彩虹系列  橘皮书

TCSEC（美国）   B2结构化  

绿皮书 管密码 

ITSEC  是欧洲的

CC (ISO 15468)

保护轮廓：保护的需求 PP（安全功能需求）

安全保证需求（安全目标）ST

EAL  （评估保证级别）必考

功能 结构 系统测试  系统设计 半测 半验 正式验证

鉴定(认可）本质是授权 第三方机构

认证进行技术评估

定义——测量——控制——管理（改进）

认证和鉴定系统

定义——验证——确认——鉴定（认可）

 可信基

信息流模型 （必考）  

bell模型 解决机密性 用于军事环境

biba模型  解决完整性 用于军事环境

未分类  敏感  机密 秘密 绝密 

做规划设计时采用访问控制矩阵

CW模型 用于商业环境

多层面实现数据的完整性

封闭系统更加安全    

对访问界限对进程进行限制，进程在隔离状态中运行

自主访问控制 DAC

强制访问控制 MAC   

销毁敏感数据

擦除（Erasing）删除

消除（Clean / overwriting）比擦除相关安全

清除（Purging） 介质清除工具

净化（sanitization）脱敏

净化包含物理损坏、介质清除工具是个总称

消磁对CD\DVD\SSD不起作用

清除云上的数据，如何清除干净  只能采取加密的方式

静态数据 ：需进行加密

传输数据：MSN是明文的传输方式 加shell（安全壳）明文变密文

定界：选择最佳安全标准

定制：裁剪，优化改进

先固化——优化

AES加密 高级加密标准（256位）

加密的密码与解密的密码为同一个密钥

传输中的数据加密采用VPN

HTTPS  TLS替代SSL

SSH替代TELNET  SSL（加密传输 ）

可用性：对于老旧设备，定期做数据转录及迁移

什么可以绕过防火墙

1、猫 modem

2、无线AP

端点DLP保护性强

数据保留：三个问题

保存什么数据

1、数据处理者   培训和审计

2、数据残留（100%会考）纸张也属于介质

光盘、磁带粉碎

硬盘 删除硬盘的数据不靠谱会被取回   格式化也不安全

格式化 

覆盖：用1，0覆盖硬盘中的1,0

消磁

物理损坏最安全

介质清除工具：SSD硬盘（芯片级硬盘）

1、资产清单   资产分类与标记(机密、敏感、隐私、公开）(confidential)

2、名字、性别单独可以公开 ，但这些信息添加出生日期等，就要受到保护

3、健康信息需要受到保护（PHI）

4、与员工签订保密协议、竞业协议来保证专有数据是安全的

5、政府数据分类：绝密、保密、机密、 非机密 （secret）

6、保护数据机密性最好的方法是加密，以及多因素的身份验证机制

7、DLP 数据防泄露 需要可以对加密的数据进行解析，或是对

面对“社会工程学攻击”的方法就是 信息安全教育

缓冲区溢出：可能导致可以在服务器执行任意代码

对代码进行 边界 审查：

用户输入的值的长度不能超出现有缓冲区的大小

不允许对变量输入无效的值

用户输入不能超出程序规定的范围

PMP 5大过程组:

1. 启动 2. Plan 3. 执行 do 4 Monitor 5. Close

验收测试阶段发生在 检测 阶段。

在测试之前一定要对数据进行 脱敏 （在测试环境使用生产环境的数据）

所有的故障都必须做记录

ITSM/ITIL

Event：事态、事件

Incident: 事故、故障 （1，服务/业务中断，2，服务质量降低）

管理评审，一般一年做一次。

ISMS: information Secuirity management system

SOC: Service Organization Control

SOC1: 财务

SOC2: 比较详细，关注 CIA, for 内部使用

SOC3: 比较粗略，也是关注CIA, for 外部使用

关键性能和风险指标：KPI, KRI

默认安装：默认的参数，默认密码没有修改（本质：没有安全基线）

假性正面报告（误报）False Positive report

假性负面报告（漏报）False Negative report

渗透测试，OSCP, 需要审批

白盒测试（全知识）

灰盒测试

黑盒测试

IAAAA : 后2个A, Audit 审计Accounting追责 (基于日志)

将代码部署到生产环境，要职责分离，应该由运维人员完成而不是开发人员

模糊测试Fuzzing test，必考

误用案例测试：（滥用）输入以前发生的错误，看我们的软件里有类似问题的存在

内部审计：三道防线

安全评估程序：一般由安全信息团队来完成

安全测试 = 内部测试，定期进行

SLA 月度

BCP年度

当发生例外情况，安全测试要立即执行

审计报告，是组织的机密文件

RADIUS 的缺陷：

1.缺少完整性的保护

2.发送用户标识的时候用明文

RADIUS:用UDP

TACACS+: 用TCP

DIAMETER: 提供对等服务，不是CS架构，使用TCP

ACL: 不区分主体，只要符合规则就生效

MAC: 基于标签的访问控制

SSL: 使用对称加密，加密数据；使用非对称加密进行对等认证

SKIP和IPsec结合，工作在第三层

后来SKIP被IKE （internet key exchange）替代了

邮件要分类，要不然DLP会失效

VPN的协议：

1. PPTP 身份验证，不加密， IP, 支持远程连接

2. L2F  身份验证，不加密, IP, 支持远程连接

3. L2TP 身份验证，不加密, 支持所有协议, 支持远程连接

4. IPsec 身份验证，加密，IP,

防止 重放 攻击：序列号和时间戳

ESP: 用对称加密算法

网络攻击是重点

被屏蔽主机，也可以叫做堡垒机

被屏蔽子网：DMZ,网络隔离区

传输层：端到端的连接，使用 TCP/UDP 协议

Network网络层：使用IP 协议

7层：物数网传会表应

什么设备工作在物理层：网卡，中继器，HUB

数据链路层：保证信息交互的正确性，使用MAC地址寻址

TCP：需要3次握手

UDP: 非可靠协议

FTP，Telnet: 不安全协议

隐蔽通道

密码学：10道题以上，考基本概念

对称加密的最大问题：就是在对于key的分发，主要用于大量信息的加密

用私钥加密，主要是确认身份，实现不可否认性。

用对方的公钥加密，实现了机密性