【CISSP备考笔记】第7章：安全运营
第七章：安全运营
7.1 运营部门的角色
prudent man、due care（按要求执行）VS due diligence（承担管理者责任）
应尽关注：执行了负责任的动作降低了风险。
应尽职责：采取了所有必要的安全步骤以了解公司或个人的实际风险。
运营安全是保持环境运行在一个必要的安全级别中的持续维护行为。
7.2 行政管理
职责分离：确保一个独立行动的人通过任何方法都无法危机公司的安全。一旦发生欺诈，必有共谋。
岗位轮换：检测性控制。确定欺诈活动。
最小特权和知其所需：行政管理类控制，仅有足够的许可和权限来履行他在公司的任务而不超出范围。
强制休假：行政管理控制。
7.3 保证级别
操作保证关注的是产品的架构、嵌入的特征和功能，他们使客户在使用产品时能持续获得必要的保护级别。
生命周期保证与产品的架构及其如何开发和维护有关
7.4 运营责任
不寻常或无法解释的事件
偏离标准
不定期的初始程序加载（也称为重启）
7.5 配置管理
可信恢复
系统重启：释放资源，使计算机返回到更加稳定和安全的状态。
紧急系统重启动：
系统冷启动：系统无法自动恢复到安全状态而需要人工干预。
输入与输出控制
事务是原子性，可防止TOC/TOU一类攻击。
如果一份报告中不含信息（无报告内容），那么应当包含“没有输出”。
系统强化
远程访问安全
7.6 物理安全
设施访问控制，如锁，廉价，被人们广泛接受和采用的访问控制机制。
密码锁门延迟，意味着门打开一段时间后，警报响起。
人员访问控制，如生物特征识别、智能卡、身份证、使用钥匙或者提供出入卡并输入密码或PIN。
CCTV主要使用两种镜头：固定焦距镜头和变焦镜头 广角镜头，焦距短 远摄镜头焦距较长
景深：在监视器上显示的环境的焦点部分，景深大小取决于透镜孔径、聚焦物体的距离以及镜头的焦距。透镜孔径的程度加大、物体距离增加或者镜头的焦距减小，景深也随之增加。如果希望覆盖较大的区域，但不聚焦某些特定物体，那么最好使用广角镜头和小透镜孔径。
手动光圈和自动光圈，手动光圈用于固定照明区域，自动光圈应当用在对光照不断变化的环境中，如室外场所。
外部边界保护机制，如栅栏、护柱、照明、监视设备、录像设备等
入侵检测系统，如光束、声音和振动、移动、电子电路等
巡逻警卫和保安
7.7 安全资源配置
配置是指为用户或用户群提供一种或多种信息服务所需的一系列活动
资产清单，如果你不清楚自己拥有什么，就很难去保护它
配置管理是在所有系统上建立并保持基线的程序
变更控制过程：请求发生一个变更—变更的批准—变更的文档—测试和提交—实现—提交变更报告给管理层
7.8 网络和资源可用性
“热交换”的冗余硬件、容错技术、服务级别协定（SLA）
平均故障间隔时间（MTBF）:：了解设备大概何时需要检修，值越高价格更贵。
平均修复时间（MTTR）：修复并使其重新投入生产预计所需的时间，如果值较高，考虑冗余。
单点故障：防御最佳方法、适当维护、经常备份以及建立冗余。
磁盘冗余阵列（RAID）
直接访问存储设备（DASD）：廉价的RAID就是一种DASD
大规模非活动磁盘阵列（MAID）
独立冗余磁带阵列（RAIT）：成本最低、速度比磁盘存储更慢
存储区域网络（SAN）
群集
网格计算
备份
层次存储管理（HSM）：提供持续的在线备份功能
7.9 预防措施
流程
1、了解风险
2、使用正确的风险控制
3、正确地使用控制
4、管理你的配置
5、评估操作
防火墙
入侵检测与防护系统：IDS只能检测和报告可疑的入侵，而ips则能检测、报告和制止疑似入侵。
反恶意软件
补丁管理
蜜罐技术
7.10 事故管理流程
1、检测
2、响应
3、缓解
4、报告
5、恢复
6、修复
7.11 灾难恢复
最高可承受的停机时间（MTD）
恢复时间目标（RTO）
恢复点目标（RPO）
工作恢复时间（WRT）
设施恢复：
完备场所（hot site）：装备完全且经过适当配置的设施，它可以几个小时内投入运行使公司恢复生产。包含所有必须的个人电脑、服务器和通信的站点。
基本完备场所（warm site）
基础场所（cold site）：只提供基本的工作环境（布线、空调、架空的地板、吊顶），通常是建筑框架，没有其他内容。
互惠协议：不是强制性的，较好的备选方案。
数据备份选择方案
完全备份：归档位会被清除，即将它设为0
差异备份：对最近完全备份以来发生变化的文件进行备份，不改变归档位。1-1
增量备份：对最近完全备份或增量备份以来发生改变的所有文件进行备份，将归档位设为0
电子备份解决方案
磁盘映像：使用映像组，数据以映像形式保存在两个或多个磁盘上。
电子传送：非实时，批量传送备份，电子链接，一种为实现备份而向异地设施传输批量信息。
远程日志处理：实时发生，将日志或事物日志传送到异地设施，数据库恢复措施。
电子磁带传送：将数据备份到磁带上，运输到异地设施。
同步复制、异步复制
高可用性：提供冗余、容错和故障转移。
数据可通过备份磁带、电子传送、同步或异步复制、RAID进行恢复。
处理能力可通过群集、负载均衡、镜像、冗余、容错技术来恢复。
7.12 保险
网络保险：一种新型保险项目，为安全事件造成的损失提供保险
业务中断保险
7.13 恢复与还原
重建团队：应当负责使备用站点投入运行。准备异地设施
救援团队：应当负责开始恢复原始站点。
当公司搬回原来的场所或搬进一个新场所，公司进入再造阶段，直到公司在它原来的主站点的新设施内恢复运作，公司才脱离紧急状态。
首先，应转移最不关键的功能。
7.14 调查
动机、机会和方式（Motive、Opeortunity、Means，MOM）
欲使证据可被法庭接收，证据必须是相关的、充分的、可靠的。证据必须是法律许可的，也就是说以合法方式获得，并且保管链未被破坏。
7.15 义务及其后果
7.16 合规性
7.17 个人安全问题
人身安全高于所有其他问题
思维导图：
重点题目：
1、RAID级别：
最常见的RAID级别为5级，
RAID 0:条带化，通过使用多个磁盘创建一个大的磁盘，只用于提高性能
RAID1:驱动器镜像，一次写入两个，一个发生故障，还有一个。
RAID2:汉明码奇偶校验，有一部分磁盘用于错误数据恢复
RAID3:字节级奇偶校验，字块级别，奇偶校验数据保存子一个驱动器
RAID4:分组级奇偶校验，数据块级，奇偶校验数据保存子一个驱动器
RAID5:间插奇偶校验
RAID6：双奇偶校验
RAID10：条带化和镜像
2、逃生门：设计为fail safe（断点开门，保证人身安全），fail security（断电关门，保证财产安全）。
3、取证调查，在犯罪没收电脑后，制作磁盘的镜像副本。
4、故意植入缺陷，诱骗攻击者，设置蜜罐通常被认为是一种诱骗工具（不是诱捕）。
5、演练：
检查清单（check list）：各部门自行检查内部的计划正确性。
桌面演练（walk throught）：各部门在一起讨论整体计划的正确性。
功能演练（function）：对部分系统/业务进行中断。
并行演练（parallel）：主备系统一起同时启动。
完全中断演练（full interruption），所有备用系统启用，所有主系统切换，完全模拟真实状态。
错题要点：
1、数据欺骗，计算机犯罪经常与内部人员有关，在涉及篡改数据之前暴露逻辑访问。
2、网络地址劫持，会对网络数据进行修改，网络地址嗅探，不会修改数据。
3、Salami techniques 意大利香肠术，雇员通过从多个账户划走少量的钱，存入资金到自己的银行账户。
4、Clipping level 限值水平，设置错误门限。
5、输入控制，输入或编辑的计数数据和时间戳与日期。输出控制，比如：确保打印的报告送达正确的用户，并在发放敏感文件前签署收据。
6、Loki attack exploits 洛基攻击利用一个隐蔽通道，基于icmp协议。
7、在入侵检测系统中，警报的组成部分：发生器、传感器、通讯装置。
8、two-man control 双人控制，相互审查和批准对方的工作。
9、clearing 擦除后的信息遇到键盘攻击，是不可恢复的， purging 清除后的信息在对实验室攻击是不可恢复。
