分類
CISSP

進階加密標準(Advanced Encryption Standard)

進階加密標準(英語:Advanced Encryption Standard,縮寫:AES),又稱Rijndael加密法荷蘭語發音:[ˈrɛindaːl],音似英文的「Rhine doll」),是美國聯邦政府採用的一種區塊加密標準。這個標準用來替代原先的DES,已經被多方分析且廣為全世界所使用。經過五年的甄選流程,進階加密標準由美國國家標準與技術研究院(NIST)於2001年11月26日發布於FIPS PUB 197,並在2002年5月26日成為有效的標準。現在,進階加密標準已然成為對稱金鑰加密中最流行的演算法之一。

資料來源:https://zh.wikipedia.org/wiki/%E9%AB%98%E7%BA%A7%E5%8A%A0%E5%AF%86%E6%A0%87%E5%87%86

分類
CISSP

數位簽章(Digital Sign)與電子簽名(Electronic Sign)的差別

 在凡事走向數位化的年代,透過『電子簽名』我們可以在實體的紙本文件轉變成數位電子文件的過程中,根據文件的重要程度、屬性及應用的不同,使用『電子簽名』來證明電子文件的效力。那麼『數位簽章Digital Sign』又是甚麼呢?其與『電子簽名Electronic Sign』之間的差異為何?


一. 電子簽名

    電子簽名出現的背景,始因於網路的普及化,網路打破時間及空間限制,電商網站遍地開花,為求更高的曝光度及提供客戶更便利的服務,企業也進而將經營模式由實體銷售拓展到線上經營。越來越多的商務活動逐漸在網路世界展開,各式交易、互動都朝著無紙化的方向進行,此時能為我們在網路上的行為做認證,具有保障及認定資格的電子簽名就佔了舉足輕重的地位。電子簽名在雙方有合約文件,需要表訂雙方約定、權益,要具有能確認身分且不得任意竄改之特性時,尤其重要,而在2001年台灣也通過了《電子簽章法》讓在網路上的簽署行為也有了法律的保障。



二. 電子簽名的等級?1. 電子簽名 (Electronic Signature)  
在電子文件上產出一個簡單的簽名圖檔,時間戳記也只是讀取本機端的時間,並無任何認證與防竄改技術。

2. 電子簽名+軌跡紀錄 (Biometric Signature)
只是將簽名圖檔放在文件上非常容易仿造,於是出現了加入X 、 Y向量值、筆觸壓力、書寫速度等能代表軌跡的數據,進而證實電子簽名的真實性。

3. 數位簽章(Digital Signature)

  • 防竄改,利用公私鑰交換的非對稱加密技術來實現,當文件遭到竄改時會看見非常明顯的警告。
  • 身份認證,透過公正第三方數位憑證頒發機構(CA)來驗證個人/企業/機關身份後,得到核發的的數位憑證,它就像是電子身分證,能作為身份依據。
  • 長期驗證LTV (Long Time Validation),正式文件根據不同行業別都要保存至少八到十五年,有LTV的數位簽章可以使電子文件具有長期保存的效力。
  • AATL (Adobe Approved Trust List),屬於Adobe信任清單內的CA可在Adobe軟體上看到被信任的數位簽章,不會像自簽憑證跳出不信任警告。

4. 數位簽章+軌跡紀錄 (Biometric Digital Signature)
利用擁有公鑰基礎建設的數位簽核服務,對文件簽核負予最高完整效力的電子簽名,內含數位憑證與軌跡數據。  

5. 許多人因不理解電子簽名(Electronic Signature)與數位簽章(Digital Signature)其中差異,故會混著使用,但明白後會發現是兩種截然不同的行為。

使用簽名的等級取決於文件的類型與對期望的真實性級別,兩者雖兼具法律效力,但以安全性作為考量的話,數位簽章會是更好的選擇。

資料來源:https://www.digielk.com/news_detail.php?uid=4

分類
CISSP

戰略思考與規劃(Strategic Thinking and Planning)

https://ithelp.ithome.com.tw/upload/images/20210626/2013216060MWdYWMan.png

使命與願景(Mission and Vision)
. 一個組織不是無緣無故存在的。它是為目的而建立的,並肩負著使命。它由領導者創造的願景激勵人們按照目標進行活動,並根據指標和指標進行衡量,以創造價值、實現(戰略)目標並實現願景和使命。
. 業務是指創造價值的活動的集合。它由組織的內部和外部環境驅動,這些環境施加了條件和約束以及表達期望、需求和要求的利益相關者。

治理與管理(Governance and Management)
治理是指由最高管理層或最高管理層進行的整體活動,對業務成果、組織的生存和發展以及願景和使命的實現負責。政策是最高管理層意圖的表達。
管理是實現目標或目的的系統方法。PDCA 循環是最著名的管理方法之一。

資訊安全(Information Security)
資訊安全是一門通過保障措施保護資訊資產免受威脅的學科,以實現機密性、完整性和可用性(第 3 層)或 CIA 的目標,支持業務(第 2 層)並創造和交付價值(第 1 層) .
. 資訊安全治理是最高管理層的一門學科,以 1) 承擔保護組織資訊資產的責任,2) 指導資訊安全的實施以實現機密性、完整性和可用性的安全目標,以及 3) 遵守法律和強制性的和其他需求。
. 資訊安全管理是PDCA循環,實施資訊安全戰略,實現戰略目標,落實資訊安全政策。
https://ithelp.ithome.com.tw/upload/images/20210626/20132160hvrnVkG4aP.jpg

資料來源: Wentz Wu 網站

分類
CISSP

容器化的安全原則(the security principles of containerization)

https://ithelp.ithome.com.tw/upload/images/20210625/20132160Q6Ws7TAFVV.jpg
-容器技術架構
容器映像是由開發人員創建和註冊的包,其中包含在容器中運行所需的所有文件,通常按層組織。映像通常包括層,例如最小操作系統核心(又名基礎層)、應用程序框架和自定義代碼。
儘管主機可以直接聯繫註冊中心獲取鏡像並將其部署到容器中,但協調器(例如Kubernetes(K8S)、Docker Swarm、Mesos等)可以自動執行部署過程,從註冊中心拉取鏡像,並將其部署到容器中,並管理容器運行時。

不變性和彈性(Immutability and Elasticity)
正如寵物中的雞、牛、雞和昆蟲類比,部署容器是為了彈性,具有自動“橫向擴展”和“縱向擴展”的能力。
我們很好地照顧我們的寵物,但殺死和吃掉像牛和雞這樣的動物而不會後悔。虛擬機和容器是可以隨時銷毀、替換和添加的工作負載。不變性和無狀態是容器實現彈性的兩個關鍵屬性。

不變性意味著“隨時間不變或無法改變”。(Google) 我們可以將容器視為只讀的;更新容器的唯一方法是用新容器替換它。無狀態意味著容器不會在其本地存儲中保留數據;但是,遠程存儲庫用於跨容器持久化和共享狀態。
大多數應用程序容器技術都實現了不變性的概念。換句話說,容器本身應該作為已部署但未更改的無狀態實體運行。當正在運行的容器需要升級或更改其內容時,它會被簡單地銷毀並替換為具有更新的新容器。
資料來源: NIST SP 800-192

覆蓋網絡(Overlay Networks)
覆蓋網絡通常用於隔離節點之間的流量。相反,可能會導致非容器感知防禦工具難以監控流量。

對容器進行分段和分組(Segmenting and Grouping Containers)
在某些情況下,適合將具有相同用途、敏感性和威脅態勢的容器分組在單個主機上。儘管如此,它並不適用於所有不具有相同安全要求的容器。
僅將具有相同用途、敏感性和威脅態勢的容器分組到單個主機操作系統內核上,以實現額外的縱深防禦。
按用途、敏感性和威脅態勢分割容器提供了額外的縱深防禦。這種分段可以通過使用多個物理服務器來提供,但現代虛擬機管理程序也提供了足夠強大的隔離來有效地降低這些風險。
資料來源: NIST SP 800-192

NIST 應用程序容器安全指南(NIST Application Container Security Guide)
NIST 建議組織應遵循以下建議,以幫助確保其容器技術實施和使用的安全性:

  1. 定制組織的運營文化和技術流程,以支持容器使開發、運行和支持應用程序成為可能的新方式。
  2. 使用特定於容器的主機操作系統而不是通用操作系統來減少攻擊面。
  3. 僅在單個主機操作系統內核上將具有相同目的、敏感性和威脅態勢的容器分組,以實現額外的縱深防禦。
  4. 為鏡像採用特定於容器的漏洞管理工具和流程,以防止受到損害。
  5. 考慮使用基於硬件的對策為可信計算提供基礎。
  6. 使用容器感知運行時防禦工具。

參考
什麼是容器安全?
NIST SP 800-192(應用容器安全指南)
容器安全指南——你需要知道的一切
寵物和牛的類比展示了無服務器如何融入軟件基礎設施領域
寵物與牛的歷史以及如何正確使用類比
彈性
自動化彈性

資料來源: Wentz Wu QOTD-20210408

分類
CISSP

零信任(Zero Trust)

零信任的概念早在 2003 年就出現了,當時去邊界化、移除物理網絡位置盛行。許多組織開始實施類似的概念。NIST 於 2020 年 8 月發布了專刊 800-207,統一了各種觀點,介紹了零信任概念和環境,並提出了零信任架構。
從不信任,始終驗證。零信任的基本概念是不依賴物理位置來隱式授權訪問(信任)。每次訪問都必須經過身份驗證、明確授權和記錄;數據流需要加密和記錄。應實施細粒度的動態機制來支持訪問控制。因此,我得出的結論是,零信任是一種用於訪問控製或訪問控制 2.0 的新網絡安全範式,具有以數據為中心、細粒度、動態和可見性的特點。
. 記帳和記錄網絡流量提供了可見性。
. 零信任與位置無關。使用 IPSec 加密 LAN 上的流量,就像 WAN 中發生的那樣。
. 端口敲門在端口級別應用身份驗證並支持動態策略。此外,我們還在應用程序級別使用網絡訪問控制(例如,802.1X)和用戶身份驗證。從不信任,始終驗證。
. 多層防火牆意味著安全性由物理網絡位置實施,例如外部、DMZ 和內部網絡。它不是零信任風格,它以數據或資產為中心,並使用邏輯邊界或軟件定義的邊界。
https://ithelp.ithome.com.tw/upload/images/20210625/201321608chxfFE2v4.jpg
-零信任概念的演變
https://ithelp.ithome.com.tw/upload/images/20210625/20132160zBrArbWLhT.jpg
-零信任網絡安全範式

參考
零信任創建者談論實施、誤解、戰略
敲端口

資料來源: Wentz Wu QOTD-20210407
My Blog: https://choson.lifenet.com.tw/

分類
CISSP

常見的隧道協議(Common Tunneling Protocols)

常見的隧道協議
以下是常見的隧道協議:
. GRE(協議 47):通用路由封裝
. SSTP(TCP 端口 443):安全套接字隧道協議
. IPSec(協議 50/ESP和 51/AH):互聯網協議安全
. L2TP(協議 115):第 2 層隧道協議
. VXLAN(UDP 端口 4789):虛擬可擴展局域網
封裝安全負載 (ESP)
封裝安全負載 (ESP),IP 協議編號 50,是 IPsec 協議套件的成員。它可以在主機到主機傳輸模式以及站點到站點隧道模式中實現:
. 在傳輸模式下,只對IP數據包的有效載荷進行加密或認證,通常在使用其他隧道協議(如GRE、L2TP)先封裝IP數據包時使用,然後使用ESP保護隧道數據包。(Juniper
. 在隧道模式下,整個 IP 數據包都經過加密和認證。

第2層轉發協議 (L2F)
L2F 或第 2 層轉發是 Cisco Systems, Inc. 開發的隧道協議,用於在 Internet 上建立虛擬專用網絡連接。L2F 本身不提供加密或機密性;它依賴於被隧道傳輸的協議來提供隱私。L2F 專門設計用於隧道點對點協議 (PPP)流量。
資料來源:維基百科

點對點隧道協議 (PPTP)
由於許多眾所周知的安全問題,主要由Microsoft支持的點對點隧道協議 (PPTP)是一種過時的用於實現虛擬專用網絡 (VPN) 的方法。
. PPTP 使用 TCP 控制通道和通用路由封裝隧道來封裝點對點協議 (PPP)數據包。
. PPTP 規範不描述加密,Microsoft 點對點加密 (MPPE)支持加密。

VXLAN 問題陳述
目前的VLAN數量有限,為4094,無法滿足數據中心或云計算的需求,具有基於租戶隔離網絡的共同特點。例如,Azure 或 AWS 的客戶遠多於 4094。

VXLAN (RFC 7348) 旨在解決以下問題:

  1. 生成樹和 VLAN 範圍施加的限制
  2. 多租戶環境
  3. ToR(架頂式)交換機的表尺寸不足
    VXLAN 將傳統的 VLAN 幀封裝為 IP 負載或 MAC-over-IP,以支持主幹交換機和葉交換機之間的通信。Leaf-Spine架構採用葉子交換機和骨幹交換機組成的兩層網絡拓撲結構。

https://ithelp.ithome.com.tw/upload/images/20210623/20132160uIiJ8sl9Cf.png
底層網絡 或所謂的 物理網絡 ,傳統協議在其中發揮作用。底層網絡是物理基礎設施,在其上構建覆蓋網絡。它是負責跨網絡傳輸數據包的底層網絡。

  • 底層協議:BGP、OSPF、IS-IS、EIGRP

一個 覆蓋網絡 是一個 虛擬的網絡 ,其路由在底層網絡基礎設施之上,路由決定將發生在軟件的幫助。

  • 覆蓋協議:VXLAN、NVGRE、GRE、OTV、OMP、mVPN

覆蓋網絡是一種使用軟件創建網絡抽象層的方法,可用於在物理網絡之上運行多個獨立的、離散的虛擬化網絡層,通常提供新的應用程序或安全優勢。
來源:Underlay Network 和 Overlay Network

參考
隧道協議
第 2 層轉發協議 (L2F)
通用路由封裝 (GRE)
點對點隧道協議
虛擬可擴展局域網 (VXLAN)
VPN隧道解釋
什麼是 VPN 隧道?
什麼是 VPN 隧道及其工作原理
什麼是 IKEv2?
互聯網協議安全 (IPsec)

資料來源: Wentz Wu QOTD-20210405

分類
CISSP

IDS 的檢測閾值(The detection threshold of IDS)

混淆矩陣中的敏感性是評估 IDS 性能的常用方法。
. 一旦 IDS 發送警報,就應該對其進行調查和驗證,並且工作量會增加。減少誤報的數量減少了調查工作量。
. 然而,減少誤報警報可能會增加誤報案例,導致更多的零日漏洞利用,利用組織獲利害關西人未知的漏洞進行攻擊。
. “一般來說,提高入侵檢測系統的靈敏度會導致更高的誤報率,而降低靈敏度會降低誤報率。” ( Chapple ) 降低這裡的“敏感度”可能是指配置 IDS 以降低檢測的積極性和響應性並發送更少的警報。然而,IDS 系統的敏感度究竟是多少?二元分類中靈敏度的操作定義是TP/(TP+FN)。降低靈敏度意味著 FN(假陰性)增加。
. 選項 D 在二元分類器中有意義,如下圖所示。IDS的檢測閾值是影響靈敏度的實現參數,實現方式各不相同。基於異常的 IDS 可以採用二元或多標籤分類器/算法來對事件進行分類,例如 {Attack, Non-attack} 或 { Normal, Suspicious, Attack }。由於存在各種類型的基於異常的 IDS,因此在每種算法中可能會或可能不會使用閾值。此外,在不同算法中提高閾值可能會以不同方式影響靈敏度。
https://ithelp.ithome.com.tw/upload/images/20210624/20132160BYV7e3l2wX.png
-二元分類模型的分數分佈(來源:亞馬遜

S-IDS 和 A-IDS
入侵檢測系統按檢測方法可分為基於簽名(S-IDS)和基於異常(A-IDS)。S-IDS擅長檢測已知攻擊,而 A-IDS 擅長未知攻擊。異常,又名異常值、新奇、噪音、偏差和異常,是指“偏離標準、正常或預期的東西”。(谷歌)
下圖很好地總結了異常檢測方法。但是,請注意它有一個錯字(簽名IDS應該是“S-IDS”),大多數CISSP學習指南將基於知識的IDS(K-IDS)視為與簽名IDS(S-IDS)相同。
https://ithelp.ithome.com.tw/upload/images/20210624/20132160clD74SmQxk.jpg
-Laszka、Aron & Abbas、Waseem & Sastry、S & Vorobeychik、Yevgeniy & Koutsoukos、Xenofon。(2016)。入侵檢測系統的最佳閾值。10.1145/2898375.2898399。

分類(Classification)
如果事件或流量是使用二元分類器的攻擊,則 IDS 可以使用模型(分類器)來確定事件或流量,或者使用多標籤分類器對其進行分類,例如正常、可疑或攻擊。在分類過程中可以使用作為模型參數的閾值。
將預測概率或評分轉換為類別標籤的決策由稱為“決策閾值”、“判別閾值”或簡稱為“閾值”的參數控制。對於在 0 或 1 之間的範圍內的標準化預測概率或分數,閾值的默認值為 0.5。(Brownlee

ROC曲線(ROC Curve)
ROC 曲線(接收器操作特性曲線)是顯示分類模型在所有分類閾值下的性能的圖表。該曲線繪製了兩個參數:真陽性率和假陽性率。(谷歌)
https://ithelp.ithome.com.tw/upload/images/20210624/2013216061vIETP7gL.png
-資料來源:谷歌

混淆矩陣(Confusion Matrix)
混淆矩陣是一種評估 IDS 使用的模型性能的工具。它包含有關使用二元或多標籤分類器進行的實際和預測分類的信息,例如 {Attack, Non-attack} 或 { Normal, Suspicious, Attack }。
https://ithelp.ithome.com.tw/upload/images/20210624/2013216084RUoTPUFu.jpg
-混淆矩陣(圖片來源:數據科學和機器學習
https://ithelp.ithome.com.tw/upload/images/20210624/20132160KkA5nGTp0S.jpg
-混淆矩陣和決策樹(圖片來源:Judy Shamoun-Baranes

參考
準確率和召回率
敏感性和特異性
精確召回
入侵檢測系統的最佳閾值
入侵檢測系統 – IDS 性能調優 (YouTube)
網絡入侵檢測系統:機器學習和深度學習方法的系統研究
大數據環境下使用機器學習算法的入侵檢測模型
機器學習中的分類算法:它們是如何工作的
7種分類算法
統計異常檢測
異常檢測
靈敏度、特異性、準確性、相關置信區間和 ROC 分析與實用 SAS® 實施
評估和調整入侵檢測系統
什麼是入侵檢測系統?最新類型和工具
不平衡分類的評估指標之旅
不平衡分類的閾值移動簡介
多標籤分類的閾值選擇研究
分類:閾值(谷歌)
多標籤分類
多類分類(亞馬遜)
二元分類(亞馬遜)
在 scikit-learn 中微調分類器
機器學習:神經網絡

資料來源: Wentz Wu QOTD-20210406

分類
CISSP

虛擬局域網擴展VXLAN

虛擬局域網擴展(Virtual Extensible LAN, VXLAN)是一種網路虛擬化技術,它試圖改善大雲計算部署相關的可擴展性問題。它採用類似VLAN封裝技術封裝基於MAC含括第 4 層的UDP封包的 OSI 第2層 乙太網影格 ,使用 4789 作為預設分配的 IANA 目的地 UDP 埠號。[1]

VXLAN 是努力覆蓋封裝協定的演變,它提高了可擴展性達 1600 萬個邏輯網路,並允許透過IP網路鄰接第 2 層。使用 HER (Head-End Replication)的 多播 或 單播 是用來淹沒 BUM (broadcast, unknown destination address, multicast) 流量

VXLAN 規格一開始是由 VMwareArista Networks 和 Cisco 建立的 [2][3],其他的 VXLAN 技術擁護者包括HuaweiBroadcomCitrix、Pica8、Cumulus Networks、Dell、Mellanox、[4] OpenBSD、[5] Red Hat[6] 和 Juniper Networks

VXLAN 正式由 IETF 記錄在 RFC 7348 內。Open vSwitch 支援VXLAN覆蓋網路。

VXLAN的作用

VXLAN可以為網路提供以下作用:

  • 突破 VLAN的最多 4096 個終端的數量限制,以滿足大規模雲計算資料中心的需求。目前因為現在虛擬化技術的發展,在資料中心裏的伺服器都類比成虛擬機 (VM),而且 VM 一般都會需要分割成組,達成二層隔離,目前大多是透過 VLAN 技術實現的。但 VLAN 技術的缺陷是 VLAN Header 預留的長度只有12 bit,最多只能支援4096個,無法滿足日益增長的需求。目前 VXLAN 的報文 Header 內有 24 bit,可以支援 2的24次方的 VNI 個數。(VXLAN中透過 VNI 來識別,相當於VLAN ID)
  • 解決 STP在大型網路裝置頻寬浪費和收斂效能變慢的缺陷。在資料中心一旦啟動 STP,將導致鏈路頻寬的浪費。此外,當拓撲增加到二百台網路裝置時,收斂效能會顯變慢。
  • 解決 ToR (Top of Rack) 交換機 MAC表耗盡問題。二層網路出現後,不僅要記錄資料中心二層裝置的 MAC 位址,還得記錄其他資料中心二層範圍內的位址,這包括了海量的虛擬機器的 MAC 位址,這增加了 TOR MAC表的需求。但目前的交換機晶片遠遠無法滿足此一需求。

資料來源:https://zh.wikipedia.org/wiki/%E8%99%9B%E6%93%AC%E5%B1%80%E5%9F%9F%E7%B6%B2%E6%93%B4%E5%B1%95

分類
CISSP

Content-Dependent Control 依賴內容的控制 &Context-Dependent Control 依賴上下文的控 制

Basic concepts

One of the primary concepts in access control is to understand the subject and the object.

subject may be a person, a process, or a technology component that either seeks access or controls the access. For example, an employee trying to access his business email account is a subject. Similarly, the system that verifies the credentials such as username and password is also termed as a subject.

An object can be a file, data, physical equipment, or premises which need controlled access. For example, the email stored in the mailbox is an object that a subject is trying to access.

Controlling access to an object by a subject is the core requirement of an access control process and its associated mechanisms. In a nutshell, a subject either seeks or controls access to an object.

基本概念
訪問控制的主要概念之一是理解主體和客體。主體可以是尋求訪問或控制訪問的人、過程或技術組件。例如,試圖訪問其企業電子郵件帳戶的員工就是一個主題。同樣,驗證用戶名和密碼等憑據的系統也稱為主體。對象可以是需要受控訪問的文件、數據、物理設備或場所。例如,存儲在郵箱中的電子郵件是主題試圖訪問的對象。控制主體對對象的訪問是訪問控製過程及其相關機制的核心要求。簡而言之,主體尋求或控制對客體的訪問。

An access control mechanism can be classified broadly into the following two types:

  1. If access to an object is controlled based on certain contextual parameters, such as location, time, sequence of responses, access history, and so on, then it is known as a context-dependent access control. In this type of control, the value of the asset being accessed is not a primary consideration. Providing the username and password combination followed by a challenge and response mechanism such as CAPTCHA, filtering the access based on MAC adresses in wireless connections, or a firewall filtering the data based on packet analysis are all examples of context-dependent access control mechanisms.Completely Automated Public Turing test to tell Computers and Humans Apart (CAPTCHA) is a challenge-response test to ensure that the input to an access control system is supplied by humans and not by machines. This mechanism is predominantly used by web sites to prevent Web Robots(WebBots) to access the controlled section of the web site by brute force methods

訪問控制機制可以大致分為以下兩種類型:
如果對對象的訪問是基於某些上下文參數(例如位置、時間、響應順序、訪問歷史等)來控制的,那麼它被稱為上下文相關的訪問控制。在這種類型的控制中,被訪問資產的價值不是主要考慮因素。提供用戶名和密碼組合,然後是驗證碼等質詢和響應機制,根據無線連接中的 MAC 地址過濾訪問,或基於數據包分析過濾數據的防火牆都是上下文相關訪問控制機制的示例。完全自動化的公共圖靈測試來區分計算機和人類 (CAPTCHA) 是一種挑戰-響應測試,以確保訪問控制系統的輸入由人類而非機器提供。該機制主要由網站使用,以防止網絡機器人(WebBots)通過蠻力方法訪問網站的受控部分

2.If the access is provided based on the attributes or content of an object,then it is known as a content-dependent access control. In this type of control, the value and attributes of the content that is being accessed determines the control requirements. For example, hiding or showing menus in an application, views in databases, and access to confidential information are all content-dependent.

如果訪問是基於對象的屬性或內容提供的,則稱為內容相關訪問控制。在這種類型的控制中,被訪問的內容的值和屬性決定了控制要求。例如,隱藏或顯示應用程序中的菜單、數據庫中的視圖以及對機密信息的訪問都取決於內容。

資料來源:https://hub.packtpub.com/cissp-security-measures-access-control/

資料庫的資料給不給看, 或給多少資料看, 都是一種存取控制. Context這個字, 可以解釋成subject及object以外的東西, 都是context. (ABAC以屬性為基礎的存取控制就是這樣的觀點, 依subject, object, 及context/environment的屬性來授權).
除了控制資料要揭露多少以外(content-dependent), 也可以由環境來控制(存取的時間, 位置等).

分類
CISSP

ISO OSI 參考模型的數據鏈路層(Data Link layer)-邏輯鏈路控制(logic link control)

https://ithelp.ithome.com.tw/upload/images/20210622/201321606xSgGi0csg.png
-圖片來源:TelecomWorld 101
ISO OSI 參考模型的數據鏈路層從 IEEE 的角度可以分為兩個子層:邏輯鏈路控制(LLC)和媒體訪問控制(MAC)。

邏輯鏈路控制 (LLC)
LLC處理以下問題:
流量控制:例如,滑動窗口
錯誤控制
. 錯誤檢測:例如,循環冗餘校驗 (CRC)
. 糾錯:例如,重傳

媒體訪問控制 (MAC)
以下是三種眾所周知的媒體訪問機制:
. 令牌傳遞
. CSMA/CD
. CSMA/SA

參考
IEEE802.2 – 邏輯鏈路控制層 (LLC)
數據鏈路層的錯誤檢測和糾正
數據鏈路層的流量控制

資料來源: Wentz Wu QOTD-20210404