导图社区 CCSP注册云安全思维导图
- 75
- 0
- 0
- 举报
CCSP注册云安全思维导图
ISC2网络安全CCSP相关知识点，云概念、架构和设计、云数据安全、云平台和基础设施安全等内容。
编辑于2023-12-18 17:25:41- 信息安全
- CCSP
- 相似推荐
- 大纲
CCSP
域1：云概念、架构和设计
理解云计算概念
云计算的定义
NIST SP 80-145中对云计算（cloud computing）的定义：一种实现对可配置计算资源共享池的无处不在的、方便的、按需的网络访问的模型，可以通过最小的管理努力或服务提供商的互动来快速的配置和释放
云计算的角色和责任
角色
云服务客户（cloud service customer）：购买云服务的实体，也称云消费者（cloud consumer）
云服务提供商（cloud service provider, CSP）：提供云服务的实体
云服务合作伙伴（cloud service partner）：使用CSP合作伙伴的服务为客户提供各种云服务的第三方实体
云服务代理商（cloud service broker）：整合来自多方的服务、将服务与公司现有基础设施集成以及定制CSP无法或不会提供的服务来增加客户价值的代理商
云审计者（cloud auditor）：对CSP控制措施进行独立检查和评估的实体，通常负责发布有关这些控制措施有效性的报告
云载体（cloud carrier）：提供允许交付和使用云服务的网络和电信连接的实体，通常来说就是互联网服务提供商（ISP）
监管机构（regulator）：确保组织满足合规要求的机构
共享责任模型
根据服务模型的不同，云客户和CSP的责任有很大差异
Issa
客户负责OS、APP、Data
Paas
客户负责APP、Data
Saas
客户负责Data
云客户应根据所选择的CSP提供的共享责任模型来确定最终的责任分配，需注意的是云客户对其数据安全负有最终责任
关键的云计算特征
按需自助服务（on-demand self-service）
用户能够简单且容易地配置所需要的服务
伴随该易用性而来的风险是影子IT（shadow IT），即某实体能够绕过公司处理IT服务配置和控制的策略和程序，这将导致公司成本支持的增长
广泛的网络访问（broad network access）
云服务是需要网络访问的服务，没有广泛的网络范围，云服务将没有价值
必须要注意网络访问的安全性，特别是公有云环境
快速弹性和可扩展性（rapid elasticity and scalability）
弹性基础设施允许服务根据需要增长或收缩，以支持客户的需求
该特征允许云客户按需付费，以此节约成本
但这对CSP是一个巨大挑战，CSP必须维护过剩的容量来满足客户需求，避免出现资源挤兑的情况出现
资源池化（resource pooling）
将硬件资源池化后，云客户能够按需使用资源，不会出现资源浪费
在公有云环境中，CSP将为多个云客户服务，即多租户（multitenancy）模型
不同的云客户可能共用一个物理资源，如果配置不当导致隔离失效，则会出现数据暴露的风险
计量服务（measured service）
计量服务允许CSP对云客户使用的资源收费，可将IT支出从资本支出转变为运营支持，并为未来的容量规划提供参考指标
构件技术
虚拟化（virtualization）
虚拟化允许在多个虚拟服务器之间共享物理服务器的资源
存储（storage）
CSP可以选择不同的存储技术以透明的方式供云客户使用
存储区域网络（SAN）
使用块级（block-level）存储，其中存储的数据被分解为统一大小的块，并将这些块分别存储在不同的位置，是一种跨网络工作的共享存储类型
网络附属存储（NAS）
使用TCP/IP和文件级（file-level）存储，在客户看来是一个与工作站中的磁盘驱动器类似的单个文件系统
网络（networking）
为广泛的网络方能为提供支持，并提供相关安全控制
数据库（database）
云客户能够存储数据，降低成本，转移管理职责
编排（orchestration）
云编排是指使用编排工具，将本地环境、不同的云环境组成一个无缝的环境，以此降低成本、提高效率以及支持整个员工队伍
描述云参考架构
云服务模型
基础设施即服务（IaaS）
适合需要对云环境拥有最大控制的客户，将基础设施虚拟化
平台即服务（PaaS）
适合具有开发、测试、部署等需求的客户，能够控制代码的运行环境
软件即服务（SaaS）
适合不希望参与过多管理、拿来就用的客户，通过Web或qi'ta 途径获得功能
一切即服务（XaaS）
还有一些其他类型的云服务模式，如存储即服务（STaaS）、数据库即服务（DBaaS）、渗透测试即服务（PTaaS）等
云部署模型
公有云（public cloud）
通过订阅服务为能够访问互联网的任何实体提供云计算服务，通常是多租户环境，资源被所有租户共享
私有云（private cloud）
私有云只为一个客户提供云计算服务，形式可以是在客户本地部署云环境，或者是在公有云中划分独立的资源仅提供给单客户使用
社区云（community cloud）
社区云为一个特定群体提供云计算服务，如政务云、教育云、游戏云等
混合云（hybrid cloud）
混合其他部署模式，如公有云部署应用程序，本地私有云部署数据库
多云（multi-cloud）
同时使用多个CSP的云计算服务，与混合云区别是整个系统分布在多个CSP上，而不是特定的子系统处于不同的云环境中
云共享考虑因素
互操作性（interoperability）
跨平台、服务或系统协同工作的能力
可移植性（portability）
数据、应用程序或系统在传统环境和云环境之间或在不同的云服务提供商之间无损移动的能力
可逆性（reversibility）
云客户将运营环境转移到CSP中，是否可以再次将其移出而不会造成重大影响的能力
可用性（availability）
云客户是否能够随时随地访问云服务的能力
安全性（security）
综合属性，一般不选
隐私（privacy）
云环境下数据不在本地保存，因此隐私保护的责任界定非常重要
韧性（resiliency）
在不利或意外条件下继续运行的能力
性能（performance）
性能是通过SLA中商定的要求来衡量的
治理（governance）
云治理与本地治理一样，涉及策略、程序、控制和监督等
维护和版本控制（maintenance and versioning）
根据不同云服务模式，云客户和CSP的责任有所不同
服务水平协议（SLA）
将云客户和CSP商定的服务水平（通常是性能指标）形成协议，具备法律效力，如果CSP未达到要求，云客户可以要求赔款。
可审计性（auditability）
要求CSP提供对云客户数据保护的保障，通常由SOC报告证明
监管合规（regulatory）
根据云客户所处行业对CSP提出合规要求
外包（outsourcing）
降低成本，但丧失控制
供应商锁定（vender lock-in）
由于互操作性、可移植性、可逆性、合同等原因，云客户无法更换CSP的风险
供应商破产（vender lock-out）
由于CSP某些原因造成云客户无法使用云服务的风险
相关技术的影响
数据科学（data science）
指的是从大量数据中理解、操纵和提取有价值的信息
机器学习（machine learning）
AI的核心组件，通过学习历史数据建立模型，可用于数据科学
人工智能（artificial intelligence）
创造一种具有人类能力且无法与人类区分的机器，特别是在机器未预先编程处理的情况下
区块链（blockchain）
一个开放的分布式交易账本，用于匿名金融交易，并提供防篡改能力
物联网（Internet of things）
随着IoT的快速发展，IoT设备产生大量数据，存储于云端是最好的选择
容器（containers）
容器运行时位于主机操作系统之上，然后每个容器使用运行时访问所需的系统资源
量子计算（quantum computing）
量子计算机使用量子物理学来构建极其强大的计算机，目前在理论阶段
边缘计算（edge computing）
在收集数据的源头设备处理数据或对数据采取行动，以节约云端的计算资源
机密计算（confidential computing）
在机密计算中，只有当授权程序试图访问数据时，才使用可信执行环境（TEE）来执行数据解密
TEE充当一个安全的缓冲区，强制实施访问控制，以验证只有授权的应用程序才能调用受保护的数据
DevSecOps
DevOps解决开发团队和IT等运营团队之间效率低下，DevSecOps将安全控制融入该管理方法中，以提高软件的安全性
理解云计算相关的安全概念
密码学和密钥管理
云计算环境下的数据保护挑战
云客户和CSP之间的数据传输需要保护
多租户环境下数据存储安全
云客户无法安全擦除物理驱动器
保障密码学安全性的核心是保障密钥的安全性，依靠密钥管理来实现，CSP也提供密钥管理服务（KMS）来提高密钥管理效率
身份和访问控制
物理访问
由CSP负责，通常不允许云客户访问物理设施
用户访问
根据服务模式不同，云客户和CSP责任各不相同
特权访问
对特权账号的控制要更加严苛
服务访问
指的是控制CSP对客户数据的访问
数据和介质净化
云环境下的数据净化挑战
云客户无法物理访问磁盘，因此无法物理销毁
数据是共享的且分布式的，定位数据是个问题
数据净化方法
覆写（overwriting）
使用1或0覆写硬盘以确保删除数据，可能产生数据剩磁问题
加密擦除（cryptographic erase）
也被成为加密粉碎（cryptoshredding），使用密钥加密数据，然后再使用另一个加密引擎加密密钥，再将新产生的密钥销毁的过程
网络安全
网络安全组（network security group）
云中虚拟防火墙，提供访问控制功能
零信任网络（zero trust network）
主体对客体的访问永不信任、经常验证
入口和出口监控（ingress and egress monitoring）
由于云环境导致传统边界的模糊，通常只能监控进出CSP的边界
虚拟化安全
虚拟化管理程序安全（hypervisor）
Hyper-V负责虚拟机的创建和管理以及调度和调节虚拟机对底层物理硬件的访问
类型1 Hyper-V（如EXSI）相较类型2 Hyper-V（如VMare）通常更快、更安全
常见针对Hyper-V的攻击是虚拟机逃逸（VM escape）
容器安全（container security）
容器化的好处把包括资源效率、可移植性、更容易扩展和敏捷开发、其涉及的风险包括访问控制、软件错误、隔离失效等
临时计算（Ephemeral Computing）
仅在较短的一段时间内进行计算，是按需自助服务和计量服务特征的体现
无服务器技术（serverless technology）
也被称为功能即服务（FaaS），CSP提供代码运行的标准编程语言和函数环境，而非标准操作系统环境
常见威胁
传统环境的威胁在云环境中也需要关注
安全卫生（security hygiene）
安全卫生指的是维护系统健康和安全态势的活动，包括但不限于漏洞扫描、渗透测试、资产管理、数据备份等
补丁修复（patching）
定期开展补丁修复有利于遏制漏洞利用
建立基线（baselining）
通过基础设施即代码（IaC）确保新建实例遵循预定义的基线配置，并根据
理解保护云计算的设计原则
基于云的业务连续性和灾难恢复计划
业务连续性计划（BCP）关注保持业务连续运行，灾难恢复计划（DRP）关注在灾难发生后恢复业务，两个计划的区分点在于灾难发生前后
可用性区域（availability zone）指的是CSP独立的数据中心，云客户可采用多区域部署模式，避免单个数据中心被摧毁后的业务中断，代价是成本的增长
业务影响分析
业务连续性（BIA）允许组织识别关键资产和功能，为BC/DR规划资源的优先级
成本效益分析（cost-benefit analysis）
组织的业务决策应基于成本效益分析
投资回报率（return on investment ROI）
衡量一个组织从投资中获得多少价值
云设计模型
SANS安全原则
SANS（SysAdmin、Audit、Network、Security）是一个为安全从业者提供各种服务的组织，包括培训、模板和CIS控制框架
良好架构框架（well-architected framework）
每一个CSP都有自己的云计算架构框架，云客户根据CSP提供的内容按需选择
云安全联盟企业架构（CSA EA）
一个用于建模IT资源架构的框架，使其与组织内的业务需求保持一致，包含业务运营支持（BOSS）、IT运营和支持（ITOSS）、技术解决方案服务（TSS）和安全即风险管理四个领域
评估云服务提供商
评估组织
国标标准化组织/国际电工委员会（ISO/IEC）
ISO 27001：信息安全管理体系（ISMS）
ISO 27002：信息安全技术控制
ISO 27017： 针对云环境的信息安全技术控制
ISO 27018：针对云环境中的PII的信息安全技术控制
支付卡行业数据安全标准（PCI DSS）
PCI委员会负责定期更新，适用于支付卡行业交易数据保护
政府云标准
美国联邦风险和授权管理计划（FedRAMP）
基于风险的安全控制措施，云服务商必须满足要求，美国政府机构才能购买其服务
英国政府云（G-Cloud）
一个云服务市场，已根据G-Cloud框架实施控制，可供英国政府机构使用
云安全联盟（CSA）的安全、可信、保障和风险（STAR）
CSA是一个非营利性组织，其STAR认证提供对CSP安全和隐私控制的认证
Level 1
自评估，CSP完成CSA云控制矩阵（CCM）或共评估倡议问卷（CAIQ），并将其提交给STAR注册中心
Level 2
第三方审计，可独立审计或纳入SOC 2或ISO 27001
评估产品
通用准则（CC）
通用标准（CC）是一套用于评估信息安全产品的国际准则和规范
保护范畴（PP）
客户对预购产品提出的安全要求
评估保障级别（EAL）
共7级，级别越高说明测试的越严格，并不说明安全性高
FIPS 140-2
FIPS系列是为了保护政府机构处理的数据，FIPS 140-2提供了一种验证加密模块强度的方案，最新版本是FIPS 140-3
域2：云数据安全
描述云数据概念
数据生命周期
创建（create）
创建新数据或修改已有数据，涉及数据分类以及分配安全控制等
示例：客户填写Web表单
存储（store）
创建数据的同时伴随存储数据，涉及存储位置的选择、访问控制、加密、备份等
示例：客户在Web应用程序中保存数据
使用（use）
包括数据的访问、查看和处理，涉及访问控制、加密、日志审计等
示例：客户通过Web应用程序访问其账户
共享（share）
两个实体或系统间交换数据，涉及访问控制、加密、哈希等
示例：用户授权并通过电子邮件共享链接
归档（archive）
数据不再使用进入长期存储，涉及数据保留、存储位置的选择、访问控制、加密、备份等
示例：系统被备份到一个可移动驱动器，该驱动器存储在异地
销毁（destroy）
数据进行生命周期的终点，涉及数据净化
示例：粉碎HHD、SSD或硬拷贝
数据离散（data dispersion）
指在云计算环境中使用的一种技术，将数据分割成更小的块，并将其存储在不同的物理存储设备商，并使用擦除编码（erasure coding）允许某些片段丢失时可以重建数据
优势：由于使用了擦除编码技术，因此提高了数据的可用性
风险：数据处理效率降低，不同国家的管辖权问题
数据流（DFD）
数据流图有助于提高云环境中数据流转的可见性，并确保实施适当的安全控制
设计和实施云数据存储架构
存储类型
基础设施即服务（IaaS）
临时（ephemeral）
VM实例的操作系统（OS）存储，VM断电数据就会丢失
原始（row）
原始设备映射（RDM）允许特定云VM访问存储逻辑单元号（LUN）
长期（long-term）
通常设计用于满足组织的记录保留或数据归档需求
卷（volume）
类似于连接到计算机的传统驱动器，可将数据存储在预定大小的块中，其可用于实现数据离散
对象（object）
类似于在网络上访问Unix共享节点或Windows文件服务器，数据通常以文件的形式作为对象存储和检索，用户可以使用文件浏览器与数据对象交互
平台即服务（PaaS）
磁盘（disk）
一个虚拟磁盘，可以连接到PaaS实例，可以采取卷或对象存储的形式
数据库（database）
数据库将以多租户模式提供，客户端之间具有逻辑分离，通过对数据库的API调用进行数据访问
二进制大对象（blob）
非结构化数据，通常是由应用程序生成的文本文件、图像或其他二进制文件，允许用户生成自由格式的内容
软件即服务（SaaS）
信息存储和管理
允许用户通过Web GUI输入数据并对其进行操作，数据存储在由CSP管理的数据库中
内容和文件存储
数据以用户可以创建和操作的文件的形式存储在SaaS应用程序中
内容分发网络（CDN）
CDN提供了地理上分散的对象存储，使组织能够尽可能靠近用户存储内容
存储类型的威胁
非授权访问
任何非授权的数据访问都应该阻断
非授权配置
按需自助服务的便利性可能产生影子IT问题，导致运营成本增长和安全风险
监管不合规
不合规可能导致组织停止运营或罚款
管辖权问题
不同国家的法律要求不一样，需要确保数据的地理位置与其安全控制一致
拒绝服务
广泛的网络访问可能导致云计算服务遭受DDoS攻击
数据损坏或破坏
数据输入中的人为错误、恶意内部人员篡改数据、硬件和软件故障或自然灾害问题都可能导致数据或存储介质无法使用
介质丢失或被盗
基本全是CSP的责任，但仍需加密数据提供额外保护
恶意软件和勒索软件
适当的访问控制和恶意软件工具可以防止或检测恶意软件活动，而数据备份和版本控制可以对受到恶意软件影响的数据采取有效的应对措施
不正确地处置
基本全是CSP的责任，但仍需加密数据提供额外保护
设计和应用数据安全技术和战略
加密和密钥管理
加密（encryption）是对数据及逆行数学转换以使其不可读的过程，通常需要使用密钥（key），实现转换所采取的步骤称为算法（algorithm），流行的算法有Rijndael、RSA、ECC等
Kerckhoffs原则指的是一个密码系统的安全性只能依赖密钥的安全性
密钥管理最佳实践
使用如随机数噪音输入创建强随机密钥
以安全的方式存储密钥，无论是在密钥库中加密还是存储在物理设备上，并在密钥丢失时处理存储副本以供检索的过程，该过程称为密钥托管（key escrow）
安全地使用密钥，主要关注访问控制和可问责性
由于密钥的高度敏感性质，共享密钥并不常见，但应该存在共享公钥、安全地将对称密钥传输给通信伙伴以及将密钥分发给密钥托管代理的设施
归档不再需要常规使用，但可能以前加密数据所需要的密钥
安全销毁不再需要或已损坏的密钥
加密类型
存储级加密
使用CSP控制的密钥在数据写入存储时提供数据加密
卷级加密
使用由云客户控制的密钥，对写入到连接到特定V,实例的卷的数据进行加密
对象级加密
在所有对象写入存储时（CSP控制密钥）或写入之前（云客户控制密钥）执行加密
文件级加密
通常在客户端应用程序（如Microsoft Word）中实现，密钥由云客户控制
应用级加密
通常使用对象存储在应用程序中实现，用户输入或创建的数据在存储之前由应用程序加密
数据库级加密
可以通过加密数据库文件在文件级执行，或者可以利用数据库管理系统（DBMS）提供的透明加密，用于加密特定列、整个表或整个数据库
哈希
哈希（hashing）有时也被称为单向加密（one-way encryption），主要用于检查完整性以及密码安全存储
不安全的哈希算法可能会导致冲突（collision），即两个不同的输入产生与输出相同的哈希值，这将导致哈希算法不可靠
数据混淆
当敏感数据用于其他目的时，为了保护敏感数据或满足合规要求，需要删除或替换敏感数据元素或字段，这被称为混淆（obfuscation）
替换（substitution）
通过将一些信息交换为其他数据来实现
混排（shuffling）
移动数据改变数据排序来实现，数据仍是真实的
数值方差（value variance）
将数学变化应用于主要数字数据
删除或空值化（deletion or nullification）
用空置替换原始数据
屏蔽（masking）
类似于混淆处理，可用于防止敏感数据的泄露，而无需移除数据本身
假名化（pseudonymization）
使用假名混淆数据的过程，存在一个映射表能够逆向该过程，还原真实数据
匿名化（anonymization）
又称去标识化（de-identification），删除数据中能够直接或间接标书个人身份的数据，使数据匿名且不可逆的过程
令牌化（tokenization）
创建并使用敏感数据的非敏感表示（也称为令牌token）来代替敏感数据的过程，是支付卡行业数据安全标准（PCI DSS）合规性的建议控制措施
数据防泄漏
数据防泄漏（DLP）是一种技术系统，旨在识别、盘点和控制组织中敏感数据的使用
DLP常见组件
管理中心：管理终端和网络代理的平台，负责策略的配置和下发以及安全态势的监控
终端代理：运行在终端侧的代理软件，识别终端上的敏感数据、执行防护动作
网络代理：运行在网络侧的硬件设备，识别流量中的敏感数据、执行防护动作
DLP核心功能
发现（discovery）：识别、分类和盘点数据资产
监控（monitoring）：监控敏感数据的移动、存储和使用
执行（enforcement）：根据预设规则执行告警、拦截、日志记录等动作
实施数据发现
基础概念
数据发现的两个主要目的，一是通过DLP识别组织内数据，建立关键数据资产清单；二是发现数据中趋势和有价值的情报
元数据（metadata）：描述数据的数据
数据湖（data lake）：整合大量数据，存储非结构化数据
数据仓库（data warehouse）：整合大量数据，存储结构化数据
标准化（normalization）：将不同格式的数据转换为通用格式，也称提取、转换、加载（ETL）
数据集市（data mart）：包含已入库、分析并可用于特定用途的数据
数据挖掘（data mining）：发现、分析和提取数据模型的过程
在线分析处理（online analytic processing， OLAP）：提供数据的分析处理能力
机器学习/人工智能训练数据（ML/AI training data）：顾名思义
结构化数据
结构化数据是指以一致方式格式化的数据，如数据库、易于数据发现
非结构化数据
非结构数据是指不遵循通用格式存储的信息，如图片、不易于数据发现
数据标签
标签可以识别文件的分类级别，通过识别标签为数据应用适应的安全控制
内容分析
模式匹配（pattern matching）：将数据与已知格式进行比较，即正则匹配
语法分析（lexical analysis）：试图理解数据的含义和上下文，以发现可能不符合特定模式的敏感信息，易产生误报
哈希（hashing）：计算文件哈希值与已知敏感数据的哈希值做比较，适应固定不变的文件
半结构化数据
具有某种结构但不是严格结构化的数据，如JSON，应采用综合的数据发现方法
数据位置
数据的位置将影响其可发现性和用于执行发现的工具的选择
特别是在云环境，数据可能被存储在不同的国家或地区，管辖权问题可能影响数据发现活动，云提供商是否支持数据发现工具，这都将影响数据发现的结果
实施数据分类
数据分类策略
常见敏感数据类型
个人身份信息（PII）：标识个人身份相关的信息
受保护的健康信息（PHI）：属于PII，聚焦于医疗保健相关
持卡人数据环境（CDE）：信用卡、借记卡以及交易相关的信息
数据分类策略的常见元素
不同分类级别固有的合规要求
数据保留和处置要求
哪些数据被视为敏感数据或受监管数据
适当或批准数据用途
访问控制和授权
加密需求
映射
数据映射（data mapping）是将数据规范化和转义后使不同组织或部门都能理解数据的过程
数据分类分级工作必须进行数据映射，以便接受数据的组织或系统能够识别数据的中药程度，匹配执行相应保护措施
标记
需要标记的资产类型
硬拷贝材料：主要是印刷在纸上的信息，可以用印刷水印、印戳或物理容器标记
物理资产：包括服务器、工作站、磁盘驱动器、光盘和可移动介质，这些介质可以贴上标签或徽章
数字文件：通常来自办公工具、数据库等电子资料，通常可以用元数据标记
标记最佳实践
标签的级别应与所存储数据的最高级别保持一致
标签不应该暴露太多信息
任何级别的数据都需要标签
发现未标签存储时应以最高级别分类对待
设计和实施信息权利管理
基础概念
信息权利管理（IRM）是一种执行反问和使用限制的方法
消费者级IRM：通常称为数字版权管理（DRM），侧重于控制受版权保护的材料的使用、复制和分发
企业级IRM：强制实施复制保护和使用限制，侧重于控制数字文件和内容的访问
IRM目标
持久性（persistence）：控制紧跟数据，不会轻易被更改
动态策略控制（dynamic policy control）：随时调整数据的访问权限，这要求数据所在设备必须联网
有效期（expiration）：对数据进行限时访问
持续审计跟踪（continuous audit trail）：能够审计数据被谁、什么时间、传给过谁等内容
互操作性（interoperability）：能够为不同系统类型的用户提供支持
规划和实施数据保留、删除和归档策略
数据保留策略
数据保留主要由运营需求和合规要求驱动，必须满足合规要求，再平衡运营需求和运营成本决定数据保留策略
存储成本和访问需求
存储成本需要和访问数据的速度要求相互平衡，特别是使用云备份
特定法律和监管要求的保留期限
健康保险携带和责任法案（HIPAA）
影响所有美国居民并规定与HIPAA合规计划有关的文件，保留期为6年
患者医疗数据的保留未明确要求，但只要患者处于活动状态，数据就必须保留
通用数据保护条例（GDPR）
影响欧盟公民的数据，不设定特定的保留期限，但数据主体要求遗忘权或组织违法，则必须立即删除数据
数据保留实践
时间表：数据必须保留的时间段
完整性检查：定期检查数据的完整性
检索程序：具备访问数据适当的授权步骤
数据格式：考虑数据的保存格式，以防未来不可读
加密算法：加密数据的算法是否会随着时间流逝变的不可靠
电子发现：保留的数据需支持合规要求的事件调查
数据删除流程和机制
当运营需求不再需要数据，并且数据已保留到规定的合规期内时，可以将其处理掉
NIST SP 800-88介质净化指南
清理（clear）
删除数据映射链接使其不可见，易恢复、不适用敏感数据
清除（purge）
使用专业工具就，完成覆写、消磁、加密擦除等完成数据的安全清除
销毁（destroy）
物理上销毁存储介质以达到销毁数据，最安全的方法
数据轨道流程和机制
数据归档是指出于各种目的将数据放置在长期存储中，主要考虑数据从临时存储移动到长期存储过程的传输安全，归档数据的存储安全以及访问控制安全
法律保留
法律保留（legalhold）是指数据牵扯法律诉讼时，法务部门要求相关数据必须保留，涉及该部分数据的保留计划暂停执行，直至解除法律保留
设计和实施数据事件的可审计性、可追溯性、可问责性
事件源的定义和事件属性需求
跨所有服务器和设备的时间同步
日志中时间的时间戳对于建立特定用户执行的活动链至关重要
不同的分类方案
不同的应用程序和平台将使用不同的元数据对事件进行分类
身份属性
事件分析最终要确定是谁干了什么事，识别用户唯一性非常重要
用户身份：用户名相关，如UID、GUID等
IP地址：用户使用设备的逻辑地址，内网可控相对可靠，外网易伪装
地址位置：可使用IP地址或GPS定位用户的地理位置
特定应用程序日志
应用程序可能提供生成日志的能力，但日志格式差异较大，需要标准化处理
日志文件的完整性
日志容易被篡改，导致事件分析不准确
数据事件的日志记录、存储和分析
组织每天会产生海量数据，必须依靠专业工具进行审查才能保障效率和准确性
安全信息和事件管理（SIEM）的关键功能
日志集中和聚合：平台能够采集所有设备的日志进行统一存储
数据完整性：平台具备访问控制，非授权用户无法查看日志
标准化：日志格式统一化处理
自动或持续监控：根据规则对事件进行关联分析，提高潜在攻击的检测能力
告警：自动向管理员告警或与其他安全设备联动执行动作
调查支持：支持对历史数据的手工审查
监管链和不可否认性
监管链（chain of custody）
一个关于证据是如何处理的、由谁处理的、从收集到作为证据呈现的可辩护记录，用以证明收集的证据是可信的，能够用于呈堂证供
不可否认性（nonrepudiation）
可以明确要求特定用户对待特定动作负责的特性，依赖身份标识、身份验证、日志记录、完整性检查灯多种技术共同维护
域3：云平台和基础设施安全
理解云基础设施和平台组件
物理环境
根据云部署模型的不同，CSP的角色和物理安全的责任也有所不同
私有云
通常在组织本地部署，因此CSP就是组织本身，负责物理安全
还可以租用公有云独立空间部署，此场景下CSP是公有云提供商，由提供商负责物理安全
社区云
通常由社区成员、同时也是CSP负责物理安全，但也可以租赁公有云独立空间，与私有云情况类似
公有云
物理安全由CSP负责
网络和通信
CSP和云客户自己负责自己场所的网络安全，两者之间的网络（互联网）由双方共同负责，通常涉及使用密码学，方式包括但不限于通信加密、传输前加密、专用线路等
计算
计算资源包括虚拟机（VM）、磁盘、处理器、内存和网络资源等基础设施组件，根据共享责任模型为CSP和云客户分配责任
虚拟化
虚拟化管理程序类型
类型1，也被称为裸机虚拟化管理程序，常用于云计算等企业解决方案，如ESXi
类型2，也被称为托管虚拟化管理程序，常用于个人需求或测试环境等，如VMware
虚拟化安全风险点
虚拟化管理程序
包括补丁更新、身份验证、访问控制、日志记录等
虚拟化网络
主要是隔离性、访问控制、流量监控等
虚拟机（VM）
与传统主机一样
存储
CSP负责存储的物理安全，云客户负责存储的逻辑安全，主要是数据的全生命周期保护
管理平台（management platform）
管理平台提供配置、监控和控制云环境所需的工具，主要是Web管理界面和API，拥有云环境中最高特权
为管理平台的特权账号建立强密码策略，如使用密码短语
为管理平台的特权账号使用多因素身份验证（MFA），如密码+收集验证码
根据业务需求选择访问控制模型，如RBAC、ABAC等
设计一个安全数据中心
逻辑设计
数据中心的逻辑设计指的是在CSP提供的云环境中构建云客户自己的数据中心，重点关注数据保护方面的安全控制
租户分区
在云环境中，租户之间的分隔通常是逻辑隔离，通过访问控制来实现，对租户来说是透明的，即仅能访问自己的资源而不知道其他租户的情况
由于数据安全的责任是云客户的，为了避免出现隔离失效的情况，应采用加密技术保护数据，并妥善保管密钥
访问控制
访问控制可通过现有IAM系统与云资源集成来实现，建华了账户和权限配置
避免本地和云资源混用的方法是使用身份即服务（IDaaS），仅提供云访问的IAM管理
物理设计
位置
物理位置的选择主要考虑因素包括自然风险、距离用户的位置、稳定的公用设施等
购买或建设
CSP通常自建数据中心，拥有数据中心的最大控制权
云客户根据成本效益分析来决定购买公有云服务，还是自建或利用现有本地数据中心或租赁机房建设私有云或社区云
环境设计
环境设计是CSP的责任，主要影响云资源的可用性
供暖、通风和空调（HVAC）
HVAC受数据中心物理位置影响而又不同的侧重，北极的机房不需要空调，撒哈拉沙漠的机房不需要供暖，应具备充分性和冗余性
多供应商路径连接
CSP应采用多个互联网服务提供商（ISP）的路线，从多个物理位置接入数据中心
设计韧性
韧性（resilient）设计师为了积极应对变化或干扰，如自然灾害或人为干扰
分析与云基础设施相关的风险
风险评估
识别
首先识别组织的关键资产，包括硬件、数据、人员、业务流程、关键供应商等，然后通过头脑风暴列举资产可能面临的风险
分析
对列举的风险进行分析，确定每个风险发生的可能性以及影响
常见的云风险
CSP数据中心的地理分散性
停机时间
合规性
一般技术风险
云漏洞、威胁和攻击
广阔的受攻击面
公有云对整个互联网提供服务，因此组织可能被任何人攻击而受到连带风险
多租户环境风险
同一公有云中的其他租户可能对组织数据产生风险
第三方人员风险
供应商的员工可能无意或有意对组织产生风险
风险缓解策略
根据组织需求，选择符合要求的CSP
安全地设计和架构系统和服务
采用加密技术保护云上数据
持续监控云运营
规划和实施安全控制
物理和环境保护
物理位置的选择
物理访问控制措施
稳定的公用设施供应
充足的人力资源
冗余的网路连接
系统、存储和通信保护
NIST SP 800-53：信息系统和组织安全和隐私控制-系统和通信保护（SC）
策略和程序：指导安全活动的开展
系统和用户功能分离：指责分类原则的应用
安全功能隔离：职责分类原则的应用
拒绝服务保护：具备抗DDoS能力
边界保护：云环境出入口保护
密钥安全管理：加密依赖密钥的安全性
云环境中的身份识别、身份验证和授权
身份和访问管理（IAM）实践通常使用IAAA来描述，即识别、身份验证、授权和可问责性
识别（identification）
用户通过独特的东西，如用户名或用户ID，来表明自己的身份
身份验证（authentication）
用户证明自己所表示的身份，包括密码、硬件令牌或生物识别，应采用多因素身份验证（MFA）来提高安全性
授权（authorization）
完成身份验证后授予用户访问资源的权限，根据组织需求选择不同的访问控制模型，按需选择云访问安全代理（CASB）来集中管理
可问责性（accountability）
通过记录用户访问活动和监控实现可问责性
审计机制
由于云环境的特性，审计活动可能受阻，结合审查SOC报告能使审计活动更有效
日志收集
确定要收集的事件类型，遵循数据保留策略决定留存时间，使用SIEM能够集中存储日志并进行关联分析，提高日志审查和监控的效率
相关性（correlation）
相关性指的是发现两个或多个事件之间关系的能力
数据包捕获
数据包捕获或pcap是指对网络通信数据包的捕获，可用于监控网络活动，检测恶意网络活动以及网络攻击行为，并能够提供最准确的网络溯源证据
规划灾难恢复和业务连续性
业务连续性/灾难恢复策略
业务连续性/灾难恢复（BC/DR）计划是为了确保组织在发生不利事件后能够继续运营
业务影响评估（BIA）用于是被关键业务流程，并确定业务流程的优先级
BCP在专注于灾难发生后保持业务运营，而DRP专注于使业务运营恢复正常
业务需求
规划BC/DR计划时，组织应考虑三个重要指标
恢复时间目标（RTO）
为每个系统确定最大容忍停机时间（MTD），并设计恢复时间目标（RTO），即系统崩溃到恢复所需要的时间，使RTO<MTD以确保组织不会收到严重影响
恢复点目标（RPO）
恢复点目标用于衡量系统崩溃时容忍损失的数据量
常用于指导备份策略的指定，备份频率越高、成本越大、RPO越小
恢复服务水平（RSL）
恢复服务水平用于衡量灾难发生时，保持生产环境运行所需的计算资源（0~100%）
计划的构建、实施和测试
计划的创建
BC/DR计划创建是执行业务影响评估（BIA），识别关键业务流程并进行优先级排序，并设计相关控制措施以保障恢复能力
计划的实施
BC/DR计划的实施依赖高级管理层的支持，因为计划的有效实施依赖充足的资源
计划的测试
BC/DR计划应定期进行测试以确保其有效性
通读测试（Read-Though Test）
也叫检查单测试（checklist tests），向灾难恢复团队成员分发DRP副本进行内容审查
结构化演练（Structured Walk-Through）
也叫桌面练习（tabletop exercise），灾难恢复团队成员开会扮演灾难时自己负责的角色职责，讨论可能需要优化的部分，此类型测试可能涉及人员实际活动，如逃离办公楼
模拟测试（Simulation Test）
与结构化演练类似，但某些响应措施会进行测试，可能会中断非关键业务活动或占用运营人员
并行测试（Parallel Test）
涉及将人员重新安置到备用恢复站点并实施站点激活程序，但主站点仍负责处理日常业务
完整中断测试（Full-Interruption Test）
涉及直接关闭主站的运营，并在备用站点启动激活程序，风险非常大，通常不会进行此类型测试
域4：云应用程序安全
倡导应用程序安全培训和意识
安全软件开发始于安全文化的发展和安全软件开发生命周期（SSDLC）的实施
云开发基础知识
设计安全（security by design）
安全参与SDLC的每个步骤，越早开始越好，可参考构建安全成熟度模型（BSIMM）
共享安全责任
安全是组织中每一个人的责任，在云环境中CSP与云客户明确责任、有效合作
安全即业务目标
了解安全风险并确保其得到环境应被认为是一个关键的业务目标，而不是一个阻碍
常见陷阱
缺乏对云安全责任的理解
高级管理层对云应用安全计划的支持不足
未能理解组织文化
人员配置不足或一人多用
缺乏安全软件开发框架
直接削减培训预算
常见云漏洞
CSA Top Threats to Cloud Computing
CSA定期发布云计算的顶级威胁，最新2022年版本名为Top Threats to Cloud Computing Pandemic Eleven
身份、凭据、访问和密钥管理、特权账号的不足
不安全的接口和API
配置不当和变更控制不足
缺乏云安全架构和策略
不安全的软件开发
不安全的第三方资源
系统漏洞
意外的云数据泄露
无服务器和容器工作负载的配置不当和利用
有组织的犯罪、黑客和APT
云存储数据泄露
OWASP Top 10
最新版本为2021年
访问控制失效
加密失败
注入
不安全的设计
安全配置不当
脆弱且过时的组件
识别和身份验证失败
软件和数据完整性失败
安全日志记录和监控失败
服务器侧请求伪造
SANS CWE Top 25
一份最危险的软件弱点清单，用于软件安全测试
描述安全软件开发生命周期
软件开发声明周期（SDLC）是指确定一个系统必须满足哪些要求，然后设计、构建、测试和运行该系统的所有必要活动
安全软件开发生命周期（SSDLC）将生命周期进化为在整个过程中纳入安全活动，也被称为安全左移（shifting left）
NIST安全软件开发框架
NIST安全软件开发框架（SSDF）定义并描述了安全软件开发实践，分为以下四组
准备组织：包括人员、流程和技术
保护软件：防止篡改和非授权访问
生产安全可靠的软件：具有最少漏洞的软件
响应漏洞：在未来版本中防止漏洞
OWASP软件保障成熟度模型
OWASP SAMM用来评估现有SDLC的安全开发现状，并识别提高这些实践成熟度的改进
治理：战略和指标、策略和合规、教育和指南
设计：威胁评估、安全需求、安全架构
实施：安全构建、安全部署、缺陷管理
验证：架构评估、需求驱动测试、安全测试
运营：事故管理、环境管理、运营管理
业务需求
组织将安全开发当做业务需求才能将在SDLC中贯彻安全设计
阶段和方法
常见SDLC阶段
需求：包含可行性研究以及收集业务、功能和安全需求
设计：解决需求以及测试用例
开发：编写代码或购买COTS
测试：根据测试用例来进行测试
部署：实施软件并确保安全配置
运行和维护：软件上线后的运营
瀑布
非常严谨的开发方法，适合稳定性要求高的软件开发工作
敏捷
该方法追求软件交付速度，适应需求变化快的软件开发工作
应用安全软件开发生命周期
云特有风险
详见CSA Top Threats to Cloud Computing
威胁建模（threat modeling）
威胁建模用于识别潜在的危险和安全漏洞，并作为风险管理的输入
STRIDE
STRIDE用于识别和分类针对软件的安全威胁
欺骗：伪造身份获取访问权限
篡改：破坏完整性
否则：无法证明某人做了某事
信息披露：信息被未授权访问
拒绝服务：破坏可用性
特权提升：非授权获取特权账号
DREAD
DREAD用于量化威胁评估，对威胁的补救进行排序
损害：威胁对组织的损害程度
可复制性：威胁有多容易复制
可利用性：威胁有多容易实现
受影响用户：威胁的影响面
可发现性：危险多容易发现
PASTA
攻击模拟和威胁分析流程（PASTA）是基于风险的威胁分析方法
定义目标
定义技术范围
应用程序分解
威胁分析
脆弱性分析
攻击建模
风险和影响分析
ATASM
ATASM是执行威胁建模的流程步骤的缩写
架构：对系统架构进行分析
威胁：列举所有可能的威胁
攻击面：列举系统暴露于攻击的任何部分
缓解措施：分析现有环境措施及其有效性
开发期间规避常见漏洞
培训和意识：对开发人员进行培训，以了解常见软件漏洞
文档化过程：记录SSDLC并传达给团队所有人
测试驱动开发：基于测试用例开展测试，有助于避免已知漏洞
安全编码
OWASP安全编码实践
OWASP应用安全验证标准（ASVS）
SAFECode安全编码实践
软件配置管理和版本控制
软件配置管理（SCM）和版本管理的目的是管理软件资产，重点是确保关键信息系统组件的完整性
应用云软件保障和验证
软件保障（software assurances）是指软件不存在漏洞并按预期运行的程度，是一种信心水平，无法完全量化，但可通过验证来确定是否符合预期要求
功能和非功能测试
功能测试（functional testing）
功能测试用于测试是否满足与系统需求相关的系统功能规范
单元测试：针对单个功能或模块的测试
集成测试：针对多个模块协同工作的测试
可用性测试：在类生产环境中测试，获取用户和系统之间互动的反馈
用户验收测试（UAT）
用户验收测试一旦完成，软件即可交付使用
回归测试（regression testing）
回归测试是在软件开发的维护阶段进行的，以确保软件的变更不会影响当前功能，引入新漏洞或之前已修复的漏洞
非功能测试（non-functional testing）
非功能测试用于测试与系统主要功能没有直接关系的方面，如性能测试、安全测试、兼容性测试、文档测试、易用性测试等
安全测试方法
测试类型
三种常见测试类型的主要区别在于测试人员可获得的知识水平
白盒测试：测试软件的内部结构，涉及所有代码
灰盒测试：了解有限的信息来测试系统，如系统使用的算法、组件、设计文档等
黑盒测试：完全不了解软件的情况下测试系统如模拟用户或黑客
应用程序测试
静态应用程序安全测试（SAST）
对源代码进行静态分析，属于白盒测试
动态应用程序安全测试（DAST）
主要涉及使用漏洞扫描工具，属于黑盒测试
交互式应用程序安全测试（IAST）
在应用程序内设置代理，对应用程序的性能进行实时分析，检测潜在的安全问题，属于灰盒测试
运行时应用程序自我保护（RASP）
属于安全工具，常与IAST集成
RASP拦截所有进出应用程序的调用，并验证所有数据请求，在检测到异常活动后会终止用户会话或关闭应用程序
代码审查和人工测试
代码审查通过审查代码来发现缺陷
同行评审（peer review）指的是由一个开发人员审查另一个开发人员编写的代码
代码审查也可通过自动化工具完成，常用于CI/CD管道
人工测试涉及不由自动化工具执行的任何类型的测试，通常成本较高，但能够发现自动化工具无法发现的问题，如业务逻辑漏洞
软件成分分析（SCA）
软件成分分析旨在提供对软件组件或依赖性风险的可见性，可以识别软件中使用的所有组件以及包含的已知漏洞
SCA识别的组件清单被称为软件材料清单（SBOM）
质量保障
质量保障（QA）是涉及软件测试、配置管理、版本管理、漏洞管理等，是开发和交付软件过程中的最后一环
滥用案例测试
用于测试系统是否满足定义的要求，滥用案例用于测试与预期行为相反的情况，也被称为误用案例（misuse case），常用于渗透测试和应用程序安全测试
使用经验证的安全软件
保护经验证的安全软件
应用程序编程接口（API）提供了一种标准化的方式来访问一个系统所提供的特性或能力
API的安全要求包括加密、访问控制、身份验证、监控和日志记录等，API应正确配置并定期进行安全测试
供应链管理
管理供应链中的风险既要关注运营风险，以确保供应商有能力提供所需的服务，也要关注安全风险，即供应商有足够的风险管理计划来应对他们所面临的风险，可参考27006：供应关系
第三方软件管理
第三方软件管理主要涉及软件安全性评估和许可管理
经验证的开源软件
选择使用开源软件（OSS）时，应选择知名产品并进行安全测试
理解云应用程序架构的详情
云应用架构
微服务（MicroService）
微服务应用程序将复杂的架构设计为服务和数据的集合，遵循高内聚设计原则，每个微服务执行单一业务功能，可以灵活组合形成复杂系统
无服务器（ServerLess）
无服务器环境使用事件驱动的架构，即无服务器计算仅在触发时进行激活所需的功能
云原生（Cloud-Native）
云原生架构是指部署到云中的应用程序，利用云计算交付模式，可以在任何类型的云环境中运行，并使组织专注于特定的开发任务
基于云的架构
基于云的架构适合 构建和部署Web应用程序
通过使用API网关，安全API是Web应用程序的前门，提供对数据和业务逻辑的访问
补充性的安全组件
Web应用防火墙（WAF）
Web应用防火墙（WAF）基于签名或启发式方法检测HTTP/HTTPS流量，保护Web应用程序免受常见攻击，如SQL注入、跨站脚本（XSS）、跨站请求伪造（XSRF）等
数据库活动监控（DAM）
数据库活动监控是指一套支持识别和报告数据库中欺诈或可疑行为的工具，能够基于访问数据库的流量或数据库审计日志来发现异常行为，并支持对特权用户的监控
可扩展标记语言（XML）防火墙
可扩展标记语言防火墙检测HTTP、HTTPS等流量，检测针对基于XML的应用程序和API
应用程序编程接口网关（API gateway）
应用程序编程接口网关检测应用程序后端服务的流量，支持速率限制、访问记录和授权控制等
密码学
静止中的数据
静态数据加密通常使用对称加密算法实现，CSP通常提供加密存储服务作为标准选项
传输中的数据
传输中的数据加密依靠TLS、HTTPS或VPN来保护，也可以通过先加密数据再传输的方式进行保护
密钥管理
加密依赖密钥的安全性，因此密钥的生命周期管理非常重要
CSP提供密钥管理服务（KMS），也可以使用第三方密钥管理服务进行职责分离，但对于敏感数据来说，密钥管理应该由组织自己完成
沙箱
沙箱（Sandbox）是一个限制连接和限制功能的环境，通过隔离潜在的威胁来完成软件安全测试、恶意或可疑软件分析等工作
应用程序虚拟化和编排
通过容器（container）进行应用程序虚拟化，可以将一个应用与所有的依赖关系打包在一起，并部署在任何支持所使用的容器技术的系统商，使应用程序更可移植性
编排（orchestration）工具能够管理容器资源、管理并监控相关配置以满足组织需求
高纬度之上，云编排（cloud orchestration）允许客户以高效和经济的方式集中管理器云资源
设计适当的身份和访问管理解决方案
身份和访问管理（IAM）解决方案包含一系列用于控制访问的过程和工具，涉及账户的注册、身份验证、授权、日志记录、审计、变更、注销等
联合身份（FIM）
联合身份管理（FIM）允许单个数字ID跨多个系统进行访问，这些系统可以是同一公司的不同子公司、不同CSP、不同合作伙伴组织的系统
FIM提供了访问的便利性，但也会导致单点故障问题，即一个数字ID被盗，导致多个系统受损
身份提供者（IdP）
身份提供者（IdP）提供身份识别和验证，可由CSP或第三方提供服务
在联合身份管理中，服务提供者（SP）与IdP建立身份映射关系，用户访问IdP完成身份验证并颁发凭证，再使用凭证访问SP提供的服务
单点登录（SSO）
单点登录与FIM提供的能力一样，但更聚焦于简化内部访问管理
多因素身份验证（MFA）
多因素身份验证要求用户使用两种以上的身份验证因素来完成身份验证
类型1
你知道什么：如密码、PIN码、安全问题等
类型2
你有什么：硬件令牌、智能手机、银行卡等
类型3
你是什么：生物识别技术、如指纹、面部识别、虹膜扫描等
类型4
用户请求特征：包括地理位置、设备特种、访问行为等
云访问安全代理（CASB）
云访问安全代理位于云和用户之间，监控用户的云访问活动，并执行安全策略以降低安全风险
CASB支持基于代理和无代理模式，代理模式在用户访问终端商安装软件来更精准的进行安全分析和控制，无代理模式主要检测流量来控制访问
CASB还支持带外管理，即仅检测云访问流量来发现异常行为并报警，无法组织恶意流量
域5：云安全运营
为云环境构建和实施物理和逻辑基础设施
硬件特有的安全配置需求
可信平台模块（TPM）
TPM是一个内置在计算机系统中的专用模块，具有加密功能的专业能力，也称为加密协处理器（cryptographic coprocessor）
TPM通常是系统硬件的物理组成部分，不支持后期添加或删除，如Windows 11仅支持具有TPM的硬件才能安装
硬件安全模块（HSM）
HSM是一种专用硬件，旨在支持和执行密码功能
它是一个独立模块，支持按需扩展来提高安全性
存储控制器
存储控制器用于控制存储设备，包括访问控制、完成请求数据的集合以及为用户或应用程序提供存储服务的接口
网络配置
为设施的出入口提供足够的物理和环境安全
网络基础设施的韧性和冗余设计
建立灵活和可扩展的网络架构
为虚拟化和分布式环境提供适当的安全功能
虚拟化管理工具的安装和配置
最佳实践可参考互联网安全中心（CIS）的基准和国防信息系统局（DISA）的安全技术实施指南（STIG）
冗余：任何关键工具都应避免单点故障（SPOF）
计划停机和维护：工具需定期补丁修复和更新
隔离网络和强健的访问控制：工具具有特权，因此需要严格限制访问
配置管理和变更管理：工具的任何改变都应在有效的管理流程之下
日志记录和监控：记录任何特权活动
虚拟硬件特有安全配置需求
与虚拟硬件安全相关的最大问题是虚拟化管理程序（Hypervisor）在单个主机上运行的客户操作系统之间执行严格隔离
严格控制Hypervisor的配置和补丁管理
通过虚拟私有云（VPC）和安全组（security group）加强虚拟网络安全控制
限制虚拟硬件配置的数量以降低成本
通过基础设施即代码（IaC）来提高虚拟硬件配置参数效率
自动缩放（auto scaling）功能帮助客户根据负载自动调整资源
访客操作系统虚拟化工具集的安装
该工具为访客OS提供扩展功能，应遵循最小化必要功能原则进行安装并控制其使用
为云环境运营物理和逻辑基础设施
为本地和远程访问配置访问控制
常见远程管理协议
Security Shell（SSH）
提供命令行接口（CLI）方式的安全远程管理访问
远程桌面协议（RDP）
提供图形化接口（GUI）方式的远程管理访问，现以支持多种类型的操作系统（Windows、macOS、Linux等）
虚拟网络计算（VNC）
与RDP类似，提供图形化接口（GUI）方式的远程管理访问，特别是Linux或Unix系统
键盘、显示器、鼠标（KVM）
KVM是一种允许使用一套人机界面外围设备访问多个主机的设备，支持隔离数据端口、防篡改设计、保护存储、安全固件、物理隔断、USB端口和设备限制等特性
管理控制台
CSP提供了一个用于交互的可视用户界面（UI），允许创建和管理资源，包括用户账户、虚拟机、云服务（如计算或存储）以及网络配置
保护网络配置
虚拟局域网（VLAN）
VLAN常用于划分逻辑子网，起到隔离网络流量的作用，不同VLAN之间必须依赖三层设备才能通信
不同VLAN的网络流量依靠VLAN tag进行区分
虚拟可扩展局域网（VxLAN）可用于扩多个数据中心创建虚拟局域网
网络安全组（NSG）可用于限制网络访问，达到划分子网的效果
传输层安全（TLS）
TLS用于保护传输中的数据安全，替代了过时的安全套接字层（SSL）
握手协议（handshake protocol）用于协商建立加密通信通道，包括三个步骤
客户端使用ClientHello消息初始化请求，提供了其所支持的加密套件和TLS版本清单
服务选择支持的最高TLS版本和加密套件，并将选择的内容与含有公钥的服务器证书一起传递给客户端
根据加密套件的选择，客户端和服务器随后交换用于协商会话密钥的预主密钥
大多数情况下，TLS依靠服务器数字证书还提供单向身份验证，即验证服务器身份；如果客户端也拥有数字证书，则可以支持双向身份验证，用于高安全或高完整性的环境
动态主机配置协议（DHCP）
DHCP为主机动态分配晚安那个罗配置信息，包括IP地址、子网掩码、网关地址、DNS地址等
域名系统（DNS）以及安全扩展
DNS解决域名（www.google.com）和IP地址（1.1.1.1）的映射问题
区域传输（zone transfer）
DNS服务器之间共享映射信息的活动
缓存投毒（cache poisoning）
更新DNS记录将域名指向错误IP地址
DNS欺骗（spoofing）
欺骗DNS服务将用户域名解析为攻击者控制的IP地址
DNS安全扩展（DNSSEC）
通过使用数字签名提供DNS数据的加密认证来保护DNS
虚拟专用网（VPN）
VPN为外部用户提供了虚拟和远程加入网络的能力，从而访问该网络上托管的资源；或在两个网络之间建立安全通道，使两个网络中的主机相互安全地通信
OpenVPN
基于OpenSSL项目的开源VPN
IKEv2/IPSec
利用安全关联（SA）建立加密通信通道
SSL VPN
通常在浏览器中实现，无需安装额外软件
软件定义边界（SDP）
由于云服务的去中心化性质，导致传统网络边界不再存在，SDP通过软件控制用户访问的逻辑边界，是一种基于零信任理念的网络安全技术架构
通过应用基线加固操作系统
加固（hardening）是指将机器人配置为安全状态
通过创建OS镜像来构建基线，能够提高部署机器的效率并提高OS的安全性
OS镜像由于不运行，因此无法进行补丁修复等活动，定期更新OS镜像以及基于此创建的VM
基线实现方式
自定义VM镜像：客户自己创建安全的VM后生成相匹配的VM镜像以供未来使用
CSP定义镜像：CSP提供标准或添加安全配置的VM镜像
供应商提供的基线：根据所使用的产品供应商查询其提供的相关技术指南
基线最佳实践
国防信息系统局（DISA）的安全技术实施指南（STIG）
NIST检查表
互联网安全中心（CIS）的基准
独立主机的可用性
独立主机是指提供单个租户使用的独立专用主机，常用于处理高敏感数据，成本相对较高
集群主机的可用性
集群是具有某种协调元素的资源分组，通常是一个软件代理，它促进了集群之间的通信、资源共享和任务的路由
集群主机具有高可用性、性能优化、可扩展性特性
VM资源分配方式
保留（reservation）
对指定VM可用资源的特定最低级别的保证
限制（limit）
对VM资源的最大分配
共享（share）
给予特定VM的权重，当出现竞争时，用于计算给予百分比的对集合资源的访问
维护模式
维护模式是指围绕集群主机的常规维护活动的实践，这将对CIA产生影响
机密性
VM迁移过程通常不会加密，这可能导致数据泄露
完整性
维护模式下客户无法获取环境配置相关的报警
可用性
维护通常涉及使系统下线，需要实时迁移（live migration）将VM转移到集群之外；如果涉及CSP整个环境的维护更新，应提前预客户协商窗口期，并参考SLA执行相关要求
高可用性（HA）
高可用性是由一个健壮的系统和基础设施来定义的，以确保系统不仅正常运行，而且是可用的
通常以“9”的数量来衡量，例如，“5个9”或99.999%的可用性，这相当于每年大约5分钟的停机时间
Uptime institute 物理和环境冗余规范
Tier 1不提供冗余，发生意外维护或中断时停机时间最多（99.671%）
Tier 2提供部分冗余，非计划中断不一定会导致停机（99.741%）
Tier 3提供N+1冗余，允许在没有中断的情况下进行计划内维护活动，但意外故障仍可能导致停机（99.982%）
Tier 4提供2N+1冗余，可以承受计划内或计划外的活动，而不会影响可用性（99.995%）
分布式资源调度（DRS）
VMware ESXi主机集群中的协调元素，它调解对物理资源的访问，并提供支持高可用性和管理的其他功能，包括VM迁移、硬件扩容、资源平衡、能源管理等
虚拟机管理（VMM）
与DRS类似，Microsoft的软件，用于处理能源管理、VM迁移、优化计算和存储资源等
存储集群
存储集群创建了一个存储池，其目标是提供可靠性、提高性能或可能增加容量
紧耦合（tightly coupled）集群中的组件通常由同一制造商提供，更新或扩展必须来自同一制造商，数据读取速度快
松耦合（loosely coupled）集群以牺牲性能为代价提供了更大的灵活性和更低的成本
访客操作系统的可用性
在云环境中确保访客OS的可用性涉及及备份和恢复的规划，或利用云特定功能设计系统韧性
备份和恢复：云环境通常使用快照机制来备份，为备份配备安全控制并定期测试
韧性：设计的目的是不让系统中断，如两地三中心
为云环境管理物理和逻辑基础设施
远程访问的访问控制
由于云访问需要通过互联网，因此容易面临网络威胁
会话加密：通过TLS加密会话防嗅探
强身份验证：使用MFA加强用户访问控制
独立特权和无特权账号：职责分离，管理账户执行敏感功能，用户账户执行日常操作
增强的日志记录和审查：有助于时候追溯和权限审查
IAM工具的使用：使用IAM或IDaaS提高账号和访问管理效率
单点登录（SSO）：一次登录可访问多个业务系统
操作系统基线合规监控和补救
OS基线建立完成并生成VM后，由于环境总是在变化，因此就需要对其进行持续监控
配置管理数据库（CMDB）的使用和CM审计：CMDB存储所有配置项（CI），用于手工或自动扫描识别偏离安全状态的系统
组织范围内的漏洞扫描：漏洞扫描能够识别不安全的特定服务，说明偏离了基线配置
不可变架构：通过限制主机处于不合规状态的时间来解决基线监控和合规问题
补丁管理
补丁管理涉及识别环境中的漏洞、应用合适的补丁或软件更新、以及验证补丁是否已修复漏洞而不会破坏任何功能或创建额外漏洞
通用补丁管理流程
漏洞检测：客户通过人工、漏扫、威胁情报等方式检测漏洞
布丁发布：供应商通过公告、标准更新机制或临时通讯向客户发布补丁
补丁适用性评估：客户评估不定是否适应自己的组织
测试：在测试环境中测试补丁应用情况，评估是否能够接受风险
应用和跟踪：识别需要修复的系统，安排修复计划并跟踪闭环
需要时回滚：补丁修复可能会导致未知问题，回滚计划必须安排
记录：补丁修复意味着系统发生变更，需要记录变更并更新配置文档
云架构的补丁管理
使用基础设施即代码（IaC）：使用IaC创建VM能够应用最新的补丁模版
不可变架构：通过限制主机处于不合规状态的时间来解决基线监控和合规问题
软件成分分析（SCA）：用于是被软件中开源组件的漏洞
性能和能力监控
监控的主要目的是维护可用心，也可以识别共计或滥用行为，以及统计客户的服务使用量
需要监控的基础设施元素包括网络、CPU、内存和存储
硬件监控
硬件监控主要两方面，一方面是基础设施，包括物理硬件的CPU、内存、风扇、硬盘等；另一方面是环境因素，包括温度、湿度、PM2.5、TVOC等
主机和访客操作系统备份和还原功能的配置
备份和还原需要考虑的风险
敏感数据存储于备份时，需要配置与数据级别一样的安全控制来保护备份
备份应该异地或异机存储，提高冗余性
定期验证备份是否能够正常恢复
网络安全控制
防火墙
防火墙用于隔离和控制不同网络之间的访问，根据规则检查流量来决定允许还是拒绝流量通行
防火墙有基于硬件的网络防火墙，也有基于软件的主机防火墙
静态包或无状态防火墙（static packet or stateless）：基于五元组检测单个数据包并匹配规则
状态防火墙（stateful）：基于会话检测整个会话的数据包并匹配规则
Web应用程序防火墙（WAF）和API网关：专门分析HTTP或HTTPS流量的防火墙
安全组（security group）：也称为网络安全组（NSG），云环境中的虚拟防火墙
下一代防火墙（NGFW）：赋予更多安全功能的防火墙，如入侵检测、病毒检测等
入侵检测/入侵防御系统
传统环境中，IDS旁路部署，通过端口镜像检测网络流量，匹配攻击库规则，并发出报警；IPS串接部署，直接检测网络流量，匹配攻击库规则，并发出报警并拦截攻击行为；称为基于网络的入侵检测/入侵防御系统（NIDS/NIPS）
在云环境中，IDS/IPS也支持软件部署，即基于主机的入侵检测/入侵防御系统（HIDS/HIPS）
蜜罐和蜜网
蜜罐（honeypot）具有伪漏洞的服务器，能够监控并分析攻击者的行为；蜜网（honeynet）具有多个蜜罐组成的网络
需要注意诱捕（entrapment）问题，如果蜜罐或蜜网呗专门设计用来吸引攻击者并实施抓捕，则在法庭上会呗认为是非共计行为而判无罪
脆弱性评估
脆弱性评估的目标是在攻击者发现脆弱性之前检测并修复它，包括但不限于漏洞扫描、安全审计、合规检查、渗透测试等
管理平台
管理平台（management plane）主要有CSP的管理员通过API方式使用，用于管理虚拟化环境的物理选项以及相关任务的执行
由于其拥有特权，因此需要适当的日志记录、监控和访问控制
管理平台提供编排（orchestration）能力，即资源的自动化配置和管理
管理控制台（management console）是提供云客户使用，用于管理所购买的云服务
实施运营控制和标准
IT服务管理（ITSM）框架旨在帮助组织以一致的方式设计、实施和改进IT运营的运营控制，可参考ISO 20000-1和ITIL标准提高组织的IT运营过程
变更管理
一般变更管理过程
请求变更：说明变更的目的、所有者、资源需求、识别的影响等
审查变更：由变更控制或变更咨询委员会（CCB or CAB）审查变更内容，还可能涉及测试变更、决策分析等过程
实施变更：变更批准后按计划实施变更，如果实施变更失败则需要执行回滚计划，降低变更失败的影响
记录变更：所有变更流程的内容都需要记录以进行审计
变更类型
低风险：不太可能产生负面影响的变更，可预先授权以减少运营成本
正常变更：需要完整的变更管理请求以审查实施流程
紧急变更：突发事件需要紧急变更，可根据情况加快变更流程
连续性管理
连续性管理的必要因素
识别关键业务功能和资源：通过业务影响评估（BIA）完成
确定恢复优先级：根据BIA结果对系统恢复顺序进行排序
规划连续性：确定使用哪些连续性功能
记录计划和程序：编写应急响应指南以应对紧急情况
培训：培训具有关键责任的人员以应对紧急情况
连续性管理最佳实践
NIST风险管理框架（RMF）和ISO 27002
健康保险可携带和责任法案（HIPAA）
ISO 22301:2019安全和恢复力-业务连续性管理系统
信息安全管理
信息安全管理系统（ISMS）的目标是确保采用一致的组织方式来管理信息安全风险，或一个组织为保护所用系统和数据的机密性、完整性和可用性（CIA三元组）而采取的总体方法
ISO 27000系列
27001 提供ISMS管理要求
27002 提供ISMS技术要求
27017提供基于27002的云服务的信息安全控制要求
27018提供作为个人身份信息（PII）处理者的公有云中PII保护要求
27701提供扩展27001和27002关于隐私信息管理的要求
NIST标准
SP 800-37 提供储藏间组织风险管理框架的指南
SP 800-53提供联邦信息系统和组织的安全和隐私控制
网络安全框架（CSF）提供如何设计和实施信息安全计划
AICPA SOC 2
服务组织控制（SOC）框架提供相对轻量级的信息安全管理和控制方法，以及使用第三方执行审计，这为业务合作伙伴和客户提供了良好的保障
持续服务提升管理
持续服务提升的目的是确保IT服务满足组织业务目标以及组织的安全风险得到充分缓解，主要通过监控和指标来实现持续服务提升的目标，如监控漏洞数量的趋势、漏洞修复的完成周期、持续运营时间等
事故管理
事件（event）是指任何可以被观察的活动，而事故（incident）是指非计划和对组织产生不利影响的事件，且往往需要调查和补救活动
事故管理的主要目标是恢复正常服务
事故管理计划的内容
定义事故的类型
事故响应团队（IRT）人员
不同事故类型中IRT人员的角色和责任
资源要求
事故管理流程
NIST SP 800-61事故响应生命周期阶段
事故分类
事故响应优先级主要基于关键性（对组织的影响）和紧迫性（解决周期）决定
问题管理
问题（problem）是事故的根本原因，问题管理的目的是改进组织对事故的处理
已识别的问题通常存储到知识库进行管理，记录了组织知道的已确定的根本原因，以及关于如何修复 或避免这些问题的任何共享知识
发布管理
发布（release）管理活动通常包括发布变更的软件或服务所需的组织工作，并可能包括识别服务的相关组件、安排发布和实施后的审查，以确保变更按预期实施，即新软件或服务按预期运行
由于敏捷开发方法的流行，发布管理趋于自动化（持续集成/持续交付-CI/CD）
部署管理
部署（deployment）管理也越来越依赖CI/CD完成，容器化（containerzation）和不可变架构（immutable architecture）技术使频繁部署更易实现
配置管理
配置（configuration）管理旨在维护已知良好的配置，被管理的元素称为配置项（CI），存储CI的数据库为配置管理数据库（CMDB）
CI的变更需要走变更管理流程以防止引入风险，因此变更管理的子过程包括配置管理
服务水平管理
服务水平管理基于组织定义的服务要求，如可用性99.99%
管理服务水平的关键工具是服务水平协议（SLA），一种类似合同的正式协议，详细描述了服务需达到的要求以及不满足的处罚措施
可用性管理
由于云环境的远程访问特性，保持服务的可用性至关重要，可用性管理通常会结合其他管理来整体实现管理，如连续性管理或服务水平管理
能力管理
能力（capacity）管理主要涉及评估可提供的服务能力与实际需要的服务能力的差距，比如网站能够提供并发连接数为10W，据监控反馈近期用户并发数据已经到了9W，这就需要考虑网站扩容
支持数字取证
数字取证（digital forensic）是将科学技术应用于数字数据的收集、检验和解释，主要关注数据的完整性，也被称为监管链（chain of custody）
取证数据收集方法
电子发现（e-discovery）涉及电子信息的识别、收集、保存、分享和审查等步骤
ISO 27050 电子发现
Part 1：概述和概念
Part 2：电子发现治理和管理指南
Part 3：电子发现实践规范
Part 4：技术准备
云安全联盟（CSA）安全指南领域3：法律问题：合同和电子发现
改标准覆盖了云安全相关的法律问题、合同要求以及电子发现提出的特殊问题
法律保留（legal hold）
当采取法律活动时，为了收集证据可能干涉组织的数据处置活动，即在法律诉讼完成之前保留数据，这被称为法律保留
证据管理
监管链
在处理证据时，监管链记录数据的完整性，包括时间、方式和负责各种行动的人员的详细信息，如收集、制作副本、执行分析和提交证据
证据收集的范围
由于云环境的多租户特性，数据收集可能会无意中暴露不属于请求方的数据
呈现给不同受众的证据遵循不同的规则
证据的五个属性：真实、准确、完整、可信、可接受
收集、获取和保存数字证据
事故响应过程中收集到的信息可能会成为未来取证调查和刑事起诉的证据，因此事故响应团队应在事故响应过程中遵循监管链要求，以防证据不再有效
准备证据收集
日志记录和监控：所有资产都需记录日志并集中管理，限制日志的访问并定期审查
备份和存储：证据需要与基线对比以发现恶意活动
基线和文件完整性监控：基线的完整性检查可用于发现恶意活动
数据和记录保留：保留的记录可能有助于调查活动
证据收集的最佳实践
在收集证据时最好尽可能使用原始物理介质
在分析证据时始终使用副本来保障原始证据的完整性
证据处理过程中频繁使用哈希验证证据完整性
记录证据处理过程的所有内容
建立并保持与相关方的沟通以获取指导和要求
证据保存的最佳实践
充足的物理安全
物理和环境维护
阻拦干扰
使用副本
记录一切
管理和相关方的沟通
沟通是管理的基石，提供充足和及时的信息至关重要
沟通的内容、性质和交付将推动许多决策，这些决策可以通过一系列关于要传达的信息的问题得出
谁：目标受众决定沟通的内容
什么：内部必须满足沟通的目标
为什么：沟通的目的应该明确，目标受众应该能够立即使用
时间：沟通是否及时
供应商
盘点组织所依赖的关键第三方
与关键供应商的沟通应与内部沟通一样便利
与供应商的沟通要求纳入合同和SLA中
客户
作为客户的关键责任就是基于所购买的云服务模型将相关责任在SLA条款中明确定义
合作伙伴
合作伙伴通常可以访问组织的系统，其级别与组织资深员工的系统相似，但不受组织的直接控制，因此与合作伙伴的沟通将类似于与员工的沟通
与合作伙伴建立关系前，应对合作伙伴进行尽职调查并通过合同沟通安全要求
与合作伙伴建立关系后，将合作伙伴纳入组织的安全管理活动中
与合作伙伴结束关系时，终止合作伙伴的任何访问并传达终止相关的安全要求
监管机构
监管机构向组织下发合规要求，组织向监管机构上报合规情况
其他利益相关者
公众：当发生安全事故后，需要向公众公告事故信息
安全研究人员：为安全研究人员开通漏洞信息同步渠道
投资者：需要定期与投资者汇报业务运营情况
危机沟通：重大灾难时需要与多个相关方沟通
管理安全运营
安全运营是指组织在监控、维护和一般运行其安全计划方面所开展的所有活动
安全运营中心
安全运营中心（SOC）是一个组织单元，旨在集中组织的战术（中期）和运营（日常）层面的各种安全任务和人员
CISO视角下SOC职责
威胁预防：降低事故发生可能性的预防性控制和风险缓解措施
威胁检测：检测威胁的工具、流程和程序
事故管理：IRT依靠SOC开展事故管理工作
SOC集成其他功能
持续监控和报告
数据安全
告警优先级
事故响应
合规管理
托管安全服务提供商（MSSP）
通常SOC由组织建设，但考虑成本问题也可以外包
安全控制的监控
风险管理框架（RMF）规定创建一个持续监控（continuous monitoring）策略，以获取接近实时的风险信息
为保障能够获取实时的风险信息，首先部署安全控制措施并保障其自身运行状态，其次是及时处置安全控制产生的报警信息
需要重点关注的控制包括
网络安全控制
性能和能力
漏洞评估
日志抓取和分析
现如今组织内每天都会生成海量日志，因此必须依托安全信息和事件管理（SIEM）提高日志抓取和分析的效率
SIEM核心功能
集中化：组织内的每个实体都将日志转发到SIEM进行集中存储
规范化：不同实体产生的日志格式千差万别，SIEM能够规范化日志格式
关联和检测：SIEM可以实现关联分析，即尝试发现多个事件之间的关系来生成攻击链，提高威胁检测能力以及告警的准确度
告警：SIEM检测的威胁后告警并生成工单进行事件闭环处理
云访问安全代理（CASB）
由于云服务模式的不同，部分日志或信息客户是无法查看的，使用CASB能够记录和监控用户对云服务的访问，可作为补偿方案来使用
安全管理日志数据的关键要求
使用高完整性存储介质，如一次写入、多次读取（WORM），保障日志不会被篡改
仅限SOC人员访问日志数据
能力监控和轮换确保充足的存储空间
当日志不再需要时，保留或安全删除
在所有系统上正确地配置日志功能
测试和验证日志数据以确保完整性
事故管理
事故管理或事故响应（IR）旨在帮助组织规划事故，在事故发生时识别事故，并尽快恢复正常运营，同时将业务运营的不利影响降至最低
IR的关键要素
事故响应计划（IRP）：定义应对不同事故或场景的响应流程，能够帮助IRT有条不紊的开展事故响应活动
事故响应团队（IRT）：负责执行IRP的团队，人员职责在IRP中定义
根本原因分析：事故解决后执行根本原因分析，制定补救策略以防再次发生
事故分类
事故响应优先级主要基于关键性（对组织的影响）和紧迫性（解决周期）决定
事故响应阶段
云中事故管理
主要涉及与CSP的沟通管理
事故管理标准
卡内基梅隆大学软件工程研究所（SEI）：事故管理能力评估
NIST SP 800-61 ：计算机安全事故处理指南
ISO 27035：信息安全事故管理
域6：法律、风险和合规
明确云环境内部的法律要求和独特风险
冲突的国际立法
云服务的特性导致物理基础设施、业务运营、客户都受到完全独立、有时还冲突的法律约束，这可能给组织带来合规风险
需要关注以下内容
版权和知识产权法律
隐私合规所要求的安全控制
数据泄露极其后果
国际进出口法律
评估云计算特有的法律风险
不同的法律要求
根据自身情况与监管沟通并确定需要遵循的法律要求
不同国家的法律体系和框架差异
考虑不同国家的法律体系差异
冲突的法律
考虑调整组织架构来适应冲突的法律要求
法律框架和指南
经济合作与发展组织（OECD）
OECD的隐私基本原则包括：收集限制、数据质量、目的说明、使用限制、安全保障、公开、个人参与、可问责，并在国家隐私战略、数据安全泄露通知、隐私管理计划方面提供了指导方针
亚太经济合作组织（APEC）隐私框架
APEC隐私框架的基本原则包括：防止伤害、收集限制、通知、个人信息的使用、个人信息的完整性、选择和同意、安全保障、访问和更正、可问责
通用数据保护条例（GDPR）
GDPR中的数据角色
数据主体（data subject）
已识别或可识别的自然人
数据控制者（data controller）
决定个人数据处理目的与方式的任何实体
数据处理者
代表控制者处理个人数据的实体
GDPR原则
合法性、合理性和透明性
目的限制
数据最小化
准确性
限期储存
数据的完整性与保密性
可问责性
数据主体的权利
知情权
访问权
更正权
被遗忘权
限制处理权
数据携带权
反对权
数据泄露通知
如果数据发生泄露，控制者应该在72小时内通知监管机构
其他法律框架
健康保险可携性与责任法案（HIPAA）
支付卡行业数据安全标准（PCI DSS）
隐私盾（Privacy shield）
塞班斯法案（SOX）
法律、法规、合同的区别
法律（law）规定了法定的要求
国家级法律，如美国的HIPAA、欧盟的GDPR、加拿大的PEPEDA
特定行业法律，如美国涉及学生隐私的FERPA
州、省或地区的法律，如纽约的SHIELD
法规（regulatory）要求也可能是法律规定的，但指的是由政府实体指定的监管机构发布的规则，如美国的FISMA要求政府机构实施计划，但具体要求是NIST SP 800-53的内容
合同（contractual）要求是私人当事方之间的法律合同所要求的，通常不会导致监禁，但会导致经济处罚、诉讼和终止合同
电子发现（eDiscovery）
电子发现被定义为追踪、定位、保护和搜索电子数据的任何过程，其目的是将其作为民事或刑事法律案件的证据
云中电子发现的考虑因素和挑战
在选择CSP时，应将电子发现作为安全要求纳入合同条款
数据位置的选择应该规避由强制要求移交数据的国家
与法务部门或法律顾问合作审查合规风险
电子发现框架
ISO 27050：电子发现
云安全联盟（CS）有关云环境ISO标准交叉映射
NISTIR 8006：计算机取证科学挑战
取证要求
云安全联盟（CSA）安全指南领域3：法律问题：合同和电子发现
ISO 27037：数字证据的识别、收集、获取和保护指南
ISO 27041：去报事故调查方法的适用性和充分性指南
ISO 27042：数字证据分析和解释指南
ISO 27043：事故调查准则和流程
理解隐私问题
隐私（privacy）被定义为免受他人观察的状态，由于隐私数据可以识别到个人，往往会作为个人权利收到法律法规的保护
合同和监管的隐私数据区别
主要区别
是否是法律法规要求
违规报告的不同
处罚力度的不同
影响受众的不同
安全控制力度的不同
数据处理合同的内容
数据的处理范围
分包商
数据的删除
数据的安全控制
数据的物理位置
数据的处置
审计
隐私数据相关的国家特有法律
欧盟-通用数据保护条例（GDPR）
澳大利亚-隐私法案
美国-没有隐私保护的总体法律
数据隐私中司法管辖权的不同
数据的处理和存储位置决定司法管辖权的差异，可能产生合规性风险
标准的隐私要求
ISO 27018：作为PII处理者在公有云中保护PII的行为准则
公认隐私准则（GAPP）
通用数据保护条例（GDPR）
隐私影响评估
隐私影响评估（PIA）或数据保护影响评估（DPIA）旨在识别系统收集、处理或存储的隐私数据，并评估该数据泄露泄露可能产生的影响
典型DPIA的过程
确定DPIA的范围
记录收集的数据类型和数据流
梳理数据以及其安全控制
评估数据泄露风险以及缺失的安全控制
输出最终报告
理解云环境的审计流程、方法和所需的适用性
审计（audit）能够验证安全控制的合规性和有效性，可参考CSA云控制矩阵（CCM）和安全控制框架（SCF）
内部和外部审计控制
组织的审计策略应该定期开展外部审计，持续开展内部审计，内部审计师应在组织架构外独立，直接为高级管理层负责，并在持续审计活动中积累知识库，为外部审计提供基础以提高审计效率
外部审计由第三方审计师执行，有较强的独立性，成本高，执行频率低，对内部不熟悉
内部审计由内部审计师执行，有较弱的独立性，成本低，执行频率高，对内部熟悉
审计需求的影响
审计活动主要受合规要求、组织自身需求和目标环境影响
识别虚拟化和云的保障挑战
挑战主要是责任共享原因造成的，云客户仅能审计自己负责的层面，其他CSP负责的层面审计通常以审计报告形式提供给云客户
审计报告类型
SOC、SSAE和ISAE
鉴证业务准则（SSAE）是由美国注册会计师协会（AICPA）定义的一套标准，在进行审计和生成服务组织（SOC）报告时使用
国际鉴证准则（ISAE）是由国际审计和鉴证标准委员会定义的一套标准，与SSAE类似
SOC 1
涉及财务控制，用于衡量组织的经营状况
SOC 2
涉及信息安全控制
Type 1仅涉及控制审计的审查，不测试有效性
Type 2会涉及控制的有效测试，通常需要签订NDA才能获取
SOC 3
SOC2报告的脱敏版本，可以自由分发
CSA
云安全联盟（CSA）的安全可信保障和风险（STAR）认证计划可用于评估组织的保障水平
Level 1
自评估，CSP完成CSA云控制矩阵（CCM）或共识评估倡议问卷（CAIQ），并将其提交给STAR注册中心
Level 2
第三方审计，可独立审计或纳入SOC 2或ISO 27001
审计范围声明限制
审计范围声明说明了审计报告覆盖的范围，通常包含的内容
目的和目标的声明
审计范围和明确排除
审计类型
安全评估要求
评估标准和评分表
验收标准
预期可交付成果
密级分类
差距分析（gap analysis）
差距分析主要目的是将组织的当前实践与特点框架进行比较并找出两者之间的差距，可用于正式审计前评估或合规变化的影响评估
常见步骤如下
确定分析的必要性并获得管理层的支持
定义范围、目标和相关框架
识别部门或区域的当前状态
审查证据和支持文件
识别框架与现实间的差距
编写报告并获得领导批准
审计规划
审计流程通常包括四个阶段，最重要的是审计规划阶段
审计规划
记录和定义审计计划的目标
差距分析或就绪状态评估
定义审计目标和交付物
识别审计师和资格
识别范围和限制
审计现场工作
审计师执行收集、测试和评估组织的实际工作
审计报告
着手现场工作时就开始编写报告，并与被审计组织确认报告内容，最终出具正式报告
审计跟进
针对发现的问题在修补后再次验证
内部信息安全管理体系（ISMS）
ISMS是一种系统的信息安全方法，由流程、技术和人员组成，旨在帮助保护和管理组织的信息，参考ISO：27001信息安全管理体系
内部信息安全控制体系
信息安全控制体系为减轻ISMS风险管理过程中识别的风险提供指导
范围界定（scoping）
识别适应于组织的控制措施
裁剪（tailoring）
将适应的控制措施与纸质的具体环境相匹配的过程
策略（policy）
策略为用户和组织提供了一种理解需求的方法，并为组织提供了以系统方式实施这些需求的方法，是一个正式的、高层次的文件，由高级管理层批准实施，并在组织内进行培训和教育
组织策略
用来概述公司规则和准则，如考勤制度
职能策略
为员工提供的标准化定义，描述他们如何使用系统或数据，如数据分类策略
云计算策略
定义用户在使用云服务时必须遵守的要求，如远程访问要求
识别和包含利益相关者
识别并包含利益相关者到审计过程中，保障审计活动不会遗漏重要细节
高度监管行业的特别合规需求
高度监管的行业通常涉及高度敏感的数据，因此在选择CSP时关注特殊的合规性要求
分布式信息技术模型的影响
由于云环境的特性，审计工作必须考虑更多的地理位置、数据收集方式、司法管辖权等
理解云对企业风险管理的影响
评估提供者的风险管理计划
客户依靠供应链风险管理（SCRM）流程来评估采用CSP服务的相关风险，主要依靠CSP提供的审计报告来评估CSP的风险管理计划
评估分线管理计划时，需要注意
风险概况（risk profile）
一个组织当前面临的风险水平
风险偏好（risk appetite）
一个组织愿意承担的风险水平
风险能力（risk capacity）
一个组织能够承担的风险水平
数据所有者/控制者和数据托管员/处理者的区别
数据主体（data subject）
已识别或可识别的自然人
数据控制者（data controller）
决定个人数据处理目的与方式的任何实体
数据处理者（data processor）
代表控制者处理个人数据的实体
监管透明度要求
泄露通知
大多数隐私法包括强制性的泄露通知，即组织如果遭受数据泄露，则必须向公众或监管部门在规定时间内进行通知，相关要求纳入事故响应计划和程序中
塞班斯法案（SOX）
SOX要求作为数据所有者需要遵循以下透明度要求
第802条
销毁、更换或隐藏文件以防止在正式法律程序中使用是犯罪行为
第804条
公司必须将与审计及有关的记录至少保留五年
通用数据保护条例（GDPR）
第十二条
透明的信息、交流与形式-数据主体权利的行使中，对于和个人信息处理相关的所有信息以及交流，控制者应当以一种简洁、透明、易懂和容易获取的形式，以清晰和平白的语言来提供
风险处置
识别风险后就需要考虑风险处置方法，以减少风险发生的可能性或影响
控制措施（control）
减少可能性的处理方法是主动的，被称为保障措施（safeguard）
风险发生后减少影响的方法是被动的，被称为应对措施（countermeasures）
风险规避
不从事某项活动来完全避免风险，如拔网线
风险转移
将风险转移给另一个组织，如保险公司
风险缓解
实施控制措施来减少风险的可能性和影响
风险接受
经成本效益分析后，某些风险决定接受不做处置
风险框架
ISO 31000：风险管理
ISO 31000：风险管理-指南
ISO 31010：风险管理-风险评估技术
ISO Guide 73：风险管理-词汇
欧洲网络和信息安全局（ENISA）
ENSIA云计算风险评估指南，提供了组织在设计云计算系统时应注意和计划的云特定风险的详细信息
国家标准技术研究所（NIST）
NIST SP 800-146：云计算概要和建议
NIST SP 800-37：风险管理框架（RMP）
风险管理的指标
持续跟踪关键的网络安全指标可以作为衡量风险管理工作的成果
补丁修复水平
完全打补丁且更新到最新的设备所占比
部署补丁的时间
设备收到所需补丁的时间
入侵尝试
入侵尝试的次数，基于安全报警或日志
平均检测时间（MTTD）
识别安全事故的平均时间
平均遏制时间（MTTC）
遏制安全事故的平均时间
平均解决时间（MTTR）
解决安全事故的平均时间
风险环境的评估
ISO 15408-1：通用准则
通用准则（CC）用来评估产品的保障级别来为客户提供选购参考
云安全联盟（CSA）的安全、可信、保障和风险（STAR）
CSA是一个非营利性组织，其STAR认证提供对CSP安全和隐私控制的验证
Level 1
自评估，CSP完成CSA云控制矩阵（CCM）或共识评估倡议问卷（CAIQ），并将其提交给STAR注册中心
Level 2
第三方审计，可独立审计或纳入SOC 2或ISO 27001
ENSIA的欧盟云服务网络安全认证计划（BUCS）
用于评估云服务提供商的云服务和部署模式的安全状况
理解外包和云合同设计
业务需求
组织识别自身业务需求，选择满足要求的CSP并与其签订主服务协议（MSA），安全团队需要明确安全要求被纳入MSA
工作说明书（SOW）用于说明细粒度的安全要求
服务水平协议（SLA）用于确保CSP提供的服务水平达到服务水平需求（SLR），并涉及不满足的处罚措施
SLA的常见要素
正常运行时间保证
违反SLA的处罚
违反SLA的处罚排除和限制
暂停服务条款
提供者责任
数据保护和管理
灾难恢复和恢复点目标
安全和隐私的通知和时限
供应商管理
评估供应商
确定CSP后定期进行持续评估，主要是审查如SOC 2报告
评估供应商锁定风险
主要涉及评估使用CSP独有服务的锁定风险
评估供应商的可行性
主要涉及评估CSP的财务报表、业绩历史、声誉等
探索托管选项
主要涉及评估将敏感信息托管给可信第三方的可行性，如软件托管
合同管理
云合同管理是一项核心业务活动，对与CSP的任何持续关心都至关重要，可参考对象管理组织（OMG）云工作组的云服务合同实践指南
合同条款
合同条款规定了合同各方之间的协议，任何CSP或其他数据服务提供商应考虑以下内容
审计的权利
客户可以审计服务提供商，以确保满足合同条款
衡量标准
服务指标，可放入SLA中
定义
明确定义不明确的术语以避免误解
终止
终止合同或服务的条件
诉讼
明确诉讼条件和方式
保障
明确服务期望
合规
明确需要满足的合规要求
云/数据访问
明确客户对数据的访问权利
网络风险保险
网路风险保险旨在帮助组织将风险转移给保险公司来减少风险的财务影响，通常覆盖调查、直接业务损失、恢复成本、法律通知、诉讼、勒索、视频和相关费用等
供应链管理
管理供应链中的风险既要关注运营风险，以确保供应商有能力提供所需的服务
也要关注安全风险，即供应商有足够的风险管理计划来应对他们所面临的风险
可以参考ISO 27036：供应关系