CISSP 八大域之安全與風險管理（第六）

1.1 理解和應用機密性、完整性和可用性的

• 安全的主要目標，CIA三元組 機密性、完整性和可用性，每條原則的重要性主要取決于組織的安全目標以及安全性所受到的威脅程度

1.1.1 機密性

• 機密性：限制未授權主體不能訪問數據、客體或資源提供了高級別保證
• 針對機密性的攻擊：捕捉網絡通信、竊取密碼文件、社會工程學、端口掃描、肩窺、偷聽、嗅探攻擊，人為錯誤
• 有助于機密性的對策： 加密、網絡流量填充、嚴格的訪問控制、嚴格的認證程序、數據分類和廣泛的人員培訓
• 機密性和完整性相互依賴

1.1.2 完整性

• 完整性：客體必須保持自身的正確性，并且只能由被授權的主體進行有意修改
• 針對完整性的破壞： 病毒、邏輯炸彈、未授權訪問、編碼和應用程序的錯誤、惡意修改、有企圖的替換以及系統后門，人為錯誤
• 保護完整性的措施：嚴格的訪問控制、嚴密的身份認證、入侵檢測系統、加密、散列總和認證、接口限制、輸入/功能檢測以及廣泛的人員培訓
• 完整性依賴機密性，缺乏機密性，完整性無法維護

1.1.3 可用性

• 可用性：經過授權的主體被及時準許和不間斷的訪問客體
• 針對可用性的威脅：設備故障、軟件錯誤、環境問題、DOS攻擊、客體損壞和通信中斷
• 可用性依賴完整性和機密性，缺乏完整性和機密性無法維護可用性

1.1.4 其他安全概念

身份標識

• 主體表明身份，并開啟可問責性
• 身份認證：認證或測試所聲明身份合法性的過程就是身份認證，身份認證要求主體的附加信息必須完全對應于被表明的身份

授權

• 確保請求的活動或客體訪問，可以獲得通過身份認證和指派的權利和特權，對授權的定力使用了訪問控制模型中的概念，如DAC,MAC或RBAC

審計

• 審計是對系統中未授權的或異常的活動進行檢測的過程，日志為重建事件、入侵和系統故障的歷史提供了審計跟蹤，通過審計為起訴提供證據、生成問題報告和分析報告
• 審計通常為操作系統和大多數應用程序和服務的內在特性，因此配置系統功能來記錄特定類型時間的相關信息非常簡單

可問責性

• 只有支持可問責性，才能正確實施組織的安全策略
• 為了獲得切實可行的可問責性，在法律上你必須能夠支持自己的安全性

不可否認性

• 不可否認性確保活動或事件的主體無法否認所發生的事情
• 身份標識、身份認證、授權、可問責性和審計使不可否認性稱為可能，使用數字證書、會話標識符、事務日志以及其他很多傳輸和訪問控制機制，建立不可否認性

1.1.5 保護機制

• 許多控制通過使用保護機制對機密性、完整性和可用性保護

分層

• 簡單的使用連續的多重控制，也被稱為深度防御，連續分層使用串行分層法
• 分層還包括網絡由多個獨立實體組成的概念，所有構成的單個安全防線的網絡系統之間存在協同作用，共筑安全防線

抽象

• 為提高效率而使用的，將相似的元素放入組、類別或角色中，在為客體分類或主體分配角色時，就使用到抽象的概念
• 抽象能夠為安類型或功能分類的客體組分配安全控制方法，并抽象簡化安全措施

數據隱藏：

• 將數據置于主體不可訪問或無法看到的存儲空間，從而防止主體發現或訪問數據
• 不讓未授權的訪問者訪問數據庫是隱藏，限制分類級別較低的主體訪問級別較高的數據是隱藏，組織應用程序直接訪問硬件還是數據隱藏

1.2 應用安全治理原則

• 安全治理是實踐行為的集合，這些實踐都支持、定義和指導組織的安全工作相關
• 安全治理的共同目標就是維護業務流程，同時努力實現增長和彈性
• 安全治理也有合規性上的需求，是實施安全的解決方案和管理方法，安全是整個組織同時進行管理和控制的，而不只是在IT部門

1.2.1 安全功能戰略、目標、任務和愿景的一致

• 安全管理計劃能確保安全策略的適當創建、實現和實施
• 安全策略編制的最好方法是自上而下，高層或管理部門負責啟動和定義組織的安全策略，安全策略為組織中較低級別的人員指出防線，中層管理部門的職責是在安全策略的指導下制定標準、基準、指導方針和程序，操作管理者和安全專家負責實現安全管理文檔中規定的配置要求，用戶遵守組織制定的安全策略
• 安全管理計劃編制包括：定義安全角色；規定如何管理安全性、誰負責安全性 以及如何測試安全性的效益；開發安全策略；執行風險風險；對員工進行安全教育

安全管理計劃團隊開發的三種計劃

• 戰略計劃： 相當穩定的長期計劃，定義組織的目標，長期的目標和愿景在戰略計劃中被討論，還包括風險評估
• 戰術計劃：中期計劃，用于提供實現戰略計劃所提出目標的詳細細節，包括項目計劃、采購計劃、雇傭計劃、預算計劃、維護計劃、支持計劃以及系統開發計劃
• 操作計劃：基于戰略計劃和戰術計劃制定的非常周詳的計劃，清楚說明了如何完成組織機構的各種目標，包括：培訓計劃、系統部署計劃和產品設計計劃

1.2.2 組織流程

• 安全治理需要照顧到組織的方方面面，包括收購、剝離和治理委員會等組織流程

變更控制/變更管理

• 安全環境的改變可能引入導致心脆弱性出現的漏洞、重疊、客體丟失和疏漏，面對變更，維持安全性的唯一方法就是系統的管理變更
• 變更管理的目的就是確保任何變更都不能降低或危機安全性，還負責能夠將任何變更都回滾到先前的安全狀態
• 并行變更是變更管理過程的示例，舊系統和新系統并行運行，確保新系統支持老系統所支持和提供的所有必須的業務功能性

數據分類

• 分類的主要目的： 根據重要性和敏感性給數據分配標簽，對數據安全保護過程進行規范化和層次化
• 政府/軍方分類： 絕密、秘密、機密、敏感但非機密、非機密
• 商業/私營部門的分類： 機密、隱私、敏感、公開

1.2.3 安全角色和責任

• 高級管理者：最終負責組織機構安全維護和最關心保護資產的人，高層管理者對安全解決方案的總體成敗負有責任，并且對組織機構建立安全性予以適度關注并盡職盡責
• 安全專家：職責是保護安全性，包括制定和實現安全策略，安全專家不是決策制定者，只是實現者，決策都必須又高層管理制定
• 數據所有者： 分配給再安全解決方案中為了防止和保護信息而負責對信息進行分類的人，
• 數據管理員：負責實施安全策略和上層管理者規定的保護任務的用戶，這些措施包括：完成和測試數據備份，確認數據的完整性，部署安全解決方案以及根據分類管理數據存儲
• 用戶：分配給具有安全系統訪問權限的任何人
• 審計人員：負責測試和認證安全策略是否被正確實現以及衍生出來的安全解決方案是否合適，完成遵守情況報告和有效性報告，高層管理者審查這些報告

1.2.4 控制架構

• 安全指定計劃必須從規劃計劃開始，然后規劃標準和合規，最后進行實際的計劃開發和設計
• 信息及相關控制目標（COBIT），記錄了一整套優秀的IT安全實踐

1.2.5 應盡關注和應盡職責

• 應盡關注：通過合理的關注保護組織利益，開發規范化的安全結構
• 應盡職責：不斷實踐維護應盡關注成果的活動，將安全結構應用到機構的IT基礎設施中
• 高管必須做到應盡關注和應盡職責才能在出現損失時減少他們的過過失和職責

1.3 開發和文檔化安全策略、標準、指導方針和程序

• 維護安全性是業務發展的重要組成部分

1.3.1 安全策略

• 規范化的最高層次就是安全策略，許多組織都采用多種類型的安全策略來定義或概括他們整體的安全策略
• 規章式的策略：用于讓人們遵守規章制度的安全措施
• 建議式策略：討論可接受的行為和活動，并且定義違背安全性的后果，這種策略解釋了高層管理部門對組織內部安全和遵守規定的期望
• 信息式的安全策略：設計用于提供特定主體的相關信息或知識

1.3.2 安全標準、基準及指南

• 標準為硬件、軟件、技術和安全控制方法的統一使用定義了強制性要求，標準是戰術文檔，定義達到安全策略指定的目標和總體方向的步驟和方法