨意型存取控制(DAC)

– 安全評鑑、稽核與變更管理概念

– 日常維運及持續改善概念

– 工程的定義

– 意識、教育與訓練

分類
CISSP

微分段(micro-segmentation)

https://ithelp.ithome.com.tw/upload/images/20211007/201321600KtkR34xnM.jpg
-網路安全挑戰
虛擬可擴展局域網 (Virtual eXtensible Local Area Network :VXLAN)
虛擬可擴展 LAN (VXLAN) 是一種網路虛擬化技術,旨在解決與大型雲計算部署相關的可擴展性問題。VXLAN 規範最初由 VMware、Arista Networks 和 Cisco 創建。(維基百科)
它是一個軟體定義的覆蓋網路,它使用類似 VLAN 的封裝技術將 OSI 第 2 層以太網幀封裝在第 4 層 UDP 數據報中,使用 4789 作為 IANA 分配的默認目標 UDP 端口號。最常見的應用之一是連接docker 容器的覆蓋網路。
https://ithelp.ithome.com.tw/upload/images/20211007/20132160b7nZgyV6ZE.jpg
-Docker 覆蓋網路(來源:nigelpoulton)

軟體定義網路 (Software Defined Networks:SDN)
軟體定義網路 (SDN) 技術是一種網路管理方法,它支持動態的、以編程方式高效的網路配置,以提高網路性能和監控,使其更像雲計算,而不是傳統的網路管理。SDN 試圖通過將網路數據包的轉發過程(數據平面)與路由過程(控制平面)分離,將網路智能集中在一個網路組件中。控制平面由一個或多個控制器組成,這些控制器被認為是整合了整個智能的 SDN 網路的大腦。
資料來源:維基百科
https://ithelp.ithome.com.tw/upload/images/20211007/20132160nfPam8LBgu.png
-SDN架構
軟體定義的邊界 (Software Defined Perimeter:SDP)
軟體定義邊界 (SDP),也稱為“黑雲”,是一種計算機安全方法,它從 2007 年左右在全球信息網格 (GIG) 黑色核心網路計劃下國防信息系統局 (DISA) 所做的工作演變而來.
軟體定義邊界 (SDP) 框架由雲安全聯盟 (CSA) 開發,用於根據身份控制對資源的訪問。軟體定義邊界中的連接基於需要知道的模型,在該模型中,在授予對應用程序基礎設施的訪問權限之前驗證設備狀態和身份。
軟體定義的邊界通過使應用程序所有者能夠部署邊界來解決這些問題,這些邊界保留了傳統模型對外部不可見和不可訪問的價值,但可以部署在任何地方——在互聯網上、在雲中、在託管中心、在私人公司網路,或跨越部分或所有這些位置。
資料來源:維基百科
https://ithelp.ithome.com.tw/upload/images/20211007/20132160VyqhjKcQ8Q.jpg
-SDP架構

參考
微分段
什麼是微分段?
微分段與網路分段的區別
微分段:網路安全的下一次演變
2021 年最佳零信任安全解決方案
什麼是微分段?(帕洛阿爾托)
什麼是微分段?(VMware)
什麼是 VMware 虛擬化環境中的工作負載管理
軟體定義邊界中的微分段
SD-WAN、SDP、ZTNA……它們真的有那麼不同嗎?
安全智庫:SDN、容器、加密和SDP的安全作用
軟體定義的邊界:SDP 的架構視圖
利用微分段構建全面的數據中心安全架構
使用 NSX-T 3.0 為 VLAN 微分段準備集群

資料來源: Wentz Wu QOTD-20210815

分類
CISSP

軟件定義的邊界

一個軟件定義的邊界SDP),也被稱為“黑色的雲”,是一種方法的計算機安全,不同於在做的工作發展國防信息系統局(DISA)的下全球信息柵格(GIG)黑色核心網絡計劃2007 年左右。[1] 軟件定義邊界 (SDP) 框架由雲安全聯盟(CSA)開發,用於根據身份控制對資源的訪問。軟件定義邊界中的連接基於需要知道的模型,在該模型中,在授予對應用程序基礎設施的訪問權限之前驗證設備狀態和身份。[2]應用程序基礎設施實際上是“黑色的”(DoD 術語,表示無法檢測到基礎設施),沒有可見的DNS信息或IP 地址[可疑 –討論] 這些系統的發明者聲稱,軟件定義的邊界可以緩解最常見的基於網絡的攻擊,包括:服務器掃描拒絕服務 SQL 注入、操作系統和應用程序漏洞利用中間人middle pass-the-hash pass-the-ticket和其他未經授權用戶的攻擊。[3]

資料來源:https://en.wikipedia.org/wiki/Software-defined_perimeter

分類
CISSP

什麼是架構(What Is Architecture)?

https://ithelp.ithome.com.tw/upload/images/20211004/20132160pcCvD0HoO1.jpg
https://ithelp.ithome.com.tw/upload/images/20211004/20132160BTlD25iFRR.jpg
https://ithelp.ithome.com.tw/upload/images/20211004/20132160d67eCMMhPO.jpg
https://ithelp.ithome.com.tw/upload/images/20211004/20132160953CVb2bgW.jpg
https://ithelp.ithome.com.tw/upload/images/20211004/20132160kfsAtEoYs9.png
https://ithelp.ithome.com.tw/upload/images/20211004/20132160toWjdEj8lt.jpg
-計算機架構

作為解決方案最重要的工件,架構是一個對象(解決方案)從各種觀點或角度的概念、邏輯和物理表示,它確定了它的構建塊、關係、交互、邊界、接口、環境和上下文以及指導解決方案在其整個生命週期中的演變。
~ 吳文智

定義
. 系統或解決方案的一組相關的物理和邏輯表示(即視圖)。該體系結構在不同抽象級別和不同範圍內傳達有關係統/解決方案元素、互連、關係和行為的信息。(來源:NIST SP 800-160 第 1 卷)
. 與描述對象相關的一組設計人工製品或描述性表示,以便它可以按要求(質量)生產並在其使用壽命(變更)期間保持不變(來源:Zachman:1996,ISO/TR 20514:2005)
. 體現在其組件中的系統的基本組織、它們之間的關係以及與環境的關係,以及指導其設計和演變的原則(來源:ISO/IEC 15288:2008)
. 一套系統的概念和規則,描述了整個系統中實體之間的相互關係,獨立於硬體和軟體環境
注 1:架構是通過一系列可能處於不同級別的通用性的觀點來描述的/ specificity、abstraction/concept、totality/component等等。另請參見下文中的“通信視點”、“功能視點”、“組織視點”和“物理視點”定義。(來源:ISO/TR 26999:2012)
. 系統在其環境中的基本概念或屬性,體現在其元素、關係以及其設計和演變的原則中 (ISO/IEC/IEEE 42010:2011)
. 項目或元素的結構表示,允許識別構建塊、它們的邊界和接口,並包括對這些構建塊的需求分配(來源:ISO 26262-1:2018)
. 系統的概念結構
注 1:一個系統可能由幾個相互作用的子系統組成,每個子系統都有自己的體系結構。(來源:ISO/IEC TR 29108:2013)
. 邏輯結構和與組織和業務環境的相互關係所依據的一組原則
注 1:軟體架構是軟體設計活動的結果。(來源:ISO/TR18307:2001)
. 系統中硬體和軟體元素的特定配置(來源:IEC 61508-4)

資料來源: Wentz Wu網站

分類
CISSP

風險成熟度模型 (RMM)

RMM 解釋

風險管理基準和進展

風險成熟度模型 (RMM) 概述了構成可持續、可重複和成熟的企業風險管理 (ERM) 計劃的關鍵指標和活動。通過風險成熟度自我評估,組織可以衡量其當前風險管理實踐與 RMM 指標的一致性。完成後,每個組織都會獲得其計劃的成熟度評分,從最早階段和最低風險成熟度級別 Ad-Hoc(1 級)開始,並進展到最高級的風險成熟度級別領導(5 級) . 下面將概述 RMM 風險成熟度評估的每個組成部分、每個組成部分的評分方式以及評估的結果。

七大屬性

風險成熟度模型 (RMM) 確定了有效企業風險管理的七個關鍵屬性。這些屬性涵蓋 ERM 計劃的規劃和治理,以及評估的執行以及風險信息的匯總和分析。

最佳實踐 ERM 計劃的七個屬性或組成部分如下:

  • 採用基於 ERM 的流程該屬性衡量組織的風險文化,並考慮執行或董事會級別對企業風險管理的支持程度。
  • ERM 流程管理該屬性衡量組織在其文化和業務決策中採用 ERM 方法的程度,以及風險管理計劃遵循最佳實踐步驟以識別、評估、評估、減輕和監控風險的程度。
  • 風險偏好管理此屬性評估圍繞風險回報權衡、風險問責制、定義風險容忍度以及組織是否有效縮小潛在風險與實際風險之間的差距的意識水平。
  • 根本原因紀律此屬性評估組織根據來源或根本原因識別風險的程度,以及它們產生的症狀和結果。關注風險的根本原因並相應地對其進行分類將加強響應和緩解工作。
  • 發現風險此屬性衡量風險評估的質量和覆蓋範圍。它檢查收集風險信息的方法、風險評估過程,以及是否可以從風險信息中發現企業範圍的趨勢和相關性。
  • 績效管理該屬性決定了組織執行其願景和戰略的程度。它通過基於風險的流程評估規劃、溝通和衡量核心企業目標的強度,以及進展偏離預期的程度。
  • 業務彈性和可持續性該屬性評估業務連續性、運營規劃和其他可持續性活動採用基於風險的方法的程度。

能力驅動因素和指標

每個屬性都包括一組能力驅動因素,其中概述了實現每個驅動因素所涉及的關鍵準備指標(或活動)。這些驅動因素/指標對涵蓋整個風險管理流程,包括管理、外展、數據收集和匯總以及風險信息分析。以下是構成 RMM 風險成熟度評估的 25 個能力驅動因素和指標配對的樣本:

執行 ERM 支持

  • 風險優先級和進展是否向董事會或高級領導層報告?
  • 新計劃(即項目、運營變更、供應商入職等)是否需要進行風險評估?
  • 在員工績效評估中是否考慮了風險管理教育和理解?

信息分類

  • 是否有用於識別風險的標準化流程或分類模型?
  • 業務領域是否確定組織目標並跟踪實現進度?
  • 風險是通過根本原因還是源頭來識別的?

業務流程定義和風險所有權

  • 業務領域是否識別與流程相關的風險?
  • 流程所有者是否在定期規劃和戰略制定中管理他們的風險、威脅和機會?
  • 所有的風險、威脅和機遇是否都及時傳達並採取了行動?

評分方法

對於以下三個評估維度中的每一個,所有能力驅動因素都按照 1-10 的等級進行評分:

  • 效力衡量關鍵風險管理活動的頻率和有效性。(即評估是臨時的還是每年完成?是否至少每季度審查一次高風險?)
  • 主動性衡量風險管理的性質,無論是主動還是被動。(即組織是否等到不利事件發生以降低風險或是否計劃了未來的情景?)
  • 覆蓋範圍衡量組織內風險管理的廣度和深度。(即職責是否跨越組織的所有部門和所有垂直級別?)

完成後,將為每個驅動程序提供成熟度評分以及整個風險管理計劃的整體成熟度評分。評分基於 5 級量表,1 級表示最低風險成熟度,5 級表示最高成熟度。通過每個因素的成熟度評分,組織可以優先考慮時間和資源來改進其風險管理流程中最薄弱的領域,同時保留最強大的實踐。

基於經過驗證的最佳實踐活動,實施 RMM 指標的組織能夠創造並體驗有效風險管理的好處。LogicManager 幫助組織彌合差距並完善其風險管理計劃,提供了許多資源和幫助方法。

如何進行 RMM 風險成熟度評估

通常,組織在完成 RMM 的風險管理成熟度評估時會採取兩條路線:一個人代表 ERM 計劃(風險管理計劃和實踐的核心人員)完成評估,或者由幾個人進行評估並彙總分數來自參與 ERM 計劃不同領域的多個評估員。

RMM 有兩個版本:標準版本旨在供組織中希望全面了解其 ERM 成熟度的領導者採用。第二個版本,即前線的 RMM,旨在供員工直接執行為組織提供動力的日常運營和流程。標準 RMM 和前線 RMM 之間的區別在於能力驅動因素(前者將被問及關於更高級別企業關注的問題,而後者將檢查與它們更密切相關的領域)。雖然根據每個 ERM 計劃的結構,一種方法可能比另一種更適合,但兩者都會產生有意義的成熟度分數和報告,以便在改進 ERM 計劃時加以利用。

要進行免費的在線 RMM 評估,請訪問此鏈接完成後,評估會提供一份個性化的分數報告,包括您的報告與成功因素指南之間的比較。這有助於您識別差距並確定其優先級,並製定行動計劃以推進您的風險管理計劃。評估不需要任何經驗,大約需要 30 分鐘才能完成,並通過易於使用的在線評估嚮導完成。單擊此處進行 RMM 評估

如果您對 RMM 評估有任何疑問或想召開會議討論您的結果,請發送電子郵件至communications@logicmanager.com。

資料來源:https://www.riskmaturitymodel.org/risk-maturity-model-rmm-for-erm/

分類
CISSP

最有可能導致數據洩露的針對智能卡(smart cards)的攻擊

https://ithelp.ithome.com.tw/upload/images/20210925/201321603Nk48YiIrz.jpg
-側信道攻擊

側信道攻擊(Side-channel attack)
只需在設備或系統附近放置天線、磁探頭或其他傳感器,即可利用側信道。這允許攻擊者測量功耗、電壓波動或其他側信道,例如溫度或聲音。側信道攻擊可用於從智能卡等設備中提取密鑰。在現實世界中,這允許攻擊者加載或重置餘額並提取或重置設備 PIN。(半工程)
通過從物理密碼系統洩漏信息而啟用的攻擊。可以在側信道攻擊中利用的特徵包括時間、功耗以及電磁和聲發射。
來源:NIST 術語表
在 計算機安全中, 旁道攻擊 是基於從 計算機系統的實施中獲得的信息的任何攻擊 ,而不是實施算法本身的弱點(例如 密碼分析 和 軟體錯誤)。時間信息、功耗、 電磁 洩漏甚至 聲音 都可以提供額外的信息來源,可以加以利用。
資料來源:維基百科

內容可尋址內存 (CAM) 表溢出攻擊(Content addressable memory (CAM) table overflow attack)
當 CAM 表溢出時,交換集線器可能會降級為集線器以通過向所有端口發送幀來保持可用性。這會導致中間人惡意嗅探。
CAM 表溢出攻擊是針對網絡交換機執行的惡意行為,其中大量虛假 MAC 地址被發送到交換機。這種數據洪流導致交換機轉儲其 CAM 數據庫表中的有效地址,以試圖為虛假信息騰出空間。在這之後,交換機的默認行為是向所有端口廣播正常的私有消息。
資料來源:CbtNuggets

竊聽攻擊(Wiretapping Attack)
竊聽是對電話、電報、蜂窩、 傳真 或基於互聯網的通信進行的秘密電子監控 。
竊聽是通過在有問題的線路上放置一個非正式地稱為錯誤的監視設備或通過其他通信技術中的內置機制來實現的。
執法官員可以利用現場監控或錄音。數據包嗅探器——用於捕獲在網絡上傳輸的數據的程序——是一種常用的現代竊聽工具。各種其他工具,例如竊聽木馬,用於不同的應用程序。
資料來源:TechTarget

背負式攻擊(Piggyback attack)
一個 背馱式攻擊 是一種活化形式 竊聽 當攻擊者獲得通過活動的間隔訪問系統中的其他用戶的合法連接。它也被稱為“線間攻擊”或“背負式進入竊聽”。
在安全方面,捎帶指的是當某人與另一個被授權進入限制區域的人一起標記時,該術語 在此上下文中適用於 計算機網路
資料來源:維基百科

參考
了解側信道攻擊
ARP 和 CAM 表
背負式攻擊
保護圖片存檔和通信系統 (PACS):醫療保健行業的網絡安全

資料來源: Wentz Wu QOTD-20210811

分類
CISSP

區塊加密法工作模式

密碼學中,區塊密碼工作模式(mode of operation)允許使用同一個區塊密碼密鑰對多於一塊的資料進行加密,並保證其安全性。[1][2] 區塊密碼自身只能加密長度等於密碼區塊長度的單塊資料,若要加密變長資料,則資料必須先被劃分為一些單獨的密碼塊。通常而言,最後一塊資料也需要使用合適填充方式將資料擴充到符合密碼塊大小的長度。一種工作模式描述了加密每一資料塊的過程,並常常使用基於一個通常稱為初始化向量的附加輸入值以進行隨機化,以保證安全[1]

工作模式主要用來進行加密和認證[1][3] 對加密模式的研究曾經包含資料的完整性保護,即在某些資料被修改後的情況下密碼的誤差傳播特性。後來的研究則將完整性保護作為另一個完全不同的,與加密無關的密碼學目標。部分現代的工作模式用有效的方法將加密和認證結合起來,稱為認證加密模式[2]

雖然工作模式通常應用於對稱加密[2],它亦可以應用於公鑰加密,例如在原理上對RSA進行處理,但在實用中,公鑰密碼學通常不用於加密較長的資訊,而是使用結合對稱加密和公鑰加密的混合加密方案[1]

資料來源:https://zh.wikipedia.org/wiki/%E5%88%86%E7%BB%84%E5%AF%86%E7%A0%81%E5%B7%A5%E4%BD%9C%E6%A8%A1%E5%BC%8F

分類
CISSP

DNS 服務器之間的區域傳輸(Zone transfer)

https://ithelp.ithome.com.tw/upload/images/20210922/20132160vQfp8cj6DA.jpg
-防火牆接口和區域
防火牆通常以兩種方式調解網絡流量:基於上下文和基於區域。傳統的基於上下文的方法也稱為基於上下文的訪問控制 (CBAC)。

基於區域的防火牆(Zone-based Firewalls)
防火牆包含幾個網絡接口,可以配置或分配給區域。安全區域或簡稱區域是共享相同安全要求的防火牆接口的集合。區域之間的流量由防火牆策略控制。有關更多信息,請參閱防火牆接口、區域和層

區域對(Zone Pairs)
區域對可以定義為一個方向上兩個區域的配對。然後將防火牆流量策略應用於區域對。防火牆流量策略在區域之間單向應用。雙向流量需要兩個區域對。但是,如果使用狀態檢查,則不需要第二個區域對,因為由於檢查而允許回复流量。
資料來源:OmniSecu

基於上下文的防火牆(Context-based Firewalls)
所述的ACL提供流量過濾和保護,直到傳輸層,同時在另一方面,CBAC提供高達應用層相同的功能。在 CBAC 配置的幫助下,路由器可以充當防火牆。
資料來源:GeeksForGeeks

基於上下文的訪問控制 (CBAC) 根據應用層協議會話信息智能過濾 TCP 和 UDP 數據包,可用於 Intranet、Extranet 和 Internet。
資料來源:黑羊網絡(BlackSheepNetworks)

Cisco IOS® 防火牆功能集的基於上下文的訪問控制 (CBAC) 功能會主動檢查防火牆後面的活動。CBAC 通過使用訪問列表(與 Cisco IOS 使用訪問列表的方式相同)指定需要允許進入的流量以及需要釋放的流量。但是,CBAC 訪問列表包括 ip inspect 語句,允許檢查協議以確保在協議進入防火牆後面的系統之前它沒有被篡改。
資料來源:思科

DNS 區域(DNS Zones)
DNS 命名空間是按層次結構或樹組織的 DNS 域名的邏輯結構。DNS 區域是 DNS 命名空間的一部分的管理結構。DNS 區域文件是區域的存儲庫。
主 DNS 服務器託管一個可寫區域,該區域可以傳輸到一個或多個輔助 DNS 服務器。輔助 DNS 服務器上的副本或副本通常是只讀的。但是,副本可以是可寫的,例如 Microsoft AD 集成的 DNS;這取決於供應商的實施。
主 DNS 服務器和輔助 DNS 服務器之間的區域傳輸使用 TCP 端口 53。它可以定期或基於通知進行。為了安全起見,主 DNS 服務器可能會維護一個輔助 DNS 服務器的白名單。
DNS 客戶端也稱為 DNS 解析器,它使用 UDP 端口 53 向 DNS 服務器發送遞歸 DNS 查詢。然後 DNS 服務器發出多個非遞歸或迭代查詢來解決來自 DNS 客戶端的查詢。
https://ithelp.ithome.com.tw/upload/images/20210922/20132160jEy54XJ5Zp.jpg
-DNS 命名空間和區域

參考
域名系統(維基百科)
DNS區域傳輸
DNSSEC – 它是什麼以及為什麼重要?
基於區域的防火牆基礎知識
網絡安全區
使用區域(紅帽)
區域對
基於上下文的訪問控制
基於上下文的訪問控制 (CBAC)
Cisco IOS 防火牆功能集和基於上下文的訪問控制
基於上下文的訪問控制 (LDAPWiki)

資料來源:Wentz Wu QOTD-20210810

分類
CISA

SMART原則

SMART原則目標管理中的一種方法。目標管理的任務是有效地進行成員的組織與目標的制定和控制以達到更好的工作績效,由管理學大師彼得·杜拉克於1954年首先提出。SMART原則便是為了達到這一目的而提出的一種方法,目前在企業界有廣泛的應用。它的首次出現被認為是在1981年12月發行的《管理評論》(Management Review)上(由George Doran、Arthur Miller和James Cunningham編著)。[1]

SMART原則中的「S」、「M」、「A」、「R」、「T」五個字母分別對應了五個英文單詞:Specific(明確)、Measurable(可衡量)、Achievable(可達成)、Relevant(相關)和Time-bound(有時限)。

資料來源:https://zh.wikipedia.org/wiki/SMART%E5%8E%9F%E5%88%99

分類
CISSP

資產生命週期(Asset Lifesysle)

分類
CISSP

DNS 安全擴展 (DNSSEC)

https://ithelp.ithome.com.tw/upload/images/20210915/20132160uMqakJgDrS.jpg
-DNSSEC 資源記錄(來源:InfoBlox
DNSSEC使用數字簽名確保DNS 數據的完整性,而 DNS over HTTPS (DoH) 或 DNS over TLS (DoT) 保護機密性。
以下是一些最重要的 DNSSEC 資源記錄 (RR):
. DS(委託簽名者)
. DNSKEY(DNS 公鑰)
. RRSIG(資源記錄簽名)
https://ithelp.ithome.com.tw/upload/images/20210915/201321608gOmwhiDvP.png
DS(委託簽名者)
DS RR 包含子區域 KSK 的哈希值,可用作某些具有安全意識的解析器中的信任錨,並為 DNS 服務器中的簽名子區域創建安全委派點。如圖 22.1 所示,父區域 corpxyz.com 中的 DS RR 包含子區域 sales.corpxyz.com 的 KSK 的哈希值,而子區域 sales.corpxyz.com 的 DS 記錄又包含其子區域的 KSK 的哈希值, nw.sales.corpxyz.com。
-資料來源:InfoBlox

DNSKEY(DNS 公鑰)
當權威名稱服務器對區域進行數字簽名時,它通常會生成兩個密鑰對,一個區域簽名密鑰 (ZSK) 對和一個密鑰簽名密鑰 (KSK) 對。
名稱服務器使用ZSK 對的私鑰對區域中的每個 RRset 進行簽名。(RRset 是一組具有相同所有者、類別和類型的資源記錄。)它將 ZSK 對的公鑰存儲在 DNSKEY 記錄中。
然後名稱服務器使用KSK 對的私鑰對所有 DNSKEY 記錄進行簽名,包括它自己的記錄,並將相應的公鑰存儲在另一個 DNSKEY 記錄中。
因此,一個區域通常有兩個 DNSKEY 記錄;保存 ZSK 對公鑰的 DNSKEY 記錄,以及 KSK 對公鑰的另一個 DNSKEY 記錄。
資料來源:InfoBlox

R RSIG(資源記錄簽名)
一個簽名區域有多個 RRset,每個記錄類型和所有者名稱一個。(所有者是RRset 的域名。)當權威名稱服務器使用ZSK 對的私鑰對區域中的每個RRset 進行簽名時,每個RRset 上的數字簽名都存儲在RRSIG 記錄中。因此,簽名區域包含每個 RRset 的 RRSIG 記錄。
資料來源:InfoBlox

參考
DNSSEC – 回顧
DNSSEC – 它是什麼以及為什麼重要?
域名系統安全擴展
DNSSEC 的工作原理
DNSSEC:它的工作原理和主要考慮因素
RFC 4033:DNS 安全介紹和要求
RFC 4034:DNS 安全擴展的資源記錄
RFC 4035:DNS 安全擴展的協議修改
基於 HTTPS 的 DNS
如何配置 DoT/DoH
DNSKEY 資源記錄

資料來源: Wentz Wu QOTD-20210809

分類
CISSP

Risk Treatment

分類
CISSP

系統和應用軟體提供安全保證- 通用標準(Common Criteria)

https://ithelp.ithome.com.tw/upload/images/20210913/20132160wBxk3wtKD2.jpg
-通用標準評估
TCSEC 在 DoD 中用於評估受信任的計算機系統。它適用於整個計算機系統,而不適用於特定的軟體組件。此外,它已經過時了。
可信計算機系統評估標準 ( TCSEC ) 是 美國政府國防部 (DoD) 標準,它為評估 內置於計算機系統中的計算機安全控制 的有效性設定了基本要求 。TCSEC 用於評估、分類和選擇被考慮用於處理、存儲和檢索敏感或機密資訊的計算機系統 。(維基百科
CMMI 是一種基於過程的模型,用於評估組織在軟體開發、採購或服務交付方面的能力成熟度。它不適用於軟體本身。
SOC 2 Type II 是關於服務組織中與安全性、可用性、處理完整性、機密性或隱私相關的控制的報告。這些報告旨在滿足廣大用戶的需求,這些用戶需要有關服務組織用於處理用戶數據和服務的系統的安全性、可用性和處理完整性相關的控制的詳細信息和保證。這些系統處理的信息的機密性和隱私性。(AICPA)

參考
批准的保護配置文件
認證產品
Windows 10:內部版本 10.0.15063(也稱為版本 1703)

資料來源: Wentz Wu QOTD-20210808

分類
Information Security

OWASP Top 10-A01:2021 – 權限控制失效

A01:2021 – 權限控制失效

對照因素

可對照 CWEs 數量最大發生率平均發生率最大覆蓋範圍平均覆蓋範圍平均加權弱點平均加權影響出現次數所有相關 CVEs 數量
3455.97%3.81%94.55%47.72%6.925.93318,48719,013

概述

從第五名晋升至第一名,94% 的應用程式都對中斷的存取控制進行了某種形式的測試。著名 的 CWE 包括 CWE-200:將敏感資訊暴露給未經授權的演員CWE-201:通過發送資料 和 CWE-352暴露敏感資訊:跨站請求偽造

描述

存取控制強化政策,使得用戶不能採取在預期權限之外的行動。故障通常會導致未經授權 的資訊洩露、修改或破壞所有資料,或執行超出用戶限制的業務功能。 常見的存取控制弱點包括:

  • 通過修改URL、內部應用程式狀態或HTML頁面,或僅使用自定義API攻擊工具來繞過存取控制檢查。
  • 容許主鍵被更改為其他用戶的記錄,允許查看或編輯其他人的帳戶。
  • 特權提升。未登入即成為用戶,或以用戶身份登入即成為管理員。
  • 中繼資料操作,例如重放或篡改JSON網站令牌(JWT)之存取控制令牌,或被操縱以提升特權或濫用 JWT失效的cookie或隱藏欄位。
  • CORS錯誤配置允許未經授權的API存取。
  • 以未經身份驗證的用戶身份強制瀏覽已驗證的頁面或以標準用戶身份存取特權頁面。 存取缺少存取控制的API以進行POST、PUT 和 DELETE操作。

如何預防

存取控制僅在受信任的伺服器端代碼或無伺服器的API有效果,攻擊者無法修改這裏的存取控制檢查或中繼資料。

  • 除公開資源外,以拒絕為預設值。
  • 一次性地建置存取控制機制,之後在整個應用程式中重複使用它們,包括最大限度地減少使用CORS。
  • 模型的存取控制措施應該強化記錄所有權,而不是讓用戶可以創建、讀取、更新或刪除任何記錄。
  • 獨特的應用程式業務限制要求應由領域模型予以強化。
  • 停用Web伺服器目錄列表,並確保檔案中繼資料(例如,.git)和備份檔案不在web根目錄中。
  • 記錄存取控制失效,並在適當的時間警示管理員(例如,重覆性失效)。
  • 對API和控制器存取進行流量限制,以最小化自動攻擊工具所帶來的損害。
  • JWT令牌於登出後,在伺服器端應使其失效。

開發人員和QA品保人員應納入與功能有關之存取控制的單元和整合測試。

攻擊情境範例

情境 #1: 應用程式在存取帳戶資訊的SQL呼叫中使用未經驗證的資料:

pstmt.setString(1, request.getParameter(“acct”));

ResultSet results = pstmt.executeQuery( );

攻擊者只需修改瀏覽器的“acct”參數即可發送他們想要的任何帳號。如果沒有正確驗證, 攻擊者可以存取任何用戶的帳戶。

https://example.com/app/accountInfo?acct=notmyacct

情境#2: 攻擊者僅強迫瀏覽某些目標網址。存取管理頁面需要管理員權限。

https://example.com/app/getappInfo

https://example.com/app/admin_getappInfo

如果未經身份驗證的用戶可以存取任一頁面,那就是一個缺陷。 如果一個非管理員可以存取管理頁面,這也是一個缺陷。

參考

對應的CWE列表

CWE-22 不當限制受限目錄的路徑名稱(路徑遍訪)

CWE-23 相對路徑遍訪

CWE-35 路徑遍訪: ‘…/…//’

CWE-59 檔案存取前不當的路徑解析 (‘連結指向’)

CWE-200 將敏感資訊曝露給未經授權的行為者

CWE-201 經由發送的資料曝露敏感資訊

CWE-219 在網站根目錄下存放敏感資料

CWE-264 權限、特權和存取控制(不應再使用)

CWE-275 權限問題

CWE-276 不正確的預設權限

CWE-284 不當的存取控制

CWE-285 不當的授權

CWE-352 跨站請求偽造 (CSRF)

CWE-359 將私有的個人資訊曝露給未經授權的行為者

CWE-377 不安全的暫存檔案

CWE-402 私有資源輸入新領域(“資源洩漏”)

CWE-425 直接請求(“強制瀏覽”)

CWE-441 意外代理或中介(“困惑的代理”)

CWE-497 將敏感系統資訊曝露給未經授權的控制領域

CWE-538 將敏感資訊插入外部可存取的檔案或目錄

CWE-540 原始程式中包含敏感資訊

CWE-548 透過列示目錄而曝露資訊

CWE-552 外部各方可存取的檔案或目錄

CWE-566 通過用戶控制的 SQL 主鍵繞過授權

CWE-601 URL重新導向至不受信任的站台(“開放而不受限的重新導向”)

CWE-639 通過用戶控制的金鑰繞過授權

CWE-651 曝露包含敏感資訊的WSDL檔案

CWE-668 資源曝露於錯誤領域

CWE-706 使用被不正確解析的名稱或參考

CWE-862 缺少授權

CWE-863 不正確的授權

CWE-913 不當的動態管理的代碼資源控制

CWE-922 不安全儲存的敏感資訊

CWE-1275 具有不當SameSite屬性設定的敏感Cookie

資料來源:https://github.com/ninedter/Top10/blob/2021-zhtw/2021/docs/A01_2021-Broken_Access_Control.zh_TW.md

分類
CISSP

DevOps

DevOpsDevelopment和Operations的組合詞)是一種重視「軟體開發人員(Dev)」和「IT運維技術人員(Ops)」之間溝通合作的文化、運動或慣例。透過自動化「軟體交付」和「架構變更」的流程,來使得構建、測試、發布軟體能夠更加地快捷、頻繁和可靠。

傳統的軟體組織將開發、IT運維和品質保障設為各自分離的部門,在這種環境下如何採用新的開發方法(例如敏捷軟體開發),是一個重要的課題。按照從前的工作方式,開發和部署,不需要IT支援或者QA深入的跨部門的支援;而現在卻需要極其緊密的多部門協同運作。而DevOps考慮的還不止是軟體部署,它是一套針對這幾個部門間溝通與協同運作問題的流程和方法。[5]

資料來源:https://zh.wikipedia.org/wiki/DevOps

分類
Information Security

伺服器端請求偽造

在電腦安全中,伺服器端請求偽造(英語:Server-side Request Forgery,簡稱SSRF)是攻擊者濫用伺服器功能來存取或操作無法被直接存取的資訊的方式之一。[1]

伺服器端請求偽造攻擊將域中的不安全伺服器作為代理使用,這與利用網頁客戶端跨站請求偽造攻擊類似(如處在域中的瀏覽器可作為攻擊者的代理)。

資料來源:https://zh.wikipedia.org/wiki/%E6%9C%8D%E5%8A%A1%E5%99%A8%E7%AB%AF%E8%AF%B7%E6%B1%82%E4%BC%AA%E9%80%A0

分類
CISSP

OpenFlow

OpenFlow,一種網路通訊協定,屬於數據鏈路層,能夠控制網路交換器路由器轉發平面(forwarding plane),藉此改變網路封包所走的網路路徑。

OpenFlow(OF)被認為是第一個軟體定義網路(SDN)標準之一。它最初在SDN環境中定義了通信協定,使SDN控制器能夠與物理和虛擬的交換機和路由器等網路裝置的轉發平面直接進行互動,從而更好地適應不斷變化的業務需求。

SDN中的SDN控制器是SDN網路的「大腦」,它將資訊傳遞給交換機/路由器的「下方」(通過南向API)和「上方」(通過北向API)的應用和業務邏輯。最近,隨著組織部署更多的SDN網路,SDN控制器的任務是使用通用應用程式介面(如OpenFlow和開放式虛擬交換機資料庫(OVSDB))在SDN控制器域之間進行聯合。

要在OF環境中工作,任何想要與SDN控制器通信的裝置都必須支援OpenFlow協定。通過這個介面,SDN控制器將更改推播到交換機/路由器流量表,使網路管理員能夠對流量進行分割區,控制流量以獲得最佳效能,並開始測試新組態和應用。

資料來源:https://zh.wikipedia.org/wiki/OpenFlow

分類
CISSP

軟體定義網路(software-defined networking:SDN

軟體定義網路(英語:software-defined networking,縮寫作 SDN)是一種新型網路架構。它利用OpenFlow協定將路由器控制平面(control plane)從資料平面(data plane)中分離,改以軟體方式實作,從而使得將分散在各個網路裝置上的控制平面進行集中化管理成為可能 ,該架構可使網路管理員在不更動硬體裝置的前提下,以中央控制方式用程式重新規劃網路,為控制網路流量提供了新方案,也為核心網路和應用創新提供了良好平台。SDN可以按使用領域分為:SD-WAN, SD-LAN, SD-DC, SDN將人工智慧引入到網路系統里來,將是未來幾年最熱門的網路前沿技術之一。[1]

FacebookGoogle都在他們的資料中心中使用OpenFlow協定,並成立了開放網路基金會來推動這個技術。[2][3]

資料來源:https://zh.wikipedia.org/wiki/%E8%BB%9F%E9%AB%94%E5%AE%9A%E7%BE%A9%E7%B6%B2%E8%B7%AF

分類
CISSP

最高級別的隔離- 第二類類虛擬機器監視器( Type II hypervisor)

https://ithelp.ithome.com.tw/upload/images/20210902/20132160rDpjQho9k7.jpg
-軟體運行環境

與共享資源隔離(Isolation from Sharing Resources)
隔離是“將多個軟體實例分開的能力,以便每個實例只能看到並影響自己。”
資料來源:NIST SP 800-190
進程使用各種資源,例如 CPU、記憶體、儲存、網路、操作系統服務等。為了隔離進程,使其不會影響其他進程,需要控制對記憶體和其他資源的存取。
https://ithelp.ithome.com.tw/upload/images/20210902/20132160g0pXGLvyBI.jpg
-計算機架構

界限(Bounds)
這裡的界限意味著強加給進程的記憶體界限,不能存取屬於其他人的記憶體段。它提供了基本的隔離級別。共享儲存、CPU、網絡和其他資源的進程可能仍會導致競爭資源競爭。
https://ithelp.ithome.com.tw/upload/images/20210902/20132160x2crcn8PMs.jpg
-進程的記憶體佈局

容器化(Containerization)
容器化是應用程序虛擬化,其中容器中的進程與大多數資源隔離,但仍共享相同的操作系統內核。
https://ithelp.ithome.com.tw/upload/images/20210902/20132160FAbec7eqTa.png
-虛擬機和容器部署(來源:NIST SP 800-190)
https://ithelp.ithome.com.tw/upload/images/20210902/20132160otolPovczM.jpg
-操作系統和應用程序虛擬化(來源:NIST SP 800-190)

第二類虛擬機器監視器(Type II hypervisor)
一個第二類虛擬機器監視器基於主機操作系統上管理虛擬機(VM)上運行的客戶操作系統。在具有來賓操作系統的 VM 上運行的進程是高度隔離的。部署在兩個 VM 上的兩個進程具有比容器更高的隔離級別。
https://ithelp.ithome.com.tw/upload/images/20210902/20132160xhmrFAlSxb.png
-虛擬機器監視器(來源:TechPlayOn

搶占式多任務處理(Preemptive Multitasking)
搶占式多任務處理不是一種隔離機制。但是,它通常需要上下文切換來保留線程的 CPU 狀態。從這個角度來看,它可以在某種程度上被視為線程級隔離。
https://ithelp.ithome.com.tw/upload/images/20210902/201321605Lo3q56oKv.jpg
-上下文切換(來源:hcldoc)

參考
什麼是雲中的管理程序?
上下文切換

資料來源: Wentz Wu QOTD-20210803

分類
CISSP

保護環0-處理故障

https://ithelp.ithome.com.tw/upload/images/20210901/201321603bcsjROKk3.png
-保護環(來源:維基百科)

保護環:指令特權級別和操作系統模式(Protection Rings: Instruction Privilege Levels and OS modes)
大多數現代操作系統以兩種模式運行程序:內核模式和用戶模式。內核模式通常運行在特權級別 0,而用戶模式運行在特權級別 3。保護環傳達了操作系統如何利用指令集的 CPU 特權級別的想法。
x86指令集中的特權級別控制當前在處理器上運行的程序對內存區域、I/O 端口和特殊指令等資源的訪問。有 4 個特權級別,從 0 是最高特權,到 3 是最低特權。大多數現代操作系統對內核/執行程序使用級別 0,對應用程序使用級別 3。任何可用於級別 n 的資源也可用於級別 0 到 n,因此權限級別是環。當較低特權的進程嘗試訪問較高特權的進程時,會向操作系統報告一般保護錯誤異常。
資料來源:維基百科

異常處理(Exception Handling)
https://ithelp.ithome.com.tw/upload/images/20210901/20132160hSxqbEpcQ4.jpg
-異常處理(來源:https : //minnie.tuhs.org/)
操作系統 (OS) 內核通常處理來自進程的系統調用、來自 CPU 的異常以及來自外圍設備的中斷。在用戶模式下運行的應用程序或進程可能會遇到錯誤或故障,導致在內核模式下運行的操作系統內核捕獲到 CPU 級別的異常。如果發生故障,操作系統內核將拋出異常或向應用程序發送信號。以下屏幕截圖是演示應用程序正確處理異常的代碼片段。但是,如果應用程序不處理異常,操作系統將終止它。
https://ithelp.ithome.com.tw/upload/images/20210901/201321607ZayXG6l5o.jpg
-除以零

參考
保護環
操作系統中的特權和非特權指令
CIS 3207 – 操作系統:CPU 模式
編寫 Hello World Windows 驅動程序 (KMDF)
如何使用 C++ 以 SYSTEM 身份運行程序?
除以零預防:陷阱、異常和可移植性
用戶和內核模式、系統調用、I/O、異常

資料來源: Wentz Wu QOTD-20210802

分類
CISSP

IPSec Protocols and Modes

資料來源:https://wentzwu.com/2021/06/15/cissp-practice-questions-20210615/

分類
CEH

殺傷鏈

殺傷鏈在軍事上指的是一種攻擊過程,具體是指識別所要打擊的目標、向目標派遣兵力、決定並下令攻擊目標、最後摧毀目標等一系列攻擊過程[1]。而洛克希德·馬丁公司將這一攻擊過程引入信息安全領域,假想實施計算機網絡入侵的黑客也會採取這種攻擊過程,並將其稱之為網絡殺傷鏈模型[2]。網絡殺傷鏈模型在信息安全界得到了一定的採用[3]。然而,這一模型並沒有得到普遍接受,批評者認為這一模型存在根本性的缺陷[4]

資料來源:https://zh.wikipedia.org/wiki/%E6%AE%BA%E5%82%B7%E9%8F%88

分類
CISSP

容器化及容器技術(containerization and container technology)

https://ithelp.ithome.com.tw/upload/images/20210828/20132160n6stU1nVeH.png
-虛擬機和容器部署(來源:NIST SP 800-190)

虛擬機器監視器(Hypervisor)
容器不需要管理程序來支持應用程序虛擬化。容器可以部署到裸機,無需虛擬機管理程序管理的虛擬機。虛擬機器監視器又名虛擬機監視器/管理器 (VMM),是“管理主機上的來賓操作系統並控制來賓操作系統和物理硬件之間的指令流的虛擬化組件。” ( NIST SP 800-125 )

隔離(Isolation)
虛擬機提供比容器更高級別的隔離。應用程序部署在共享相同主機操作系統內核的容器中,而部署在虛擬機上的應用程序被高度隔離,因此它們必須通過網絡進行通信。但是,容器中的應用程序比虛擬機中的應用程序具有更好的性能。
-操作系統和應用程序虛擬化(來源:NIST SP 800-190)

操作系統系列特定(OS-family Specific)
使用容器,多個應用程序共享同一個操作系統內核實例,但彼此隔離。操作系統內核是所謂的主機操作系統的一部分。主機操作系統位於容器下方,並為它們提供操作系統功能。容器是特定於操作系統系列的;Linux 主機只能運行為 Linux 構建的容器,Windows 主機只能運行 Windows 容器。此外,為一個操作系統系列構建的容器應該在該系列的任何最新操作系統上運行。
來源:NIST SP 800-190(應用程序容器安全指南)

軟體開發方法(Software Development Methodologies)
https://ithelp.ithome.com.tw/upload/images/20210828/20132160x4LIcG3p38.jpg
-容器技術架構(來源:NIST SP 800-190)

容器技術的引入可能會破壞組織內現有的文化和軟體開發方法。傳統的開發實踐、修補技術和系統升級過程可能無法直接應用於容器化環境,員工願意適應新模式很重要。應鼓勵員工採用本指南中介紹的在容器內安全構建和運行應用程序的推薦做法,並且組織應願意重新考慮現有程序以利用容器。應向參與軟體開發生命週期的任何人提供涵蓋技術和操作方法的教育和培訓。
https://ithelp.ithome.com.tw/upload/images/20210828/20132160WUO3opPsJK.jpg
-來源:NIST SP 800-190(應用程序容器安全指南)

參考
Windows Containers 可以託管在 linux 上嗎?

資料來源: Wentz Wu QOTD-20210717

分類
CISSP

什麼是工程?

圖片來源:加斯托尼亞市

工程 是一種方法,它涉及應用知識和技能來理解和管理利益相關者的需求、提出和實施解決這些需求的解決方案,以及利用和支持該解決方案以持續創造價值直到其退休為止的一系列過程。
~ 吳文智

系統工程

跨學科的方法,管理將一組利益相關者的需求、期望和限制轉化為解決方案並在其整個生命週期中支持該解決方案所需的全部技術和管理工作。

來源:ISO/IEC/IEEE 15288:2015 系統和軟件工程——系統生命週期過程

軟件工程

將系統的、規範的、可量化的方法應用於軟件的開發、操作和維護;也就是說,工程在軟件中的應用。

來源:ISO/IEC/IEEE 12207:2017 系統和軟件工程——軟件生命週期過程

資料來源:

圖片來源:加斯托尼亞市

工程 是一種方法,它涉及應用知識和技能來理解和管理利益相關者的需求、提出和實施解決這些需求的解決方案,以及利用和支持該解決方案以持續創造價值直到其退休為止的一系列過程。
~ 吳文茲

系統工程

跨學科的方法,管理將一組利益相關者的需求、期望和限制轉化為解決方案並在其整個生命週期中支持該解決方案所需的全部技術和管理工作。

來源:ISO/IEC/IEEE 15288:2015 系統和軟件工程——系統生命週期過程

軟件工程

將系統的、規範的、可量化的方法應用於軟件的開發、操作和維護;也就是說,工程在軟件中的應用。

來源:ISO/IEC/IEEE 12207:2017 系統和軟件工程——軟件生命週期過程

資料來源:https://wentzwu.com/2020/12/30/what-is-engineering/

分類
CISSP

在軟體開發項目中使用開源組件,最不關心的是測試覆蓋率

https://ithelp.ithome.com.tw/upload/images/20210827/20132160lgznjc4j3z.png
-流行的 F/LOSS 許可證之間的兼容性關係(來源:Carlo Daffara)
在評估開源組件時,通常會忽略測試覆蓋率。相反,下載量或口碑起著至關重要的作用。儘管開源項目通常帶有單元測試,但測試覆蓋率指標並不是標準。

知識產權(Intellectual property)
開源軟體不屬於公共領域。它仍然由版權所有者許可。
開源軟體 (Open-source software : OSS ) 是 根據許可發布的計算機軟體,在該許可下 , 版權所有 者授予用戶使用、研究、更改和 分發軟體 及其 源代碼的權利, 以用於任何目的。
資料來源:維基百科

費用(Costs)
它也不是免費軟體,儘管大多數開源軟體都可以免費獲得。一些供應商許可軟體並開放源代碼並允許客戶修改它們。有些人將此稱為可用源或共享源,可以將其廣泛視為開源的一部分。

後門(Back Doors)
開源軟體通常被認為比專有軟體更安全,但它並非沒有風險。例如,中國黑客以帶有 RedXOR 後門的 Linux 系統為目標,或者華為(中國製造商)嘗試向 Linux 插入後門/漏洞

公共領域(The Public Domain)
“公共領域”一詞是指不受版權、商標或專利法等知識產權法保護的創意材料。公眾擁有這些作品,而不是個人作者或藝術家。任何人都可以在未經許可的情況下使用公共領域的作品,但沒有人可以擁有它。
資料來源:斯坦福

參考
歡迎來到公共領域
與商業模式相關的開源許可證選擇

資料來源: Wentz Wu QOTD-20210731

分類
CISSP

及時生產 ( just-in-time)

及時生產 (JIT) 一詞出現在豐田生產系統中。JIT 是一種庫存管理策略,可根據需要或按需訂購庫存。在安全方面,許多活動可以及時進行——例如,身份提供、證書註冊、授權、權限提升等。
促進身份驗證以便用戶可以登錄一次並跨系統訪問資源是單點登錄 (SSO) 的描述。它與及時生產的概念無關。

參考
AWS 即時預置
AWS 即時註冊
什麼是即時 (JIT) 供應?
SAML SSO 與即時 (JIT) 供應之間的區別
什麼是即時 (JIT) 特權訪問?
什麼是即時特權訪問?
及時生產 – 豐田生產系統指南
及時生產 (JIT) 庫存管理

資料來源: Wentz Wu QOTD-20210728

分類
CISSP

樣本指紋與模型庫中的模板匹配(The sample fingerprint matches the template in the model repository)

https://ithelp.ithome.com.tw/upload/images/20210823/20132160Wwq8awYRWE.jpg
-零假設和替代假設(來源:PrepNuggets)
原假設和替代假設(Null and Alternative Hypotheses)
零假設是假設與正常狀態為零或沒有偏差。由於證明假設很困難,我們通常會找到反對原假設的證據並接受替代假設,而不是直接證明替代假設為真。因此,原假設和備擇假設可以寫成如下:
. 替代假設:樣本指紋與模型庫中的模板不匹配
. 零假設:樣本指紋與模型庫中的模板匹配

錯誤接受率 (FAR) 和錯誤拒絕率 (FRR) 等與生物識別相關的術語是常用的,並且對於通信非常有效。人們或書籍將 FAR/FRR 與型一和 型二錯誤(用於統計假設)或假陽性/陰性(用於二元分類)相關聯的情況並不少見。我寫這個問題是為了強調當我們談論 I/II 類錯誤時零假設的重要性。

型一和 型二錯誤(Type I and Type II Errors)
在統計學中,我們通常不會只提出一個需要足夠證據來證明的假設。相反,我們接受備擇假設,因為我們拒絕了基於具有預定義顯著性水平(例如,5%)的反對原假設的證據。
統計假設檢驗的決定是是否拒絕零假設。但是,有些決定可能是錯誤的,可分為以下幾類:
. 第一類錯誤:我們拒絕原假設,這是真的。(拒絕正常情況)
. 第二類錯誤:我們未能拒絕原假設,這是錯誤的。(接受異常情況)

假陽性和假陰性(False Positive and False Negative)
當談到機器學習中的二元分類時,模型被訓練為基於一小部分樣本數據的二元分類器,通過標籤對實例/案例進行分類(例如,0/1、垃圾郵件/非垃圾郵件、武器/無武器) .
在實現基於異常檢測的系統中,它可以使用 Imposter/No Imposter 進行分類,如下所示:
. “冒名頂替者”是正面類的標籤。
. “無冒名頂替者”是負類的標籤。

誤報意味著識別/檢測到冒名頂替者,但決定是錯誤的。假陰性意味著沒有識別/檢測到冒名頂替者,而且該決定是錯誤的。人們通常會將假陽性與 I 類錯誤聯繫起來,將假陰性與 II 類錯誤聯繫起來,即使它們在使用不同技術的上下文中使用。Li 的論文很好地將統計假設檢驗與機器學習二元分類進行了比較。
https://ithelp.ithome.com.tw/upload/images/20210823/20132160R88nv16nH8.jpg
-假設檢驗和二元分類(來源:ScienceDirect

參考
統計假設檢驗與機器學習二元分類:區別和指南
統計學中的假設檢驗簡介 – 假設檢驗統計問題和示例
假設檢驗簡介
機器學習中的 4 種分類任務
分類:真與假和正與負

資料來源: Wentz Wu QOTD-20210727

分類
CISSP

威脅建模-DREAD

https://ithelp.ithome.com.tw/upload/images/20210819/201321608A0CAFwjtC.jpg
-Stride、VAST、Trike 等:哪種威脅建模方法適合您的組織?

風險敞口是根據可能性、後果和其他風險因素用貨幣價值、分數或尺度值評估的潛在損失的量度。風險暴露通常被簡化為後果的概率和幅度的乘積;即預期價值或預期暴露。例如,假設有 50% 的風險可能導致 1,000,000 美元的財務損失,則風險敞口為 500,000 美元。
DREAD 是損害、可再現性、可利用性、受影響用戶和可發現性的首字母縮寫詞。首字母縮略詞的每個字母代表可能性或影響。它們被一起考慮以評估風險敞口。
STRIDE 是一種風險分類工具,具有預定義的類別:欺騙、篡改、否認、信息披露、拒絕服務特權提升。它不分析威脅的可能性或影響。
https://ithelp.ithome.com.tw/upload/images/20210819/20132160LrOqIyt7WU.jpg
-威脅建模(來源:CSSLP CBK)
https://ithelp.ithome.com.tw/upload/images/20210819/20132160YsD3ZCXeIX.jpg

參考
Stride、VAST、Trike 等:哪種威脅建模方法適合您的組織?

資料來源: Wentz Wu QOTD-20210726

分類
Information Security

數位資產(digital asset)

數位資產(英語:digital asset)是經過二進位編碼的任何被授權使用的文字媒體資源,包括文字內容、圖片多媒體

數位資產包括網站及其內容、域名應用軟體代碼、電子文件、圖片內容、媒體內容、電子貨幣電子郵件、遊戲帳號、帳號及其內容、社群網路帳戶及其關係和內容、雲端服務帳戶及其資料等。從經濟學角度來說,數位資產是企業擁有或控制的,以資料形態存在的,在日常活動中生產、經營或持有待售的可變資產,數位資產屬於網路財產。

資料來源:https://zh.wikipedia.org/wiki/%E6%95%B0%E5%AD%97%E8%B5%84%E4%BA%A7

分類
CISSP

證書籤名請求 (CSR)

您應該生成公鑰和私鑰的密鑰對,並將私鑰保密。CSR 包含有關主題的信息、公鑰、由私鑰簽名以避免欺騙 CSR 的簽名以及其他信息。“CSR 最常見的格式是 PKCS #10 規範;另一個是由某些 Web 瀏覽器生成的簽名公鑰和質詢 SPKAC 格式。” (維基百科
證書籤名請求 (CSR) 完全由您自己創建並提交給註冊機構 (RA)。RA 不可能在您的 CSR 上添加時間戳。
https://ithelp.ithome.com.tw/upload/images/20210818/20132160IPD7TvlXHd.jpg
-openssl req -text -in file.csr(來源:Hallo zusammen)

參考
證書籤名請求
如何查看和解碼 CSR
證書籤名請求 (CSR) 示例

資料來源: Wentz Wu QOTD-20210725

分類
CISSP

CIA安全目標

曾就「資訊本身的破壞」和「資訊或資訊系統獲取或使用中斷」進行了辯論。然而,FISMA和FIPS 199明確而準確地區分了兩者。

以下投影片是 FIPS 199 中有關安全目標的摘錄,該摘錄與 FISMA 一致:
https://ithelp.ithome.com.tw/upload/images/20210423/20132160A5qQHjWQ5Y.jpg
-CIA作為安全目標

完整性(Integrity)
以下是 FISMA 中有關完整性的摘錄:
‘防止不當的資訊修改或銷毀,包括確保資訊不被否定和真實性。。。。。。'[44 U.S.C., Sec. 3542]]

可用性(Availability)
可用性是關於’確保及時性和可靠地存取和使用資訊。。。'[44 U.S.C., SEC. 3542
FIPS 199寫道:可用性損失是資訊或資訊系統存取或使用中斷。

數據消毒方法(Data Sanitization Methods)
‘銷毀’是 NIST SP 800-88 R1 中引入的數據消毒方法,而’破壞’是一種可以’破壞’介質的技術(例如破壞性技術)。然而,破壞性技術通常可以’摧毀’媒體,但他們不能保證媒體可以完全摧毀。
破壞(Destroy)、破壞(destruction)和破壞( disruption )可能具有類似的含義,但它們可能在各種上下文中提及不同的東西。

資料來源: Wentz Wu QOTD-20210302

分類
CISSP

將傳統 IPX/SPX 網路連接到 IP 網路,最合適的設備為閘道器

https://ithelp.ithome.com.tw/upload/images/20210816/20132160nLz9rukGpr.jpg
一個網路通過傳輸介質連接兩個或多個節點,共享資源;它有兩種架構視圖:物理視圖和邏輯視圖。網路的邏輯部分在物理層之上工作。邏輯網路由網路層協議表示,例如IP。使用 32 位 IP 地址和子網路遮罩的 IP 協議編號(地址)節點和網路。執行相同協議的所有網路都是同構的。IP 網路和 IPX 網路的混合是異構的。路由器通常連接均相邏輯網路。閘道器在該上下文中是指連接同構網路的設備,其典型地需要協議轉換。一個防火牆旨在過濾數據包或篩選消息。下一代防火牆強調的只是它處理越來越多的新興需求並提供更多解決方案的想法。

閘道器(Gateway)
在 ISO OSI 參考模型的經典教科書中,閘道器通常是指應用協議轉換的第 7 層閘道器或應用程序閘道器。然而,現在人們傾向於從字面上使用術語閘道器。例如,默認閘道器可能是指 NAT 設備、路由器或防火牆;電路級閘道器是指工作在會話層的防火牆。

信號和中繼器(Signal and Repeater)
物理網路是邏輯網路的底層基礎設施。主要的物理元素是傳輸介質和承載數據的信號。信號在媒體上傳播的時間長短各不相同;無論使用哪種媒體,信號總是會衰減。模擬信號由放大器放大,而數字信號由中繼器重複,以便它們在減弱之前可以傳播得更遠。

拓撲和橋接器(Topology and Bridge)
節點通過傳輸介質(有線或無線)連接,並形成形狀或拓撲。線性總線、圓環、分層樹和網狀網路是常見的拓撲結構。橋接器連接不同的形狀或拓撲的兩個或多個網路。

數據鏈路層:MAC 和 LLC(Data Link Layer: MAC and LLC)
網路上任何形狀/拓撲的節點都可以相互通信,就像它們中的任何一對通過電纜直接連接一樣。事實上,這些節點共享相同的媒體。換句話說,它們在邏輯上而不是在物理上是相連的。我們將網路上任意一對節點之間的通信稱為邏輯鏈路。由共享媒體連接的節點的規則稱為媒體存取控制(MAC);網路上任意一對節點之間的錯誤和流量控制稱為邏輯鏈路控制 (LLC)。MAC 和 LLC 被共同視為 ISO OSI 參考模型中數據鏈路層的主要關注點。

參考
.中繼器、橋接器、路由器和閘道器:比較研究
.詳細講解中繼器、集線器、橋接器、路由器、閘道器、交換機。
.下一代防火牆

資料來源: Wentz Wu QOTD-20210720

分類
CISSP

組織計劃為建立一個專責的資安部門(安全功能),最不重要的考慮是“安全和隱私安全控制選擇”

https://ithelp.ithome.com.tw/upload/images/20210815/20132160XsFPkaGP1D.jpg
-外部和內部分析
存在為客戶服務的組織;他們的需要和要求很重要。組織在開始戰略計劃之前進行外部和內部分析或背景和組織分析。同時識別和分析利益相關者或利益相關方。
建立一個部門來負責安全功能是一種組織變革。法律和法規要求或客戶的需求和要求這種情況並不少見。安全功能的位置、角色和職責可能與 IT 功能重疊。例如,防火牆、端點安全、安全運營中心和服務台可能會使用共享資源,模糊了安全運營和 IT 運營的界限。
安全和隱私安全控制的選擇很重要,但它不像上面提到的其他因素那麼重要,因為可以在安全部門成立後考慮控制。此外,控制可以應用於各種級別,例如資訊系統級別、設施級別、業務流程級別或組織級別。控制是風險緩解策略的一部分。它們在風險評估後實施。因此,它更像是一個風險管理問題,而不是建立安全部門時的問題。

資料來源: Wentz Wu QOTD-20210719

分類
CISSP

合成監測(Synthetic monitoring)

綜合監控(也稱為主動監控主動監控)是一種監控技術,它通過使用交易的模擬或腳本記錄來完成。創建行為腳本(或路徑)以模擬客戶或最終用戶在站點、應用程序或其他軟件(甚至硬件)上採取的操作或路徑。然後以指定的時間間隔持續監視這些路徑的性能,例如:功能、可用性響應時間度量。

資料來源:https://en.wikipedia.org/wiki/Synthetic_monitoring

分類
CISSP

遵守政策的管理制度

https://ithelp.ithome.com.tw/upload/images/20210814/20132160IilCUAvtXl.jpg
-政策框架
最高管理層要求加強資訊安全並通過政策表達他們的保護要求。有效的資訊安全涉及人員、流程和技術(PPT)等綜合考慮。處理數字數據的資訊系統只是資訊安全的基本要素。
資訊系統可能需要支持基於訪問控制矩陣的自由訪問控制 (DAC) 和基於格、狀態機和資訊流等形式模型的強制訪問控制 (MAC)。然而,這樣的技術解決方案是不夠的或無效的。
管理體係是“組織的一組相互關聯或相互作用的要素,用於製定政策和目標以及實現這些目標的過程”。(ISO 22886:2020) 制定相關政策、標準、程序或指南,並與相關最高管理層的政策保持一致。管理體系提供了一個整體視圖,集成了人員、流程和技術(PPT),並為資訊安全的實施提供了框架。
https://ithelp.ithome.com.tw/upload/images/20210814/20132160Q2fYDpzR8D.jpg
-ISO通用管理模型

資料來源: Wentz Wu QOTD-20210718

分類
CISSP

聲明(claim)

https://ithelp.ithome.com.tw/upload/images/20210813/201321609JL0jxK0GZ.jpg
-身份和存取管理
典型的身份驗證過程包括三個步驟:

  1. 主體向身份提供者 (IdP) 表明其身份。
  2. IdP 根據目錄驗證用戶名和密碼。
  3. 如果主題得到驗證,IdP 會發出一個令牌。

基於聲明(或基於斷言)的身份驗證意味著您的網站接受來自外部身份提供商 (IdP) 的令牌,而不是根據服務器上的目錄對用戶名和密碼進行身份驗證。聲明或斷言通常打包在由發行人 IdP 簽名的令牌中。您作為客戶的網站依賴於 IdP 發布的聲明。
基於明文的身份驗證很常見。用戶名和密碼可以以 HTML 形式或通過 HTTP 基本身份驗證方案提交。儘管密碼本身未加密,但它通常受 TLS/SSL 會話保護。
一些 JavaScript 庫可以將密碼加密為密文並將其發佈到後端服務器,即使我們在使用 TLS/SSL 時不必這樣做。
HTTP Digest 方案實現了質詢和響應。“有效的響應包含用戶名、密碼、給定的
nonce 值、HTTP 方法和請求的 URI的校驗和(默認為 MD5 校驗和)。” (RFC 2617)

參考
HTTP 身份驗證:基本和摘要式存取身份驗證

資料來源: Wentz Wu QOTD-20210717

分類
Project Management

人不能管理,只能領導

在我剛當上主管時,我非常迷戀管理,我管理團隊、管理人、管理資材、管理事、管理物,任何東西,我都管理,我要把人、事、物,在我的管理下,有條不紊的運行。


在我剛當上主管時,我非常迷戀管理,我管理團隊、管理人、管理資材、管理事、管理物,任何東西,我都管理,我要把人、事、物,在我的管理下,有條不紊的運行。

而在模糊中,我的心中也有領導一詞,我有時候也會用領導來取代管理,但我並沒有深究其中的差異。直到有一天,我讀到《僕人:修道院啟示錄》這本書時,書中的一句話宛如當頭棒喝,一棍子打醒我,我才發覺其中的巨大差異。

而在模糊中,我的心中也有領導一詞,我有時候也會用領導來取代管理,但我並沒有深究其中的差異。直到有一天,我讀到《僕人:修道院啟示錄》這本書時,書中的一句話宛如當頭棒喝,一棍子打醒我,我才發覺其中的巨大差異。

書中寫到:管理是管理事和物,人不能管理,人只能領導。

看到這句話,我豁然開朗。在我過去無所不管理的時代,我隱然覺得當我把對團隊、對人,改為領導時,似乎比較順理成章,而且是比較對的事。當我知道 「人不能管理,只能領導」 時,我開始徹底去分析其間的差異。

首先,事與物是死的,不論如何被人擺布,都不會有意見,所以可以任由人「管理」。而人的管理,不同的做法,就會產生不知的效果,端看人如何做而定,事與物是不會有所不同的。

可是人是不同的,人有心、有感覺,對不同的人、不同的做法,會有所回應,會有所互動,而其結果,也都會產生不同的效果。所以人不同於事和物,不會任由人來擺布、來管理,如果用錯了管理的方法,就會得到意想不到的效果。

一般而言,團隊與人對於上級主管的作為,最基本的有 3 種不同的回應: 消極的配合,正常的配合以及積極的配合 ,這 3 種回應方式會得到完全不同的結果。

如果團隊及部屬對主管的作為不認同,採取了消極的應付態度,那工作的成效是有限的,僅能得到勉強可接受的成果。

如果是正常的配合,成果會好一些,但也不會得到最佳的成果;惟有團隊積極的全力投入,配合主管的作為時,才會得到最佳成果,甚至會有意想不到的效果。

而人會用什麼方式來回應主管的作為呢?這完全要看主管是什麼人?主管用什麼態度來對待部屬?

如果主管是一個可被信任的人,主管的理念、價值觀被認同,那麼主管就是一個可以信賴的人。

而主管的作為如果正確,會用正確的方法去影響團隊成員,讓他們願意去做主管想做的事,而且是自動自發的去做,那就是積極的全力配合,會得到最佳成果。

有信任的主管,再用正確的方法去引導團隊做事,這就是「領導」,而一個有心、有感覺、有想法的人,就只能被領導。如果對人用管理,絕對不可能得到最佳的結果。

從此之後,我嘗試「領導」人,而「管理」事和物!

資料來源:https://www.managertoday.com.tw/columns/view/57806

分類
一般

ICF Core Competencies

ICF Core Competencies
A. Foundation

  1. Demonstrates Ethical Practice
    DEFINITION: Understands and consistently applies coaching ethics and standards of coaching.
  2. Embodies a Coaching Mindset
    DEFINITION: Develops and maintains a mindset that is open, curious, flexible and client-centered.
    B. Co-Creating the Relationship
  3. Establishes and Maintains Agreements
    DEFINITION: Partners with the client and relevant stakeholders to create clear agreements about
    the coaching relationship, process, plans and goals. Establishes agreements for the overall
    coaching engagement as well as those for each coaching session.
  4. Cultivates Trust and Safety
    DEFINITION: Partners with the client to create a safe, supportive environment that allows the
    client to share freely. Maintains a relationship of mutual respect and trust.
  5. Maintains Presence
    DEFINITION: Is fully conscious and present with the client, employing a style that is open, flexible,
    grounded and confident.
    C. Communicating Effectively
  6. Listens Actively
    DEFINITION: Focuses on what the client is and is not saying to fully understand what is being
    communicated in the context of the client systems and to support client self-expression.
  7. Evokes Awareness
    DEFINITION: Facilitates client insight and learning by using tools and techniques such as
    powerful questioning, silence, metaphor or analogy.
    D. Cultivating Learning and Growth
  8. Facilitates Client Growth
    DEFINITION: Partners with the client to transform learning and insight into action. Promotes
    client autonomy in the coaching process.

ICF 核心競爭力
A. 基金會

  1. 展示道德實踐
    定義:理解並始終如一地應用教練道德和教練標準。
  2. 體現教練心態
    定義:培養並保持開放、好奇、靈活和以客戶為中心的心態。
    B. 共創關係
  3. 建立和維護協議
    定義:與客戶和相關利益相關者合作,就以下方面達成明確的協議
    教練關係、過程、計劃和目標。建立整體協議
    輔導參與以及每次輔導課程的參與。
  4. 培養信任和安全
    定義:與客戶合作創造一個安全、支持性的環境,使
    客戶自由分享。保持相互尊重和信任的關係。
  5. 保持存在
    定義:完全有意識並與客戶同在,採用開放、靈活、
    腳踏實地和自信。
    C. 有效溝通
  6. 積極傾聽
    定義:專注於客戶是什麼,而不是說來完全理解正在發生的事情
    在客戶系統的上下文中進行交流並支持客戶的自我表達。
    7.喚起意識
    定義:通過使用工具和技術促進客戶洞察和學習,例如
    強有力的質疑、沉默、隱喻或類比。
    D. 培養學習和成長
  7. 促進客戶增長
    定義:與客戶合作,將學習和洞察力轉化為行動。推廣
    客戶在教練過程中的自主權。

資料來源:https://coachingfederation.org/app/uploads/2021/02/Updated-ICF-Core-Competencies.pdf

更詳細的說明:https://coachingfederation.org/app/uploads/2021/07/Updated-ICF-Core-Competencies_English_Brand-Updated.pdf

分類
CISSP

斷言(assertion)

斷言(assertion)或宣稱(claim)是身份驗證的結果, 由identity provider以SAML或OIDC的協定呈現及送出, 不是XACML.

在一個聯盟系統中, 通常會有使用者(resource owner), 使用者用的程式(client), 網站服務(relying party)及身份提供者(IdP).

聯盟代表各個”獨立”的系統, 透過協議, 承認盟主系統的帳號, 並對應到自己系統帳號的一個機制. SAML及OIDC就是標準化這個聯盟機制的重要協定.

分類
CISSP

基於 SAML 的聯合身份管理 (FIM) 以支持單點登錄 (SSO)

https://ithelp.ithome.com.tw/upload/images/20210812/20132160TGnH605U5B.jpg
來源:安全斷言標記語言 (SAML) V2.0 技術概述
如上圖所示:
. 一個用戶可以在每個域中擁有一個身份,也可以在多個域之間擁有多個身份。例如,John Doe 在三個系統中註冊了三個帳戶,如下所示:
. 在airline.example.com 中的JohnDoe
. JDOE在cars.example.co.uk
. 約翰在hotels.example.ca
. 聯合身份是域之間共享的假名,用於隱藏用戶的身份。例如,化名azqu3H7和f78q9c0 均 指用戶 John Doe。
. azqu3H7是airline.example.com 和cars.example.co.uk 之間約定的化名。
. f78q9c0 是airline.example.com 和hotels.example.ca 之間約定的化名。
. 依賴方根據 SAML 中表達的斷言授權訪問請求。
. SAML 提供了一種標準方法來呈現跨系統和安全域工作的斷言。
. SAML 斷言是供依賴方或服務提供商做出授權決定的輸入。授權可以基於 XACML。
. SSO 依賴於服務提供商 (SP) 對身份提供商 (IdP) 的信任。

OASIS 安全斷言標記語言 (SAML) 標准定義了一個基於 XML 的框架,用於在在線業務合作夥伴之間描述和交換安全信息。此安全信息以可移植SAML 斷言的形式表示,跨安全網域邊界工作的應用程序可以信任這些斷言。OASIS SAML 標准定義了用於請求、創建、通信和使用這些 SAML 斷言的精確語法和規則。

聯合身份(Federated identity)
. 用戶通常在與其交互的每個合作夥伴的安全域內擁有單獨的本地用戶身份。
. 身份聯合為這些合作夥伴服務提供了一種方式來商定並建立一個通用的共享名稱標識符來引用用戶,以便跨組織邊界共享有關用戶的信息。
. 當合作夥伴就如何引用用戶建立了這樣的協議時,就稱該用戶具有聯合身份。

單點登錄(Single Sign-On)
SAML 通過提供獨立於供應商的標準語法和協議來解決多域 SSO (MDSSO) 問題,用於將用戶信息從一個 Web 服務器傳輸到另一個獨立於服務器 DNS 域的服務器。
來源:安全斷言標記語言 (SAML) V2.0 技術概述

參考
安全斷言標記語言 (SAML) V2.0 技術概述

資料來源: Wentz Wu QOTD-20200806

分類
CISSP

資訊安全

資訊安全

安全是指保護某個東西免於受到危險或威脅的過程以及所達到的狀態。

資訊安全是一門透過安全管制措施,保護資訊資產免於受到危害,以實現機密性、完整性和可用性的安全目標、進而支持組織的業務流程,並創造價值以實現使命和願景的學問。

Information Security

Security refers to the process of and the state reached by protecting something from danger or threat.

Information security is a discipline of protecting information assets from threats through security controls to achieve the security objectives of confidentiality, integrity, and availability, support business processes, and create value to fulfill the organizational mission and vision.

分類
CISSP

橫幅抓取(Banner grabbing)

Banner Grabbing是一種用於獲取有關網絡上的計算機系統及其開放端口上運行的服務的信息的技術。管理員可以使用它來清點其網絡上的系統和服務。但是,入侵者可以使用橫幅抓取來查找運行具有已知漏洞的應用程序和操作系統版本的網絡主機

用於橫幅抓取的服務端口的一些示例是超文本傳輸協議 ( HTTP )、文件傳輸協議 ( FTP ) 和簡單郵件傳輸協議 ( SMTP )使用的端口;端口分別為 80、21 和 25。通常用於執行橫幅抓取的工具是TelnetNmapNetcat

例如,可以使用Netcat建立到目標 Web 服務器的連接,然後發送 HTTP 請求。響應通常包含有關在主機上運行的服務的信息:

[root@prober]# nc www.targethost.com 80 
HEAD / HTTP/1.1 

HTTP/1.1 200 OK
日期:2009 年 5 月 11 日星期一 22:10:40 EST
服務器:Apache/2.0.46 (Unix) (Red Hat/ Linux)
上次修改時間:2009 年 4 月 16 日星期四 11:20:14 PST 
ETag:“1986-69b-123a4bc6”
接受範圍:字節
內容長度:1110
連接:關閉
內容類型:文本/html

管理員可以使用此信息來編目此系統,或者入侵者可以使用此信息來縮小適用漏洞的列表。

為了防止這種情況,網絡管理員應該限制對其網絡上服務的訪問,並關閉在網絡主機上運行的未使用或不必要的服務。

Shodan是一個搜索引擎,用於從端口掃描 Internet 中獲取橫幅。

資料來源:https://en.wikipedia.org/wiki/Banner_grabbing

分類
CISSP

業務連續性委員會(Business Continuity Committee)

https://ithelp.ithome.com.tw/upload/images/20210811/20132160ef8V8yQhkl.jpg
-董事委員會
董事會認為必要時可設立任何委員會。有些委員會通常是法律或法規所要求的,例如審計委員會。但是,大多數董事會級別的委員會都是自願的,並基於業務需要。
審計委員會、薪酬委員會(又名薪酬委員會)和提名委員會(治理委員會)是常見的董事會級委員會,而業務連續性委員會則不是。根據董事會委員會的結構研究,幾乎沒有業務連續性委員會出現在董事會層面。此鏈接顯示了 Microsoft 的董事會委員會。
https://ithelp.ithome.com.tw/upload/images/20210811/20132160sUuBr54IWW.jpg
-共同的董事會級委員會

參考
微軟董事會委員會

資料來源: Wentz Wu QOTD-20210716

分類
Cissp-WentzWu

工程

工程是運用”知識”把一個東西從無到有把它作出來, 使用它, 維運它, 一直到到除役. 傳統的工程教科書, 偏重”工程知識,” 而對於工程的管理或專案管理著墨較少. 大部份都是在強調工程師要學習的知識, 如數學, 物理, 機械或電子等. 這二張圖是一本工程入門書的目錄.

跟大家分享的這幾張照片, 主要是要強調資訊系統的工程知識, 涵蓋了孔雀的八根毛, 每一個毛都是一個獨立的學科, 有專門的教科書. CISSP的Domain 3就是在唸這些東西. 但大家不用鑽那麼深, 每根毛都只要了解最入門而基本的東西即可.

除了工程的硬知識外, 還要學習如何管理工程專案.

“用知識把一個系統作出來”

分類
CISSP

強制訪問控制(MAC)- 安全許可(Security clearance)

https://ithelp.ithome.com.tw/upload/images/20210810/20132160XBvfnr1mVF.jpg
-安全內核
一張圖片勝過千言萬語。訪問控制矩陣可以被視為授權數據(權利和許可)的邏輯“存儲庫”,由對象視角的訪問控制列表和主體視角的能力表組成。它反映了所有者在授權時的自由裁量權。然而,並非每個系統都實現了訪問控制矩陣的完整構造。例如,Microsoft 的打印機、共享文件夾和 NTFS 權限都是基於 ACL 的。
相反,強制訪問控制機制通常依賴於匹配的“標籤”,也就是基於格的。在被分類之後,資源或對像被標記以供識別並標記以在受信任的計算機系統中進行訪問控制。在正式的背景調查或調查之後,用戶或主體被授予安全許可。將安全許可轉化為可信計算系統中的標籤,以便匹配主體和客體的標籤進行授權。

安全調查(Security Clearance)
安全許可或許可是“由授權裁決辦公室作出的正式安全決定,即個人有權在需要知道的基礎上訪問特定級別的機密信息(絕密、機密或機密)。” (NIST 術語表

參考
許可
系統最高模式

資料來源: Wentz Wu QOTD-20210713

分類
Information Security

資料採集與監視系統(SCADA)

資料採集與監視系統(英語:supervisory control and data acquisition,縮寫為SCADA)一般是有監控程式及資料收集能力的電腦控制系統。可以用在工業程式、基礎設施或是裝置中。

系統的組成元素[編輯]

SCADA系統會包括以下的子系統:

  • 人機介面(human machine interface,縮寫為HMI)是一個可以顯示程式狀態的裝置,操作員可以依此裝置監控及控制程式。
  • (電腦)監視系統可以採集數據,也可以送出命令監視程式的進行。
  • 遠端終端控制系統(縮寫為RTU)連接許多程式中用到的感測器資料採集後將數位的資料傳送給監視系統。
  • 可程式化邏輯控制器(programmable logic controller,縮寫為PLC)因為其價格便宜,用途廣泛,也常用作現場裝置,取代特殊功能的遠端終端控制系統(RTU)。
  • 通訊網路則是提供監視系統及RTU(或PLC)之間傳輸資料的管道。

系統概念[編輯]

SCADA一詞是指一個可以監控及控制所有裝置的集中式系統,或是在由分散在一個區域(小到一個工廠,大到一個國家)中許多系統的組合。其中大部份的控制是由遠端終端控制系統(RTU)或PLC進行,主系統一般只作系統監控層級的控制。例如在一個系統中,由PLC來控制製程中冷卻水的流量,而SCADA系統可以讓操作員改變流量的目標值,設定需顯示及記錄的警告條件(例如流量過低,溫度過高)。PLC或RTU會利用回授控制來控制流量或溫度,而SCADA則監控系統的整體效能。

SCADA schematic overview-s.svg

資料採集由RTU或PLC進行,包括讀取感測器資料,依SCADA需求通訊傳送裝置的狀態報告。資料有特定的格式,控制室中的操作員可以用HMI了解系統狀態,並決定是否要調整RTU(或PLC)的控制,或是暫停正常的控制,進行特殊的處理。資料也會傳送到歷史記錄器,一般會是架構在商用的資料庫管理系統上,以便追蹤趨勢並進行分析。

SCADA系統會配合分散式資料庫使用,一般稱為標籤資料庫(tag database),其中的資料元素稱為標籤(tag)或點(point)。一個點表示一個單一的輸入或輸出值,可能是由系統所監視或是控制。點可以是硬體(hard)的或是軟體(soft)的。一個硬體的點表示系統中實際的輸入或是輸出,而軟體的點則是根據其他點進行數學運算或邏輯運算後的結果(有些系統會把所有的點都視為軟體的點,無視其實際上是硬體或軟體)。一個點通常都是會以資料-時間戳記對的方式儲存,其中有資料,以及資料計算或記錄時的時間戳記。一個點的歷史記錄即可以用一連串的資料-時間戳記對所表示。常常也會在儲存時加上其他的資訊,例如現場裝置或PLC暫存器的路徑,設計的註解及警告資訊。

資料來源:https://zh.wikipedia.org/wiki/%E6%95%B0%E6%8D%AE%E9%87%87%E9%9B%86%E4%B8%8E%E7%9B%91%E6%8E%A7%E7%B3%BB%E7%BB%9F

分類
Information Security

Modbus

Modbus是一種串行通信協定,是Modicon公司(現在的施耐德電氣 Schneider Electric)於1979年為使用可程式化邏輯控制器(PLC)通信而發表。Modbus已經成為工業領域通信協定事實上的業界標準,並且現在是工業電子裝置之間常用的連接方式。[1] Modbus比其他通信協定使用的更廣泛的主要原因有:

  1. 公開發表並且無著作權要求
  2. 易於部署和維護
  3. 對供應商來說,修改移動原生的位元或位元組沒有很多限制

Modbus允許多個 (大約240個) 裝置連接在同一個網路上進行通信,舉個例子,一個由測量溫度和濕度的裝置,並且將結果傳送給電腦。在資料採集與監視控制系統(SCADA)中,Modbus通常用來連接監視電腦和遠端終端控制系統(RTU)。

資料來源:https://zh.wikipedia.org/wiki/Modbus

分類
CISSP

風險曝險(Risk exposure )

https://ithelp.ithome.com.tw/upload/images/20210808/20132160NJJerQkLvw.jpg
-什麼是風險?

ISO/IEC/IEEE 24765:2017 系統和軟件工程 — 詞彙

  1. 風險給個人、項目或組織帶來的潛在損失
    [ISO/IEC 16085:2006 系統和軟件工程 — 生命週期過程 — 風險管理,3.10 ]
  2. 風險發生的可能性及其發生的後果程度的函數
    [ISO/IEC 16085:2006 系統和軟件工程——生命週期過程——風險管理,3.10]
  3. 概率乘以潛在損失的乘積對於風險因素
    注 1:風險暴露通常被定義為概率和後果大小的乘積,即預期值或預期暴露。

風險曝險是風險的度量。它考慮了風險的不確定性和影響部分。風險是指不確定性對目標的影響。不確定性和影響可以定量和定性測量。風險曝險也是如此。風險分析是確定風險暴露以優先考慮風險並為風險評估決策和風險處理提供信息的過程。

風險評估/分析(Risk Assessment/Analysis)
在 NIST 指南、CISSP 考試大綱和 CISSP 學習指南中,風險評鑑風險分析通常被視為同義詞。但是,在 ISO 31000 和 ISO 27005 等 ISO 標準中並非如此;風險分析是風險評估的一部分。
維護成本等風險會增加,系統可用性可能會受到影響,漏洞仍然存在且未修補的情況可能會發生。但是,我們需要進一步分析它們的可能性或可能性和影響,以確定風險曝險。因此,風險曝險是一個更普遍和更全面的概念,它提醒我們從更高的角度考慮風險的不確定性和影響部分。

NIST術語表(NIST Glossary)
暴露:風險的可能性和影響水平的組合。
固有風險:在管理層沒有採取任何直接或重點行動來改變其嚴重性的情況下,實體面臨的風險。
殘餘風險:採取安全措施後剩餘的風險部分。

參考
NIST術語表

資料來源: Wentz Wu QOTD-20210712

分類
CISSP

成熟度模型( A maturity model)

https://ithelp.ithome.com.tw/upload/images/20210807/20132160gjRS9tbIB8.jpg
-CMM 和 CMMI 成熟度水平比較
成熟度模型“可以”(而不是應該或必須)定義五個成熟度級別,因為普遍接受的傳統能力成熟度模型集成 (CMMI) 模型定義了五個級別。然而,能力成熟度模型並非總是如此。
例如,OWASP SAMM 僅定義了四個級別:
0 隱含的起點代表未實現的實踐活動
1 安全實踐的初步理解和臨時提供
2 提高安全實踐的效率和/或有效性
3 大規模全面掌握安全實踐
風險成熟度模型 (RMM) 目前仍在開發中。一些 RMM 可能定義了五個級別,但這不是必需的。

關鍵詞(Key Words)
本文檔中的關鍵詞“必須”、“不得”、“要求”、“應該”、“不應”、“應該”、“不應該”、“推薦”、“可以”和“可選”是按照RFC 2119 中的描述進行解釋。

專案/計劃管理(Project/Program Management)
https://ithelp.ithome.com.tw/upload/images/20210807/20132160aTRTZvziS3.jpg
-戰略投資組合

專案和計劃是暫時的努力;他們的產出被轉移到運營中,以持續創造和交付價值。一旦專案和計劃關閉,專案和計劃風險管理就可以停止。
風險管理有上下文。它可以發生在組織中的各種上下文或級別,例如資訊系統級別、業務流程級別、企業級別或專案/計畫級別。在大多數情況下,風險管理是持續不斷的努力。但是,在某些情況下,例如專案/計劃級別的風險管理,它可能是臨時的努力。
https://ithelp.ithome.com.tw/upload/images/20210807/20132160weg4ME6uwW.jpg
-專案生命週期(來源:PMBOK)
附件 A 中的ISO 27001要求 A.6.1.5 規定了專案管理中的資訊安全,要求控制“無論專案類型如何,都應在專案管理中解決資訊安全問題”。專案是“為創造獨特的產品、服務或成果而進行的臨時努力。另請參閱投資組合和計劃。” (PMI) 一旦專案結束,專案級別的風險管理活動就會消失。
NIST SP 800-53 R5是一個安全控制框架,其中計畫管理 (PM) 是控制系列之一。計畫包括“以協調方式管理的相關專案、子專案群和計畫活動,以獲得單獨管理無法獲得的收益”。(PMI)
https://ithelp.ithome.com.tw/upload/images/20210807/20132160rglwUDwRs8.jpg
-安全和隱私控制系列(來源:NIST SP 800-53 R5)

參考
在 RFC 中用於表示需求級別的關鍵詞
SAMM——軟體保障成熟度模型——OWASP
PMI 專案管理術語詞典

資料來源: Wentz Wu QOTD-20210711

分類
CISA

Zachman Framework

Zachman框架是一個企業本體,是一個基本結構的企業架構提供的正式和結構化的方式觀察和確定的企業。本體是一個二維的分類模式,反映了兩個歷史分類之間的交集。第一個是原始疑問句:什麼、如何、何時、誰、哪里和為什麼。第二個來自具體化的哲學概念,將抽象概念轉化為實例化。Zachman 框架具體化轉換是:標識、定義、表示、規範、配置和實例化。[1]

Zachman 框架不是一種方法論,因為它並不意味著收集、管理或使用它所描述的信息的任何特定方法或過程。[2]相反,它是其中一個本體架構組織架構文物(換句話說,設計文檔,規格,型號),用於兼顧誰的神器目標(例如,企業的所有者和建設者)和正在解決什麼特定問題(例如,數據和功能)。

Zachman 企業架構框架

資料來源:https://en.wikipedia.org/wiki/Zachman_Framework

分類
CISSP

風險評估(Risk Evaluation)

https://ithelp.ithome.com.tw/upload/images/20210806/2013216042dGzBIHSL.jpg
-ISO 31000

本問題旨在推廣 ISO 31000 風險評估的概念。年化預期損失 (ALE) 是一種定量風險分析技術,用於確定風險暴露作為風險評估過程的輸入。
風險優先排序是風險評估的核心任務之一。在此之前,應用風險接受標準來確定要處理哪些風險。一旦確定了要處理的風險,就會應用風險評估標準來確定這些風險的優先級。因此,風險評估是比定量風險分析和風險優先級更好的選擇,因為它更全面。

https://ithelp.ithome.com.tw/upload/images/20210806/201321609MAEkrpXum.jpg
-風險評估

資料來源: Wentz Wu QOTD-20210710

分類
CISSP

微服務

服務架構——面向服務架構(SOA) 結構風格的一種變體——將應用程序安排為一組鬆散耦合的服務。在微服務架構中,服務是細粒度的,協議是輕量級的

介紹

微服務沒有單一的定義。隨著時間的推移,業界已經形成了一種共識。經常引用的一些定義特徵包括:

微服務不是單體應用程序中的一層(例如,Web 控制器或後端換前端)。[7]相反,它是具有清晰接口的獨立業務功能,並且可以通過其自己的內部組件實現分層架構。從戰略的角度來看,微服務架構本質上遵循了“做一件事,把它做好”的Unix哲學[8] Martin Fowler將基於微服務的架構描述為具有以下屬性:[1]

雲原生應用程序無服務器計算和使用輕量級容器部署的應用程序通常採用微服務架構。根據 Fowler 的說法,由於服務數量眾多(與單體應用程序實現相比),分散式持續交付和具有整體服務監控的DevOps是有效開發、維護和運行此類應用程序所必需的。[11]遵循這種方法的結果(和理由)是可以單獨擴展各個微服務。在單體方法中,支持三個功能的應用程序必須整體擴展,即使這些功能中只有一個有資源限制。[12]使用微服務,只需要對支持資源受限功能的微服務進行橫向擴展,從而提供資源和成本優化的好處。[13]

資料來源:https://en.wikipedia.org/wiki/Microservices

分類
CISSP

檢查時間到使用時間(TOCTOU、TOCTTOU或TOC/TOU)

軟件開發中檢查時間到使用時間TOCTOUTOCTTOUTOC/TOU)是一類由涉及檢查系統一部分狀態的競爭條件引起的軟件錯誤(例如安全憑證)以及該檢查結果的使用

防止 TOCTOU [編輯]

儘管概念很簡單,但 TOCTOU 競爭條件很難避免和消除。一種通用技術是使用異常處理而不是檢查,在 EAFP 的哲學下——“請求寬恕比許可更容易”而不是 LBYL——“跳之前先看看”——在這種情況下沒有檢查和失敗在使用時通過異常檢測到要保持的假設。

文件鎖定是防止單個文件競爭條件的常用技術,但它沒有擴展到文件系統命名空間和其他元數據,鎖定也不適用於網絡文件系統,並且不能防止 TOCTOU 競爭條件。

資料來源:https://en.wikipedia.org/wiki/Time-of-check_to_time-of-use

分類
CISSP

競爭危害

競爭危害(race hazard)又名競態條件競爭條件(race condition),它旨在描述一個系統或者進程的輸出依賴於不受控制的事件出現順序或者出現時機。此詞源自於兩個訊號試著彼此競爭,來影響誰先輸出。

舉例來說,如果電腦中的兩個行程同時試圖修改一個共享記憶體的內容,在沒有並行控制的情況下,最後的結果依賴於兩個行程的執行順序與時機。而且如果發生了並行存取衝突,則最後的結果是不正確的。

競爭危害常見於不良設計的電子系統,尤其是邏輯電路。但它們在軟體中也比較常見,尤其是有採用多執行緒技術的軟體。

實例[編輯]

  1. 計算機記憶體或者磁碟裝置裡,如果同時發出大量數據指令的時候,競爭危害可能發生。計算機嘗試覆蓋相同或者舊的數據,而此時舊的數據仍在被讀取。結果可能是下面的一個或者多個情況:機器當機、出現非法操作並結束程式、錯誤的讀取舊數據、或者錯誤的寫入新數據。
  2. 網路上,競爭危害會在:多使用者同時試圖存取同一個可用訊息通道時,產生。在系統同意存取前沒有計算機能得到訊息通道被佔用的提醒。統計上說這種情況通常發生在極端長延遲時間的網路裡,譬如地球同步衛星。解決之道是使用者預先產生優先級列表。然而駭客可以利用這種競爭危害取得非法存取網路的權利。
  3. 數位電路,由於邏輯部件輸出對輸入有一個回應延遲,因此可能在輸出上出現一個不希望有的脈衝訊號。被稱為Electronics glitch。使用卡諾圖以發現並消除這類問題。

資料來源:https://zh.wikipedia.org/wiki/%E7%AB%B6%E7%88%AD%E5%8D%B1%E5%AE%B3

分類
CISSP

風險熱度地圖(Risk heat map)

https://ithelp.ithome.com.tw/upload/images/20210805/20132160EPi3Z5Tj7b.jpg
-ISO 31000

“風險評估/分析”是什麼意思?
請注意,在 CISSP 考試大綱、OSG 和 NIST 中,風險評估和風險分析被視為同義詞,通常表示為“風險評估/分析”。
識別、分析和評估H風險意味著使用 ISO 標准進行風險管理,例如 ISO 31000 或 ISO 27005,並且您正在進行風險評估。風險熱圖是表達風險評估結果的常用工具。
. 在估計影響時,可以在風險分析過程中使用資產估值,例如,單一損失預期(SLE)=資產價值(AV)x風險因子(EF)。
. 成本和收益分析通常在風險處理(而不是風險評估)過程中進行,以證明風險處理選項(ISO 術語)或風險應對策略(PMI 術語)的合理性。
. 風險暴露的確定是風險分析的結論。風險敞口是可能性、影響和其他因素的函數。

風險熱度地圖(Risk Heat Map)
https://ithelp.ithome.com.tw/upload/images/20210805/20132160nPRlhGvS5m.png
-來源:巴比克斯

風險熱度地圖(或風險熱圖)是網路風險數據的圖形表示,其中包含在矩陣中的各個值表示為表示含義的顏色。風險熱圖用於以易於理解、視覺吸引力和簡潔的格式呈現網路風險評估結果。
來源:巴比克斯

參考
風險熱度地圖——強大的可視化工具

資料來源:https://wentzwu.com/2021/07/09/cissp-practice-questions-20210709/

分類
CISSP

安全評鑑(Security Assessment)

https://ithelp.ithome.com.tw/upload/images/20210804/201321603XEXm91l20.jpg
-ISO 31000

在 ISO 31000 中,風險評鑑包括三個步驟:風險識別、風險分析和風險評鑑;威脅是一種帶來負面影響的風險。在 NIST 的世界中,風險評鑑和風險分析是同義詞。但是,它們具有相同的性質,即風險處理和響應遵循風險評鑑。安全控制是特定的風險處理或緩解風險的響應。
脆弱性是威脅的一個因素。NIST 的通用風險模型具體定義了威脅因素:
https://ithelp.ithome.com.tw/upload/images/20210804/20132160mYjOqAR0cU.jpg
-NIST 通用風險模型 (NIST SP 800-30 R1)

安全評鑑(Security Assessment)
安全評鑑可以指安全控制評鑑(SCA)或資訊安全評鑑(ISA)。然而,它們有細微的差別。SCA 是 ISA 的一個子集。本題中的安全評鑑是指安全控制評鑑。
. 安全控制評鑑(SCA)的意思是“測試或評鑑的安全控制,以確定該控制是否正確執行,按預期方式操作的程度,並產生相對於所期望的結果滿足用於資訊系統或組織的安全性要求。” (NIST SP 800-53 R4)
. 一種資訊安全評鑑(ISA)是“確定實體被如何有效評鑑的過程中(例如,主機,系統,網絡,程序,人知的作為評鑑對象)滿足特定安全目標。” (NIST SP 800-115)

參考
安全評鑑

資料來源: Wentz Wu QOTD-20210708

分類
CISSP

實施入侵檢測系統以應對安全事件和基於生物識別的存取控制-縱深防禦(Defense-in-depth)

縱深防禦是一種“整合人員、技術和運營能力的資訊安全戰略,以在組織的多個層次和維度之間建立可變的屏障”。(NIST 術語表
. 人:提升安全意識
. 運營:幫助人力資源人員審查招聘流程
. 技術:實施入侵檢測系統以回應安全事件和基於生物識別的存取控制

基於風險的存取控制(Risk-based Access Control)
存取控制是指“授予或拒絕特定請求的過程:
1)獲取和使用資訊及相關資訊處理服務;和
2) 進入特定的物理設施(例如,聯邦建築物、軍事機構、邊境口岸)。(NIST 術語表
有兩類存取控制方法:傳統的和動態的。傳統的存取控制方法利用嚴格且預先確定的策略來確定存取決策。或者,動態存取控制方法不僅採用靜態策略,還採用動態和實時特性來做出存取決策。這些動態特徵可能涉及上下文、信任、歷史事件、位置、時間和安全風險。基於風險的存取控制模型是利用與每個存取請求相關的安全風險值作為判斷存取決策的標準的動態方法之一。
資料來源:MDPI

完全調解(Complete Mediation)
“完全調解的原則要求檢查對對象的所有存取,以確保它們被允許。” (CISA)

參考
縱深防禦
基於風險的存取控制模型:系統文獻綜述
完全調解

資料來源: Wentz Wu QOTD-20210707

分類
CISSP

容器化

容器化是在同一台主機的應用程式虛擬化的技術,對於軟體的SDLC帶來相當程度的影響。容器化不需要VM或hypervisor, 它主要是讓應用程式可彼此被隔離(isolation), 但共用同一套作業系統的核心。因為共用核心,所以隔離的程度沒有VM 高,也因此有相對較多的安全議題產生。雖然容器化不是特定廠商的技術,但針對linux製作的image, 只能在linux上跑。

分類
CISSP

企業專有資料進行分類的最佳角色- 資料管家(Data Steward)

專有資料和個人資料(或 PII)是資料治理的重要主題。由於個人資料通常對隱私敏感,因此在網絡安全上下文中將信息/資料安全和隱私分開處理。例如,NIST SP 800-53 R5 提供了安全控制和隱私控制;ISO 27001 (ISMS) 處理信息安全,而 ISO 27701 處理隱私信息。

專有資料角色
. 資料所有者(Data Owner):分類、授權和問責
. 資料管家(Data Steward):資料質量
. 資料保管人(Data Custodian):實施和日常工作

資料所有者對其“擁有”的資料負責,因此管理團隊的成員通常承擔此角色。但是,他可以將職責委派給任何人(例如,資料管家或資料保管人),但仍需對結果負責。

在 NIST 指南中,資料管理員通常等同於資料所有者(或由資料所有者委託),因為資料所有者並不真正擁有“個人資料”的所有權。他們似乎通過不使用有爭議的術語來迴避個人資料所有權的爭論。
在私營部門,資料角色可以更明確地實施。組織可以在資料治理計劃中添加更多角色以滿足他們的要求。資料角色不限於上述三種。此外,組織可以使用他們喜歡的任何角色名稱。

個人資料角色
. 資料主體(Data Subject)/主體(Principal)
. 資料控制器(Data Controller)
. 資料處理器(Data Processor)
在我看來,個人資料的所有權應該屬於資料主體。組織並不“擁有”它們,而只是控制和處理它們。資料控制者決定處理的目的和方式;資料處理者代表資料控制者並根據資料控制者確定的目的和方式處理個人資料。

參考
隱私

資料來源: Wentz Wu QOTD-20210706

分類
CISSP

使用證書對代碼進行簽章,以防止其被篡改並向用戶驗證您的身份-使用您的私鑰對代碼進行散列並加密結果

https://ithelp.ithome.com.tw/upload/images/20210731/20132160fUlVpxDsEQ.png
-使用私鑰和公鑰對強大的程序集進行簽名和驗證
(來源:https://flylib.com/books/en/4.253.1.138/1/
數位簽章可確保不可否認性,其中還包括資料完整性和真實性。從技術上講,數位簽章只不過是由主體的私鑰簽名的對象的哈希值。
哈希(值)、摘要和指紋是同義詞。消化代碼實際上是對代碼進行散列,不需要公鑰。
使用您的私鑰加密代碼的指紋或對代碼進行散列並使用您的私鑰加密結果是生成數位簽章的改寫。
只有代碼的指紋需要通過您的私鑰進行加密。簽名時不需要加密代碼。

參考
審查的前 5 名最受歡迎的 SSL 證書頒發機構
什麼是代碼簽名?
FIPS PUB 186-4
ClickOnce 和 Authenticode
ClickOnce 應用程序的代碼訪問安全
配置 ClickOnce 可信發布者

資料來源: Wentz Wu QOTD-20210705

分類
Information Security

簡單物件存取協定SOAP

SOAP(原為Simple Object Access Protocol首字母縮寫,即簡單物件存取協定)是交換資料的一種協定規範,使用在電腦網路Web服務(web service)中,交換帶結構的資訊。SOAP為了簡化網頁伺服器(Web Server)從XML資料庫中提取資料時,節省去格式化頁面時間,以及不同應用程式之間按照HTTP通信協定,遵從XML格式執行資料互換,使其抽象於語言實現、平台和硬體。此標準由IBMMicrosoftUserLandDevelopMentor在1998年共同提出,並得到IBM、蓮花(Lotus)、康柏(Compaq)等公司的支援,於2000年提交給全球資訊網聯盟World Wide Web Consortium,W3C),目前SOAP 1.1版是業界共同的標準,屬於第二代的XML協定(第一代具主要代表性的技術為XML-RPC以及WDDX)。

用一個簡單的例子來說明SOAP使用過程,一個SOAP訊息可以傳送到一個具有Web Service功能的Web站點,例如,一個含有房價資訊的資料庫,訊息的參數中標明這是一個查詢訊息,此站點將返回一個XML格式的資訊,其中包含了查詢結果(價格,位置,特點,或者其他資訊)。由於資料是用一種標準化的可分析的結構來傳遞的,所以可以直接被第三方站點所利用。

資料來源:https://zh.wikipedia.org/wiki/%E7%AE%80%E5%8D%95%E5%AF%B9%E8%B1%A1%E8%AE%BF%E9%97%AE%E5%8D%8F%E8%AE%AE

分類
CISSP

開發一個新的資訊系統,先應首先進行“識別系統處理的資料類型”

https://ithelp.ithome.com.tw/upload/images/20210729/20132160GxPs87PFSF.jpg
-NIST SDLC 和 RMF

對系統進行分類意味著識別其處理的資料類型,以通過資料類型在機密性、完整性和可用性方面的影響級別的高水印來確定其影響級別。
安全控制框架,例如 NIST SP 800-53 R5,通常提供安全控制集作為基線。組織可以使用安全控制基線作為初始範圍,並根據風險評估產生的安全需求和要求對其進行調整。
資訊系統所有者應準備一個授權包,其中包含安全和隱私計劃、安全和隱私評估報告以及行動計劃和里程碑(用於糾正措施和改進),並將其提交給適當的授權操作授權 (ATO) .

參考
NIST 風險管理框架

資料來源: Wentz Wu QOTD-20210704

分類
CISA

經濟合作暨發展組織

經濟合作暨發展組織(簡稱經合組織;英語:Organization for Economic Cooperation and Development,OECD)是全球37個市場經濟國家組成的政府間國際組織,總部設在法國巴黎米埃特堡(Château de la Muette)。

資料來源:https://zh.wikipedia.org/wiki/%E7%BB%8F%E6%B5%8E%E5%90%88%E4%BD%9C%E4%B8%8E%E5%8F%91%E5%B1%95%E7%BB%84%E7%BB%87

分類
CISSP

獲得資訊系統運行授權(authorization)而應首先開發的文件-安全和隱私計劃(Security and privacy plans)

https://ithelp.ithome.com.tw/upload/images/20210727/20132160GsIJwwIuoY.jpg
-NIST SDLC 和 RMF
資訊系統所有者應準備授權包並將其提交給適當的 授權操作(ATO)機構。授權包通常包含:

  1. 安全和隱私計劃(指導活動/任務)
  2. 安全和隱私評估報告(實施安全控制後)
  3. 糾正措施和改進的行動計劃和里程碑 (POA&M)
    授權包是最後一個工件。它基本上是上述三個文件的彙編。

參考
NIST SP 800-37,修訂版 2
NIST SP 800-18 修訂版 1

資料來源: Wentz Wu QOTD-20210702

分類
CISSP

硬體安全模組 (HSM) 的身份驗證最不相關-職責分離(SOD)

如今,“秘密”(secret)是認證的基礎。我們通常使用密碼(您知道的東西)、令牌中的加密密鑰(您擁有的東西)或帶有 PIN 的 1 對 1 生物特徵識別(您是的東西)進行身份驗證。
. 拆分知識、基於仲裁的身份驗證和 M of N 控制是控制對機密的訪問的常用方法。
. 職責分離 (SOD) 是一種在設計職位時控制流程或工作流程的措施。

參考
硬體安全模組
什麼是 N 中的 M?
N 中的 M,關於
分裂知識
可信路徑
職責分離 (SOD)

資料來源: Wentz Wu QOTD-20210701

分類
CISSP

硬體安全模組HSM

硬體安全模組(英語:Hardware security module,縮寫HSM)是一種用於保障和管理強認證系統所使用的數字金鑰,並同時提供相關密碼學操作的電腦硬體裝置。硬體安全模組一般通過擴充卡或外部裝置的形式直接連接到電腦或網路伺服器

設計[編輯]

HSM提供篡改留證(tamper evidence/proof)、篡改抵抗(tamper evidence)兩種方式的防篡改功能,前者設計使得篡改行為會留下痕跡,後者設計使得篡改行為會令HSM銷毀金鑰一類的受保護資訊。[1]每種HSM都會包括一個或多個安全協處理器,用於阻止篡改或匯流排探測。

許多HSM系統提供安全備份外部金鑰的機制。金鑰可以以封包形式備份並儲存在電腦磁碟或其他媒介上,或安全的可攜式裝置(如智慧卡或其他安全權杖)儲存於外部。[2]

由於HSM通常是公鑰基礎設施(PKI)或網上銀行一類關鍵基礎設施的一部分,一般會同時使用多個HSM以實現高可用性。一些HSM具備雙電源、無需停機更換配件(如冷卻風扇)等設計,以確保在資料中心等環境中的高可用性要求。

少數HSM可以讓使用者在其內部處理器上執行專門開發的模組。在一些場景下,這種設計相當實用,例如使用者可以在這種安全、受控的環境下執行一些特殊的演算法或者業務邏輯,哪怕攻擊者取得了電腦的完全控制權限,儲存在HSM(連接到電腦)中的程式也無法被提取或篡改。一般HSM允許使用者使用C.NETJava程式語言開發這種專用程式。值得注意的是,使用者自訂的程式與HSM本身的程式之間存在隔離,這使程式的存在不會影響到HSM本身的安全。

資料來源:https://zh.wikipedia.org/wiki/%E7%A1%AC%E4%BB%B6%E5%AE%89%E5%85%A8%E6%A8%A1%E5%9D%97

分類
CISSP

MTTF(Mean Time To Failure):平均故障壽命

MTTF(Mean Time To Failure):平均故障壽命(一次性):出廠到失效之間平均時間
MTBF(Mean Time Between Failures):平均故障間隔(多久壞一次)
MTTR(Mean Time To Repair):平均修復時間:產品由故障轉為工作狀態時,修理時間的平均值。

可用性維護

平均無故障時間 (MTTF) 和平均無故障時間 (MTBF) 交替使用的情況並不少見。但是,MTTF 適用於不可修復的項目,而 MTBF 適用於可修復的項目。

老化的 UPS 電池通常是更換而不是維修。因此,在這種情況下,MTTF 優於 MTBF。

平均無故障時間

平均無故障時間 (MTTF) 是一種維護指標,用於衡量不可修復資產在發生故障之前運行的平均時間。由於 MTTF 僅與無法或不應修復的資產和設備相關,因此 MTTF 也可被視為資產的平均壽命。

MTTF 和 MTBF

平均無故障時間聽起來很像平均無故障時間 (MTBF),但它們並不相同。

主要區別在於計算中使用的資產類型。MTTF 使用不可修復的資產,而 MTBF 處理可修復的資產——當它們發生故障時,它們可以輕鬆修復而無需花費太多。

來源:修復軟件

資料來源:https://wentzwu.com/2019/12/25/cissp-practice-questions-20191226/

分類
CISA

統計抽樣與非統計抽樣(Statistical and Nonstatistical Sampling)

統計抽樣與非統計抽樣兩種方法若運用得當,均可提供
足夠與適切之查核證據。依據一般公認審計準則進行查
核測試時,審計人員可以選用兩者之一,或是合併使用
之,而且兩種抽樣方式皆能滿足外勤準則第3條的要求,
能夠取得足夠且適切的證據以表示意見。但無論採用何
種抽樣方法,查核人員於設計與選取查核樣本,執行查
核程序及評估抽樣結果時,均須運用到專業判斷。

資料來源:http://www.wunan.com.tw/www2/download/2G27_3%E7%89%881%E5%88%B7_%E8%A9%A6%E9%96%B1_102.2.26.PDF

分類
CISSP

單元測試(Unit testing)

https://ithelp.ithome.com.tw/upload/images/20210725/201321603Yz7snaPPo.jpg
-示例單元測試
單元測試通常由程序員開發。這是一個白盒測試。為了最大化單元測試的價值,伴隨著敏捷方法提出的測試驅動開發(TDD)實踐,極限編程(XP)。也就是說,程序員首先編寫單元測試,以驅動生產代碼的開發。在生產代碼完成後編寫單元測試幾乎沒有價值。
單元測試被檢入本地代碼存儲庫並推送到中央代碼存儲庫服務器。編譯服務器上的所有代碼並在編譯成功時執行所有單元測試是集成測試的一部分。如果將服務器配置為在滿足某些條件時自動開始編譯,則稱為持續集成。每晚構建(例如,每天凌晨 3 點)或檢測到新簽入都是持續集成觸發器的好例子。
https://ithelp.ithome.com.tw/upload/images/20210725/20132160VwnhrVQiYl.jpg
-XP 實踐(來源:https : //twitter.com/CharlotteBRF)

資料來源: Wentz Wu QOTD-20210722

分類
CISSP

AES(高級加密標準)

https://ithelp.ithome.com.tw/upload/images/20210723/20132160tqxQvsYwr2.jpg
-密碼學
這兩種DES(數據加密標準)AES(高級加密標準)是美國的加密標準。傳統 DES 使用 IBM 開發的 Lucifer,而當前標準 AES 通過開放選擇指定 Rijndael。通常將 DES 和 AES 稱為密碼本身。例如,AES 和 Rijndael 的不同之處在於,“Rijndael 本身指定的塊和密鑰大小可以是 32 位的任意倍數,最小為 128 位,最大為 256 位。” 但是,AES 指定了 128 位的“固定塊大小”,但密鑰大小有 128、192 或 256 位三種選擇。(維基百科

DES 和 AES 是分組密碼。塊是一組位。塊是塊密碼的基本處理單元。DES 將數據分成 64 位塊,而 AES 以 128 位塊處理數據。但是,密鑰可能不等於數據塊。DES 密鑰大小名義上是 64 位(8 字節),但一個字節的每一位都是所謂的用於錯誤控制的奇偶校驗位。因此,有效密鑰長度為 56 位(64-8=56)。DES 塊大小比其後繼 AES 小得多,AES 使用 128 位塊。

因為分組密碼使用固定大小的塊,明文不能總是分成整個塊或塊大小的倍數。“ Padding ”是將數據加入明文中以便將其劃分為完整塊的過程。位置(開始、中間或結束)、單位(位或字節)和模式(全為零或全為 1)是填充問題。ANSI X9.23、PKCS#5、PKCS#7、ISO/IEC 7816-4 等是處理填充數據模式的標準。
ECB 模式中的 AES 可能不涉及初始化向量 (IV)。分組密碼可以在各種操作模式下工作。最著名的電子代碼簿 (ECB) 不涉及啟動向量,但可能會生成重複的模式。

DES 於 1970 年代初由 IBM 開發,基於 Horst Feistel 的早期設計。它於 1976 年被批准為美國加密標準。三重 DES (3DES/TDES) 是 DES 在 1990 年代被破壞後的一種解決方法。3DES 使用相同的 DES 算法三次以增加工作因子。3DES 需要三個密鑰(每個 DES 操作一個);但是,第一次使用的密鑰可以在第三次處理時使用。名義上,3DES 使用三個密鑰,但實際上它可以使用兩個密鑰(第一次和第三次使用相同的密鑰)。DES3-EEE 意味著使用三個不同的密鑰應用 DES 加密三次。

參考
分組密碼
高級加密標準
數據加密標準
三重DES
奇偶校驗位(維基百科)
填充(密碼學)
初始化向量
java中AES-256加密需要多大的初始化向量?
RSA 中的典型塊大小是多少?

資料來源: Wentz Wu QOTD-20210629

分類
CISSP

金鑰叢集(Key clustering)

哈希上下文中的碰撞通常是指哈希函數從兩個不同的輸入消息生成相同哈希值的情況。有些,例如維基百科,可能會在哈希語中使用聚類。在 CISSP 中,聚類特別指密碼使用兩個不同的秘密密鑰生成相同密碼的情況。因此,更具體地說,哈希碰撞或金鑰叢集。

服務器欺騙是一種干擾因素,它結合了兩個概念:服務器群和欺騙攻擊。 Pharming 是一種網絡攻擊,旨在將網站的流量重定向到另一個虛假網站。 Pharming 可以通過更改受害者計算機上的主機文件或利用 DNS 服務器軟件中的漏洞來進行。 DNS 服務器是負責將 Internet 名稱解析為其真實 IP 地址的計算機。受損的 DNS 服務器有時被稱為“中毒”。 Pharming 需要不受保護地訪問目標計算機,例如更改客戶的家用計算機,而不是公司業務服務器。資料來源:維基百科

衝突檢測也可用於網絡通信環境中,並與帶有衝突檢測的載波偵聽多路訪問 (CSMA/CD) 相關,“一種媒體訪問控制 (MAC) 方法,最顯著地用於早期的局域網以太網技術。它使用載波偵聽來推遲傳輸,直到沒有其他站正在傳輸。這與衝突檢測結合使用,其中發送站在發送幀時通過檢測來自其他站的傳輸來檢測衝突。當檢測到這種衝突情況時,該站停止發送該幀,發送一個阻塞信號,然後等待一個隨機時間間隔,然後再嘗試重新發送該幀。” (維基百科

參考
金鑰叢集和碰撞
哈希表

資料來源: Wentz Wu QOTD-20210628

分類
CISSP

模糊測試

模糊測試 (fuzz testing, fuzzing)是一種軟體測試技術。其核心思想是將自動或半自動生成的亂數據輸入到一個程式中,並監視程式異常,如崩潰,斷言(assertion)失敗,以發現可能的程式錯誤,比如記憶體流失。模糊測試常常用於檢測軟體或電腦系統的安全漏洞。

模糊測試最早由威斯康星大學的Barton Miller於1988年提出。[1][2]他們的工作不僅使用隨機無結構的測試資料,還系統的利用了一系列的工具去分析不同平台上的各種軟體,並對測試發現的錯誤進行了系統的分析。此外,他們還公開了原始碼,測試流程以及原始結果資料。

模糊測試工具主要分為兩類,變異測試(mutation-based)以及生成測試(generation-based)。模糊測試可以被用作白盒,灰盒或黑箱測試。[3]檔案格式與網路協定是最常見的測試目標,但任何程式輸入都可以作為測試物件。常見的輸入有環境變數,滑鼠和鍵盤事件以及API呼叫序列。甚至一些通常不被考慮成輸入的物件也可以被測試,比如資料庫中的資料或共享記憶體。

對於安全相關的測試,那些跨越可信邊界的資料是最令人感興趣的。比如,模糊測試那些處理任意使用者上傳的檔案的代碼比測試解析伺服器設定檔的代碼更重要。因為伺服器設定檔往往只能被有一定權限的使用者修改。

資料來源:https://zh.wikipedia.org/wiki/%E6%A8%A1%E7%B3%8A%E6%B5%8B%E8%AF%95

分類
Project Management

工具技術組 PMBOK 第 6 版

項目管理工具和技術
專案管理工具和技術

PMBOK 第 6 版根據其目的對工具和技術進行分組。組名描述了需要做的事情的意圖。組中的工具和技術代表了實現意圖的不同方法。

專案管理工具和技術組

PMBOK 第 6 版有七組 132 種不同的專案管理工具。以下列表根據它們的組列舉了這些工具的細分。

  • 09 –數據收集工具
  • 27 – 數據分析技術
  • 15 –數據表示工具和技術
  • 02 – 決策技巧
  • 02 – 溝通技巧
  • 17 – 人際關係和團隊技能
  • 60 – 未分組的工具和技術

數據收集工具

數據收集工具和技術用於從各種來源收集數據和信息。以下列表列舉了九種數據收集工具。

  • 基準測試
  • 頭腦風暴
  • 檢查表
  • 清單
  • 專門小組
  • 採訪
  • 市場調查
  • 問題和調查
  • 統計抽樣

數據分析技術

數據分析工具和技術用於組織、評估和評估數據和信息。有27種數據分析工具。以下段落列舉了重要的數據分析技術。

  • 質量成本
  • 成本效益分析
  • 決策樹分析
  • 掙值分析
  • 自製或外購分析
  • 過程分析
  • 回歸分析
  • 風險概率和影響評估
  • 根本原因分析
  • SWOT分析
  • 趨勢分析
  • 方差分析
  • 假設情景分析

另請閱讀:七種基本質量工具 PMP 考試指南

數據表示工具和技術

數據表示工具和技術以可視化格式表示數據和信息。有 15 種數據表示工具。以下列表列舉了一些重要的數據表示工具。

  • 親和圖
  • 因果圖
  • 控製圖
  • 流程圖
  • 直方圖
  • 思維導圖
  • 概率和影響矩陣
  • 散點圖
  • 利益相關者參與評估矩陣
  • 利益相關者映射/代表。

另請閱讀: 質量控制數據表示工具

決策技巧

決策技術用於從不同的備選方案中選擇行動方案。以下是兩種決策技術。

  • 多準則決策分析
  • 表決

溝通技巧

溝通技巧是用於在不同專案利益相關者之間傳遞信息的工具。以下是兩種溝通技巧。

  • 反饋
  • 演示文稿

人際關係和團隊技能

人際關係和團隊技能包括用於領導專案團隊的 17 種不同技術。以下列表列出了一些重要的人際交往能力。

  • 積極傾聽
  • 衝突管理
  • 文化意識
  • 做決定
  • 情商
  • 便利化
  • 影響
  • 領導
  • 動機
  • 談判
  • 名義組技術
  • 政治意識

未分組的工具和技術

該組包含 60 種不同工具的詳盡列表。以下列表描述了該類別中一些最重要的專案管理技術。

結論

總而言之,PMBOK 第 6 版中描述的 132 個專案管理工具是可用於成功交付專案的良好實踐。PMBOK 中的附錄 X6 將所有 132 種工具與其流程和相應的知識領域進行了映射。有關這些技術的完整列表,請參閱專案管理知識體系,第 6 版®。

資料來源:https://milestonetask.com/tools-techniques/#.YPdiThMzbMJ

分類
CISSP

錯誤接受率 (FAR) 和錯誤拒絕率 (FRR)

https://ithelp.ithome.com.tw/upload/images/20210719/20132160vWTGlq7gNh.png
-來源:(ISC)² 社區
在基於生物識別的系統中,靈敏度/閾值和 CER/EER 通常可以互換使用。交叉錯誤率 (CER) 或等錯誤率 (EER) 越低,生物識別系統犯的錯誤就越少。
更改(降低或提高)CER 或 EER 意味著更換(未配置)生物識別系統/機器。CER 或 EER 不能由客戶“配置”。客戶可以根據自己的安全需要調整或配置“靈敏度”或“閾值”來改變FAR/FRR。
. 降低靈敏度/閾值意味著接受更少的匹配生物特徵模式、增加 FAR 和降低 FRR,以及更多便利。
. 提高靈敏度/閾值意味著需要更多匹配的生物識別模式,增加 FRR 並降低 FAR,從而提高安全性。

資料來源: Wentz Wu QOTD-20210624

分類
CISSP

存取令牌(Access Token)

. “斷言”( Assertion)是 SAML(安全斷言標記語言)中使用的術語,相當於 OIDC(OpenID Connect)中的“聲明”。OIDC 將 ID Token(用於身份驗證)與 Access Token(用於授權)區分開來。OAuth2 中使用的存取令牌是“承載”令牌。擁有存取令牌作為不記名令牌的任何一方都可以存取相關資源。
. XACML 用於授權,它基於 XML,非常適合 SAML。
. 存取令牌和不記名令牌通常可以互換使用。但是,存取令牌字面上表示存取控製或授權的概念。不記名令牌是令牌的一種,它強調令牌的匿名性。

RFC 6750,OAuth 2.0 Bearer Token Usage,是一個規範,“描述瞭如何在 HTTP 請求中使用不記名令牌來存取 OAuth 2.0 受保護的資源。擁有不記名令牌(“持有者”)的任何一方都可以使用它來存取相關資源(無需證明擁有加密密鑰)。為了防止濫用,需要保護不記名代幣在存儲和運輸過程中不被洩露。”
但是,它也使用術語“存取令牌”描述了客戶端和資源服務器之間的通信,如下圖所示:
https://ithelp.ithome.com.tw/upload/images/20210718/20132160FnRDal2e90.png

參考
刷新令牌:何時使用它們以及它們如何與 JWT 交互

資料來源: Wentz Wu QOTD-20210623

分類
CISSP

VPN和EAP

https://ithelp.ithome.com.tw/upload/images/20210717/201321609I2IjOL4qp.jpg
-VPN 和 EAP
在 802.1X 中,請求者與身份驗證者通信,身份驗證者將身份驗證消息轉發到身份驗證服務器。請求者不直接向身份驗證服務器進行身份驗證。
一般而言,網絡訪問服務器(NAS)是指提供遠程訪問服務的服務器,例如撥號、VPN 等。VPN 服務器可以看作是一種類型的 NAS。

https://ithelp.ithome.com.tw/upload/images/20210717/201321604HQYq7JnZs.jpg
-EAP 協議比較

https://ithelp.ithome.com.tw/upload/images/20210717/20132160QVhg5w1Yri.jpg
-可擴展身份驗證協議 (EAP)

資料來源: Wentz Wu QOTD-20210625

分類
CISSP

ACID

ACID,是指資料庫管理系統DBMS)在寫入或更新資料的過程中,為保證事務(transaction)是正確可靠的,所必須具備的四個特性:原子性(atomicity,或稱不可分割性)、一致性(consistency)、隔離性(isolation,又稱獨立性)、持久性(durability)。

在資料庫系統中,一個事務是指:由一系列資料庫操作組成的一個完整的邏輯過程。例如銀行轉帳,從原帳戶扣除金額,以及向目標帳戶添加金額,這兩個資料庫操作的總和,構成一個完整的邏輯過程,不可拆分。這個過程被稱為一個事務,具有ACID特性。ACID的概念在ISO/IEC 10026-1:1992文件的第四段內有所說明。

四大特性[編輯]

  • Atomicity(原子性):一個事務(transaction)中的所有操作,或者全部完成,或者全部不完成,不會結束在中間某個環節。事務在執行過程中發生錯誤,會被回滾(Rollback)到事務開始前的狀態,就像這個事務從來沒有執行過一樣。即,事務不可分割、不可約簡。[1]
  • 一致性(Consistency):在事務開始之前和事務結束以後,資料庫的完整性沒有被破壞。這表示寫入的資料必須完全符合所有的預設約束觸發器級聯回滾等。[1]
  • 事務隔離(Isolation):資料庫允許多個並發事務同時對其數據進行讀寫和修改的能力,隔離性可以防止多個事務並發執行時由於交叉執行而導致數據的不一致。事務隔離分為不同級別,包括未提交讀(Read uncommitted)、提交讀(read committed)、可重複讀(repeatable read)和串行化(Serializable)。[1]
  • Durability(持久性):事務處理結束後,對數據的修改就是永久的,即便系統故障也不會丟失。[1]

資ㄌㄧㄠ

分類
CISSP

CAT-7

7類雙絞線(英語:Category 7 cable)是ISO/IEC 11801 Class F一般稱為CAT-7線。此標準定義4對各別遮蔽的雙絞線包覆在一個遮蔽內,是在萬兆乙太網路和其它向下相容CAT-6A/CAT-6的網路上所使用到的傳輸線材標準。設計能提供大於100米的10Gbps萬兆乙太網傳輸,可使用常用的8P8C連結器插頭。使用GG45TERA連結器插頭作傳輸時,傳輸頻寬寬度可達到600MHz,為CAT-5e的6倍、CAT-6的2.4倍。

Class FA

Class FA (全稱:Class F Augmented),可稱為CAT-7a線,增強了雙絞線的傳輸能力,傳輸頻寬可高達1000 MHz。能分別於50米內和15米內,提供40Gbps四萬兆乙太網和100Gbps十萬兆乙太網傳輸。[1][2]正式名稱為 ISO 11801 Amendment 1 (2008) 和 ISO 11801 Amendment 2 (2010),目前未被TIA/EIA承認。

資料來源:https://zh.wikipedia.org/wiki/CAT-7

分類
CISSP

數據丟失防護軟體

數據丟失防護軟件檢測潛在的數據洩露/數據過濾傳輸,並通過監視、[1]在使用(端點操作)、運動(網絡流量)和靜止(數據存儲)時檢測和阻止敏感數據來防止它們. [2]

術語“數據丟失”和“數據洩漏”是相關的,通常可以互換使用。[3]如果包含敏感信息的媒體丟失並隨後被未經授權的一方獲取,則數據丟失事件變成數據洩漏事件。然而,數據洩漏是可能的,而不會丟失源端的數據。與數據洩漏預防相關的其他術語是信息洩漏檢測和預防 (ILDP)、信息洩漏預防 (ILP)、內容監控和過濾 (CMF)、信息保護和控制 (IPC) 和擠壓預防系統 (EPS),而不是入侵防禦系統

類別[編輯]

處理數據洩露事件所採用技術手段可以分為:標準安全措施、高級/智能安全措施、訪問控制和加密以及指定的DLP系統,儘管目前只有後一類被認為是DLP。[4]

標準措施[編輯]

標準安全措施,例如防火牆、入侵檢測系統(IDS) 和防病毒軟件,是保護計算機免受外部和內部攻擊的常用產品。例如,防火牆的使用可防止外部人員訪問內部網絡,入侵檢測系統可檢測外部人員的入侵企圖。內部攻擊可以通過檢測發送機密信息的特洛伊木馬的防病毒掃描以及使用在客戶端 – 服務器架構中運行且客戶端設備上不存儲個人或敏感數據的瘦客戶端來避免。

高級措施[編輯]

先進的安全措施採用機器學習和時間推理算法來檢測對數據的異常訪問(例如,數據庫或信息檢索系統)或異常的電子郵件交換,用於檢測具有惡意意圖的授權人員和基於活動的驗證(例如,識別擊鍵動態)的蜜罐) 和用戶活動監控,用於檢測異常數據訪問。

指定係統[編輯]

指定的系統主要是由有權訪問敏感信息的人員有意或無意地檢測和防止未經授權的複製或發送敏感數據的嘗試。為了將某些信息歸類為敏感信息,它們使用了諸如精確數據匹配、結構化數據指紋識別、統計方法、規則和正則表達式匹配、已發布詞典、概念定義、關鍵字和上下文信息(例如數據來源)等機制。[5]

類型[編輯]

網絡[編輯]

網絡(動態數據)技術通常安裝在周邊附近的網絡出口點。它分析網絡流量以檢測違反信息安全策略發送的敏感數據。多個安全控制點可以報告要由中央管理服務器分析的活動。[3]

端點[編輯]

端點(使用中的數據)系統在內部最終用戶工作站或服務器上運行。與基於網絡的系統一樣,基於端點的技術可以處理內部和外部通信。因此,它可用於控制用戶組或用戶類型(例如“中國牆”)之間的信息流。他們還可以控制電子郵件和即時消息在他們到達公司檔案之前的通信,這樣被阻止的通信(即從未發送過的通信,因此不受保留規則的約束)在隨後的法律發現情況中不會被識別。端點系統的優勢在於它們可以監視和控制對物理設備(例如具有數據存儲功能的移動設備)的訪問,並且在某些情況下可以在信息加密之前訪問信息。端點系統還可以訪問提供上下文分類所需的信息;例如來源或作者生成的內容。一些基於端點的系統提供應用程序控制來阻止機密信息的嘗試傳輸並提供即時的用戶反饋。它們必須安裝在網絡中的每個工作站上(通常通過DLP Agent),不能在移動設備(例如手機和 PDA)上使用,也不能在實際無法安裝的地方使用(例如在網吧的工作站上)。

數據識別[編輯]

DLP 包括用於識別機密或敏感信息的技術。有時與發現混淆,數據識別是組織使用 DLP 技術確定要查找的內容的過程。

數據分為結構化或非結構化。結構化數據位於電子表格等文件中的固定字段中,而非結構化數據是指文本文檔、PDF 文件和視頻中的自由格式文本或媒體。[6]估計所有數據的 80% 是非結構化的,20% 是結構化的。[7]

數據丟失保護 (DLP) [編輯]

有時,數據分發者會無意或有意地將敏感數據提供給一個或多個第三方,或以授權方式自行使用。稍後,某些數據在未經授權的地方(例如,在網絡上或在用戶的膝上型電腦上)被發現。然後分銷商必須調查損失的來源。

靜止數據[編輯]

靜止數據”特指不移動的信息,即存在於數據庫或文件共享中的信息。企業和政府機構非常關注此信息,因為數據在存儲中未使用的時間越長,未經授權的個人就越有可能檢索到這些信息。保護此類數據涉及訪問控制、數據加密和數據保留策略等方法。[3]

使用中的數據[編輯]

使用中的數據”是指用戶當前正在與之交互的數據。保護使用中數據的 DLP 系統可以監控和標記未經授權的活動。[3]這些活動包括涉及敏感數據的屏幕捕獲、複製/粘貼、打印和傳真操作。通過通信渠道傳輸敏感數據可能是有意或無意的嘗試。

運動中的數據[編輯]

移動中的數據”是通過網絡傳輸到端點的數據。網絡可以是內部的,也可以是外部的。保護動態數據的 DLP 系統監控通過各種通信渠道在網絡上傳輸的敏感數據。[3]

資料來源:https://en.wikipedia.org/wiki/Data_loss_prevention_software

分類
CISSP

軟體保證成熟度模型(SAMM)-安全冠軍(Security Champion)

https://ithelp.ithome.com.tw/upload/images/20210716/20132160mSQuc8iswi.png
-SAMM 概述(來源:https : //owaspsamm.org
軟體保障成熟度模型(SAMM)是一個 OWASP 專案,一個規範模型和一個開放框架,使用簡單、定義完整且可衡量。SAMM 2.0 包含五個業務功能(治理、設計、實施、驗證和操作),它們主要遵循邏輯順序或映射到通用軟體開發生命週期。每個業務功能都有通過兩個流連接的三個安全實踐,將它們組織成一個層次結構以進行性能測量。換句話說,每個安全實踐的活動屬於流 A 或流 B。安全實踐的成熟度級別,作為軟體保證目標,可以分為三個級別。

[Stream B] 確定教育和指導的安全擁護者,成熟度級別 1
“確定安全冠軍”是安全實踐、教育和指導的 Stream B 活動,處於成熟度級別 1。它帶來了安全在開發組織中的基本嵌入的好處。以下摘自OWASP SAMM v2.0 – 核心模型文檔:
. 實施一個計劃,其中每個軟體開發團隊都有一名成員被視為“安全冠軍”,他是資訊安全和開發人員之間的聯絡人。
. 根據團隊的規模和結構,“安全冠軍”可能是軟體開發人員、測試人員或產品經理。
. “安全冠軍”每周有固定的小時數用於資訊安全相關活動。他們定期參加簡報會,以提高對不同安全學科的認識和專業知識。
. “安全冠軍”接受了額外的培訓,以幫助培養這些軟體安全主題專家的角色。出於文化原因,您可能需要自定義創建和支持“安全冠軍”的方式。
. 該職位的目標是提高應用程序安全和合規性的有效性和效率,並加強各個團隊與資訊安全之間的關係。為實現這些目標,“安全冠軍”協助研究、驗證和確定與安全和合規性相關的軟體缺陷的優先級。他們參與所有風險評估、威脅評估和架構審查,通過使應用程序架構更具彈性並減少攻擊威脅面來幫助確定修復安全缺陷的機會。
. 除了協助資訊安全之外,“安全冠軍”還為專案團隊定期審查所有與安全相關的問題,以便每個人都了解問題以及任何當前和未來的補救工作。通過讓整個開發團隊參與進來,這些評論被用來幫助集思廣益解決更複雜的問題。
評估問題
您是否為每個開發團隊確定了一名安全冠軍?
– 否
– 是,對於某些團隊
– 是,對於至少一半的團隊
– 是,對於大多數或所有團隊

質量標準
– 安全冠軍接受適當的培訓
– 應用程序安全和開發團隊會定期收到安全冠軍的簡報安全計劃和修復的總體狀態
——安全冠軍在添加到應用程序積壓之前審查外部測試的結果

[Stream A] 定制安全培訓、教育和指導@成熟度級別 2
安全冠軍就 SDLC 各個階段的安全主題進行培訓。他們接受與開發人員和測試人員相同的培訓,但也了解威脅建模和安全設計,以及可以集成到構建環境中的安全工具和技術。

[Stream B] 建立安全社區,教育和指導@成熟度級別 3
圍繞角色和職責形成社區,並使來自不同團隊和業務部門的開發人員和工程師能夠自由交流並從彼此的專業知識中受益。鼓勵參與,建立一個計劃來提升那些幫助最多的人成為思想領袖,並讓管理層認可他們。除了提高應用程序安全性之外,該平台還可以根據他們的專業知識和幫助他人的意願幫助確定安全軟體卓越中心的未來成員或“安全冠軍”。

[Stream B] 標準化和擴展威脅建模,威脅評估@成熟度級別 2
培訓您的架構師、安全擁護者和其他利益相關者如何進行實際威脅建模。威脅建模需要理解、清晰的劇本和模板、特定於組織的示例和經驗,這些都很難實現自動化。

[Stream B] 建立滲透測試流程,Security Testing @ Maturity Level 2
滲透測試案例包括用於檢查業務邏輯健全性的特定於應用程序的測試,以及用於檢查設計和實現的常見漏洞測試。一旦指定,精通安全的質量保證或開發人員就可以執行安全測試用例。中央軟體安全組監控專案團隊安全測試用例的首次執行,以協助和指導團隊安全冠軍。

[Stream B] 建立持續的、可擴展的安全驗證,安全測試@成熟度級別 3
安全冠軍和中央安全軟體小組在開發過程中不斷審查自動和手動安全測試的結果,將這些結果作為開發團隊安全意識培訓的一部分。整合整體劇本中的經驗教訓,以改進作為組織發展一部分的安全測試。如果有未解決的發現仍然是發布的可接受風險,利益相關者和開發經理應共同製定解決這些問題的具體時間表。

參考
OWASP SAMM 2.0
資料來源: Wentz Wu QOTD-202107014

分類
CISSP

認證程序(Authentication Procedure)

Authentication Procedure

  1. Identification: a subject confesses its identity.
  2. Validation: the authentication server (AS) validates the identity against a directory.
  3. Assertion: the AS asserts the identity through identity/access tokens.

認證程序
身份證明:對象承認其身份。
驗證:身份驗證服務器 (AS) 根據目錄驗證身份。
斷言:AS 通過身份/訪問令牌斷言身份。

分類
CISSP

OpenID Connect

https://ithelp.ithome.com.tw/upload/images/20210714/20132160uupAyeEQem.png
OAuth 2.0 指定了存取資源的存取令牌,但它沒有提供提供身份信息(ID Token)的標準方法,這就是 OpenID Connect(ODIC)出現的原因。
. (身份、認證)+ OAuth 2.0 = OpenID Connect
. OIDC 是第三代OpenID 技術,它與 OAuth 2.0 對齊並從 XML 切換到 JSON。
. OIDC 通過ID 令牌處理身份和身份驗證,而 OAuth 2.0 通過存取/承載令牌處理授權。
. 由於 OIDC 建立在 OAuth 2.0 之上,因此OpenID 提供程序與OAuth 2.0 授權服務器基本相同。

身份令牌(ID Token)
https://ithelp.ithome.com.tw/upload/images/20210714/20132160RdZJzsGb1Q.png
-理解 ID Token 由 Takahiko Kawasaki

不記名令牌(Bearer Token)
擁有不記名令牌(“持有者”)的任何一方都可以使用它來存取相關資源(無需證明擁有加密密鑰)。為了防止濫用,需要保護不記名代幣在存儲和運輸過程中不被洩露。
來源:RFC 6750
Microsoft.AspNetCore.Authentication.JwtBearer是一個軟體組件,用於處理 .NET 5.0 中的承載令牌。

OpenID Connect (OIDC) 和 OAuth 2.0
OpenID Connect 是一種基於 OAuth 2.0 系列規範的可互操作的身份驗證協議。它使用簡單的 REST/JSON 消息流,其設計目標是“讓簡單的事情變得簡單,讓複雜的事情成為可能”。與之前的任何身份協議相比,開發人員集成起來非常容易。
OpenID Connect 使開發人員無需擁有和管理密碼文件即可跨網站和應用程序驗證其用戶。對於應用程序構建器,它為以下問題提供了一個安全的可驗證答案:“當前使用與我連接的瀏覽器或本機應用程序的人的身份是什麼?”
OpenID Connect 允許所有類型的客戶端(包括基於瀏覽器的 JavaScript 和本機移動應用程序)啟動登錄流程並接收有關登錄用戶身份的可驗證斷言。
(身份、認證)+ OAuth 2.0 = OpenID Connect
來源:OpenID Connect 常見問題和問答

OpenID 的早期版本(Earlier Versions of OpenID)
OpenID Connect 是第三代 OpenID 技術。第一個是最初的 OpenID,這是一個有遠見的工具,從未獲得太多商業採用,但讓行業領導者思考什麼是可能的。OpenID 2.0考慮得更周全,提供了出色的安全性,並且在正確實施時運行良好。然而,它受到一些設計限制——其中最重要的是依賴方可以是網頁而不是本機應用程序;它還依賴於XML,導致一些採用問題。
OpenID Connect 的目標是對開發人員更加友好,同時擴展可以使用的用例集。它已經在這方面取得了成功;有大規模運行的生產部署。任何有足夠經驗通過 HTTP 發送和接收 JSON 消息的程序員(現在大多數是這樣)應該能夠使用標準的加密簽名驗證庫從頭開始實現 OpenID Connect。幸運的是,大多數甚至不必走那麼遠,因為有很好的商業和開源庫來處理身份驗證機制。
來源:OpenID Connect 常見問題和問答

OAuth 2.0 抽象協議流程(OAuth 2.0 Abstract Protocol Flow)
https://ithelp.ithome.com.tw/upload/images/20210714/20132160QsJJ897KLw.png
OAuth 2.0 Abstract Protocol Flow

OIDC 協議流程(OIDC Protocol Flow)
OpenID Connect協議,在抽象的,遵循下列步驟。

  1. RP(客戶端)向 OpenID 提供者(OP)發送請求。
  2. OP 對最終用戶進行身份驗證並獲得授權。
  3. OP 使用 ID 令牌和通常的存取令牌進行響應。
  4. RP 可以向 UserInfo Endpoint 發送帶有存取令牌的請求。
  5. UserInfo 端點返回有關最終用戶的聲明。

這些步驟如下圖所示:
https://ithelp.ithome.com.tw/upload/images/20210714/20132160vtYea3XxBE.png
OIDC Protocol Flow
參考
RFC 6749:OAuth 2.0 授權框架
RFC 6750:OAuth 2.0 授權框架:不記名令牌的使用
OAuth 2.0
歡迎使用 OpenID Connect
OpenID Connect 常見問題和問答
OAuth 2.0 / OpenID Connect 說明
了解 ID 令牌
將標識提供程序存取令牌傳遞到 Azure Active Directory B2C 中的應用程序
AccessToken Vs ID Token Vs Refresh Token – 什麼?為什麼?什麼時候?

資料來源: Wentz Wu QOTD-20210622

分類
CISSP

RESTful API 操作對數據完整性的影響最小-Get

https://ithelp.ithome.com.tw/upload/images/20210713/20132160YSmkOgzVdF.jpg
-RESTful HTTP 方法
HTTP 方法/動詞 GET 通常用於檢索數據,這會影響機密性。

HTTP 方法
https://ithelp.ithome.com.tw/upload/images/20210713/20132160thVeNLNDjh.png
-Semantics of HTTP methods (Source: RFC 7231)

RESTful 風格架構
2000 年,Roy Fielding 在他的博士論文中引入並定義了表徵狀態轉移這一術語。Fielding 的論文解釋了 REST 原則,這些原則從 1994 年開始被稱為“HTTP 對像模型”,並用於設計 HTTP 1.1 和統一資源標識符 (URI) 標準。該術語旨在讓人聯想到精心設計的 Web 應用程序的行為方式:它是一個 Web 資源網絡(虛擬狀態機),用戶通過選擇資源標識符(例如http://www)在應用程序中前進.example.com/articles/21和資源操作,例如 GET 或 POST(應用程序狀態轉換),導致下一個資源的表示(下一個應用程序狀態)被傳輸給最終用戶供他們使用。
資料來源:維基百科

參考
FRC 7231:超文本傳輸協議 (HTTP/1.1):語義和內容
為 RESTful 服務使用 HTTP 方法
HTTP 請求方法

資料來源: Wentz Wu QOTD-20210621

分類
CISSP

WPA 使用 RC4 作為保密的底層密碼(WPA uses RC4 as the underlying cipher for confidentiality)

. RC4 在 WEP 中用於強制保密。然而,“在 2001 年 8 月,Scott Fluhrer、Itsik Mantin 和 Adi Shamir 發表了 WEP[14] 的密碼分析,它利用了 WEP 中使用 RC4 密碼和 IV 的方式,導致被動攻擊可以恢復 RC4 密鑰後竊聽網絡。” (維基百科
. WPA3 使用 HMAC 來確保真實性;不可否認性由數字簽名強制執行。
. WPA 使用 TKIP,使用 RC4 作為底層密碼,以確保機密性。
. WPA2 在 CCM 模式下使用 AES,一種分組密碼(CBC-MAC 計數器)。

參考
Wi-Fi 保護訪問
有線等效保密
CCMP(密碼學)
分組密碼操作模式
Wi-Fi Alliance® Wi-Fi® 安全路線圖和 WPA3™ 更新
WPA3 和增強型開放:下一代 WI-FI 安全
WPA3 解釋

資料來源: Wentz Wu QOTD-202104021

分類
CISSP

有線等效加密(Wired Equivalent Privacy:WEP)

有線等效加密(英語:Wired Equivalent Privacy,縮寫:WEP),又稱無線加密協定(英語:Wireless Encryption Protocol,縮寫:WEP),是個保護無線網路資料安全的體制。因為無線網路是用無線電把訊息傳播出去,它特別容易被竊聽。WEP的設計是要提供和傳統有線的區域網路相當的機密性,而依此命名的。不過密碼分析學家已經找出有線等效加密幾個弱點,因此在2003年被實現大部分IEEE 802.11i標準的Wi-Fi Protected Access淘汰,又在2004年由實現完整IEEE 802.11i標準的WPA2所取代。有線等效加密雖然有些弱點,亦足以嚇阻非專業人士的窺探。

資料來源:https://zh.wikipedia.org/wiki/%E6%9C%89%E7%B7%9A%E7%AD%89%E6%95%88%E5%8A%A0%E5%AF%86

分類
CISSP

SAMM 敏捷指南

概述

本文檔解釋了 SAMM 安全實踐如何為敏捷工作以在軟件開發過程中持續構建足夠的安全性。它以最佳實踐和陷阱的形式構建。

為什麼是 SAMM 敏捷指南

軟件保證成熟度模型(SAMM)是如何建立和發展安全發展過程中OWASP旗艦項目。它與開發方法無關,這就是為什麼沒有明確涵蓋敏捷的原因。儘管如此,業界似乎強烈需要有關如何在敏捷環境中進行安全軟件開發的指導。您如何將所有必要的活動壓縮到衝刺中,例如需求選擇、威脅建模、驗證?你如何處理故事、虐待故事和完成的定義?您如何讓安全團隊和開發人員合作,而不僅僅是設置質量門?

SAMM敏捷指南的三個主要原因:

  1. 它提供了有關敏捷活動(略有)不同的細節。
  2. 此外,它還提供了有關如何在敏捷中實施活動的更多詳細信息(例如,如何使代碼審查漸進式),以及要注意哪些陷阱。在進行軟件安全時,在實踐中會犯很多錯誤,尤其是在敏捷情況下。
  3. 它可以防止 SAMM 被視為“瀑布過多”。

資料來源:https://owaspsamm.org/guidance/agile/

分類
CISSP

OWASP SAMM-安全冠軍(Security Champion)

https://ithelp.ithome.com.tw/upload/images/20210708/20132160RNc4aOFNZ3.png
-SAMM 概述(來源:https : //owaspsamm.org)
文化有不同的背景或層次,例如安全文化、組織文化或民族文化。高級管理層是在組織層面提升安全意識和文化的好人選;然而,安全冠軍在軟體開發中是更合適的角色。

安全冠軍和 OWASP SAMM(Security Champion and OWASP SAMM)
安全冠軍是軟體安全主題專家,他們在 OWASP 軟體保障成熟度模型 (SAMM) 中組織和文化的成熟度級別 1 中發揮著關鍵作用。提名一名成員,例如軟體開發人員、測試人員或產品經理,作為安全擁護者,有助於將安全嵌入到開發組織中。
. 安全冠軍接受適當的培訓。
. 應用程序安全和開發團隊會定期收到安全冠軍關於安全計劃和修復整體狀態的簡報。
. 安全冠軍在添加到應用程序積壓之前審查外部測試的結果。

高級管理人員(Senior Management)
高級管理人員是攻擊的高優先級目標。為高級管理層制定安全意識計劃至關重要。他們必須以身作則,理解和遵守安全政策,絕不應該被發現說壞話或自相矛盾的政策。

安全文化(Security Culture)
. 文化本質上是“一組用語言表達的共同理解”或“意義的共享模式”或“與組織結構和控制系統相互作用以產生行為規範的共享價值觀和信念”。如果可以證明文化會影響安全結果,那麼文化在安全環境中就會引起人們的興趣。( IEEE )
. 資訊安全文化指導組織在資訊安全方面的工作,以保護資訊資產和影響員工的安全行為。( IEEE )

參考
SAMM 敏捷指南
OWASP聚寶盆
IT 安全培訓和意識計劃的遊戲化
從上到下發展安全文化的 6 種方法
國際民航組織 AVSEC2018
安全文化
嵌入資訊安全文化 新出現的問題和挑戰
如何建立安全文化

資料來源: Wentz Wu QOTD-202104019

分類
CISSP

瀏覽器向 Web 服務器提交用戶密碼最可行的方法-原始密碼(Raw password )

“原始密碼(Raw password)”和“散列密碼(hashed password)”是可行的解決方案。但是,HTTPS 下的原始密碼更常用,例如 Google 和 Facebook。以下原因解釋了為什麼原始密碼更可行,因為信息安全應該與業務需求保持一致:
. 在瀏覽器中,散列密碼是通過自定義 JavaScript 模塊計算的;如果客戶關閉 JavaScript 功能或防病毒軟件干擾操作,則無法正常工作。這將對市場份額、客戶滿意度和客戶服務成本產生負面影響。
. 如果攻擊者可以破壞 HTTPS 連接,發送原始密碼或散列密碼沒有任何區別,因為他可以竊取訪問令牌並劫持會話。剩餘風險幾乎相同。
. 此外,發送散列密碼意味著用戶的密碼必須被散列或加鹽,並且變得不可逆轉。但是,有些網站可能需要支持“找回密碼”功能,對密碼進行加密,客戶可以查詢自己忘記的密碼。

鹽密碼(Salted Password)
加鹽密碼是指根據原始密碼和鹽的串聯計算得出的哈希值,鹽是“作為輔助輸入合併到單向或加密函數中的隨機變量,用於派生密碼驗證數據”。(ISO/IEC 11770-4:2017) 加鹽通常在服務器端生成並且對客戶端保密,因此客戶端不可能提交加鹽密碼。

電子簽名(Digital Signature)
數字簽名在技術上是可行的,但對於電子商務網站要求客戶安裝數字證書進行身份驗證來說實際上是不可行的。
參考
為什麼客戶端對密碼的散列如此不常見?
為什麼幾乎沒有網頁在提交之前在客戶端散列密碼(並在服務器上再次散列它們),以“防止”密碼重用?
你(可能)做錯了登錄系統

資料來源: Wentz Wu QOTD-202104018

分類
CISSP

治理結構(Governance Structure)-稽核委員會(Audit Committee)

https://ithelp.ithome.com.tw/upload/images/20210706/20132160OXeDXJ9SGz.png
-治理結構(Governance Structure)

稽核委員會(Audit Committee)
稽核委員會是組織董事會的一個委員會,負責監督財務報告流程、選擇獨立稽核師以及接收內部和外部稽核結果。
美國上市公司在證券交易所上市需要一個合格的(參見下面的“組成”段)稽核委員會……隨著薩班斯 – 奧克斯利法案的通過,稽核委員會的作用繼續發展. 許多稽核委員會還監督監管合規和風險管理活動。
資料來源:維基百科

執行委員會(Executive Committee)
執行委員會的組織和授權代表整個董事會,因為董事會成員,尤其是大型董事會,親自聚集以做出決策並採取一些必要的行動並不總是可行的。
執行委員會是一個常設委員會,常作為指導運作委員會和組成的高層管理人員和董事會人員,例如:首席執行官,以及管理人員和董事的一個子集,以代表的基板時的整個董事會不能開會。
資料來源:有效的 CISSP:安全和風險管理

參考
治理委員會
治理委員會 (ACFID)
公司治理委員會和章程
治理委員會:非營利董事會的新趨勢

資料來源: Wentz Wu QOTD-202104017

分類
CISSP

漏洞管理(Vulnerability Management)

https://ithelp.ithome.com.tw/upload/images/20210704/20132160nfeY26ZUns.jpg
由於管理是實現一個或多個目標的系統方法,我根據維基百科NIST CSRC 術語表中的定義定義漏洞管理,並將它們擴展如下:
漏洞管理是識別、分類、優先排序、修復和驗證資訊系統、系統安全程序、內部控製或實施中的漏洞以降低風險的周期性實踐。

維基百科
漏洞管理是“識別、分類、確定優先級、修復和緩解”軟件漏洞的循環實踐。(維基百科

NIST CSRC術語表
狹義上,漏洞可能是指那些被列入常見漏洞和暴露 (CVE) 的漏洞。
例如,漏洞管理是“一種識別設備上的漏洞 [常見漏洞和暴露 (CVE)] 的 ISCM 功能,這些漏洞可能被攻擊者用來破壞設備,並將其用作將破壞擴展到網絡的平台。” (NIST CSRC術語表
從更廣泛的意義上講,漏洞是“資訊系統、系統安全程序、內部控製或實施中可能被威脅源利用或觸發的弱點”。(NIST CSRC術語表
內部安全控制是資訊系統內的硬體、分位或軟體功能,將資源訪問權限限制為僅授權主體。[NIST CSRC術語表)]

資料來源:Wentz Wu網站

分類
Information Security

HTTP強制安全傳輸技術

HTTP嚴格傳輸安全英語:HTTP Strict Transport Security,縮寫:HSTS)是一套由網際網路工程任務組發布的網際網路安全策略機制。網站可以選擇使用HSTS策略,來讓瀏覽器強制使用HTTPS與網站進行通信,以減少連線劫持風險。

資料來源:https://zh.wikipedia.org/wiki/HTTP%E4%B8%A5%E6%A0%BC%E4%BC%A0%E8%BE%93%E5%AE%89%E5%85%A8

分類
CISSP

戰略層次(Levels of Strategy)

https://ithelp.ithome.com.tw/upload/images/20210703/20132160GUaj6oJC0O.jpg
-戰略層次
通常,CEO 負責制定公司戰略或大戰略,董事會的意見和高級管理團隊的支持。
CISO 不是製定企業戰略的主要角色,而是與企業戰略保持一致以創造價值並實現組織願景和使命的信息安全戰略。此外,他還必須定位安全職能(部門),確定其組織、角色和職責,將安全融入組織流程,支持產品和服務的持續交付(所謂的“業務連續性”),並保護信息資產以加強安全。信息安全管理系統 (ISMS) 可確保有效地制定和實施安全策略。
CISO 的匯報路線因組織而異,各有利弊,但 CISO 向 CFO 或其他高級官員匯報並非不可能。
. CISO 向 CIO 報告的安排可能會導致利益衝突。
. CISO 向 CFO 報告的安排可能會花費更多時間來交流技術內容。
. CISO 向審計職能報告的安排將對其獨立性產生不利影響。

參考
什麼是安全功能
信息安全職能和職責
管理安全功能:診斷版本 1 摘要
企業安全
組織中安全管理的角色
如何組織您的安全團隊:網絡安全角色和職責的演變
萬豪-數據洩露
ICO 因未能保證客戶個人數據安全而對萬豪國際進行罰款
什麼是企業戰略?
誰負責制定公司的戰略計劃?
如何制定企業戰略(CEO 分享最佳技巧和工具)
多元化公司的戰略規劃
如何評估企業戰略

資料來源: Wentz Wu QOTD-202104015

分類
Information Security

什麼是HSTS,為什麼要使用它?

翻譯自: What Is HSTS and Why Should I Use It?

作者: Tomasz Andrzej Nidecki ,一位非常專業的 Technical Content Writer ,目前是 Acunetix 的技術內容撰寫人,他是一名擁有 25 年 IT 經驗的記者、翻譯和技術撰稿人,Tomasz 早年曾擔任《 hakin9 IT Security 》雜誌的總編輯,並曾經運營過一個專門針對電子郵件安全的主要技術部落格。

HSTS 是 HTTP 嚴格傳輸安全(HTTP Strict Transport Security) 的縮寫。 這是一種網站用來宣告他們只能使用安全連線(HTTPS)訪問的方法。 如果一個網站聲明瞭 HSTS 策略,瀏覽器必須拒絕所有的 HTTP 連線並阻止使用者接受不安全的 SSL 證書。 目前大多數主流瀏覽器都支援 HSTS (只有一些移動瀏覽器無法使用它)。

在 2012 年的 RFC 6797 中,HTTP嚴格傳輸安全被定義為網路安全標準。 建立這個標準的主要目的,是為了避免使用者遭受使用 SSL stripping(剝離) 的 中間人攻擊(man-in-The-middle,MITM) 。 SSL stripping 是一種攻擊者強迫瀏覽器使用 HTTP 協議連線到站點的技術,這樣他們就可以嗅探資料包,攔截或修改敏感資訊。 另外,HSTS 也是一個很好的保護自己免受 cookie 劫持(cookie hijacking)的方法。

HSTS 工作原理

通常,當您在 Web 瀏覽器中輸入 URL 時,您會跳過協議部分。 例如,你輸入的是 www.acunetix.com ,而不是 http://www.acunetix.com 。 在這種情況下,瀏覽器假設你想使用 HTTP 協議,所以它在這個階段發出一個 HTTP 請求 到 www.acunetix.com ,同時,Web Server 會返回 301 狀態碼將請求重定向到 HTTPS 站點。 接下來瀏覽器使用 HTTPS 連線到 www.acunetix.com 。 這時 HSTS 安全策略保護開始使用 HTTP 響應頭:批踢踢實業坊推薦Line: k98888
有各大電商平臺都買不到的好貨哦!
產品均是國際頂級品牌,有包包、名表、衣服、鞋子、皮帶、飾品、眼鏡、圍巾等等。
長期供應(LV)(古奇)(愛馬仕)(香奈兒)(普拉達)(迪奧)(百達翡麗)(江詩丹唐)(卡地亞)(勞力士)(歐米茄)等世界名品。
支持貨到付款,收到貨後再付款,購物零風險。
批踢踢實業坊推薦Line: k98888

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

響應頭的 Strict-Transport-Security 給瀏覽器提供了詳細的說明。 從現在開始,每個連線到該網站及其子域的下一年(31536000秒)從這個頭被接收的時刻起必須是一個 HTTPS 連線。 HTTP 連線是完全不允許的。 如果瀏覽器接收到使用 HTTP 載入資源的請求,則必須嘗試使用 HTTPS 請求替代。 如果 HTTPS 不可用,則必須直接終止連線 。

此外,如果證書無效,將阻止你建立連線。 通常來說,如果 HTTPS 證書無效(如:過期、自簽名、由未知 CA 簽名等),瀏覽器會顯示一個可以規避的警告。 但是,如果站點有 HSTS,瀏覽器就不會讓你繞過警告。 若要訪問該站點,必須從瀏覽器內的 HSTS 列表中刪除該站點 。

響應頭的 Strict-Transport-Security 是針對一個特定的網站傳送的,並且覆蓋一個特定的域名(domain)。 因此,如果你有 HSTS 的 www.acunetix.com ,它不會覆蓋 acunetix. com ,而只覆蓋 www 子域名。 這就是為什麼,為了完全的保護,你的網站應該包含一個對 base domain 的呼叫(在本例中是 acunetix. com) ,並且接收該域名的 Strict-Transport-Security 頭和 includeSubDomains 指令。

HSTS 是否完全安全?

不幸的是,你第一次訪問這個網站,你不受 HSTS 的保護。 如果網站向 HTTP 連線新增 HSTS 頭,則該報頭將被忽略。 這是因為攻擊者可以在中間人攻擊(man-in-the-middle attack)中刪除或新增頭部。 HSTS 報頭不可信,除非它是通過 HTTPS 傳遞的。

你還應該知道,每次您的瀏覽器讀取 header 時,HSTS max-age 都會重新整理,最大值為兩年。 這意味著保護是永久性的,只要兩次訪問之間不超過兩年。 如果你兩年沒有訪問一個網站,它會被視為一個新網站。 與此同時,如果你提供 max-age 0 的 HSTS header,瀏覽器將在下一次連線嘗試時將該站點視為一個新站點(這對測試非常有用)。

你可以使用稱為 HSTS 預載入列表(HSTS preload list)的附加保護方法。 Chromium 專案維護一個使用 HSTS 的網站列表,該列表通過瀏覽器釋出 。 如果你把你的網站新增到預載入列表中,瀏覽器會首先檢查內部列表,這樣你的網站就永遠不會通過 HTTP 訪問,甚至在第一次連線嘗試時也不會。 這個方法不是 HSTS 標準的一部分,但是它被所有主流瀏覽器(Chrome、 Firefox、 Safari、 Opera、 IE11 和 Edge)使用。

目前唯一可用於繞過 HSTS 的已知方法是基於 NTP 的攻擊。 如果客戶端計算機容易受到 NTP 攻擊( NTP-based attack) ,它可能會被欺騙,使 HSTS 策略到期,並使用 HTTP 訪問站點一次。

如何將域名新增到 HSTS 預載入列表?

要將域新增到 HSTS 預載入列表,該域的站點必須滿足幾個要求。 以下是新增域名所需的步驟:

  1. 確保你的網站擁有有效的證書和最新的密碼
  2. 如果你的網站可以通過 HTTP 訪問,請將所有請求重定向到 HTTPS
  3. 確保以上第 1 點和第 2 點適用於你的所有域名和子域名(根據您的 DNS 記錄)
  4. 通過 HTTPS 服務返回 Strict-Transport-Security header ,帶上 base domain 和 max-age , max-age 至少為31536000 (1 年),另外還有 includeSubDomains 指令和 preload 指令。 可以參考上面的 HSTS header。
  5. 訪問 hstspreload.org ,並使用表格提交你的域名。如果符合條件,您的域名將被加入佇列。

為了提高安全性,瀏覽器不能訪問或下載 預載入列表(preload list)。 它作為硬編碼資源(hard-coded resource)和新的瀏覽器版本一起分發。 這意味著結果出現在列表中需要相當長的時間,而域從列表中刪除也需要相當長的時間。 如果你希望將你的站點新增到列表中,則必須確保您能夠在較長時間內保持對所有資源的完全 HTTPS 訪問。 如果不這樣做,你的網站可能會完全無法訪問 。

如何從瀏覽器的 HSTS 快取中刪除域?

在設定 HSTS 並測試它時,可能需要清除瀏覽器中的 HSTS 快取。 如果你設定 HSTS 不正確,你可能會訪問網站出錯,除非你清除資料。 下面是幾種常用瀏覽器的方法。 還要注意,如果你的域在 HSTS 預載入列表中,清除 HSTS 快取將是無效的,並且無法強制進行 HTTP 連線。

要從 Chrome HSTS 快取中刪除一個域名,請按照以下步驟操作:

chrome://net-internals/#hsts
Delete domain security policies

之後,你可以檢查移除是否成功:

Query HSTS/PKP domain

Mozilla Firefox 、Safari 和 Microsoft Edge 自行檢視原文吧。

資料來源:https://www.gushiciku.cn/pl/pHGF/zh-tw

分類
CISSP

微服務、容器化和無服務器(Microservices, Containerization, and Serverless)