月份: 2023 年 8 月
PS:非商業使用 僅推廣CSM
我將網路安全概念以及以下定義組織到思維導圖中：
“資訊安全是一門通過安全控制保護資產免受威脅的學科，以實現機密性、完整性和可用性 (CIA)、支持業務、創造價值並實現組織使命和願景。”
定義和思維導圖統稱為WISE模型。希望它對您的 CISSP 之旅有所幫助！
附言。我交替使用“資訊安全”和“網絡錄安全”，儘管總統網路安全政策、CISM 和許多其他來源可能會以不同的方式對待它們。我所說的“資訊安全”是廣義的資產安全。
資料來源：https://wentzwu.com/2023/08/14/wise-model-mind-map-v2-7-2/
PS:經過作者同意轉意此文章
安全功能不是業務功能的孤島。正如CISSP 考試大綱所述，如上所示，資訊安全策略應與其他業務職能部門協作，並與業務和組織的使命、目標和戰略保持一致。
資訊安全計劃策略指導資訊安全策略的實施或執行。制定標準、程序和指南是為了支持政策。基線是遵守標準的手段。
資料來源： Wentz Wu QOTD-20220101
My Blog: https://choson.lifenet.com.tw/
PS:此文章經作者同意翻譯轉載
這個問題旨在指出滲透測試方法有多種，並且滲透測試人員使用的術語或行話可能不一致。然而，以下條款通常被接受：
. 指紋識別是一種識別主機或服務的技術。例如，生存時間 (TTL)、標頭或橫幅等信息可以確定操作系統、服務或守護程序名稱和版本以及其他信息。
. 端口掃描是一種確定哪些 TCP 或 UDP 端口打開或關閉的技術。
列舉
滲透測試人員通常在收集信息/情報、掃描 IP、確定設備和操作系統的類型、掃描端口並發現可用服務後，列舉主機上的服務提供的資源。
根據InfoSec Institute 的說法，枚舉用於收集以下內容：
. 用戶名、組名
. 主機名
. 網絡共享和服務
. IP表和路由表
. 服務設置和審核配置
. 應用程序和橫幅
. SNMP 和 DNS 詳細信息
偵察
然而，偵察（Reconnaissance），簡稱Recon，是一個常用但沒有一致定義的術語。大多數滲透測試人員可能會同意這種情況發生在滲透測試的早期階段。有些人可能將其等同於 OSINT，有些人可能將其視為一個階段，而不是一種技術，而另一些人可能將其視為方法的組合。
. 偵察情報。這是一種從開源收集信息或情報的更為被動的方法，稱為 OSINT（開源情報）。
. 偵察目標信息。有些人可能會採取更積極的方法通過與評估目標互動來收集信息來進行偵察。鑑於此，可以使用指紋識別技術。
參考
. 滲透測試階段的完整指南
. 什麼是枚舉？[2021 年更新]
. 第 2 階段 – 列舉：查找攻擊向量
. 安全測試——列舉
. 網路安全指紋技術和操作系統網路指紋工具
資料來源： Wentz Wu QOTD-20210201
My Blog: https://choson.lifenet.com.tw/
PS:此文章經過作者同意而翻譯
【安全】的概念要從【保護】的角度談起。因此，談安全的概念必須思考四個議題：
為什麼要保護？因為有風險。
人類有慾望、願景、目標，但卻有影響目標達成的不確定因素(風險)存在。
保護什麼東西？資產 。
資產是有價值且值得保護的東西。要實現目標必須投入資源，這些資源都是我們覺得重要、有意義或有用的東西(即有價值東西，也就是資產)。
如何保護？安全控制措施(security controls)。
從風險管理的角度，當們作了風險評鑑（識別、分析、評估）後，下個步驟就是進行風險處置。在資安，安全控制措施則是風險處置的具體手段。
保護到什麼程度或達成什麼目標？資安有三階目標。
除了最基礎的CIA，還要能支持組織業務、創造價值，實現組織的使命與願景。
因此，【資訊安全】從字面意義來看，就是指【保護資訊】。同理，【國家安全】就是在談【保護國家】。但保護資訊若只談保護【資訊】本身將不夠全面，必須將處理資料/資訊的相關元素考慮進來，也就是從【資訊系統】的角度來思考資訊安全的議題；這也就是為什麼CISSP的全名是Certified 【Information Systems】 Security Professional. 然而，當代的安全議題，除了從資訊升級到資訊系統，更納入了OT, IoT, Infrastructure等資產，進而升級到【資產】安全；這也是為什麼CISSP的Domain 2的標題叫作Asset Security的原因。
也就是說，我們中文的【資安】一詞，全稱是【資訊安全】，若只從字面意義來看，其範圍就只有保護資訊本身；其它如網路安全、電腦安全…. 大概都可以用【保護】的概念去思考。若從CISSP的全名去看【資訊安全】，也就是從資訊系統（孔雀八根毛）的角度去看，它的範圍會更全面。但若我們從CISSP的Domain 2或實務的觀點去看資安，它探討的則是資產安全的議題。
結論：我們中文的【資訊安全】或【資安】一詞，其實是一個簡約的說法，它並不是真的只討論如何保護資料，而是將【範圍】擴大到資產，以及將【目標與定位】升級到業務及組織的層級，也就是由傳統的CIA目標，升級到三階目標：亦即支持組織業務、創造價值，實現組織的使命與願景。
資料來源：https://medium.com/the-effective-cissp/%E9%87%8D%E6%96%B0%E8%AA%8D%E8%AD%98%E8%B3%87%E8%A8%8A%E5%AE%89%E5%85%A8-33bdc11fcf6b
PS:經作者同意轉載此文章