分類
CISA

UDDI

UDDI是統一描述、發現和集成(Universal Description, Discovery, and Integration)的縮寫。它是一個基於XML的跨平台的描述規範,可以使世界範圍內的企業在網際網路上發布自己所提供的服務。

UDDI是OASIS發起的一個開放項目,它使企業在網際網路上可以互相發現並且定義業務之間的交互。UDDI業務註冊包括三個元件:

白頁:有關企業的基本信息,如地址、聯繫方式以及已知的標識;
黃頁:基於標準分類的目錄;
綠頁:與服務相關聯的綁定信息,及指向這些服務所實現的技術規範的引用。
UDDI是核心的Web服務標準之一。它通過簡單對象存取協議進行消息傳輸,用Web服務描述語言描述Web服務及其接口使用。

資料來源:https://zh.wikipedia.org/wiki/UDDI

分類
CISA

整合開發環境

整合開發環境(Integrated Development Environment,簡稱IDE,也稱為Integration Design Environment、Integration Debugging Environment)是一種輔助程式開發人員開發軟體的應用軟體,在開發工具內部就可以輔助編寫原始碼文字、並編譯打包成為可用的程式,有些甚至可以設計圖形介面。

IDE通常包括程式語言編輯器、自動構建工具、通常還包括除錯器。有些IDE包含編譯器/直譯器,如微軟的Microsoft Visual Studio,有些則不包含,如Eclipse、SharpDevelop等,這些IDE是通過呼叫第三方編譯器來實現代碼的編譯工作的。有時IDE還會包含版本控制系統和一些可以設計圖形使用者介面的工具。許多支援物件導向的現代化IDE還包括了類別瀏覽器、物件檢視器、物件結構圖。雖然目前有一些IDE支援多種程式語言(例如Eclipse、NetBeans、Microsoft Visual Studio),但是一般而言,IDE主要還是針對特定的程式語言而量身打造(例如Visual Basic、Spyder)。

資料來源:https://zh.wikipedia.org/zh-tw/%E9%9B%86%E6%88%90%E5%BC%80%E5%8F%91%E7%8E%AF%E5%A2%83

分類
CEH

TCP Port Scanning

PS:資料來源為WentzWu,經作者同意分享

分類
CISSP

CISSP! 我們的光榮時刻!

CISSP! 我們的光榮時刻!

CISSP是我考過最有光榮感,也最有儀式性的資安專業認證考試!不像其它認證機構以賺錢為出發點,對於考試的公平性及完整性採取睜一隻眼、閉一隻眼的態度,ISC2是我接觸過最嚴格執行各項考試規範及規則的機構。在ISC2所有會員及CISSP共同努力下,CISSP這個品牌與形象在全球業界受到極高的評價及認可!身為CISSP及WUSON的同學應該一起來維護這個得之不易的成果!

WUSON的考試策略很簡單,只有以下幾個重點:

  1. 系統思考、用對方法
  2. 互助共好、持續努力
  3. 水到渠成、光榮時刻
  4. 一起努力、一起成功!

知識只有行動才能產生力量!因此,既然在準備CISSP的過程中學習了ISC2的道德守則、知識產權及合約條款等符合性(compliance)要求,我們接下來就應該盡最大的力量去實踐。例如:

  • 持續學習、用力分享、協助伙伴一起成功,以促進專業。
  • 分享文件時注意是否有版權宣告,並明確的取得著作權人的授權再分享。
  • 遵守考試的保密條款,不討論、不分享、不收集實際考試的題目。

我們學習的背後都有一定的利益動機,如升官、加薪等。然而,我們的加薪與升官並不是因為學到了知識、拿到了證照,而是我們的行動創造了更多的價值(value)而加薪,以及因為承擔了更多的責任(accountability and responsibilities)而升官。

CISSP在這個資安的大時代將獲得前所未見的重視,成為CISSP將得到更多、更好的職涯機會、獲得更大的組織授權,以及承擔更多的責任。來WUSON上課,我們不只要光榮的通過CISSP考試與取得證照,還要發揮更大的影響力、產生更多的貢獻、促進好的、向上的改變,共創美好的未來!

在CISSP之路,請大家務必認真看待以下ISC2的道德守則,並盡最大的力量去實踐它們!

  • Protect society, the common good, necessary public trust and confidence, and the infrastructure.
  • Act honorably, honestly, justly, responsibly, and legally.
  • Provide diligent and competent service to principals.
  • Advance and protect the profession.

[WUSON] 商業道德與決策 — 以我的接案經驗為例

改變世界,從我們每一個人自己作起!
讓我們一起成為CISSP! 一起迎接這個人生第二次大學聯考的光榮時刻!
一起為我們國家的資安、美好的家園,以及共同的美好未來而努力!

CISSP! 我們的光榮時刻!

資料來源:https://wentzwu.medium.com/cissp-%E6%88%91%E5%80%91%E7%9A%84%E5%85%89%E6%A6%AE%E6%99%82%E5%88%BB-b3db21ecc755

PS:此文章經過作者同意刊登

分類
Cissp-WentzWu

WISE

PS:此資料經由作者同意刊登

分類
CISSP

存取控制的基本用語

存取控制類型
  1. 存取(access)使用(use),因此有誰用什麼東西的概念。主動方(主詞)叫主體(subject),被用的資源是被動方(受詞),稱為客體(object)
  2. 主體存取客體的整個過稱必須受到管制(control),不能為所欲為,因此才有存取控制的議題。
  3. 上圖展示了存取控制的不同情境(contexts)或類型。例如:網路線如何使用、網路如何連接(區域及遠端)、電腦上的程式如何存取資源、進出建物的門禁,以及園區周邊的管制等。
  4. WUSON的CISSP課程介紹Domain 5時,主要鎖定在電腦系統上的存取控制,也就是所謂的技術類邏輯類的存取控制。

定義

電腦系統上的存取控制是指:

主體對於客體的存取行為,必須受到安全核心(Security Kernel)的3A管制。

3A是指驗證身份(Authentication)檢查授權(Authorization)記錄行為(Accounting)。然而要進行3A管制必須先有身份(idenity)才行。因此,存取控制的口訣為 I+3A

安全核心是美國國防部橘皮書(TCSEC)的用語,一般人比較不會用這個名詞。簡單的說,安全核心是一台電腦系統中,負責存取控制的元件。值得注意的是,安全核心是一個軟體、韌體及硬體總成的概念,不是單指軟體、韌體或硬體。以下是NIST對於安全核心的定義:

Hardware, firmware, and software elements of a trusted computing base implementing the reference monitor concept. Security kernel must mediate all accesses, be protected from modification, and be verifiable as correct.

基本用語

  1. 身份只是用來唯一識別(uniquely identity)一個實體(entity)屬性(attribute)
  2. 實體是指實際存在且可以唯一識別的個體。一個實體通常擁有多個屬性,並且具備一或多個身份。
  3. 屬性是用來描述實體特色性質的資料項目。
  4. 帳號(account)是代表實體的技術手段,因此帳號與實體密不可分。
  5. 身份用來唯一識別實體,因此管理身份就是管理實體。然而不論身份管理或實體管理,實務上都是透過帳號管理來實現。

身份管理 (Identity Management)

  1. 帳號管理從技術的角度來看,就是進行帳號的新增、查詢、修改及刪除(CRUD)等動作。
  2. 專門存放帳號的資料庫稱作目錄(directory)
  3. 服務(service)即程式,負責管理目錄的程式就程為目錄服務
  4. 儲存在目錄的帳號可以用X.500的表示法來表達它儲存的位置。
  5. 程式可以透過LDAP來要對目錄進行CRUD等動作。
  6. 提供目錄服務的Server也可稱為身份提供者(IdP, Identity Provider)

零信任

WUSON CISSP的課程將零信任(Zero Trust)定位為Access Control 2.0, 也就是:

資料為中心劃定虛擬邊界,進行更細膩/粒更動態更透明存取控制

資料來源:https://wentzwu.medium.com/%E5%AD%98%E5%8F%96%E6%8E%A7%E5%88%B6%E7%9A%84-%E5%9F%BA%E6%9C%AC%E7%94%A8%E8%AA%9E-cf9f94d29f28

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

分類
CISSP

主體的安全許可 (security clearance) 與自主訪問模型 (DAC) 的相關性最小

https://ithelp.ithome.com.tw/upload/images/20221108/20132160kV5tOGOiIX.jpg
-安全核心
在自主訪問模型 (DAC) 中,數據所有者負責保護委託數據、對其進行分類,並根據需要知道和最小權限原則做出授權決策。
數據保管人負責執行數據所有者做出的授權決定。受信任的計算機系統將授權保存在稱為訪問控制矩陣 (ACM) 的數據結構中。Take-Grant保護模型是操縱ACM的理論之一。
可信計算機系統中的安全核心強制執行訪問控制(身份驗證、授權和記帳)。符合 TCSEC C 部門標準的可信計算機系統支持 DAC,而符合 B 部門標準的可信計算機系統支持 MAC。DAC 系統基於身份並依賴於 ACM。它不會引用對象的安全許可或對象的標籤。

資料來源: Wentz Wu QOTD-20211107

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

分類
一般

將進入職場新鮮人-職場應具備的能力

各位大學生好,優秀的各位未來都是要進入職場的精英,但是在職場上需有許多專業技能,
如果是想進入資訊產業或職位,建議先打好以下基礎:

  1. 網路(Cisco CCNA):關於基礎網路架構必須要先有,對於OSI 7 Layer & TCP/IP運作原理都必須具備。
  2. 資訊安全(CompTIA Security+ & EC-Council CEH & (ISC)² Certified in Cybersecurity℠):現在當紅的職缺就是資訊安全,由於資通安全法的通過,並且於2022年8月5日,行政院宣布任命於唐鳳部長出任數位發展部首任部長,更加看得出來政府重視資訊安全,故取得專業的資安證照表示自己已經有相關的知識。
  3. 專案管理(PMI PMP):管理是一套達成目標有系統的方式,如何在工作上做好每一個專案,從專案管理的知識皆可學習的到。
分類
CISSP

資產分類

此文章來至Wentzwu網站QOTD 20111106,文章如下:
https://ithelp.ithome.com.tw/upload/images/20221027/20132160jA10mb28xF.jpg
-CIA 和 DAD(圖片來源:Thor Pedersen
資產分類通常根據商業價值確定資產的重要性或優先級,可以從機密性、完整性、可用性、購買/歷史成本、收入損失、機會成本等方面進行評估。分類方案是關鍵工具對資產進行分類。在資產被正確分類後,安全控制的範圍和定制。
這個問題中提到的分類方案(機密性、私人性、敏感性和公共性)是以機密性為中心的,並且在私營部門中普遍使用。鑑於分類方案,洩露機密性的信息是主要關注點。
https://ithelp.ithome.com.tw/upload/images/20221027/20132160MLuCqqiOX4.jpg
-分類方案

參考
CISSP – CIA Triad及其對立面

資料來源: Wentz Wu QOTD-20211106

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

分類
CISSP

Kerberos-客戶端將使用者 ID 的明文消息發送到代表用戶請求服務的 AS(身份驗證服務器)

https://ithelp.ithome.com.tw/upload/images/20221013/20132160GwLDmygb9P.jpg
-Kerberos 操作(來源:Fulvio Ricciardi
第一個 Kerberos 消息是 AS_REQ,如上圖所示。根據維基百科,“客戶端將用戶 ID 的明文消息發送到代表用戶請求服務的 AS(身份驗證服務器)。(注意:密鑰和密碼都不會發送到 AS。)”
Fulvio Ricciardi詳細解釋了 Kerberos 的工作原理。

參考
Kerberos(協議)
RFC 4120:Kerberos 網路身份驗證服務 (V5)
Kerberos(Wireshark 捕獲文件)
加密類型
Kerberos 版本 5 身份驗證協議的工作原理

資料來源: Wentz Wu QOTD-20211103

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文