分類: CISSP

一個基於主機的IDS可以監視並通過安裝加密的網絡通信中分析活性劑在端點上。一個基於網絡的IDS，依靠傳感器被動嗅探流量，因為加密的活動通常是保護不能夠做到端到端的。

NIST SP 800-94引入了四個IDS部署參考模型：
. 基於主機
. 基於網絡
. 網絡行為分析（NBA）
. 無線的

基於網絡的IDS可以在線或被動（通過網絡竊聽或嗅探）在防火牆之前進行加固和部署。但是，更常見的是將其部署在更安全的環境中的防火牆後面。
具有網絡行為分析（NBA）功能的（基於網絡的）IDS監視通過網關的流量以及通過交換機集線器跨內部網絡的流量。

-基於被動網絡的IDPS傳感器架構示例（來源：NIST SP 800-94）

資料來源： Wentz Wu QOTD-20210317

我在這篇文章中介紹戰略管理。我的書《有效的CISSP：安全和風險管理》中有詳細信息。 政策(Policy)代表管理意圖。一旦制定或製定了戰略，就會發布策略來指導戰略的執行/實施。

-戰略水平

戰略(Strategy)
戰略是一個流行詞。每個人都使用它，但可能不會使用具有一致定義的它。一般而言，戰略是一項計劃(plan)， 旨在實現源自組織使命和願景的長期（long-term）或總體(overall) 目標。可以由不同級別的經理在公司，業務或職能級別上進行開發。
. 計劃 實現長期或總體 目標 （ISO 9000：2015）
. 計劃 完成 組織的任務 並實現 組織的願景 （ISO 21001：2018）
. 組織的總體 發展計劃，描述了 在組織未來活動中有效使用 資源以支持組織的
事項注1：涉及設定 目標 和提出 行動計劃 （ISO / IEC / IEEE 24765：2017）
. 組織 實現其 目標的方法 （ISO 30400：2016）

戰略管理(Strategic Management)
戰略管理是公司治理的關鍵要素，包括三個階段：戰略制定/制定（戰略思維，內部和內部分析，差距分析），戰略實施/執行以及戰略評估。

-大衛的戰略管理流程模型

-資訊安全治理

策略制定(Strategy Formulation)
戰略思維(STRATEGIC THINKING)
戰略制定通常始於對組織使命和願景進行戰略思考，從而塑造了組織的長期和整體性質。戰略目標是從使命和願景中得出的。戰略思維有助於定義所需的狀態。

-戰略思維

-目標，策略和風險

-目標與目的

外部和內部分析(EXTERNAL AND INTERNAL ANALYSIS)
通常進行外部和內部分析，以掃描宏觀和微觀環境和行業，尋找機遇和威脅，確定利益相關者，了解他們的需求和要求，確定約束條件和資源，等等。SWOT分析是用於內部和外部分析的最著名的工具之一。它有助於確定當前狀態，並可能有助於達到所需狀態。

-外部和內部分析

差異分析(GAP ANALYSIS)
確定期望狀態和當前狀態之間的間隙意味著已經確定了期望狀態和當前狀態。一旦發現差距，便會定義一個具有里程碑和舉措的路線圖，以從當前狀態過渡到所需狀態。策略可以表示為計劃的組合。商業案例根據成本和收益以及其他可行性維度評估一項計劃。如果業務案例獲得批准，則該計劃將變成一個項目。通過投資回報率評估的投資組合可以包含一個或多個程序或項目。

-戰略發展

-戰略投資組合

戰略實施/執行(Strategy Implementation/Execution)

-戰略，計劃，產品和項目 -專案生命週期（來源：PMBOK）

策略評估Strategy Evaluation (績效評估Performance Measurement)

-平衡計分卡（BSC）

參考
. 什麼是“策略”？
. 戰略管理與戰略規劃過程
. 麥肯錫7-S框架
. TOWS分析：綜合指南

資料來源： Wentz Wu QOTD-20210520

Wentz Wu:

建議的答案是A.
差距分析表示”未來狀態”及”現有狀態”的分析都已完成. 因此進行差距分析之前, 必須先進行戰略思考, 內外部環境分析, 才能釐清使命及願景, 以及確立戰略目標, 這就是未來狀態. 另外, 內部外部境境也是了解現有狀態, 了解環境的變化(如PEST), 了解產業的競爭, 了解組織內部(value chane或麥肯鍚的7S模型)等. 之後才會進行差距分析, 然後訂出由現在走向未來的路線圖.

全磁碟加密（FDE）可以是保護靜態數據的軟件或硬件解決方案。基於硬件的全磁碟加密通常稱為自加密驅動器（SED），通常符合OPAL（例如Windows的加密硬盤驅動器）和由Trusted Computing Group（TCG）開發的企業標準。“內置在驅動器中或驅動器機箱中的基於硬件的加密對用戶來說是透明的。除啟動身份驗證外，該驅動器的運行方式與任何驅動器相同，並且不會降低性能。與磁碟加密軟件不同，它沒有復雜性或性能開銷，因為所有加密對於操作系統和主機計算機處理器都是不可見的。” （維基百科）

身份驗證和機密性(Authentication and Confidentiality)
SED通過鎖定驅動器和加密數據來增強安全性。開機時需要使用身份驗證密鑰（AK）來解鎖驅動器（解密DEK），然後數據加密密鑰（DEK）解密數據。SED不會將DEK存儲在可信平台模塊（TPM）中，該平台通常以母板或芯片集組件的形式實現。

數據加密密鑰（Data Encryption Key:DEK）
. 用於加密和解密數據。
. 由驅動器生成，並且永不離開驅動器（未存儲在TPM上）。
. 如果更改或擦除，則無法解密以前的現有數據。

可信平台模塊(Trusted Platform Module)
以下是維基百科的摘錄：
可信平台模塊（TPM，也稱為ISO / IEC 11889）是安全密碼處理器的國際標準，安全密碼處理器是一種專用微控制器，旨在通過集成的密碼密鑰來保護硬件。
TPM 2.0實現有五種不同類型：
. 離散TPM是專用芯片，它們在自己的防篡改半導體封裝中實現TPM功能。從理論上講，它們是TPM的最安全的類型，因為與在軟件中實現的例程相比，在硬件中實現的例程應該對錯誤（需要澄清）有更強的抵抗力，並且它們的軟件包必須具有一定的抗篡改性。
. 集成的TPM是另一個芯片的一部分。當他們使用抵抗軟件錯誤的硬件時，不需要實現防篡改功能。英特爾已在其某些芯片組中集成了TPM。
. 固件TPM是基於固件（例如UEFI）的解決方案，可在CPU的受信任執行環境中運行。英特爾，AMD和高通已實施固件TPM。
. 虛擬機管理程序TPM是由虛擬機管理程序提供並依賴於虛擬機TPM，它們處於隔離的執行環境中，該環境對於虛擬機內部運行的軟件是隱藏的，以從虛擬機中的軟件中保護其代碼。它們可以提供與固件TPM相當的安全級別。
. 軟件TPM是TPM的軟件仿真器，其運行方式與操作系統中常規程序獲得的保護一樣多。它們完全取決於運行的環境，因此它們提供的安全性沒有普通執行環境所能提供的安全高，並且容易受到滲透到普通執行環境中的自身軟件漏洞和攻擊的影響。 ]它們對於開發目的很有用。

參考
. 基於硬件的全磁碟加密
. 蛋白石存儲規範
. SSD的數據安全性功能
. TCG設置驅動器加密標準
. 您的自加密驅動器（SED）多合一指南
. TCG存儲安全子系統類：蛋白石
. 符合TCG / Opal 2.0標準的自加密驅動器（SED）
. FDE的基本原理：比較頂級的全磁碟加密產品
. 加密硬盤驅動器（符合TCG OPAL和IEEE 1667的自加密硬盤驅動器）
. 自加密驅動器
. SSD加密漏洞和TPM
. 與TPM集成的Opal SSD
. 可信平台模塊–調查
. 實現信任的硬件根源：可信平台模塊已成時代
. TPM 2.0快速教程
. 企業自加密驅動器
. 企業SED演示

資料來源： Wentz Wu QOTD-20210316

密碼驗證協議（PAP）發送未加密的密碼。它比EAP-MD5和CHAP（都使用MD5）弱。因此，在三種身份驗證協議中最不可能使用PAP。
可擴展身份驗證協議（EAP）是在其上開發基於EAP的身份驗證協議的身份驗證框架。
可擴展身份驗證協議（EAP）是網絡和Internet連接中經常使用的身份驗證框架。它在RFC 3748中定義，使RFC 2284過時，並由RFC 5247更新。EAP是用於提供對EAP方法生成的材料和參數的傳輸和使用的身份驗證框架。RFC定義了許多方法，並且存在許多特定於供應商的方法和新建議。EAP不是有線協議；相反，它僅定義來自界面和格式的信息。每個使用EAP的協議都定義了一種將用戶EAP消息封裝在該協議的消息中的方法。
EAP被廣泛使用。例如，在IEEE 802.11（WiFi）中，WPA和WPA2標準已採用IEEE 802.1X（具有各種EAP類型）作為規範認證機制。
資料來源：維基百科

參考
. 可擴展認證協議

資料來源： Wentz Wu QOTD-20210315

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

-NIST SDLC和RMF

在啟動項目後進行系統分類；這意味著已經開發了一個業務案例，並且已選擇，接受，批准了替代方案並變成了項目。
安全控制的實施取決於安全措施或安全控制的確定。安全控制框架（SCM），例如NIST SP 800-53，提供了安全控制的初始範圍，然後可以對其進行定製或修改。範圍界定和剪裁是NIST RMF中“選擇控件”步驟的核心概念，其次是“實施控件”步驟。

應用緊急補丁修復高優先級漏洞意味著該系統有權運行。但是，系統分類是在系統開發生命週期（SDLC）的初始階段進行的。
範圍界定是指檢查基準安全控制並僅選擇適用於您要保護的IT系統的那些控制。例如，如果系統不允許任何兩個人同時登錄，則無需應用並發會話控件。
斯圖爾特（James M.）。CISSP（ISC）2認證的信息系統安全專業人士正式學習指南。威利。

資料來源： Wentz Wu QOTD-20210308

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

-業務連續性政策
高級管理人員通過制定戰略計劃或戰略來實現組織的使命和願景，並通過政策指導戰略的實施。戰略通常包括項目組合，計劃和項目的集合。有許多類型的策略，例如，程序策略，特定於問題的策略，特定於系統的策略等。程序策略指導程序的執行。
我的書《有效的CISSP：安全和風險管理》詳細介紹了戰略管理。
政策
. 政策是指“組織的最高管理層正式表達的意圖和方向”。（ISO 21401：2018）
. 策略是反映特定管理目的的“與特定目的相關的一組規則”（ISO 19101-2：2018）。
. 政策是“在一定範圍內對人們活動的目標，規則，做法或法規的聲明。” （NISTIR 4734）

資料來源： Wentz Wu QOTD-20210310

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

-滲透測試方法
滲透測試的目的是識別，分析，評估和利用漏洞，以深入了解漏洞並開發解決方案以降低風險。目標的失敗可能會導致業務損失或破壞產品或服務的交付。儘管在進行滲透測試時，詳細的開發文檔和評估開發目標的客觀性很重要，但從客戶的角度出發，業務始終是優先事項。滲透團隊應始終牢記這一點。
免入獄卡對滲透團隊至關重要，但是這個問題要問客戶的觀點或為客戶的緣故。因此，免押金卡對客戶而言並不那麼重要。

參考
. 走出免費監獄卡
. 滲透測試中的法律問題
. 滲透測試與法律
. 依法進行滲透測試
. 愛荷華州支付了一家安全公司闖入法院，然後在成功的情況下逮捕了他們的員工
. 彭特公司首席執行官被捕：“英雄不是罪犯”
. 關於滲透測試者的新文件因闖入法院而入獄
. 黑帽：當滲透測試為您贏得重罪逮捕記錄時
. 對在筆測試期間闖入法院的Coalfire安全團隊的指控被撤銷

資料來源： Wentz Wu QOTD-20210309

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

日誌是會計的工作成果。可以通過查看或檢查（審核）一組相關日誌（審核記錄）以唯一地將活動跟踪到實體來實現問責制。

會計，審計和問責制（又一個AAA）
. 問責制 是“安全性目標，它產生了將實體的操作唯一地追溯到該實體的要求。” （NIST SP 800-33）
. 審計 是“獨立審查和檢查記錄和活動，以評估系統控制的充分性，以確保遵守既定的政策和操作程序。” （NIST SP 800-12 Rev.1）
. 審核跟踪 是“按時間順序的記錄，用於重建和檢查與安全相關的事務中從開始到最終結果的周圍或導致特定操作，程序或事件的活動順序。” （NIST SP 800-53修訂版4）

安全信息和事件管理(SIEM)
安全信息和事件管理（SIEM）是指支持審核和跟踪責任制的收集，分析，關聯和相關活動。SIEM服務器是支持安全信息和事件管理的服務器。

用戶和實體行為分析（UEBA）
Gartner定義的用戶行為分析（UBA）是一個有關檢測內部威脅，針對性攻擊和財務欺詐的網絡安全流程。UBA解決方案著眼於人類行為模式，然後應用算法和統計分析從這些模式中檢測出有意義的異常，即表明潛在威脅的異常。
UBA技術的發展促使Gartner將類別擴展到用戶和實體行為分析（“ UEBA”）。2015年9月，Gartner發布了由副總裁兼傑出分析師Avivah Litan撰寫的《用戶和實體分析市場指南》，其中提供了詳盡的定義和解釋。在早期的Gartner報告中提到了UEBA，但沒有深入探討。從UBA擴展定義包括設備，應用程序，服務器，數據或任何具有IP地址的內容。它超越了以欺詐為導向的UBA的重點，而涵蓋了更廣泛的範圍，其中包括“惡意和濫用行為，否則現有的安全監視系統（如SIEM和DLP）不會注意到。” 增加的“實體”反映出設備可能在網絡攻擊中起作用，並且在發現攻擊活動中也可能很有價值。“當最終用戶受到威脅時，惡意軟件可能會處於休眠狀態，並且幾個月都不會被發現。
資料來源：維基百科

參考
. 用戶行為分析
. 安全信息和事件管理

資料來源： Wentz Wu QOTD-20210308

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

構架(Frameworks)

-NIST網絡安全框架(NIST Cybersecurity Framework)

. NIST網絡安全框架（CSF）
. 認識到美國的國家和經濟安全取決於關鍵基礎設施的可靠功能，總統於2013年2月發布了第13636號行政命
令，“改善關鍵基礎設施網絡安全”。
. 該命令指示NIST與利益相關者合作，根據現有標準，指南和做法，開發一個自願框架，以減少關鍵基礎設施
的網絡風險。2014年的《網絡安全增強法》加強了NIST的EO 13636角色。
. OWASP網絡防禦矩陣
. 網絡防禦矩陣通過邏輯結構幫助我們了解我們需要組織的內容，因此，當我們進入安全供應商市場時，我們可
以快速識別出哪些產品可以解決哪些問題，並可以了解給定產品的核心功能是什麼。
. 儘管最初創建了網絡防禦矩陣來幫助組織安全技術，但仍發現了許多其他用例來幫助構建，管理和運行安全程
序。
. 網絡防禦矩陣的基本構建始於兩個維度。
. 第一維度捕獲的5操作功能的的NIST網絡安全框架：鑑別，保護，檢測，響應，和恢復。
. 第二個維度捕獲了我們嘗試確保的五個資產類別：設備，應用程序，網絡，數據和用戶。

-網絡防禦矩陣（來源：OWASP）

成熟度模型(Maturity Models)
. ISACA能力成熟度模型集成（CMMI）
. 它是由ISACA的子公司CMMI Institute管理的，由卡內基梅隆大學（CMU）開發。
. 許多美國政府合同都要求這樣做，尤其是在軟件開發中。
. 2016年3月，CMMI研究所被ISACA收購。
. 網絡安全成熟度模型認證（CMMC）
. 國防部負責收購和維持事務的副秘書長辦公室（OUSD（A＆S））認識到，安全是收購的基礎，不應與安全，
日程和績效一起進行交易。
. 美國國防部致力於與國防工業基地（DIB）部門合作，以加強對供應鏈中受控非機密信息（CUI）的保護。
. ISO / IEC 21827，系統安全工程—能力成熟度模型（SSE-CMM）
. ISO / IEC 21827：2008描述了組織的安全工程過程的基本特徵，這些特徵必須存在以確保良好的安全工
程。
. ISO / IEC 21827：2008沒有規定特定的過程或順序，而是記錄了行業中普遍觀察到的實踐。
. OWASP軟件保障成熟度模型（SAMM）
. 我們的使命是為您提供一種有效且可衡量的方法，以分析和改善安全的開發生命週期。
. SAMM支持完整的軟件生命週期，並且與技術和過程無關。我們建立了SAMM，使其本質上具有發展性和風險驅
動性，因為沒有一種適用於所有組織的方法。
. 軟件保障成熟度模型（SAMM）是一個開放框架，可幫助組織製定和實施針對組織所面臨的特定風險量身定制
的軟件安全策略。
. RIMS風險成熟度模型
. RIMS風險成熟度模型（RMM）既是企業風險管理的最佳實踐框架，又是針對風險專業人員的免費在線評估工
具。
. RMM允許您評估ERM計劃的實力，並根據結果制定改進計劃。

-CMMI星座（來源：https : //www.plays-in-business.com）

-SAMM概述（來源：https : //owaspsamm.org）

-CMMC級別，流程和實踐（來源：AWS）

參考
. 了解網絡安全成熟度模型認證（CMMC）
. 如何規劃網絡安全成熟度模型認證（CMMC）
. CMMC模型v1.0

資料來源： Wentz Wu 網站

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

在電腦取證中搜索妥協（IoC）的指示器，是網路或操作系統中觀察到的證據，它具有很高的可信度，表示電腦入侵。

典型 IOC 的指示類型是病毒特徵碼和 IP 位址、惡意軟體檔的 MD5 哈希值（Hash)，或殭屍網路命令和控制伺服器的網址或功能變數名稱。通過事件回應和計算機取證過程識別 IoC 後，它們可用於使用入侵檢測系統和防病毒軟體對未來的攻擊嘗試進行早期檢測。

資料來源：https://en.wikipedia.org/wiki/Indicator_of_compromise

危害指標 （IOC） 是主機系統或網路可能受到入侵的證據。這些人工製品使資訊安全 （InfoSec） 專業人員和系統管理員能夠檢測入侵企圖或其他惡意活動。安全研究人員使用IOC來更好地分析特定惡意軟體的技術和行為。IOC 還提供可在社區內共用的可操作的威脅情報，以進一步改進組織的事件回應和補救策略。

其中一些文物在系統中的事件日誌和時間戳條目以及其應用程式和服務上找到。InfoSec 專業人員和 IT/系統管理員還使用各種工具監控 IOC，以幫助減輕（如果不是防止）違規或攻擊。

以下是一些危害資訊安全專業人員和系統管理員注意的指標：

1.異常流量進出網路
2.系統中的未知檔、應用程式和流程
3.管理員或特權帳戶中的可疑活動
4.非正常活動，如在組織不與之開展業務的國家/地區的流量
5.可疑的登錄、訪問和其他網路活動，表明探測或暴力攻擊
6.公司文件中請求和讀取量異常激增
7.在異常常用埠中穿越的網路流量
8.篡改檔、功能變數名稱伺服器 （DNS） 和註冊表配置以及系統設置（包括行動裝置中的更改）的變化
9.大量的壓縮檔和數據無法解釋地發現在它們不應該的位置

資料來源：https://www.trendmicro.com/vinfo/us/security/definition/indicators-of-compromise

這個問題是根據痛苦金字塔設計的。它不是一個行業標準，但它提供了一個很好的基礎，以評估在威脅源中提供的危害指標 （IOC）。

並非所有危害指標（IOC）都是平等的。如果您被告知，受破壞的系統檔將產生特定的哈希值，它可能會產生較少的價值，因為它太瑣碎。相反，如果您被告知來自 someone.hackers.com（10.10.10.1）的攻擊可能包含系統檔，如果成功，可能會產生特定的哈希值。

參考
. 痛苦金字塔
. 仲裁協議指標的定義
. 威脅源還是威脅情報？（實際上，您同時需要兩者）
. 免費和開源威脅情報源
. SANA威脅源
. 威脅情報源：領先於攻擊者
. 威脅情報源：為什麼上下文是關鍵
. 妥協指標
. SolarWinds IoC連接到網絡資產：我們發現的結果
. LogRhythm-Labs / sunburst_iocs

資料來源： Wentz Wu QOTD-20200924

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文