CISP笔记 Cyrus

CISP笔记
一、    信息安全标准
l    我国标准分为：国家标准、行业标准、地方标准、企业标准。
l 国际通行“标准化七原理”
Ø    原理1---简化
Ø    原理2---协商一致
Ø    原理3---实践、运用
Ø    原理4---选择、固定
Ø    原理5---修订
Ø    原理6---技术要求+试验方法+抽样
Ø    原理7---强制性适应于：安全、健康、环保等
l    我国通行“标准化八字原理”
Ø    “统一”原理
Ø    “简化”原理
Ø    “协调”原理
Ø    “最优”化原理
l    IETF（170多个RFC、12个工作组）
l 关键的概念：
Ø    评估对象—— TOE(Target of Evaluation)
Ø    保护轮廓——PP (Protection Profile）
Ø    安全目标——ST( Security Target）
Ø    功能(Function)
Ø    保证(Assurance)
Ø    组件(Component)
Ø    包(Package)
Ø    评估保证级——EAL( Evaluation Assurance Level）
l    评估保证级
Ø    EAL1—功能测试
Ø    EAL2—结构测试
Ø    EAL3—系统地测试和检查
Ø    EAL4—系统地设计、测试和复查
Ø    EAL5—半形式化设计和测试（无隐蔽通道）
Ø    EAL6—半形式化验证的设计和测试
Ø    EAL7—形式化验证的设计和测试
二、    物理安全
1、机房等级：
Ø    A类：对计算机机房的安全有严格的要求，有完善的计算机机房安全措施。该类机房放置需要最高安全性和可靠性的系统和设备。
Ø    B类：对计算机机房的安全有较严格的要求，有较完善的计算机机房安全措施。它的安全性介于A类和C类之间。
Ø    C类：对计算机机房的安全有基本的要求，有基本的计算机机房安全措施。该类机房存放只需要最低限度的安全性和可靠性的一般性系统。
2、机房地板类型
Ø    复合地板（机房采用）
Ø    木制地板
Ø    金属底板
3、    人员安全管理
Ø    背景调查 
Ø    入职审查及面试 
Ø    离职前谈话 
三、    windows安全
1、    Windows系统的安全架构（6个安全要素）
Ø    Audit（审计） 
Ø    Administration（管理）
Ø    Encryption（加密）
Ø    Access Control（访问控制）
Ø    User Authentication（用户认证）
Ø    Corporate Security Policy（公共安全策略）
2、    Windows系统的安全组件
Ø    访问控制的判断（Discretion access control）
    按照C2级别的定义，Windows 支持对象的访问控制的判断。这些需求包括允许对象的所有者可以控制谁被允许访问该对象以及访问的方式。 
Ø    对象重用（Object reuse）
    当资源（内存、磁盘等）被某应用访问时，Windows 禁止所有的系统应用访问该资源。 
Ø    强制登陆（Mandatory log on）
    与Windows for Workgroups，Windwows 95，Windows 98不同，Windows2K/ NT要求所有的用户必须登陆，通过认证后才可以访问资源。
Ø    审核（Auditing）
    Windows NT 在控制用户访问资源的同时，也可以对这些访问作了相应的记录。
Ø    对象的访问控制（Control of access to object）
    Windows NT不允许直接访问系统的某些资源。必须是该资源允许被访问，然后是用户或应用通过第一次认证后再访问。
3、    Windows安全子系统的组件
Ø    安全描述符（Security descriptors）
Ø    访问控制列表（Access control lists）
Ø    访问控制项（Access control entries）
l    安全标识符（安全标识是唯一的，即使是相同的用户名，在每次创建时获得的安全标识都时完全不同的）SID：whoami /user
例如：S-1-5-21-1763234323-3212657521-1234321321-500
      第一项S表示该字符串是SID 
      第二项是SID的版本号，对于2000来说，这个就是1 
      第三项然后是标志符的颁发机构（identifier authority），对于2000内的帐户，颁发机构就是NT，值是5 
      第四项然后表示一系列的子颁发机构，前面几项是标志域的 
      第四项最后一个标志着域内的帐户和组 
l    windowsDLL默认模块
ØMsnsspc.dll：微软网络挑战/反应认证模块。
Ø    Msapsspc.dll：分布式密码认证挑战/反应模块，该模块也可以在微软网络中使用。
Ø    Schannel.dll：该认证模块使用某些证书颁发机构提供的证书来进行验证，常见的证书机构Verisign（SSL、PCT）。
l    Windows 术语
Ø GINA  动态登录
Ø    LSA（Local Security Authority）  本地安全认证
Ø    SSPI（Security Support Provide Interface）安全支持提供者的接口
Ø    AP（Authentication Package）认证包
Ø    SSP（Security Support Provider）安全支持提供者
Ø    SAM（Security Account Manager）安全账号管理者
Ø    Netlogon   网络登陆
4、    Windows的密码系统
l    密码文件：%SystemRoot%\system32\config\sam
l    R（读）X（执行）W（写）P（更改权限）O（获取权限）
5、    Windows log日志默认位置
Ø    %SYSTEMROOT%\system32\config\SysEvent.Evt（系统日志）
Ø    %SYSTEMROOT%\system32\config\SecEvent.Evt（安全日志）
Ø    %SYSTEMROOT%\system32\config\AppEvent.Evt（应用日志）
Ø    %systemroot%system32logfilesmsftpsvc1（ftp日志）
Ø    %systemroot%system32logfilesw3svc1（www日志）
四、    WEB与数据库安全
1、Web应用安全基础
l    什么是web程序：Web应用程序或web服务是一个通过浏览器或HTTP agent来访问的软件程序
l    HTTP协议：（web语言）超文本传输协议(HTTP，HyperText Transfer Protocol)：是互联网上应用最为广泛的一种网络协议。
l    Web应用主要安全威胁
Ø    客户端安全性
Ø    网络安全性
Ø    主机安全性
Ø    Web应用安全性
Ø    数据库安全性
l    Web应用安全（wasc）十大威胁
Ø    跨站脚本攻击(XSS)：
Ø    注入缺陷：, XPATH注入…
Ø    恶意文件执行 (远程文件包含)CSRF 
Ø    不安全的直接对象引用 (Parameter tampering)
Ø    跨站请求伪造 (CSRF)
Ø    信息泄露和错误处理不当
Ø    身份验证和会话管理缺陷
Ø    不安全的加密存储
Ø    通信安全
Ø    验证绕过
2、数据库安全（oracle端口1521）
l    数据库安全目标：完整性、可用性、保密性
l    术语：
Ø    数据（Data）：数据库中存储的基本对象。
Ø    数据库（DB）：顾名思义，存放数据的仓库。
Ø    数据库管理系统（DBMS）：位于用户与操作系统之间的一层数据管理软件
Ø    数据库定义语言（DDL）定义数据库逻辑结构和过程属性
Ø    数据库操纵语言（DML）为开发人员提供的工具
Ø    查询语言为终端用户提供的数据库操作语言
Ø    数据库系统（DBS）：计算机系统中引入数据库后的系统，一般由数据库、数据库管理系统、应用系统/数据管理员和用户组成。
l    （1）关系结构模型：把一些复杂的数据结构归结为简单的二元关系(即二维表格形式)，按照关系运算理论(主要是三范式原则)组织与管理数据。
l    （2）层次结构模型：实质上是一种有根节点的定向有序树(在离散数学中“树”被定义为一个无回路的连通图)。
l    （3）网状结构模型：按照网状数据结构建立的数据库系统称为网状数据库系统。
l    数据库安全级别（7级）D C1 C2 B1 B2 B3 A1
Ø    A1验证设计（Verified Design）
Ø    B3安全域（Security Domains）
Ø    B2结构化保护（Structural Protection）
Ø    B1标记安全保护（Labeled Security Protection）
Ø    C2受控的存取保护（Controlled Access Protection）
Ø    C1自主安全保护（Discretionary Security Protection）　
Ø    D最小保护（Minimal Protection）
l    数据库安全十大威胁
Ø    过度的特权滥用 
Ø    合法的特权滥用 
Ø    特权提升 
Ø    平台漏洞 
Ø    SQL注入 
Ø    不健全的审计 
Ø    拒绝服务攻击 
Ø    数据库通信协议漏洞 
Ø    不健全的认证 
Ø    备份数据泄露 
五、    恶意代码防护
l    电脑病毒的工作原理：住进阶段、感染阶段、执行阶段
l    什么叫病毒：一种能把自己(或经演变)注入其它程序的计算机程序
l    什么蠕虫病毒：一段能不以其他程序为媒介, 从一个电脑系统复制到另一个电脑系统的程序 (Symantec)
l    什么叫后门程序：一种能让黑客未经授权进入和使用本系统的恶意程序
l    什么是木马：一种不自我传播的恶意程序, 通常被用来窃听键盘和下载其他程序，或用于控制系统
l    僵尸：一种集后门、木马与蠕虫一体的恶意程序. 通常使用IRC (Internet Relay Chat) 接受和执行黑客命令.
l    恶意系统程序：是一种提供反侦测能力技术
l    杀毒工具：antispyware TCPView 2.54 Window Finder 1.0
六、    UNXI安全
七、    安全编程
l    与安全相关的两类软件工程：
Ø    安全的代码开发（Writing Secure Code）
Ø    开发安全功能软件（Develop Security Software）
l    软件开发周期性：
Ø    培训（Training）
Ø    需求分析（Requirement Analysis）
Ø    环境架设（Enviorment Establishment）
Ø    设计（Design）
Ø    编码（Coding）
Ø    测试（Testing）
Ø    发布（Release/Delivery）
Ø    反馈/服务（Feedback/Response）
八、    网络与安全通信
1、TCP/IP常见的攻击方法：
Ø    应用层：应用程序和操作系统的攻击与破坏
Ø    网络层：拒绝服务攻击和数据窃听风险
Ø    传输层：拒绝服务攻击
Ø    硬件设备与数据链路：物理窃听与破坏
2、应用协议安全（详细看PPT）
3、拒绝服务攻击
l    定义：
Ø    DoS （Denial of Service ） 
    拒绝服务攻击是用来显著降低系统提供服务的质量或可用性的一种有目的行为。 
Ø    DDoS （Distributed Denial of service）
     分布式拒绝服务攻击使用了分布式客户服务器功能，加密技术及其它类的功能，它能被用于控制任意数量的远程机器，以产生随机匿名的拒绝服务攻击和远程访问。
l    Windows拒绝服务攻击类型：
Ø    Syn Flood：利用TCP协议缺陷发送大量伪造的TCP连接请求，导致资源耗尽死机。
Ø    Icmp Smurf（directed broadcast）：结合IP欺骗和ICMP回复方法使大量网络传输充斥目标系统，引起目标系统拒绝为正常系统进行服务。
Ø    Udp Flood：两个或两个以上的系统之间产生巨大的UDP数据包。
Ø    Icmp Ping Flood：发送ICMP报文(类型8代码0)探寻网络主机是否存在的一个工具。
Ø    TARGA3(堆栈突破)：发送TCP/UDP/ICMP的碎片包，其大小、标记、包数据等都是随机的。
Ø    操作系统级别的拒绝服务（SMBDie）：操作系统对畸形的SMB（Server Message Block）请求存在漏洞。
Ø    应用级别的拒绝服务（pcanywhere）：应用程序中与安全相关的系统缺陷而引起的拒绝服务问题。
l    Linux, Solaris, Unix拒绝服务攻击类型：
Ø    Trinoo：攻击者使用该工具可以控制多个主机，利用这些主机向其他主机发送UDP flood。
Ø    TFN：使用该工具可以使攻击者利用多个主机，一次flood一个目标。
TFN2K：使用该工具可以实施多种类型的flood攻击一个主机
Ø    FunTime Apocalypse：
九、    灾难恢复和业务管理连续性
1、术语定义：
l    BCP（Business Continuity Planning）业务持续性规划
Ø    BCP强调使关键业务经得起意外事件（灾难）的影响
Ø    BCP过程包含：1、计划和范围；2、业务影响分析；3、业务可持续计划开发；
l    DRP（Disaster Recovery Planning）灾难恢复规划
Ø    DRP强调对于灾难的预防措施，以及在灾难发生时和灾难发生之后所应采取的行为和措施
Ø    DRP过程包含：1、灾难恢复计划步骤；2、测试灾难恢复计划；3、灾难恢复计划程序；
l    BIA（business impact analysis）业务影响分析
l    RPO－Recovery Point Objective，恢复点目标
Ø    定义：灾难发生后，系统合数据必须恢复到的时间点要求
Ø    代表了当灾难发生时允许丢失的数据量
l    RTO－Recovery Time Objective ，恢复时间目标
Ø    定义：灾难发生后，信息系统或业务功能从停顿到必须恢复的时间要求。
Ø    代表了系统恢复的时间
2、灾难恢复的过程阶段
Ø    风险分析
Ø    业务影响分析
Ø    确定灾难恢复目标
Ø    制定恢复策略
Ø    灾难恢复策略的实现
Ø    灾难恢复预案的制定、落实管理
3、灾难恢复等级划分（六级7要素）
l    等级划分：
Ø    级别1：基本支持
Ø    级别2：备用场地支持
Ø    级别3：电子传输和部分设备支持
Ø    级别4：电子传输及完整设备支持
Ø    级别5：实时数据传输及完整设备支持
Ø    级别6：数据零丢失和远程集群支持
l    划分要素：
Ø    数据备份系统
Ø    备用数据处理系统
Ø    备用网络系统
Ø    备用基础设施
Ø    技术支持
Ø    运行维护支持
Ø    灾难恢复预案
十、    应急响应管理
l    CNCERT/CC2005重点关注的三大威胁：间谍软件、僵尸网络、在线身份窃取。
1、什么是应急响应
Ø    Emergency Response/Incident Response:安全人员在遇到突发事件后所采取的措施和行动
l    生命周期包括：对策、检测和响应
l    应急处理的两个根本性目标：确保恢复、追究责任
l    应急响应原则：
Ø    积极预防-风险评估
Ø    及时发现-检测通报
Ø    快速反应-及时救助
Ø    确保恢复-起死回生
2、应急响应的组成
l    CSIRT：计算机应急响应组
l    FIRST：国际计算机事件响应与安全工作组论坛
l    CERT/CC服务的内容
Ø    安全事件响应
Ø    安全事件分析和软件安全缺陷研究
Ø    缺陷知识库开发
Ø    信息发布
Ø    教育与培训
Ø    指导其它CSIRT（也称IRT、CERT）组织建设
3、应急响应的过程
Ø    第一阶段：准备——让我们严阵以待
Ø    第二阶段：确认——对情况综合判断
Ø    第三阶段：封锁——制止事态的扩大
Ø    第四阶段：根除——彻底的补救措施
Ø    第五阶段：恢复——备份，顶上去！
Ø    第六阶段：跟踪——还会有第二次吗
4、    应急响应的指标
Ø    远程应急响应服务：在确认客户的应急响应请求后2小时内，交与相关应急响应人员进行处理。
Ø    本地应急响应服务：对本地范围内的客户，3-6小时内到达现场
十一、    密码学
1、密码学的发展
Ø    古典密码学（ 1949年之前）密码学是一门艺术
主要特点：数据的安全基于算法的保密
Ø    近代密码学（1949～1975年）密码学成为科学
主要特点：数据的安全基于密钥而不是算法的保密
Ø    现代密码学（ 1976年以后）密码学的新方向—公钥密码学
主要特点：公钥密码使得发送端和接收端无密钥传输的保密通信成为可
能
2、基本概念：
Ø    密码学（cryptology）作为数学的一个分支，包括：密码编码学和密码分析学两个部分。
Ø    使信息保密的技术和科学叫密码编码学（cryptography）；从事此行业的叫密码分析学（cryptanalysis）；从事分析的专业人员是密码分析者（cryptanalyst）
Ø    密码算法(algorithm)也叫密码（cipher）：适用于加密和解密的数学函数。
Ø    密码：是一组信息编码，他参与密码的“运算”，并对密码的运算起特定的空子作用。
Ø    受限制算法（restricted）：是基于保持算法的秘密。
l    密码系统（cryptosystem）：由算法以及所有可能的明文、密文和密钥组成。
l    基于密钥的算法有两种：对称算法和分对称算法。
l    密码的作用：机密性、完整性、鉴别、抗抵赖性。
3、基本术语
Ø    Steganography也成隐写术：将秘密信息隐藏在其它信息中。
Ø    密码分析学的任务：破译密码或伪造认证密码，窃取机密信息。
Ø    被动攻击：对一个保密系统采取截获密文、进行分析的方法进行进攻。
Ø    主动攻击：非法入侵者采用删除、更改、添加、重放等手段向系统注入假信息的进攻。
4、古代密码分为：代替密码、置换密码
Ø    代替密码（substitution）就是明文中的每一个字符被换成密文中的另一个字符，接收者对密文反复替换就可以恢复明文。
Ø    置换密码（permutation cipher）：又称换位密码（transposition cipher）加密过程中明文的字幕保持相同，但顺序被打乱了。
5、    现代密码分为：对称密码、非对称密码、
l    对称密码常用的算法：DES、 IDEA、 AES、 RC5
Ø    序列密码（stream）通过有限状态机产生性能优良的伪随机序列，逐笔特加密信息流，得到密文序列，典型有RC4。
Ø    分组密码（block）：是将明文分成固定长度的组，如64比特一组，用同一密钥和算法对每一组加密，输出也是固定长度的密文，典型有DES。
l    非对称密码常用的算法：RSA、 椭圆曲线算法（ECC）
十二、    CA
l    PKI（public key infrastructure）是基于公开密钥理论和技术建立起来的安全体系，是提供信息安全服务具有普遍性的安全基础设施。
Ø    PKI实现的安全功能：认证、授权、保密性、完整性、防抵赖
Ø    数字证书（DIGITAL ID）又叫“网络身份证”、“数字身份证”
l    X．509数字证书分类（是有权威机构CA创建）：
Ø    签名证书：用于对用户信息进行签名，以保证信息的不可否认性。
Ø    加密证书：用于对用户传送信息进行加密，以保证信息的真实性和完整性。
l    PKI体系组成：PKI策略—软硬件系统—认证中心CA—注册机构RA—证书发布系通—PKI应用—PKI应用接口系统（API）
l    PKI的构建：
Ø    自建模式（ln-house model）：是指用户购买整套PKI软件和设备，按照PKI构建要求自行建立一套完整服务体系。
Ø    托管模式：是指用户利用现有的可信的第三方（认证中心CA）提供PKI服务，用户只需配置并全权管理一套集成PKI平台即可建立一套服务体系，对内外提供全部的PKI服务。
l    CA的架构模式分为：
Ø    层次式（Hierarchical）
Ø    网络式（mesh）
Ø    混合式（hybrid）
l    PKI/CA算法：
Ø    CA摘要算法：MD2、MD4、MD5、SHA1、HMAC
Ø    CA对称算法：DES、RC2、RC5、3DES、IDEA、AES
Ø    CA非对称算法：RSA、DSA、DH
l    PKI/CA协议：
Ø    SSL/TLS：用于web安全传输协议。
Ø    SET：用于电子商务网交易的安全协议。
Ø    OPEN PGP和S/MIME：是属于网络联盟的受专利保护的协议。
十三、    VPN
1、基本概念：
l    虚拟专用网VPN（irtual private）利用公共网络建立虚拟私有网。
l    安全策略（security policy，SP）：是对IP数据提供任何种保护，不以何种方式保护。
l    安全关联（security association，SA）：是两个应用IPsec实体间的一个单项逻辑连接，决定保护什么及如何保护通信数据（SPD安全策略库和SAD安全关联库）
l    隧道技术：是一种封装技术，他利用一种网络传输协议，将其他协议产生的数据报文封装在他自己的报文中在网络中传输，在目的的局域网和公网的接口处将数据解封装，取出负载。
l    按协议层分类的VPN：
Ø    数据链路层VPN（支持协议：PPTP、L2TP、L2F）
Ø    网络层VPN
Ø    传输层VPN
Ø    应用层VPN
l    按体系结构分类VPN：
Ø    网管到网关VPN
Ø    主机到网关    VPN
Ø    主机到主机VPN
l    按实现方式分类VPN：
Ø    自购VPN：基于用户设备的VPN
Ø    外购VPN：基于网络的VPN
2、隧道技术：
l    VPN隧道包括：L2TP、PPTP、IPSEC、MPLS、SSL
l    密钥管理技术分类：
Ø    SKIP：主要利用Diffie-Hellman的演算法则，在网络上传输密钥。
Ø    ISAKMP/OAKLEY：双方各有一对公钥。
3、IPSEC：
l    验证头（authentication health，AH）：是一个安全协议可在传输模式下使用，为IP提供（数据完整性和验证服务）。
l    封装安全载荷（encapsulation security payload，ESP）安全协议，可在传输模式和隧道模式使用。
l    IKE：internet密钥交换。
l    IPsec：是由IETF设计的端到端的确保基于IP通信的数据安全性的机制，支持对数据加密，同时确保数据的完整性。
l    Ipsec三个协议组成：AH、ESP、IKE；二种通信模式：传输模式（主机-主机）和隧道模式（网关/主机-网关）
l    SSL主要使用公开密钥体制和X.509数字证书技术
l    SSL协议包含：记录协议、握手协议、更改密码说明协议、警告协议
l    VPN安全性：
Ø    隧道和加密
Ø    数据验证
Ø    身份验证
Ø    抗重放
十四、    信息安全管理体系
1、信息安全管理体系（ISMS）基本概念：
Ø    安全security：事物保持不受损害的能力
Ø    信息安全：信息资产的保密性、完整性和可用性不受损害的能力，是通过信息安全保障措施实现的
Ø    管理management：指挥和控制组织协调活动
Ø    体系system:互联网和相互作用的一组要素
Ø    信息安全管理：组织中为了完成信息安全目标，针对信息系统，遵循安全策略，按照规定的程序，运用恰当的方法，而进行的规划、组织、协调和控制等。
Ø    管理体系management system:建立方针和目标并实现这些目标的体系
2、信息安全管理体系要求：信息技术-安全技术-信息安全管理体系 
Ø    目的：提供建立、实施、运行、监测、评审、保持和改进信息安全管理体系
Ø    性质：提供模型帮助组织为ISMS设计、选择和应用适当的安全控制措施，以充分保护信息资产不给于相关信息。
l    ISO/IEC 27000  ISMS标准：
Ø    ISO/IEC 27000              ISMS基础和汇词表
Ø    ISO/IEC 27002（17799）     信息安全管理时间准则
Ø    ISO/IEC 27003              ISMS实施指南 
Ø    ISO/IEC 27004              信息安全管理测量
Ø    ISO/IEC 27005              信息安全风险管理
Ø    ISO/IEC 27006              人可要求
Ø    ISO/IEC 27007              ISMS审计指南
l    过程PROCESS：一组将输入转换为输出的相互关联或相互作用的活动。
l    过程方法PROCESS Approach：系统地识别和管理组织所有应用的过程。
l    PDCA模型：又称“戴明环”
Ø    P：规划-规划建立ISMS
Ø    D：实施-设施和运行ISMS
Ø    C：检查-监视和评审ISMS
Ø    A：处置-保持和改进ISMS
l    ISMS：是指导有关信息安全工作方面的内部“法规”-使工作有章可循。
l    信息安全管理措施：
Ø    安全策略（security policy）
Ø    信息安全组织（organization of information security）
Ø    资产管理（asset management）
Ø    人力资源安全（human resources security）
Ø    物理和环境安全（physical and environmental security）
Ø    通信和操作管理（communications and operations management）
Ø    访问控制（access control）
Ø    系统的获取、开发和维护（information system acquisition development and maintenance）
Ø    信息安全故障管理（information security incident management）
Ø    业务连续性管理（business continuity management）
Ø    符合性（compliance）
十五、    风险管理培训