CISSP 重点知识点总结2
CISSP 重点知识点总结-2-资产安全
资产安全
第 5 章 资产安全
资产识别和分类
信息分级
分级(Classification) 按照敏感度（机密性被破坏），比如confidential, Sensitive,
按照重要性（可用性被破坏损失的impact影响度）
分级控制
职责分离（判断两个或更多的人必须参与访问敏感信息，防止欺诈行为；定义相关程序）
定期审查（审查分类层次、数据和程序等相关内容，确保他们仍然与业务需求保持一致, 数据或应用程序可能还需要重新分类）
标记，标识和处理程序
Marking（物理存储介质上做标记）
Labeling（系统里分级标注）
控制类别的选择取决于管理组及安全团队对相应类别信息的安全需求
对所有敏感的数据和程序进行严格的和粒度的访问控制
在存储和传输的同时对数据进行加密
审计和监视（确定需要什么级别的审计和多长时间的日志被保留）
备份和恢复程序（定义）
变更控制程序（定义）
物理安全保护（定义）
信息流动渠道（哪里敏感数据驻留，它如何在网络上传播）
妥善的数据处理程序，如切碎、消磁，等等（定义）
数据分级程序
- 定义分级级别
- 指定将确定数据分级的标准
- 确定负责数据分类的数据所有者
- 确定负责维护数据及其安全级别的数据保管人
- 指示每个分级级别所需的安全控制或保护机制
- 记录以前的分类问题的任何异常
- 指示可用于将信息的托管转移到不同数据所有者的方法
- 创建一个程序定期审查分类和所有权，将对数据托管的任何更改进行传播
- 显示程序重新分类数据
- 将这些问题整合到安全意识计划中
责任的层级
- 高级管理者理解公司愿景、业务目标
- 下一层是职能管理者，其成员了解各自的部门如何工作，个人在公司内扮演什么角色，以及安全如何直接影响他们的部门。
- 下一层是运营经理和员工。这些层更接近公司的实际运作。他们知道详细的技术和程序要求，系统，以及如何使用系统的信息。
- 在这些层的员工了解安全机制集成到系统中，如何配置它们，以及它们如何影响日常生产力。
- 每一层级，都应该输入最好的安全措施，程序和选择的控制，以确保商定的安全级别提供必要的保护
- 注意：高级管理层对组织安全最终责任
资产分级
资产管理与信息安全
软件License管理：防止侵权，安全管理员应协助实施控制，并定期检查
资产管理是信息安全实施的基础，没有资产管理就无法深入了解信息安全事件。
资产管理驱动访问控制建设，如NAC网络访问控制
设备生命周期安全管理
需求定义阶段：定义安全需求、安全成本是否合适、是否满足安全架构
获取与实施阶段：验证安全特性、安全配置、安全认证认可、设备入库
运行与维护阶段：配置检查、漏洞评估、变更控制
废止阶段：数据安全、配置库更新
资产管理的概念
库存管理 (Inventory Management)： 主要是维护软硬件资产的状态
配置管理 (Configuration Management)
配置管理可以基于配置项（CI）建立分类、组件、上下游、父子关系等
基于配置项进行变更控制，监控配置项的状态
配置管理库（CMDB）：集中管理所有资产配置信息的库
资产管理 (IT Asset Management)
增加了资产的财务视角：成本、价值、合同状态
资产的全生命周期管理：从采购到废止
物理、财务、合同全方位管理
理解数据状态
数据安全控制
静态数据 (Data at Rest) 针对存储数据的保护，包括备份磁带、异地存储、密码文件和其他敏感数据
风险 : 恶意用户可能通过物理或逻辑访问存储设备，获取敏感信息
推荐对策
制定并测试数据恢复计划
可移动设备和介质必须进行加密，包括笔记本、平板电脑、智能手机，可穿戴设备
选择合适的加密工具和算法，如AES加密
创建安全的口令
使用口令和密钥管理工具
可移动介质应当打上标签
可移动介质应当保存在安全的场所
记录可移动介质的位置，并进行跟踪管理
动态数据 (Data at Transit/Data in Motion) 针对传输数据的保护，主要通过加密方法，防止被截获，如链路加密，端到端加密
风险: 恶意用户可能截获或监控传输中的明文数据
推荐对策
保密数据在任何网络上进行传输都必须加密，包括内网之间的传输
数据可以被 Web 访问时，必须采用安全加密协议，如TLS1.2/1.3
Email 传输必须使用 PGP或S/MIME，并将数据通过加密软件加密作为附件
网络层采用IPsec加密
非 Web 数据应当采用应用级加密
应用和数据库之间通信应采用加密
设备之间传输敏感数据应当采用加密
使用中的数据/端点数据 (Data in Use (End Point)) 程序正在运行处理的数据
数据防泄漏 DLP（Data Leak/Loss Prevention）
定义 ： 瞄准防止企业敏感信息泄露的一套技术
部署 DLP 的优点
- 保护关键业务数据和知识产权
- 加强合规
- 降低数据泄露风险
- 加强培训和意识
- 改进业务流程
- 优化磁盘空间和网络带宽
- 检测流氓/恶意软件
三个关键目标
- 将存储在整个企业的敏感信息进行定位和编程目录
- 对整个企业敏感信息的移动进行监控和控制
- 对终端用户系统敏感信息的移动进行监控和控制
组织敏感信息的分类、存储位置和传输路径
- 组织常没有认识到他们处理的信息的类型和位置，购买 DLP 方案时首先要了解敏感数据类型和系统间以及系统到用户的数据流
- 分类 Classifications 可以包括属性 categories，如隐私数据、财务数据和知识产权等
- 一旦对数据进行适当的识别和分类，更深的分析流程来帮助进行主要数据和关键数据路径的定位
- 需要关注企业数据的生命周期，理解数据的处理、维护、存储和处置等能揭示更深的数据存储和传输路径
动态数据 Data in Motion
DLP solution
- 被动的监测网络流量
- 识别捕获的正确数据流量
- 组装所收集的数据
- 在数据流中进行文件重建
- 执行静态数据同样的分析并确认文件内容任何部分是收到其规则限制的
为监测企业网络数据移动，DLP 方案使用特别的网络设备, 或内置技术有选择的捕获和分析网络流量
深度报文检测 (deep packet inspection (DPI)) 技术，作为 DLP 的核心能力，DPI 能够越过基本的包头信息阅读数据包载荷内容
DPI 技术允许 DLP 检测传输中的数据并确定内容、来源和目的地
DLP 有能力应对加密的数据 (如具有加密秘钥)或者再检测前进行解密并在检测完成后继续加密
Data in Use (End Point)使用中的数据
- 监控终端用户在他们的工作站上所采取数据移动行为
- 使用 Agent 完成任务
隐写术和水印技术
- Watermark
- 隐写术是一种信息隐藏技术，入将大量信息隐藏在图片和视频文件中
- 信息隐藏包括隐蔽通道、在Web页面隐藏文本、隐藏可见文件, 空密码
确定数据安全控制
信息生命周期：创建、使用、存储、传输、变更、销毁等
数据安全
针对数据安全的威胁行为包括：滥用、恶意攻击、无意错误、非授权访问，物理设备盗窃或损坏，自然灾害等
采用分层的安全架构，以及深度防御架构
- 不间断电源，服务器镜像（冗余），备份，备份完整性测试
- 物理访问控制，网络访问控制，防火墙，敏感数据加密
- 软件补丁更新，事件响应，灾难恢复计划等
采用基于风险管理的方法
- 风险评估
- 风险降低
- 评价和评估
管理信息和资产
消除数据残留（Remanence）
**清除 (Clearing)：**通过一般的系统或软件恢复工具无法恢复
**Overwriting 覆写：**使用程序对介质进行写操作, 以覆盖原有数据，通常进行三遍（>6遍）
**根除 (Purging )：**任何技术都无法恢复
破坏 (Destruction )：存储介质被破坏到常规设备无法读取和使用的地步至不可用
**介质销毁 (Media Destruction)：**从物理上销毁介质完全销毁存储介质，最安全的方法
- 用化学方法使介质不可用、不可逆（如焚烧或腐蚀）
- 物理上解体介质（如碾碎）shred
- 形态转变（将固体硬盘液化或气化）
- 对于磁性介质，提高温度以超越居里温度
删除和格式化：是最不安全的方法。（连 Clearing 都不算，普通的软件工具就可以恢复）
加密 (Encryption)：加密数据使其没有相应密钥的情况下不可读
云存储的数据安全和数据残留问题：使用数据加密
SSD 固态硬盘
用集成电路替代旋转磁盘上的磁道，消磁不适用 SSD, 净化 SSD 的最佳方法是销毁，物理破坏，使用粉碎机或者使用加密
数据保留（Retention）
根据业务要求和法律要求来制定数据保留策略
数据保留策略定义的步骤
- 评估法定要求、法规义务、业务需求
- 进行记录的分级
- 决定保留周期和销毁方法
- 拟定数据保留策略
- 培训员工
- 进行数据保留检查和审计
- 定期更新策略
- 文件化策略、流程、培训、审计等
如何做数据保留
分类 Taxonomy : 做数据分类计划，涉及各种类别，包括功能、时间、组织机构等
分级 Classification : 按数据敏感级别分级处理
标准化 (范式化) Normalization : 制定标准模式，使数据便于检索。
索引 Indexing : 建立数据索引，方便对归档数据进行查询
保留什么数据
保留数据的决定必须是慎重的、具体的和可执行的 . 我们只想保留我们决定保留的数据，然后确保我们可以执行保留。
电子发现 e-Discovery
Discovery of electronically stored information (ESI), 发现电子存储的信息
保护其他资产
保护移动设备
- 加密设备上的所有数据
- 清点所有移动设备，包括序列号，以便他们可以正确识别，如果他们被窃取，然后恢复。通过应用基线安全配置来强化操作系统
- 密码保护BIOS的笔记本电脑
- 与各自的供应商注册所有设备，并在设备被盗时向供应商提交报告, 如果被盗的装置发送修理后它是偷来的，它将被标记由供应商如果你有失窃报案。
- 飞行时随身携带，不要托运
- 从未离开移动设备无人值守，并把它在一个不起眼的携带情况
- 使用槽锁与电缆连接一台笔记本电脑
纸质文件
教育员工正确处理纸质文件, 尽量减少纸记录的使用, 确保工作区保持整洁, 并定期审计工作，确保敏感文件不外露
把所有敏感的文件锁起来, 禁止在家里做敏感的文书工作, 在员工离开办公室时进行随机搜索, 以确保敏感材料不被
带回家. 摧毁多余的敏感文件使用碎纸机, 对于非常敏感的文件，考虑把它们烧掉. 标识的所有文件的分类级别, 理想
的情况下, 还包括其所有者的名称和处置 (例如，保留) 指令
定义资产所有权
数据的角色与责任
定义数据角色
建立全生命周期的数据所有权
逐步建立数据质量和元数据的指标维持在一个基本水平之上
数据所有者（Owner）
通常是管理者，负责特定的业务部门，并最终负责保护和使用特定信息子集。
数据所有者有数据 due care 责任，因此将负责任何疏忽行为，导致数据的损坏或泄露
负责决定数据分级
批准数据的访问权
间接或直接决定谁可以访问特定的数据。
信息一旦创建，必须明确所有权责任。通常是创建、购买、或获取信息的人
所有者责任通常包括：
- 定义信息对于组织使命的影响
- 理解信息的替换成本
- 判断组织内网的人谁需要信息，以及在哪种环境下发布信息
- 了解在什么时候数据不再准确或不再需要，应当被销毁
数据所有者通常拥有数据的法律权限，包括知识产权和版权等
应当建立和文件化相关策略
数据所有权、知识产权、版权
业务相关的法定义务和非法定义务，确保数据合规
数据安全、防泄密控制，数据发布、价格、传播相关的策略
在数据发布前，与用户或客户签署备忘录和授权协议，明确使用的条件
资产所有者(系统所有者)
业务所有者(任务所有者)
数据处理者
- GDPR中区分数据控制者和数据处理者
- 个人数据处理中对数据保护可以使用的技术
- 假名化
- 匿名化
数据管理者
数据管理者的责任主要包括：
遵照数据策略和数据所有权指南, 确保适当用户的访问权，以及维护适当级别的数据安全
基本的数据集维护，包括不限于数据存储和归档, 数据集文档化，包括文档的更新
确保数据质量，以及数据集的验证，包括阶段性的审计来确保数据完整性
与数据管理权限岗位相关的角色有：
项目经理，数据经理，IS经理，IT专家, 数据库管理员，应用开发者，数据采集或获取
数据托管员
- 负责维护和保护数据
- 实施和维护安全控制
- 执行定期备份数据
- 定期验证数据的完整性
- 从备份介质恢复数据
- 保留记录的活动
- 实现公司的安全政策, 标准和指南的要求，涉及到信息安全和数据保护。
用户 AUP 可接受使用政策
保护隐私 参考 GDPR
使用安全基线
为系统建立最小的防护措施 : 企业可以根据自己的情况定制安全基线
范围与裁剪 : 通过范围定义和裁剪的方法， 聚焦安全架构的重点，根据企业的需求，灵活应用各类标准和基线
数据管理(CBK)
数据管理最佳实践参考
- 制定数据策略，明确数据管理的战略目标和原则
- 清晰定义数据的角色和职责，包括数据提供者、所有者和管理者
- 数据管理流程中的数据质量控制流程，确认和验证数据的准确性
- 数据管理文件化，并描述每个数据集中的元数据
- 根据用户需求和数据使用，来规划和定义数据库
- 信息系统基础设施、数据存储、数据备份以及数据自身的更新策略
- 持续的数据审计，提供数据和资产的管理有效性和数据完整性
- 持续实施分层的数据安全控制，来保护数据安全
- 明确定义数据访问标准，对数据访问进行全面控制
数据策略（Data Policy）
- 数据策略为企业或项目制定数据管理的长期战略目标
- 数据策略是一套高阶原则，为数据管理制定指导框架
- 数据策略用来解决一些战略问题，比如数据访问，相关法律问题，数据管理问题，数据管理责任，数据获取及其他问题
- 安全人员在制定数据策略时需要考虑的问题包括
- 成本
- 隐私
- 法律和策略要求
- 所有权和管理权
- 责任
- 敏感性
- 策略与流程
数据质量
流程
- 数据质量原则应当在数据管理全生命周期中得到应用，从数据采集开始。任何一个阶段的数据质量损失都将导致数据可用性的下降
- 数据获取，并记录数据采集时间
- 数字化之前的数据操作（包括标签准备、数据分类拷贝等）
- 数据样本的标识和记录
- 数据的数字化
- 数据的文档化（获取和记录元数据）
- 数据存储和归档
- 数据发布和传播（包括纸质和电子发布，Web可访问数据库等）
- 使用数据（数据操作和数据分析等）
控制
质量控制（Quality Control)是基于内部的标准、流程和步骤来控制和监控质量, QC根据数据产品结果来控制
质量保障（Quality Assurance)是基于外部的标准来检查数据活动和质量控制过程，确保最终的产品满足质量要求；QA在数据全生命周期提供保障
数据质量期望值的两个要素
不正确的数据记录的频率
数据记录中错误的重要性
数据质量控制的两个过程
- Verification 确认： 检查是否与源数据匹配，保证准确性等，通常可以由不太熟悉数据的人进行
- Validation 验证： 评价是否达到数据质量 目标, 以及发生任何偏离的原因，通常由专业人员进行
提升
- 预防 Prevention：错误预防主要在数据收集和数s据录入数据库的阶段
- 纠正 Correction：必不可少的手段
- 文件化 Documentation：集成到数据库设计中
- 确保每个记录（record)得到检查，以及对记录的任何变更
- 元数据记录
数据生命周期控制
数据生命周期
数据定义、数据建模、数据处理、数据库维护和数据安全
持续数据审计，来监控数据使用和数据有效性
归档，来确保维护有效性，包括定期快照，允许一旦出现数据或备份损坏，可以回滚到之前的版本
数据存储和归档
解决了数据的保存问题
考虑的因素包括：服务器硬件和软件，网络基础设施，数据集的大小和格式，数据库的维护和更新，数据库的备份和恢复需求。
数据归档（data archiving）是将不再经常使用的数据, 移到一个单独的存储设备来进行长期保存的过程
生命周期安全控制
定义
获取
使用
归档
Disposal处理（处置）
定义
- 当数据不再使用并做恰当销毁的时候
**要点 **
数据确实被销毁
副本也被销毁
被正确销毁
数据恢复的花费高出数据本身价值
CISSP 重点知识点总结2相关推荐
- 七年级上册计算机重点知识点,初一上册数学重点知识点
为了方便大家更好的学习和复习初一上册数学课本内容,现将初一上册数学重要内容整理分享出来. 有理数重点知识点 (1)定义:由整数和分数组成的数.包括:正整数.0.负整数,正分数.负分数.可以写成两个整之 ...
- 计算机网络基础+重点知识点
计算机网络重点知识点 1.在数据链路层使用MAC地址标识一台主机,在IP层用IP地址标识一台主机.注:由于前面表明了MAC地址,所以这里不可以写主机号. 2.数据交换技术包括电路交换.报文交换.分组交 ...
- javaSE基础重点知识点总结 持续更新
javaSE基础重点知识点解析 文章目录 javaSE基础重点知识点解析 前言 1.重载和重写 2.匿名对象 3.可变个数形参的方法 4.MVC设计模式 5.java.lang.Object类 6.自 ...
- 考研：研究生考试(五天学完)之《线性代数与空间解析几何》研究生学霸重点知识点总结之第三课向量与向量空间
考研:研究生考试(五天学完)之<线性代数与空间解析几何>研究生学霸重点知识点总结之第三课向量与向量空间 目录
- 考研：研究生考试(五天学完)之《线性代数与空间解析几何》研究生学霸重点知识点总结之第五课线性方程组
考研:研究生考试(五天学完)之<线性代数与空间解析几何>研究生学霸重点知识点总结之第五课线性方程组 目录 5 线性方程组 5.1.知识点 5.1.1.线性方程组有解的充要条件
- 考研：研究生考试(十五天学完)之《高等数学上/下册》研究生学霸重点知识点总结之考试内容各科占比及常考知识重点梳理(函数极限连续、一元/多元函数微分学/积分学、常微分函数、向量代数与空间几何、无穷级数)
考研:研究生考试(十五天学完)之<高等数学上/下册>研究生学霸重点知识点总结之考试内容各科占比及常考知识重点梳理(函数极限连续.一元/多元函数微分学/积分学.常微分函数.向量代数与空间几何 ...
- 考研：研究生考试(一天学完)之【英语考试】之研究生学霸重点知识点总结之英语小作文模板总结(通知、书信-建议信/邀请信/道歉信/辞职信/请求信/推荐信)、英语大作文模板总结(三段论)
考研:研究生考试(一天学完)之[英语考试]之研究生学霸重点知识点总结之英语小作文模板总结(通知.书信-建议信/邀请信/道歉信/辞职信/请求信/推荐信).英语大作文模板总结(三段论) 目录 英文小作文 ...
- 5分钟掌握初二物理下学期至初三部分重点知识点
同学们在学习初二物理下学期的时候,会接触到初中阶段物理知识的大部分精髓,今天科学高分网的小编就会为同学们整理一些初二物理下学期重点知识点,同学们可以在5分钟之内掌握吗?我们一起来看看吧,加油哦! 5分 ...
- 考研：研究生考试(七天学完)之《概率与统计》研究生学霸重点知识点总结之考试内容各科占比及常考知识重点梳理(随机事件和概率、一维随机变量及其分布、多维随机变量及其分布、随机变量的数字特征、大数定律和中心
考研:研究生考试(七天学完)之<概率与统计>研究生学霸重点知识点总结之考试内容各科占比及常考知识重点梳理(随机事件和概率.一维随机变量及其分布.多维随机变量及其分布.随机变量的数字特征.大 ...
- 考研：研究生考试(七天学完)之《概率与统计》研究生学霸重点知识点总结之目录(随机事件、条件概率与独立性、随机变量的函数及其分布(数字特征)、统计学、统计量与抽样分布、点估计、区间估计、假设检验
考研:研究生考试(七天学完)之<概率与统计>研究生学霸重点知识点总结之目录(随机事件.条件概率与独立性.随机变量的函数及其分布(数字特征).统计学.统计量与抽样分布.点估计.区间估计.假设 ...
最新文章
- openpose_net随机搜索(维度搜索)网络源代码
- ajax实现多选 radio true,jQuery操作radio、checkbox、select的方法总结
- 阿里妈妈基于TensorFlow做了哪些深度优化？TensorFlowRS架构解析
- 初步认识Volatile-JMM
- 扫描线填充算法代码_手写算法并记住它：计数排序
- linux7删除网卡文件,CentOS 7下删除virbr0网卡信息
- java上课签到如何写_java签到程序怎么设置？学生考勤程序怎么写？
- Oracle中查询树结构start with...connect by prior子句用法
- Python调用自己写的模块
- django1.6 mysql_如何在Django1.6结合Python3.4版本中使用MySql
- html5用户注册页面代码,HTML5注册页面示例代码_html5教程技巧
- 苹果计算机如何安装应用软件,Mac下如何安装软件？
- XAP部署错误代码大全
- Axure动态面板设置 2020-11-06
- 利用python编写个性二维码制作工具（支持微信名片二维码），并打包成EXE可执行文件。——001
- Android虚拟机上安装apk软件指南
- 金叉成功率_曝光MACD零轴上的秘密：“0线下方金叉买入”千万别小看，成功率达100%！...
- 又读《孙子兵法》，谈领导力
- 当500万只能作为摇号的诚意金来临时，你的想法是什么？
- windows替换鼠标指针