-資訊安全

安全是指保護某物免受危險或威脅的過程和達到的狀態。

資訊安全是一門通過安全控制保護資訊資產免受威脅的學科，以實現機密性、完整性和可用性的安全目標，支持業務流程，並創造價值以實現組織的使命和願景。

資訊安全

• 安全是指保護某物免於遭受危險或威脅的過程以及所達到的狀態。
• 安全資訊的英文一門透過安全管制措施，保護資訊資產免於受到危害，以實現機密性，完整性和可用性的安全目標，進而支持組織的業務流程，並創造價值以實現使命和願景的學問。

資料來源： Wentz Wu 網站

RMM 解釋

風險管理基準和進展

風險成熟度模型 (RMM) 概述了構成可持續、可重複和成熟的企業風險管理 (ERM) 計劃的關鍵指標和活動。通過風險成熟度自我評估，組織可以衡量其當前風險管理實踐與 RMM 指標的一致性。完成後，每個組織都會獲得其計劃的成熟度評分，從最早階段和最低風險成熟度級別 Ad-Hoc（1 級）開始，並進展到最高級的風險成熟度級別領導（5 級） . 下面將概述 RMM 風險成熟度評估的每個組成部分、每個組成部分的評分方式以及評估的結果。

七大屬性

風險成熟度模型 (RMM) 確定了有效企業風險管理的七個關鍵屬性。這些屬性涵蓋 ERM 計劃的規劃和治理，以及評估的執行以及風險信息的匯總和分析。

最佳實踐 ERM 計劃的七個屬性或組成部分如下：

• 採用基於 ERM 的流程該屬性衡量組織的風險文化，並考慮執行或董事會級別對企業風險管理的支持程度。
• ERM 流程管理該屬性衡量組織在其文化和業務決策中採用 ERM 方法的程度，以及風險管理計劃遵循最佳實踐步驟以識別、評估、評估、減輕和監控風險的程度。
• 風險偏好管理此屬性評估圍繞風險回報權衡、風險問責制、定義風險容忍度以及組織是否有效縮小潛在風險與實際風險之間的差距的意識水平。
• 根本原因紀律此屬性評估組織根據來源或根本原因識別風險的程度，以及它們產生的症狀和結果。關注風險的根本原因並相應地對其進行分類將加強響應和緩解工作。
• 發現風險此屬性衡量風險評估的質量和覆蓋範圍。它檢查收集風險信息的方法、風險評估過程，以及是否可以從風險信息中發現企業範圍的趨勢和相關性。
• 績效管理該屬性決定了組織執行其願景和戰略的程度。它通過基於風險的流程評估規劃、溝通和衡量核心企業目標的強度，以及進展偏離預期的程度。
• 業務彈性和可持續性該屬性評估業務連續性、運營規劃和其他可持續性活動採用基於風險的方法的程度。

能力驅動因素和指標

每個屬性都包括一組能力驅動因素，其中概述了實現每個驅動因素所涉及的關鍵準備指標（或活動）。這些驅動因素/指標對涵蓋整個風險管理流程，包括管理、外展、數據收集和匯總以及風險信息分析。以下是構成 RMM 風險成熟度評估的 25 個能力驅動因素和指標配對的樣本：

執行 ERM 支持

• 風險優先級和進展是否向董事會或高級領導層報告？
• 新計劃（即項目、運營變更、供應商入職等）是否需要進行風險評估？
• 在員工績效評估中是否考慮了風險管理教育和理解？

信息分類

• 是否有用於識別風險的標準化流程或分類模型？
• 業務領域是否確定組織目標並跟踪實現進度？
• 風險是通過根本原因還是源頭來識別的？

業務流程定義和風險所有權

• 業務領域是否識別與流程相關的風險？
• 流程所有者是否在定期規劃和戰略制定中管理他們的風險、威脅和機會？
• 所有的風險、威脅和機遇是否都及時傳達並採取了行動？

評分方法

對於以下三個評估維度中的每一個，所有能力驅動因素都按照 1-10 的等級進行評分：

• 效力衡量關鍵風險管理活動的頻率和有效性。（即評估是臨時的還是每年完成？是否至少每季度審查一次高風險？）
• 主動性衡量風險管理的性質，無論是主動還是被動。（即組織是否等到不利事件發生以降低風險或是否計劃了未來的情景？）
• 覆蓋範圍衡量組織內風險管理的廣度和深度。（即職責是否跨越組織的所有部門和所有垂直級別？）

完成後，將為每個驅動程序提供成熟度評分以及整個風險管理計劃的整體成熟度評分。評分基於 5 級量表，1 級表示最低風險成熟度，5 級表示最高成熟度。通過每個因素的成熟度評分，組織可以優先考慮時間和資源來改進其風險管理流程中最薄弱的領域，同時保留最強大的實踐。

基於經過驗證的最佳實踐活動，實施 RMM 指標的組織能夠創造並體驗有效風險管理的好處。LogicManager 幫助組織彌合差距並完善其風險管理計劃，提供了許多資源和幫助方法。

如何進行 RMM 風險成熟度評估

通常，組織在完成 RMM 的風險管理成熟度評估時會採取兩條路線：一個人代表 ERM 計劃（風險管理計劃和實踐的核心人員）完成評估，或者由幾個人進行評估並彙總分數來自參與 ERM 計劃不同領域的多個評估員。

RMM 有兩個版本：標準版本旨在供組織中希望全面了解其 ERM 成熟度的領導者採用。第二個版本，即前線的 RMM，旨在供員工直接執行為組織提供動力的日常運營和流程。標準 RMM 和前線 RMM 之間的區別在於能力驅動因素（前者將被問及關於更高級別企業關注的問題，而後者將檢查與它們更密切相關的領域）。雖然根據每個 ERM 計劃的結構，一種方法可能比另一種更適合，但兩者都會產生有意義的成熟度分數和報告，以便在改進 ERM 計劃時加以利用。

要進行免費的在線 RMM 評估，請訪問此鏈接！完成後，評估會提供一份個性化的分數報告，包括您的報告與成功因素指南之間的比較。這有助於您識別差距並確定其優先級，並製定行動計劃以推進您的風險管理計劃。評估不需要任何經驗，大約需要 30 分鐘才能完成，並通過易於使用的在線評估嚮導完成。單擊此處進行 RMM 評估！

如果您對 RMM 評估有任何疑問或想召開會議討論您的結果，請發送電子郵件至communications@logicmanager.com。

• 有關風險成熟度模型 (RMM) 的更多信息，請訪問RMM 資源中心。
• 如需有關有效企業風險管理實踐的進一步指導，請訪問免費的ERM 資源與知識中心。

資料來源：https://www.riskmaturitymodel.org/risk-maturity-model-rmm-for-erm/

-側信道攻擊

側信道攻擊(Side-channel attack)
只需在設備或系統附近放置天線、磁探頭或其他傳感器，即可利用側信道。這允許攻擊者測量功耗、電壓波動或其他側信道，例如溫度或聲音。側信道攻擊可用於從智能卡等設備中提取密鑰。在現實世界中，這允許攻擊者加載或重置餘額並提取或重置設備 PIN。(半工程)
通過從物理密碼系統洩漏信息而啟用的攻擊。可以在側信道攻擊中利用的特徵包括時間、功耗以及電磁和聲發射。
來源：NIST 術語表
在 計算機安全中， 旁道攻擊 是基於從 計算機系統的實施中獲得的信息的任何攻擊 ，而不是實施算法本身的弱點（例如 密碼分析 和 軟體錯誤）。時間信息、功耗、 電磁 洩漏甚至 聲音 都可以提供額外的信息來源，可以加以利用。
資料來源：維基百科

內容可尋址內存 (CAM) 表溢出攻擊(Content addressable memory (CAM) table overflow attack)
當 CAM 表溢出時，交換集線器可能會降級為集線器以通過向所有端口發送幀來保持可用性。這會導致中間人惡意嗅探。
CAM 表溢出攻擊是針對網絡交換機執行的惡意行為，其中大量虛假 MAC 地址被發送到交換機。這種數據洪流導致交換機轉儲其 CAM 數據庫表中的有效地址，以試圖為虛假信息騰出空間。在這之後，交換機的默認行為是向所有端口廣播正常的私有消息。
資料來源：CbtNuggets

竊聽攻擊(Wiretapping Attack)
竊聽是對電話、電報、蜂窩、 傳真 或基於互聯網的通信進行的秘密電子監控 。
竊聽是通過在有問題的線路上放置一個非正式地稱為錯誤的監視設備或通過其他通信技術中的內置機制來實現的。
執法官員可以利用現場監控或錄音。數據包嗅探器——用於捕獲在網絡上傳輸的數據的程序——是一種常用的現代竊聽工具。各種其他工具，例如竊聽木馬，用於不同的應用程序。
資料來源：TechTarget

背負式攻擊(Piggyback attack)
一個 背馱式攻擊 是一種活化形式 竊聽 當攻擊者獲得通過活動的間隔訪問系統中的其他用戶的合法連接。它也被稱為“線間攻擊”或“背負式進入竊聽”。
在安全方面，捎帶指的是當某人與另一個被授權進入限制區域的人一起標記時，該術語 在此上下文中適用於 計算機網路。
資料來源：維基百科

參考
. 了解側信道攻擊
. ARP 和 CAM 表
. 背負式攻擊
. 保護圖片存檔和通信系統 (PACS)：醫療保健行業的網絡安全

資料來源： Wentz Wu QOTD-20210811

密碼學中，區塊密碼的工作模式（mode of operation）允許使用同一個區塊密碼密鑰對多於一塊的資料進行加密，並保證其安全性。^[1][2] 區塊密碼自身只能加密長度等於密碼區塊長度的單塊資料，若要加密變長資料，則資料必須先被劃分為一些單獨的密碼塊。通常而言，最後一塊資料也需要使用合適填充方式將資料擴充到符合密碼塊大小的長度。一種工作模式描述了加密每一資料塊的過程，並常常使用基於一個通常稱為初始化向量的附加輸入值以進行隨機化，以保證安全^[1]。

工作模式主要用來進行加密和認證。^[1][3] 對加密模式的研究曾經包含資料的完整性保護，即在某些資料被修改後的情況下密碼的誤差傳播特性。後來的研究則將完整性保護作為另一個完全不同的，與加密無關的密碼學目標。部分現代的工作模式用有效的方法將加密和認證結合起來，稱為認證加密模式。^[2]

雖然工作模式通常應用於對稱加密^[2]，它亦可以應用於公鑰加密，例如在原理上對RSA進行處理，但在實用中，公鑰密碼學通常不用於加密較長的資訊，而是使用結合對稱加密和公鑰加密的混合加密方案^[1]。

資料來源：https://zh.wikipedia.org/wiki/%E5%88%86%E7%BB%84%E5%AF%86%E7%A0%81%E5%B7%A5%E4%BD%9C%E6%A8%A1%E5%BC%8F

-防火牆接口和區域
防火牆通常以兩種方式調解網絡流量：基於上下文和基於區域。傳統的基於上下文的方法也稱為基於上下文的訪問控制 (CBAC)。

基於區域的防火牆(Zone-based Firewalls)
防火牆包含幾個網絡接口，可以配置或分配給區域。安全區域或簡稱區域是共享相同安全要求的防火牆接口的集合。區域之間的流量由防火牆策略控制。有關更多信息，請參閱防火牆接口、區域和層。

區域對(Zone Pairs)
區域對可以定義為一個方向上兩個區域的配對。然後將防火牆流量策略應用於區域對。防火牆流量策略在區域之間單向應用。雙向流量需要兩個區域對。但是，如果使用狀態檢查，則不需要第二個區域對，因為由於檢查而允許回复流量。
資料來源：OmniSecu

基於上下文的防火牆(Context-based Firewalls)
所述的ACL提供流量過濾和保護，直到傳輸層，同時在另一方面，CBAC提供高達應用層相同的功能。在 CBAC 配置的幫助下，路由器可以充當防火牆。
資料來源：GeeksForGeeks

基於上下文的訪問控制 (CBAC) 根據應用層協議會話信息智能過濾 TCP 和 UDP 數據包，可用於 Intranet、Extranet 和 Internet。
資料來源：黑羊網絡(BlackSheepNetworks)

Cisco IOS® 防火牆功能集的基於上下文的訪問控制 (CBAC) 功能會主動檢查防火牆後面的活動。CBAC 通過使用訪問列表（與 Cisco IOS 使用訪問列表的方式相同）指定需要允許進入的流量以及需要釋放的流量。但是，CBAC 訪問列表包括 ip inspect 語句，允許檢查協議以確保在協議進入防火牆後面的系統之前它沒有被篡改。
資料來源：思科

DNS 區域(DNS Zones)
DNS 命名空間是按層次結構或樹組織的 DNS 域名的邏輯結構。DNS 區域是 DNS 命名空間的一部分的管理結構。DNS 區域文件是區域的存儲庫。
主 DNS 服務器託管一個可寫區域，該區域可以傳輸到一個或多個輔助 DNS 服務器。輔助 DNS 服務器上的副本或副本通常是只讀的。但是，副本可以是可寫的，例如 Microsoft AD 集成的 DNS；這取決於供應商的實施。
主 DNS 服務器和輔助 DNS 服務器之間的區域傳輸使用 TCP 端口 53。它可以定期或基於通知進行。為了安全起見，主 DNS 服務器可能會維護一個輔助 DNS 服務器的白名單。
DNS 客戶端也稱為 DNS 解析器，它使用 UDP 端口 53 向 DNS 服務器發送遞歸 DNS 查詢。然後 DNS 服務器發出多個非遞歸或迭代查詢來解決來自 DNS 客戶端的查詢。

-DNS 命名空間和區域

參考
. 域名系統(維基百科）
. DNS區域傳輸
. DNSSEC – 它是什麼以及為什麼重要？
. 基於區域的防火牆基礎知識
. 網絡安全區
. 使用區域（紅帽）
. 區域對
. 基於上下文的訪問控制
. 基於上下文的訪問控制 (CBAC)
. Cisco IOS 防火牆功能集和基於上下文的訪問控制
. 基於上下文的訪問控制 (LDAPWiki)

資料來源：Wentz Wu QOTD-20210810

-DNSSEC 資源記錄（來源：InfoBlox）
DNSSEC使用數字簽名確保DNS 數據的完整性，而 DNS over HTTPS (DoH) 或 DNS over TLS (DoT) 保護機密性。
以下是一些最重要的 DNSSEC 資源記錄 (RR)：
. DS（委託簽名者）
. DNSKEY（DNS 公鑰）
. RRSIG（資源記錄簽名）

DS（委託簽名者）
DS RR 包含子區域 KSK 的哈希值，可用作某些具有安全意識的解析器中的信任錨，並為 DNS 服務器中的簽名子區域創建安全委派點。如圖 22.1 所示，父區域 corpxyz.com 中的 DS RR 包含子區域 sales.corpxyz.com 的 KSK 的哈希值，而子區域 sales.corpxyz.com 的 DS 記錄又包含其子區域的 KSK 的哈希值, nw.sales.corpxyz.com。
-資料來源：InfoBlox

DNSKEY（DNS 公鑰）
當權威名稱服務器對區域進行數字簽名時，它通常會生成兩個密鑰對，一個區域簽名密鑰 (ZSK) 對和一個密鑰簽名密鑰 (KSK) 對。
名稱服務器使用ZSK 對的私鑰對區域中的每個 RRset 進行簽名。（RRset 是一組具有相同所有者、類別和類型的資源記錄。）它將 ZSK 對的公鑰存儲在 DNSKEY 記錄中。
然後名稱服務器使用KSK 對的私鑰對所有 DNSKEY 記錄進行簽名，包括它自己的記錄，並將相應的公鑰存儲在另一個 DNSKEY 記錄中。
因此，一個區域通常有兩個 DNSKEY 記錄；保存 ZSK 對公鑰的 DNSKEY 記錄，以及 KSK 對公鑰的另一個 DNSKEY 記錄。
資料來源：InfoBlox

R RSIG（資源記錄簽名）
一個簽名區域有多個 RRset，每個記錄類型和所有者名稱一個。（所有者是RRset 的域名。）當權威名稱服務器使用ZSK 對的私鑰對區域中的每個RRset 進行簽名時，每個RRset 上的數字簽名都存儲在RRSIG 記錄中。因此，簽名區域包含每個 RRset 的 RRSIG 記錄。
資料來源：InfoBlox

參考
. DNSSEC – 回顧
. DNSSEC – 它是什麼以及為什麼重要？
. 域名系統安全擴展
. DNSSEC 的工作原理
. DNSSEC：它的工作原理和主要考慮因素
. RFC 4033：DNS 安全介紹和要求
. RFC 4034：DNS 安全擴展的資源記錄
. RFC 4035：DNS 安全擴展的協議修改
. 基於 HTTPS 的 DNS
. 如何配置 DoT/DoH
. DNSKEY 資源記錄

資料來源： Wentz Wu QOTD-20210809