Choson資安大小事
-滲透測試方法
滲透測試的目的是識別，分析，評估和利用漏洞，以深入了解漏洞並開發解決方案以降低風險。目標的失敗可能會導致業務損失或破壞產品或服務的交付。儘管在進行滲透測試時，詳細的開發文檔和評估開發目標的客觀性很重要，但從客戶的角度出發，業務始終是優先事項。滲透團隊應始終牢記這一點。
免入獄卡對滲透團隊至關重要，但是這個問題要問客戶的觀點或為客戶的緣故。因此，免押金卡對客戶而言並不那麼重要。
參考
. 走出免費監獄卡
. 滲透測試中的法律問題
. 滲透測試與法律
. 依法進行滲透測試
. 愛荷華州支付了一家安全公司闖入法院，然後在成功的情況下逮捕了他們的員工
. 彭特公司首席執行官被捕：“英雄不是罪犯”
. 關於滲透測試者的新文件因闖入法院而入獄
. 黑帽：當滲透測試為您贏得重罪逮捕記錄時
. 對在筆測試期間闖入法院的Coalfire安全團隊的指控被撤銷
資料來源： Wentz Wu QOTD-20210309
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
日誌是會計的工作成果。可以通過查看或檢查（審核）一組相關日誌（審核記錄）以唯一地將活動跟踪到實體來實現問責制。
會計，審計和問責制（又一個AAA）
. 問責制 是“安全性目標，它產生了將實體的操作唯一地追溯到該實體的要求。” （NIST SP 800-33）
. 審計 是“獨立審查和檢查記錄和活動，以評估系統控制的充分性，以確保遵守既定的政策和操作程序。” （NIST SP 800-12 Rev.1）
. 審核跟踪 是“按時間順序的記錄，用於重建和檢查與安全相關的事務中從開始到最終結果的周圍或導致特定操作，程序或事件的活動順序。” （NIST SP 800-53修訂版4）
安全信息和事件管理(SIEM)
安全信息和事件管理（SIEM）是指支持審核和跟踪責任制的收集，分析，關聯和相關活動。SIEM服務器是支持安全信息和事件管理的服務器。
用戶和實體行為分析（UEBA）
Gartner定義的用戶行為分析（UBA）是一個有關檢測內部威脅，針對性攻擊和財務欺詐的網絡安全流程。UBA解決方案著眼於人類行為模式，然後應用算法和統計分析從這些模式中檢測出有意義的異常，即表明潛在威脅的異常。
UBA技術的發展促使Gartner將類別擴展到用戶和實體行為分析（“ UEBA”）。2015年9月，Gartner發布了由副總裁兼傑出分析師Avivah Litan撰寫的《用戶和實體分析市場指南》，其中提供了詳盡的定義和解釋。在早期的Gartner報告中提到了UEBA，但沒有深入探討。從UBA擴展定義包括設備，應用程序，服務器，數據或任何具有IP地址的內容。它超越了以欺詐為導向的UBA的重點，而涵蓋了更廣泛的範圍，其中包括“惡意和濫用行為，否則現有的安全監視系統（如SIEM和DLP）不會注意到。” 增加的“實體”反映出設備可能在網絡攻擊中起作用，並且在發現攻擊活動中也可能很有價值。“當最終用戶受到威脅時，惡意軟件可能會處於休眠狀態，並且幾個月都不會被發現。
資料來源：維基百科
資料來源： Wentz Wu QOTD-20210308
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
構架(Frameworks)
-NIST網絡安全框架(NIST Cybersecurity Framework)
. NIST網絡安全框架（CSF）
. 認識到美國的國家和經濟安全取決於關鍵基礎設施的可靠功能，總統於2013年2月發布了第13636號行政命
令，“改善關鍵基礎設施網絡安全”。
. 該命令指示NIST與利益相關者合作，根據現有標準，指南和做法，開發一個自願框架，以減少關鍵基礎設施
的網絡風險。2014年的《網絡安全增強法》加強了NIST的EO 13636角色。
. OWASP網絡防禦矩陣
. 網絡防禦矩陣通過邏輯結構幫助我們了解我們需要組織的內容，因此，當我們進入安全供應商市場時，我們可
以快速識別出哪些產品可以解決哪些問題，並可以了解給定產品的核心功能是什麼。
. 儘管最初創建了網絡防禦矩陣來幫助組織安全技術，但仍發現了許多其他用例來幫助構建，管理和運行安全程
序。
. 網絡防禦矩陣的基本構建始於兩個維度。
. 第一維度捕獲的5操作功能的的NIST網絡安全框架：鑑別，保護，檢測，響應，和恢復。
. 第二個維度捕獲了我們嘗試確保的五個資產類別：設備，應用程序，網絡，數據和用戶。
-網絡防禦矩陣（來源：OWASP）
成熟度模型(Maturity Models)
. ISACA能力成熟度模型集成（CMMI）
. 它是由ISACA的子公司CMMI Institute管理的，由卡內基梅隆大學（CMU）開發。
. 許多美國政府合同都要求這樣做，尤其是在軟件開發中。
. 2016年3月，CMMI研究所被ISACA收購。
. 網絡安全成熟度模型認證（CMMC）
. 國防部負責收購和維持事務的副秘書長辦公室（OUSD（A＆S））認識到，安全是收購的基礎，不應與安全，
日程和績效一起進行交易。
. 美國國防部致力於與國防工業基地（DIB）部門合作，以加強對供應鏈中受控非機密信息（CUI）的保護。
. ISO / IEC 21827，系統安全工程—能力成熟度模型（SSE-CMM）
. ISO / IEC 21827：2008描述了組織的安全工程過程的基本特徵，這些特徵必須存在以確保良好的安全工
程。
. ISO / IEC 21827：2008沒有規定特定的過程或順序，而是記錄了行業中普遍觀察到的實踐。
. OWASP軟件保障成熟度模型（SAMM）
. 我們的使命是為您提供一種有效且可衡量的方法，以分析和改善安全的開發生命週期。
. SAMM支持完整的軟件生命週期，並且與技術和過程無關。我們建立了SAMM，使其本質上具有發展性和風險驅
動性，因為沒有一種適用於所有組織的方法。
. 軟件保障成熟度模型（SAMM）是一個開放框架，可幫助組織製定和實施針對組織所面臨的特定風險量身定制
的軟件安全策略。
. RIMS風險成熟度模型
. RIMS風險成熟度模型（RMM）既是企業風險管理的最佳實踐框架，又是針對風險專業人員的免費在線評估工
具。
. RMM允許您評估ERM計劃的實力，並根據結果制定改進計劃。
-CMMI星座（來源：https : //www.plays-in-business.com）
-SAMM概述（來源：https : //owaspsamm.org）
-CMMC級別，流程和實踐（來源：AWS）
參考
. 了解網絡安全成熟度模型認證（CMMC）
. 如何規劃網絡安全成熟度模型認證（CMMC）
. CMMC模型v1.0
資料來源： Wentz Wu 網站
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
在計算機取證中搜索妥協（IoC）的指示器，是網路或操作系統中觀察到的神器，它具有很高的可信度，表示電腦入侵。
典型 IOC 的指示類型是病毒簽名和 IP 位址、惡意軟體檔的 MD5 哈希，或殭屍網路命令和控制伺服器的網址或功能變數名稱。通過事件回應和計算機取證過程識別 IoC 後，它們可用於使用入侵檢測系統和防病毒軟體對未來的攻擊嘗試進行早期檢測。
資料來源：https://en.wikipedia.org/wiki/Indicator_of_compromise
妥協指標 （IOC） 是主機系統或網路可能受到入侵的法醫證據。這些人工製品使資訊安全 （InfoSec） 專業人員和系統管理員能夠檢測入侵企圖或其他惡意活動。安全研究人員使用IOC來更好地分析特定惡意軟體的技術和行為。IOC 還提供可在社區內共用的可操作的威脅情報，以進一步改進組織的事件回應和補救策略。
其中一些文物在系統中的事件日誌和時間戳條目以及其應用程式和服務上找到。InfoSec 專業人員和 IT/系統管理員還使用各種工具監控 IOC，以幫助減輕（如果不是防止）違規或攻擊。
以下是一些危害資訊安全專業人員和系統管理員注意的指標：
1.異常流量進出網路
2.系統中的未知檔、應用程式和流程
3.管理員或特權帳戶中的可疑活動
4.非正常活動，如在組織不與之開展業務的國家/地區的流量
5.可疑的登錄、訪問和其他網路活動，表明探測或暴力攻擊
6.公司文件中請求和讀取量異常激增
7.在異常常用埠中穿越的網路流量
8.篡改檔、功能變數名稱伺服器 （DNS） 和註冊表配置以及系統設置（包括行動裝置中的更改）的變化
9.大量的壓縮檔和數據無法解釋地發現在它們不應該的位置
資料來源：https://www.trendmicro.com/vinfo/us/security/definition/indicators-of-compromise
這個問題是根據痛苦金字塔設計的。它不是一個行業標準，但它提供了一個很好的基礎，以評估在威脅源中提供的妥協指標 （IOC）。
並非所有妥協指標（IOC）都是平等的。如果您被告知，受破壞的系統檔將產生特定的哈希值，它可能會產生較少的價值，因為它太瑣碎。相反，如果您被告知來自 someone.hackers.com（10.10.10.1）的攻擊可能包含系統檔，如果成功，可能會產生特定的哈希值。
參考
. 痛苦金字塔
. 仲裁協議指標的定義
. 威脅源還是威脅情報？（實際上，您同時需要兩者）
. 免費和開源威脅情報源
. SANA威脅源
. 威脅情報源：領先於攻擊者
. 威脅情報源：為什麼上下文是關鍵
. 妥協指標
. SolarWinds IoC連接到網絡資產：我們發現的結果
. LogRhythm-Labs / sunburst_iocs
資料來源： Wentz Wu QOTD-20200924
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文