月份: 2021 年 8 月

-虛擬機和容器部署（來源：NIST SP 800-190）

虛擬機器監視器（Hypervisor）
容器不需要管理程序來支持應用程序虛擬化。容器可以部署到裸機，無需虛擬機管理程序管理的虛擬機。虛擬機器監視器又名虛擬機監視器/管理器 (VMM)，是“管理主機上的來賓操作系統並控制來賓操作系統和物理硬件之間的指令流的虛擬化組件。” ( NIST SP 800-125 )

隔離（Isolation）
虛擬機提供比容器更高級別的隔離。應用程序部署在共享相同主機操作系統內核的容器中，而部署在虛擬機上的應用程序被高度隔離，因此它們必須通過網絡進行通信。但是，容器中的應用程序比虛擬機中的應用程序具有更好的性能。
-操作系統和應用程序虛擬化（來源：NIST SP 800-190）

操作系統系列特定（OS-family Specific）
使用容器，多個應用程序共享同一個操作系統內核實例，但彼此隔離。操作系統內核是所謂的主機操作系統的一部分。主機操作系統位於容器下方，並為它們提供操作系統功能。容器是特定於操作系統系列的；Linux 主機只能運行為 Linux 構建的容器，Windows 主機只能運行 Windows 容器。此外，為一個操作系統系列構建的容器應該在該系列的任何最新操作系統上運行。
來源：NIST SP 800-190（應用程序容器安全指南）

軟體開發方法（Software Development Methodologies）

-容器技術架構（來源：NIST SP 800-190）

容器技術的引入可能會破壞組織內現有的文化和軟體開發方法。傳統的開發實踐、修補技術和系統升級過程可能無法直接應用於容器化環境，員工願意適應新模式很重要。應鼓勵員工採用本指南中介紹的在容器內安全構建和運行應用程序的推薦做法，並且組織應願意重新考慮現有程序以利用容器。應向參與軟體開發生命週期的任何人提供涵蓋技術和操作方法的教育和培訓。

-來源：NIST SP 800-190（應用程序容器安全指南）

參考
. Windows Containers 可以託管在 linux 上嗎？

資料來源： Wentz Wu QOTD-20210717

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

工程 是一種方法，它涉及應用知識和技能來理解和管理利益相關者的需求、提出和實施解決這些需求的解決方案，以及利用和支持該解決方案以持續創造價值直到其退休為止的一系列過程。
~ 吳文智

系統工程

跨學科的方法，管理將一組利益相關者的需求、期望和限制轉化為解決方案並在其整個生命週期中支持該解決方案所需的全部技術和管理工作。

來源：ISO/IEC/IEEE 15288:2015 系統和軟件工程——系統生命週期過程

軟件工程

將系統的、規範的、可量化的方法應用於軟件的開發、操作和維護；也就是說，工程在軟件中的應用。

來源：ISO/IEC/IEEE 12207:2017 系統和軟件工程——軟件生命週期過程

資料來源：

工程 是一種方法，它涉及應用知識和技能來理解和管理利益相關者的需求、提出和實施解決這些需求的解決方案，以及利用和支持該解決方案以持續創造價值直到其退休為止的一系列過程。
~ 吳文茲

系統工程

跨學科的方法，管理將一組利益相關者的需求、期望和限制轉化為解決方案並在其整個生命週期中支持該解決方案所需的全部技術和管理工作。

來源：ISO/IEC/IEEE 15288:2015 系統和軟件工程——系統生命週期過程

軟件工程

將系統的、規範的、可量化的方法應用於軟件的開發、操作和維護；也就是說，工程在軟件中的應用。

來源：ISO/IEC/IEEE 12207:2017 系統和軟件工程——軟件生命週期過程

資料來源：https://wentzwu.com/2020/12/30/what-is-engineering/

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

-流行的 F/LOSS 許可證之間的兼容性關係（來源：Carlo Daffara）
在評估開源組件時，通常會忽略測試覆蓋率。相反，下載量或口碑起著至關重要的作用。儘管開源項目通常帶有單元測試，但測試覆蓋率指標並不是標準。

知識產權(Intellectual property)
開源軟體不屬於公共領域。它仍然由版權所有者許可。
開源軟體 (Open-source software : OSS ) 是 根據許可發布的計算機軟體，在該許可下 ， 版權所有 者授予用戶使用、研究、更改和 分發軟體 及其 源代碼的權利， 以用於任何目的。
資料來源：維基百科

費用(Costs)
它也不是免費軟體，儘管大多數開源軟體都可以免費獲得。一些供應商許可軟體並開放源代碼並允許客戶修改它們。有些人將此稱為可用源或共享源，可以將其廣泛視為開源的一部分。

後門（Back Doors）
開源軟體通常被認為比專有軟體更安全，但它並非沒有風險。例如，中國黑客以帶有 RedXOR 後門的 Linux 系統為目標，或者華為（中國製造商）嘗試向 Linux 插入後門/漏洞。

公共領域（The Public Domain）
“公共領域”一詞是指不受版權、商標或專利法等知識產權法保護的創意材料。公眾擁有這些作品，而不是個人作者或藝術家。任何人都可以在未經許可的情況下使用公共領域的作品，但沒有人可以擁有它。
資料來源：斯坦福

參考
. 歡迎來到公共領域
. 與商業模式相關的開源許可證選擇

資料來源： Wentz Wu QOTD-20210731

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

及時生產 (JIT) 一詞出現在豐田生產系統中。JIT 是一種庫存管理策略，可根據需要或按需訂購庫存。在安全方面，許多活動可以及時進行——例如，身份提供、證書註冊、授權、權限提升等。
促進身份驗證以便用戶可以登錄一次並跨系統訪問資源是單點登錄 (SSO) 的描述。它與及時生產的概念無關。

參考
. AWS 即時預置
. AWS 即時註冊
. 什麼是即時 (JIT) 供應？
. SAML SSO 與即時 (JIT) 供應之間的區別
. 什麼是即時 (JIT) 特權訪問？
. 什麼是即時特權訪問？
. 及時生產 – 豐田生產系統指南
. 及時生產 (JIT) 庫存管理

資料來源： Wentz Wu QOTD-20210728

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

-零假設和替代假設（來源：PrepNuggets）
原假設和替代假設(Null and Alternative Hypotheses)
零假設是假設與正常狀態為零或沒有偏差。由於證明假設很困難，我們通常會找到反對原假設的證據並接受替代假設，而不是直接證明替代假設為真。因此，原假設和備擇假設可以寫成如下：
. 替代假設：樣本指紋與模型庫中的模板不匹配
. 零假設：樣本指紋與模型庫中的模板匹配

錯誤接受率 (FAR) 和錯誤拒絕率 (FRR) 等與生物識別相關的術語是常用的，並且對於通信非常有效。人們或書籍將 FAR/FRR 與型一和 型二錯誤（用於統計假設）或假陽性/陰性（用於二元分類）相關聯的情況並不少見。我寫這個問題是為了強調當我們談論 I/II 類錯誤時零假設的重要性。

型一和 型二錯誤（Type I and Type II Errors）
在統計學中，我們通常不會只提出一個需要足夠證據來證明的假設。相反，我們接受備擇假設，因為我們拒絕了基於具有預定義顯著性水平（例如，5%）的反對原假設的證據。
統計假設檢驗的決定是是否拒絕零假設。但是，有些決定可能是錯誤的，可分為以下幾類：
. 第一類錯誤：我們拒絕原假設，這是真的。（拒絕正常情況）
. 第二類錯誤：我們未能拒絕原假設，這是錯誤的。（接受異常情況）

假陽性和假陰性（False Positive and False Negative）
當談到機器學習中的二元分類時，模型被訓練為基於一小部分樣本數據的二元分類器，通過標籤對實例/案例進行分類（例如，0/1、垃圾郵件/非垃圾郵件、武器/無武器） .
在實現基於異常檢測的系統中，它可以使用 Imposter/No Imposter 進行分類，如下所示：
. “冒名頂替者”是正面類的標籤。
. “無冒名頂替者”是負類的標籤。

誤報意味著識別/檢測到冒名頂替者，但決定是錯誤的。假陰性意味著沒有識別/檢測到冒名頂替者，而且該決定是錯誤的。人們通常會將假陽性與 I 類錯誤聯繫起來，將假陰性與 II 類錯誤聯繫起來，即使它們在使用不同技術的上下文中使用。Li 的論文很好地將統計假設檢驗與機器學習二元分類進行了比較。

-假設檢驗和二元分類（來源：ScienceDirect）

參考
. 統計假設檢驗與機器學習二元分類：區別和指南
. 統計學中的假設檢驗簡介 – 假設檢驗統計問題和示例
. 假設檢驗簡介
. 機器學習中的 4 種分類任務
. 分類：真與假和正與負

資料來源： Wentz Wu QOTD-20210727

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

-Stride、VAST、Trike 等：哪種威脅建模方法適合您的組織？

風險敞口是根據可能性、後果和其他風險因素用貨幣價值、分數或尺度值評估的潛在損失的量度。風險暴露通常被簡化為後果的概率和幅度的乘積；即預期價值或預期暴露。例如，假設有 50% 的風險可能導致 1,000,000 美元的財務損失，則風險敞口為 500,000 美元。
DREAD 是損害、可再現性、可利用性、受影響用戶和可發現性的首字母縮寫詞。首字母縮略詞的每個字母代表可能性或影響。它們被一起考慮以評估風險敞口。
STRIDE 是一種風險分類工具，具有預定義的類別：欺騙、篡改、否認、信息披露、拒絕服務特權提升。它不分析威脅的可能性或影響。

-威脅建模（來源：CSSLP CBK）

參考
. Stride、VAST、Trike 等：哪種威脅建模方法適合您的組織？

資料來源： Wentz Wu QOTD-20210726

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

您應該生成公鑰和私鑰的密鑰對，並將私鑰保密。CSR 包含有關主題的信息、公鑰、由私鑰簽名以避免欺騙 CSR 的簽名以及其他信息。“CSR 最常見的格式是 PKCS #10 規範；另一個是由某些 Web 瀏覽器生成的簽名公鑰和質詢 SPKAC 格式。” （維基百科）
證書籤名請求 (CSR) 完全由您自己創建並提交給註冊機構 (RA)。RA 不可能在您的 CSR 上添加時間戳。

-openssl req -text -in file.csr（來源：Hallo zusammen）

參考
. 證書籤名請求
. 如何查看和解碼 CSR
. 證書籤名請求 (CSR) 示例

資料來源： Wentz Wu QOTD-20210725

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

曾就「資訊本身的破壞」和「資訊或資訊系統獲取或使用中斷」進行了辯論。然而，FISMA和FIPS 199明確而準確地區分了兩者。

以下投影片是 FIPS 199 中有關安全目標的摘錄，該摘錄與 FISMA 一致：

-CIA作為安全目標

完整性(Integrity)
以下是 FISMA 中有關完整性的摘錄：
‘防止不當的資訊修改或銷毀，包括確保資訊不被否定和真實性。。。。。。'[44 U.S.C., Sec. 3542]]

可用性(Availability)
可用性是關於’確保及時性和可靠地存取和使用資訊。。。'[44 U.S.C., SEC. 3542
FIPS 199寫道：可用性損失是資訊或資訊系統存取或使用中斷。

數據消毒方法（Data Sanitization Methods）
‘銷毀’是 NIST SP 800-88 R1 中引入的數據消毒方法，而’破壞’是一種可以’破壞’介質的技術（例如破壞性技術）。然而，破壞性技術通常可以’摧毀’媒體，但他們不能保證媒體可以完全摧毀。
破壞(Destroy)、破壞(destruction)和破壞( disruption )可能具有類似的含義，但它們可能在各種上下文中提及不同的東西。

資料來源： Wentz Wu QOTD-20210302

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

一個網路通過傳輸介質連接兩個或多個節點，共享資源；它有兩種架構視圖：物理視圖和邏輯視圖。網路的邏輯部分在物理層之上工作。邏輯網路由網路層協議表示，例如IP。使用 32 位 IP 地址和子網路遮罩的 IP 協議編號（地址）節點和網路。執行相同協議的所有網路都是同構的。IP 網路和 IPX 網路的混合是異構的。路由器通常連接均相邏輯網路。閘道器在該上下文中是指連接同構網路的設備，其典型地需要協議轉換。一個防火牆旨在過濾數據包或篩選消息。下一代防火牆強調的只是它處理越來越多的新興需求並提供更多解決方案的想法。

閘道器（Gateway）
在 ISO OSI 參考模型的經典教科書中，閘道器通常是指應用協議轉換的第 7 層閘道器或應用程序閘道器。然而，現在人們傾向於從字面上使用術語閘道器。例如，默認閘道器可能是指 NAT 設備、路由器或防火牆；電路級閘道器是指工作在會話層的防火牆。

信號和中繼器（Signal and Repeater）
物理網路是邏輯網路的底層基礎設施。主要的物理元素是傳輸介質和承載數據的信號。信號在媒體上傳播的時間長短各不相同；無論使用哪種媒體，信號總是會衰減。模擬信號由放大器放大，而數字信號由中繼器重複，以便它們在減弱之前可以傳播得更遠。

拓撲和橋接器（Topology and Bridge）
節點通過傳輸介質（有線或無線）連接，並形成形狀或拓撲。線性總線、圓環、分層樹和網狀網路是常見的拓撲結構。橋接器連接不同的形狀或拓撲的兩個或多個網路。

數據鏈路層：MAC 和 LLC（Data Link Layer: MAC and LLC）
網路上任何形狀/拓撲的節點都可以相互通信，就像它們中的任何一對通過電纜直接連接一樣。事實上，這些節點共享相同的媒體。換句話說，它們在邏輯上而不是在物理上是相連的。我們將網路上任意一對節點之間的通信稱為邏輯鏈路。由共享媒體連接的節點的規則稱為媒體存取控制（MAC）；網路上任意一對節點之間的錯誤和流量控制稱為邏輯鏈路控制 (LLC)。MAC 和 LLC 被共同視為 ISO OSI 參考模型中數據鏈路層的主要關注點。

參考
.中繼器、橋接器、路由器和閘道器：比較研究
.詳細講解中繼器、集線器、橋接器、路由器、閘道器、交換機。
.下一代防火牆

資料來源： Wentz Wu QOTD-20210720

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

-外部和內部分析
存在為客戶服務的組織；他們的需要和要求很重要。組織在開始戰略計劃之前進行外部和內部分析或背景和組織分析。同時識別和分析利益相關者或利益相關方。
建立一個部門來負責安全功能是一種組織變革。法律和法規要求或客戶的需求和要求這種情況並不少見。安全功能的位置、角色和職責可能與 IT 功能重疊。例如，防火牆、端點安全、安全運營中心和服務台可能會使用共享資源，模糊了安全運營和 IT 運營的界限。
安全和隱私安全控制的選擇很重要，但它不像上面提到的其他因素那麼重要，因為可以在安全部門成立後考慮控制。此外，控制可以應用於各種級別，例如資訊系統級別、設施級別、業務流程級別或組織級別。控制是風險緩解策略的一部分。它們在風險評估後實施。因此，它更像是一個風險管理問題，而不是建立安全部門時的問題。

資料來源： Wentz Wu QOTD-20210719

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文