顆粒可視為測量單元。當我們說我們的軟體被測試了50%，或者測試覆蓋率是50%，這到底是什麼意思，因為軟體有10個用例，50個場景，500個測試案例，10，000行代碼，或者200，000個表達式？50% 的測試覆蓋率可能指 5 個使用案例（十分之一）測試，但 5 個測試使用案例涵蓋 10 種情況、30 個測試案例、8，000 行和 120，000 個表達式。

使用案例從使用者（參與者）的角度記錄功能要求，通常包括主要的成功場景（又名基本或陽光日流量）和擴展場景（又名擴展、特殊、替代或雨天流）（如果有）。

-從用例序列生成測試用例（圖片來源：MJ Escalona）

可根據使用案例場景開發測試方案，並由一個或多個測試案例支援。測試案例涵蓋一個或多個通常跨越原始程式碼行的軟體功能。

一行代碼可以容納一個或多個計算機語言表達式和語句。例如，下圖中的第一行有兩個語句。

-表達式和語句

參考
. 用例目標、場景和流程
. 源代碼行
. 第5章–決策結構
. 為什麼測試覆蓋率是軟件測試的重要組成部分？
. 代碼覆蓋率
. 代碼覆蓋率分析
. 表達式與語句
. 表達式與語句（視頻）

資料來源： Wentz Wu QOTD-20210329

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

資訊安全是透過安全管制措施來保護資訊資產免於受到危害，以達到機密性、完整性和可用性(即常聽到的CIA)之目標（第3層），進而支持業務流程（第2層）、創造和交付價值，實現組織的使命與願景（第1層）的一門學科.
資料來源：The Effective CISSP: Security and Risk Management

風險是“影響目標達成的不確定因素”。在資訊安全的背景下，威脅是任何可能對目標帶來負面影響的風險，通常涉及威脅來源發起一個或多個威脅事件，以利用漏洞並導致不利的影響。

漏洞(Vulnerability)“包括可以被威脅所利用的一個或一組資產的弱點(weakness)”（ISO / IEC 21827），或是“可以被威脅利用或觸發的IT系統安全上的弱點。” (ISO/TR 22100-4)

• 弱點是一種“不足”。(ISO 81001-1)
• 資產是有價值且值得保護的東西。
• 保護是指努力防止目標偏離。保護意味著在風險管理中進行風險處置或在資訊安全的場合中實施安全控制（又名安全措施）。
• 保護人的生命永遠是當務之急。
  

資訊系統，又常被稱為IT系統，是一組離散的收集組織的資訊資源，加工，維修，使用，共享，傳播或資訊的處置。在本出版物的上下文中，該定義包括資訊系統運行的環境（即人員、流程、技術、設施和網絡空間）。(NIST SP 800-39)

CISSP是一位被ISC2所認證的專家，很了解如何保護資訊系統。

Wentz 的著作The Effective CISSP: Security and Risk Management幫助 CISSP 和 CISM 有志者建立了一個可靠的概念安全模型。它是資訊安全教程和 CISSP 和 CISM 考試官方學習指南的補充，也是安全專業人員的資訊參考。

參考

• ISO/IEC 21827:2008
• ISO/TR 22100-4:2018
• ISO 81001-1:2021

原始來源: Information Security 101

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

密鑰分發是將加密密鑰從一方發送到另一方的過程。對稱和非對稱密碼術都面臨著密鑰分發的挑戰。這個問題詢問對稱密碼學中的共享密鑰分發。
. 由信任網絡或 X.509公鑰基礎設施(PKI)管理的證書中的收件人公鑰通常用於加密預先確定的而非協商或商定的共享密鑰。證書和基礎設施管理是主要開銷。
. Diffie-Hellman 是一種基於公鑰的協議，支持密鑰協商（生成並同意共享密鑰），而無需證書管理的開銷。

秘鑰的分配
密鑰可以由一方預先確定並發送給另一方，也可以由雙方協商和商定。作者將前者預先確定的方式稱為“密鑰交換”，將後者約定的方式稱為“密鑰協商”。然而，人們將“密鑰交換”稱為涵蓋這兩種方法的總稱並不少見。
. 密鑰交換：一方生成密鑰並發送給另一方；對方不影響密鑰。例如，公鑰加密。
. 密鑰協商：雙方都可以就密鑰達成一致，從而影響結果。例如，迪菲-赫爾曼。

-對稱密碼學中的密鑰分配

公鑰的分配
非對稱密碼學中使用的公鑰的分發可以通過以下一般方案來實現：
. 公示（信任網）
. 公開目錄
. 公鑰權限
. 公鑰證書（信任鏈）

Diffie-Hellman 協議

https://www.youtube.com/embed/QPD3IgCUkVY

參考
. NIST 密碼標準和指南
. Diffie Hellman 組 (IBM)
. 公鑰分發
. Diffie-Hellman 協議
. Diffie-Hellman (輝煌)
. Diffie-Hellman 密鑰交換的代數推廣
. Diffie Hellman – 數學位 – Computerphile
. Diffie-Hellman 密鑰交換的數學 | 無限系列
. 此視頻未使用 RSA 加密 | 無限系列
. 如何破解密碼學。無限系列
. 您是否需要特殊類型的證書才能使用 Diffie Hellman 作為 SSL 中的密鑰交換協議？

資料來源： Wentz Wu QOTD-20210328

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

冷站點沒有適當的計算機設備，因此它不提供異地數據存儲、保留替代計算能力或響應電子發現請求。
冷站點是替代或備份站點的最便宜的形式。與暖站點或熱站點相比，恢復計算機設施和恢復業務運營需要更多時間。但是，一般來說，冷站點確實縮短了搬遷時間。例如，它可以節省尋找合適地點、進行現場調查（例如，通過環境設計預防犯罪）、與房東談判合同以及準備活動地板、空調、電力和通信線路等基本設施的時間， 等等。

替代網站(Alternative Sites)
“一般來說，備用站點是指人員和他們需要工作的設備在一段時間內重新安置的站點，直到正常的生產環境，無論是重建還是更換，都可用。” （維基百科）
冷站點(Cold site)：具有計算機設施必需的電氣和物理組件但沒有計算機設備的備用設施。該站點已準備好在用戶必須從其主要計算位置移動到備用站點的情況下接收必要的替換計算機設備。
暖站點(Warm site:)：一個環境條件良好的工作空間，部分配備信息系統和電信設備，以在發生重大中斷時支持搬遷操作。
熱站點(Hot site)：配備硬件和軟件的全面運行的異地數據處理設施，可在信息系統中斷時使用。
資料來源：NIST SP 800-34 修訂版 1

電子發現(E-discovery)
電子取證（也稱為電子取證或電子取證）是指在訴訟、政府調查或信息自由法請求等法律程序中的取證，其中所尋求的信息採用電子格式（通常稱為電子存儲信息或 ESI）。
資料來源：[維基百科]

參考
. 數據保管
. 什麼是數據保險箱？- 所有你必須知道的
. 數據保險庫基礎知識
. 服務局
. 按需計算：服務局的重生
. 電子發現
. 備份站點

資料來源： Wentz Wu QOTD-20210327

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

-NIST SP 800-160 V1 和 ISO 15288

工程（Engineering）
. 工程 是一種涉及開發解決方案的一組流程的方法，該解決方案可以是系統、軟件或任何可交付成果，從利益相關者的需求轉換而來，並在解決方案的整個生命週期中提供支持。（精簡版）
. 工程 是一種方法，它涉及應用知識和技能來理解和管理利益相關者的需求、提出和實施解決這些需求的解決方案，以及利用和支持該解決方案以持續創造價值直到其退休為止的一系列過程。（長版）
. 系統和軟件工程 是將系統或軟件作為解決方案交付的工程方法。

系統工程（Systems Engineering）
系統工程 是一種跨學科的方法和手段，可以實現成功的系統。
– 它側重於在開發週期的早期定義利益相關者的需求和所需的功能，記錄需求，然後在考慮完整問題的同時進行設計綜合和系統驗證。
– 將所有學科和專業組整合到一個團隊中，形成從概念到生產再到運營的結構化開發流程.
– 它考慮了 所有利益相關者的業務和技術需求，目標是提供 滿足用戶和其他適用利益相關者需求的優質產品。這個 生命週期跨越了想法的概念 ，直到系統的退役 。– 它提供了獲取和供應系統的流程 。– 它有助於改善創建、利用和管理現代系統的各方之間的溝通與合作，以便他們能夠以集成、連貫的方式工作。
來源： ISO/IEC/IEEE 15288:2015 系統和軟件工程——系統生命週期過程

-SDLC：系統還是軟件？

生命週期(Life Cycle)
每個人都有自己的生活，系統或軟件也是如此。系統或軟件的生命週期不同。系統或軟件生命週期通常包括從開始到工程退役的跨階段（或階段）進行的一系列過程（也稱為生命週期過程）。
系統或軟件開發生命週期 (SDLC) 中的“開發”一詞具有誤導性，因為它暗示“構建”、“製作”、“構建”或“實施”某物。然而，如今一個組織在沒有任何採購或收購的情況下單獨“發展”是不可能的。採購意味著從供應商那裡購買東西，而從更廣泛的意義上講，收購是指從任何一方付費或免費獲取任何東西。

階段(Stages)
生命週期的階段各不相同。組織傾向於根據工程方法定制生命週期階段，並可能在項目中迭代生命週期。ISO/IEC 15288 提出了生命週期過程，但 沒有規定 係統生命週期 (SLC) 的六個階段。

流程(Processes)
跨生命週期執行的流程不時變化，這種情況並不少見。但是，修訂後的 ISO/IEC/IEEE 15288:2015 和 ISO/IEC/IEEE 12207:2017 旨在實現系統和軟件生命週期過程的完全協調視圖。
一個過程通常以不同的程度在整個生命週期中進行。驗證和確認是在眾所周知的“測試”或“測試”(“testing” or “test”)階段進行的主要過程。然而，需求、設計、工作產品、可交付成果、最終產品等，可以而且應該在不同階段進行驗證和確認。

-Rational Unified Process 的 4 個階段和 9 個學科（圖片來源：Humberto Cervantes）

參考
. ISO/IEC/IEEE 15288:2015 系統和軟件工程——系統生命週期過程
. ISO/IEC/IEEE 12207:2017 系統和軟件工程——軟件生命週期過程
. ISO/IEC 15288
. 什麼是工程？
. 安全架構與工程
. CISSP 實踐問題 – 20210514
. 墨西哥某小型IT企業網絡管理應用開發經驗報告

資料來源： Wentz Wu 網站

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

最長可容忍停機時間或 MTD 指定了在組織的生存面臨風險之前給定業務流程可能無法運行的最長時間。”
資料來源：BCM 研究所
最大可容忍停機時間 (MTD) 是對信息系統和其他資源支持的關鍵業務流程的約束。換句話說，MTD 對一個或多個信息系統施加約束，如下圖所示。

-業務影響分析 (NIST)

最大可容忍停機時間 (MTD) 是推動目標設定的業務限製或要求。服務交付目標 (SDO)、恢復點目標 (RPO) 和恢復時間目標 (RTO) 是目標，因為術語“目標”明確表示字面意思。有關詳細信息，請參閱這篇文章，常見 BIA 術語。

-MTD、RTP 和 RPO

參考
. 常見的 BIA 術語
. CISSP 實踐問題 – 20200406
. CISSP 實踐問題 – 20201217
. CISSP 實踐問題 – 20200407
. CISSP 實踐問題 – 20210215
. CISSP 實踐問題 – 20210116

資料來源： Wentz Wu QOTD-20210326

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

-測試類型
. 靜態測試是一種測試，其中被測軟體 (software under test:SUT) 作為源代碼或二進制代碼不加載到內存中執行。靜態二進制代碼掃描器、源代碼安全分析器、手動源代碼分析（例如代碼審查）等，都是靜態測試的常用工具。可以通過靜態測試識別維護掛鉤和活板門。
. 被動測試是指測試人員不直接與 SUT 交互的測試。
. 黑盒測試意味著測試一無所知SUT。
. 集成測試強調將單個單元或模塊組合為 SUT。

參考
. 測試
. 測試線束
. 測試自動化
. 集成測試
. 主動測試和被動測試的區別

資料來源： Wentz Wu QOTD-20210324

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

-圖片來源：CSA

在雲安全聯盟（CSA）劃分安全，信任和保證註冊（STAR）計劃分為三個層次：

1. CSA STAR 1 級：自我評估
2. CSA STAR 2 級：第三方認證
   . CSA STAR Attestation是 CSA 和 AICPA 之間的一項合作，旨在為 CPA 提供指南，以使用 AICPA
   （信任服務原則，AT 101）和 CSA 雲控制矩陣中的標准進行 SOC 2 參與。
   . 該CSA STAR認證是一種安全的嚴格的第三方獨立評估雲服務提供商。
3. CSA STAR 3 級：全雲保障和透明度
   雲安全聯盟是一個非營利組織，其使命是“促進最佳實踐的使用以在雲計算中提供安全保證，並提供有關雲計算使用的教育，以幫助保護所有其他形式的計算。”
   CSA 的安全、信任和保證註冊計劃 (CSA STAR) 旨在通過自我評估、第三方審計和持續監控的三步計劃幫助客戶評估和選擇雲服務提供商。
   資料來源：谷歌

系統和組織控制 (System and Organization Controls:SOC)
根據 AICPA，“系統和組織控制 (SOC) 是 CPA 可能提供的一套服務產品，與服務組織的系統級控製或其他組織的實體級控制有關。” (AICPA)
SOC 3 指的是“服務組織的系統和組織控制 (SOC)：一般使用報告的信任服務標準”。SOC 3 報告旨在滿足用戶的需求，這些用戶需要對服務組織中與安全性、可用性、處理完整性機密性或隱私相關的控制措施進行保證，但不具備有效利用SOC 2® 報告。因為它們是通用報告，所以可以免費分發 SOC 3® 報告。（美國註冊會計師協會：SOC3）

-服務組織控制 (SOC)

ISO/IEC 27001:2013
“ISO/IEC 27001:2013 規定了在組織範圍內建立、實施、維護和持續改進信息安全管理體系的要求。它還包括根據組織的需要對信息安全風險進行評估和處理的要求。ISO/IEC 27001:2013 中規定的要求是通用的，旨在適用於所有組織，無論其類型、規模或性質如何。” ( ISO )

-ISMS 和 PIMS

自我評估和 NIST CSF（Self-assessment and NIST CSF）
基於自我評估的自我聲明似乎很愚蠢。但是，它是一種合法手段，並且確實提供了一定程度或低程度的保證。而且，這是一種普遍的做法。NIST網絡安全框架 (CSF)是一個自願性框架，由總統行政命令 (EO) 13636 於 2013 年 2 月發起，改進關鍵基礎設施網絡安全。到目前為止，還沒有評估 NIST CSF 合規性的認證計劃，因此使用它是合理的自我評估和自我聲明。

-保證、證明和審計（圖片來源：CheggStudy）

什麼是保證？（What is Assurance?）
對於安全工程，“保證”被定義為系統安全需求得到滿足的置信度。…通過審查通過開發、部署和操作期間的評估過程和活動以及通過使用 IT 系統獲得的經驗獲得的保證證據，可以實現信心。任何可以通過產生證明 IT 系統屬性的正確性、有效性和質量的證據來減少不確定性的活動，都有助於確定安全保證。
資料來源：哈里斯·哈米多維奇

保證服務（Assurance Services）
國際會計師聯合會 (IFAC) 對鑑證業務的定義：
從業者旨在獲得充分、適當的證據
以表達旨在提高除責任方以外的預期用戶對主題信息的信心程度的一種參與。

保證方法（Asurance Methods）
保證方法根據其技術和生命週期重點產生特定類型的保證。針對給定焦點的一些更廣為人知的保證方法包括：
ISO/IEC 21827——保證專注於質量和開發過程
開發者的血統——保證專注於品牌；認識到一個公司生產的優質交付（基於歷史關係或數據）
保證專注於保險，以製造商承諾糾正可交付成果
供應商聲明中的缺陷為支持——保證專注於自我聲明
專業認證和許可——保證專注於人員的專業知識和知識
ISO / T18905.1-2002信息技術軟件產品評價第1部分：總體概述為保證，注重交付的直接評估
ISO / IEC27001——保障重點安全管理

資料來源：哈里斯·哈米多維奇

參考
. CSA STAR 級別
. 安全、信任和保證註冊 (STAR)
. CSA STAR 認證
. 雲安全聯盟 (CSA) STAR 認證
. CSA之星
. 誰可以執行 SOC 2 審核？
. IT安全保障的基本概念
. 了解認證、鑑證和審計在註冊會計師行業中的含義
. 什麼是保證和證明第一部分
. 審計和保證

資料來源： Wentz Wu QOTD-20210324

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

“從概念上講，大多數人在日常生活中都採用了某種形式的威脅建模，甚至沒有意識到這一點。” （維基百科）勒索軟件攻擊的發生並不是因為該公司沒有進行威脅建模。相反，公司必須改進威脅建模過程。
此外，由於相關公司已經完成了調查，這意味著威脅建模已經到位並且正在進行中。勒索軟件攻擊已被識別、分析和確認。現在是評估消除問題的特定解決方案或減輕風險的對策的時候了。因此，無需提出將威脅建模作為主動性或解決方案的建議。
在這個問題中，攻擊者無需用戶交互即可在網絡中四處移動。結果，技術安全控制比諸如意識培訓的行政管理更有效。

細粒度與粗粒度訪問控制(Fine-Grained vs. Coarse-Grained Access Control)
訪問控制可能不是防止勒索軟件攻擊再次發生的最終解決方案。但是，它是四個選項中最好的。
. 自主訪問控制 (DAC) 是一種粗粒度的訪問控制機制，而基於風險的訪問控制（基於標准或基於分數）是一種細粒度的訪問控制，通常依賴於基於屬性的訪問控制 (ABAC)。
. 基於風險的訪問控制是“零信任”的核心要素，可以有效緩解橫向移動和數據洩露。

-細粒度、動態和可見性

勒索軟件（Ransomware）
勒索軟件可以像需要用戶交互的病毒（特洛伊木馬）一樣被動運行，也可以像蠕蟲一樣主動傳播，無需用戶交互即可感染其他計算機（WannaCry）。
勒索軟件是一種來自密碼病毒學的惡意軟件，除非支付了贖金，否則就威脅要發布受害者的數據或永久阻止對其的訪問。”
勒索軟件攻擊通常是使用偽裝成合法文件的特洛伊木馬進行的，當它作為電子郵件附件到達時，用戶會被誘騙下載或打開。然而，一個引人注目的例子是 WannaCry 蠕蟲，它在沒有用戶交互的情況下自動在計算機之間傳播。
資料來源：維基百科

威脅建模（Threat Modeling）
本節介紹具體的定義和眾所周知的威脅建模方法。
. “威脅建模是一種風險評估形式，它對特定邏輯實體的攻擊和防禦方面進行建模，例如一段數據、一個應用程序、一個主機、一個系統或一個環境。” （NIST SP 800-154，草案）
. 在系統和軟件工程中，威脅建模是一種“系統的探索技術，以暴露任何可能以破壞、披露、修改數據或拒絕服務的形式對系統造成損害的情況或事件。” (ISO 24765:2017)
. 威脅建模是捕獲、組織和分析影響應用程序安全性的所有信息的過程。( OWASP )
. 威脅建模是“一種工程技術，可用於幫助您識別可能影響您的應用程序的威脅、攻擊、漏洞和對策。您可以使用威脅建模來塑造應用程序的設計、滿足公司的安全目標並降低風險。” （微軟）
“威脅模型本質上是影響應用程序安全性的所有信息的結構化表示。從本質上講，它是通過安全眼鏡查看應用程序及其環境的視圖。” (OWASP)
從 ISO 3100 的角度來看，威脅建模是系統和軟件工程背景下的一種“風險管理”形式。風險管理包括如下圖所示的活動：

-ISO 31000

NIST 以數據為中心的系統威脅建模
本出版物中介紹的以數據為中心的系統威脅建模方法有四個主要步驟：

1. 識別和表徵感興趣的系統和數據；
2. 識別並選擇要包含在模型中的攻擊向量；
3. 表徵用於減輕攻擊向量的安全控制；和
4. 分析威脅模型。

微軟威脅建模
威脅建模應該是您日常開發生命週期的一部分，使您能夠逐步完善您的威脅模型並進一步降低風險。有五個主要的威脅建模步驟：

1. 定義安全要求。
2. 創建應用程序圖。
3. 識別威脅。
4. 減輕威脅。
5. 驗證威脅已得到緩解。
   
   -圖片來源：微軟

參考
. 勒索軟體
. NIST SP 800-154（草稿）：數據中心系統威脅建模指南
. 微軟威脅建模
. OWASP 威脅建模備忘單
. OWASP 威脅建模
. 粗粒度與細粒度訪問控制——第一部分
. 粗粒度和細粒度授權
. 適應風險的訪問控制（RAdAC）

資料來源： Wentz Wu QOTD-20210322

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

-圖片來源：gunther.verheyen

業務人員更了解監管要求和市場，因此IT和安全功能都應與業務需求保持一致，“系統應在經過全面測試後提交認證。”
. 監管機構通常會頒布特定的合規要求和 C&A 流程。瀑布是計劃驅動的，適用於有特定要求的項目，目前仍被廣泛採用。項目生命週期決策可以基於眾所周知的 Stacey 矩陣做出，如上圖所示。
. 此外，敏捷不是靈丹妙藥；它適合具有高度不確定性或複雜性的上下文。由於 IT 團隊遵循了通常涉及增量開發（價值）和持續交付（自動化）的敏捷方法，但這不起作用並導致 CEO 辭職。因此，應該實施瀑布來解決問題。

-敏捷心態 (PMI ACP)

敏捷(Agile)
敏捷是一種由一組價值觀、原則和實踐組成的思維方式。它強調交付可工作的軟件/價值（在Scrum 中也稱為“增量” ）、人員協作和風險適應。
. 增量開發是敏捷的一部分。它指的是頻繁發布以交付價值和適應風險。
. 持續交付是敏捷中的一種常見做法，它意味著軟件開發的“自動化”工作流程以加速工作軟件的交付。
. “迭代”和“增量”是敏捷交付工作軟件（價值）的關鍵概念。敏捷開發是迭代開發和增量開發的結合。

參考
. 敏捷軟件開發宣言
. 為採用 Scrum 鋪平道路：（2）產品人員
. CISSP 實踐問題 – 20201119
. CISSP 實踐問題 – 20201228
. CISSP 實踐問題 – 20200423

資料來源： Wentz Wu QOTD-20210321

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文