OSG9第一章 实现安全治理的原则和策略

思维导图基于最新OSG9 CISSP（Certification for Information System Security Professional）即信息系统安全专业认证，这一证书代表国际信息系统安全从业人员的权威认证，CISSP认证项目面向从事商业环境安全体系建构、设计、管理或控制的专业人员，对从业人员的技术及知识积累进行测试

第一章 实现安全治理的原则和策略

• 1.1 理解和应用保密性、完整性及可用性的概念
  • 1.1 CIA
    • 保密性（Confidentiality）
      • 保密性指为保障数据、客体或资源保密状态而采取的措施。
      • 特征
        • 隔离：是保持把某些事物与其他事物分离的行为
        • 敏感性：指信息的特性，这种特性的数据一旦泄露就会导致伤害或损失
        • 隔绝：就是把东西放在不可到达的地方
        • 判断力：是一种决策行为一—操作者可影响或控制信息泄露，以将伤害或损失程度降至最低
        • 隐私：指对个人身份或可能对他人造成伤害、令他人感到尴尬的信息保密
        • 关键性：信息的关键程度是其关键性的衡量标准，关键级别越高，越需要保持信息的保密性。
        • 隐藏：(Concealment)指藏匿或防止泄露的行为
        • 保密：是指对某事保密或防止信息泄露的行为。
    • 完整性（Integrity）
      • 完整性是保护数据可靠性和正确性的概念。完整性保护措施防止了未经授权的数据更改。它确保数据保持准确、未被替换
      • 检验完整性的三个方面
        • 防止未经授权的主体进行修改
        • 防止授权主体进行未经授权的修改，如引入错误
        • 保持客体内外一致以使客体的数据能够真实反映现实世界，而且与任何其他客体的关系都是有效的、一致的和可验证的
      • 特征
        • 准确性：正确且精确无误
        • 真实性：真实地反映现实。
        • 有效性：实际上（或逻辑上）是止确的。
        • 问责制：对行为和结果负有责任或义务。
        • 职责：负责或控制某人或某事
        • 整性：拥有全部必需的组件或部件。
        • 全面性：完整的范围，充分包含所有必需的元素
    • 可用性（Availability）
      • 可用性意味着授权主体被授予实时的、不间断的客体访问权限
      • 特征
        • 可用性：容易被主体使用或学习，或能被主体理解和控制的状态。
        • 可访问性：保证全部授权主体可与资源交互而不考虑主体的能力或限制。
        • 及时性：及时、准时，在合理的时间内响应，或提供低时延的响应。
  • 1.4 AAA
    • AAA
      • AAA 是一个安全基础概念，缺少这五个要素之一，安全机制就是不完整的
    • 五要素
      • 标识（Identification）：试图访问受保护的区域或系统时声明自己的身份。
      • 身份认证（authentication）：证实身份
      • 授权(authorization)：对一个具体身份或主体定义其对资源和客体的访问许可（如允许／授予和／或拒绝）。
      • 审计（auditing）：录与系统和主体相关的事件与活动日志。
      • 记账(accounting)/问责制：通过审查日志文件来核查合规和违规情况，尤其是违反组织安全策略的情况，以便让主体对自身行为负责。
  • 1.5 保护机制
    • 保护机制：是安全控制的共同特征。并不是所有安全控制都必须具有这些机制，但许多保护控制通过使用这些机制提供了保密性、完整性和可用性
    • 机制
      • 分层(layering) ：也被称为纵深防御，指简单使用一系列控制中的多个控制。
      • 抽象(abstraction)：是为了提高效率。相似的元素被放入组、类或角色中作为一个集合被指派 安全控制、限制或许可
      • 数据隐藏：是将数据存放在主体无法访问或读取的逻辑存储空间以防止数据被泄 露或访问。
      • 加密(encryption)：是关于对非预期的接收者隐藏通信的真实含义和意图的艺术与科学，它能 将信息传递的意义或意图隐藏起来。
• 1.2 评估和应用安全治理原则
  • 安全治理是与支持、定义和指导组织安全工作相关的实践集合。
  • 安全治理框架
    • NIST 800-53
    • NIST 800-100
  • 2.1 与业务战略、目标、使命和宗旨相一致的安全功能
    • 信息安全(JnfoSec) 团队应由 指定的首席信息安全官(CISO)领导，
      • 首席安全官(CSO)
      • 信息安全官（ISO）
    • 自上而下，高级管理员应尽关心（due care）与尽职审查（due diligence）
    • 战略计划： 战略计划(strategic plan)是一个相对稳定的长期计划（5年）
    • 战术计划： 战术计划(tactical plan)是为实现战略计划中设定的目标提供更多细节而制定的中期计划，或可根据不可预测的事件临时制定。（1年）
    • 操作计划(operational plan)：是在战略计划和战术计划的基础上，制定的短期、高 度详细的计划。（每月或每季），
  • 2.2 组织的流程
    • 变更控制／变更管理
      • 变更管理的目标是确保变更不会消减或损坏安全
      • 应该在设计、开发、测试、评估、实现、分发、演进、发展、持续操作和修改中都进行变更管理。
      • 目标
        • 在受监控的环境中有序实施更改。
        • 包含正式的测试过程，验证变更能实现预期效果
        • 所有变更都能够撤消（也称为回退或回滚计划／程序）。
        • 在变更实施前通知用户，以防止影响生产效率
        • 变更影响进行系统性分析，以确定变更是否会对安全或业务流程产生负面影响。
        • 最小化变更对能力、功能和性能方面的负面影响。
        • 变更顾问委员会(Change Advisory Board, CAB)需要评审和批准变更
  • 2.3 组织的角色与职责
    • 高级管理者：组织所有者（高级管理者）角色被分配给最终对组织安全的维护负责及最关心资产保护人员，高级管理者将对安全解决方案的总体成功或失败负责，并负责在为组织建立安全方面给予应尽关心和实施尽职审查。
    • 安全专业人员：安全专业人员角色或计算机事件响应小组(Incident Response Team, IRT)角色被分配给受过培训和经验丰富的网络、系统和安全工程师们，他们负责落实高级管理者下达的指示
    • 数据所有者： 数据所有者(data owner)角色将被分配给在安全解决方案中负责布置和保护信息分类的人员。数据所有者通常是高级管理人员，他们最终对数据保护负责,业务部门的负责人，owner说了算，数据的分级，对离职人员权限检查
    • 数据托管员： 数据托管员(data custodian)角色被分配给负责执行安全策略与高级管理者规定的保护任务的人员。数据托管员执行所有必要的活动，为实现数据的 CIA 三元组（保密性、完整性和可用性）提供充分的数据支
    • 用户：用户（最终用户或操作者）角色被分配给任何能访问安全系统的人员。用户的访问权护组织的安全策略。限与他们的工作任务相关并受限，因此他们只有足够的访问权限来执行工作岗位所需的任务（最小特权原则）
    • 审计人员： 审计人员(auditor) 负责审查和验证安全策略是否正确执行，以及相关的安全解决方案是否完备
  • 2.4 安全控制框架
    • 信息和相关技术控制目标(COBIT) 。 COBIT 是由信息系统审计和控制协会(ISACA)编制的一套记录最佳 IT 安全实践的文档
    • COBIT5 五个原则
      • 原则 l: 为利益相关方创造价值
      • 原则 2: 采用整体分析法
      • 原则 3: 动态地治理系统
      • 原则 4: 把治理从管理中分离出来
      • 原则 5: 根据企业需求量身定制
      • 原则 6: 采用端到端的治理系统
    • 其他标准和指南
      • NIST SP 800-53 Rev.5“信息系统和组织的安全和隐私控制“，包含了美国政府为组织安全提供的通用性建议。
      • 联网安全中心(CIS) ，提供针对操作系统、应用程序和硬件的安全配置指引。
      • NIST 风险管理框架(RMF), 对联邦机构制定了强制性要求。 RMF 分为六个阶段：分类、选择、实施、评估、授权和监控。
      • NIST 网络安全框架(CSF), 为关键基础设施和商业组织而设计，由识别、保护、检测、响应和恢复这五个功能构成
      • IS0/IEC 27000 系列：国际标准，可作为实施组织信息安全及相关管理实践的基础。
      • 信息技术基础设施库(Information Technology Infrastructure Library, ITIL) ，最初由英国政府制订，是一套被推荐的优化 IT 服务以支持业务增长、转型和变革的最佳实践。
  • 2.5 应尽关心和尽职审查
    • 应尽关心（due care）
      • 应尽关心指使用合理的关注来保护组织的利益，，决策前要调查、研究、评估
      • 应尽关心是制定一种正式的安全框架，包括安全策略、标准、基线、指南和程序
    • 尽职审查(due diligence)
      • 尽职审查指的是具体的实践活动,决策后关注具体实践
      • 尽职审查是指将这种安全框架持续应用到组织的IT基础设施上
• 1.3 安全策略、标准、程序和指南
  • 安全策略
    • 规范化的最高层级文件被称为安全策略，安全策略是强制的
    • 安全策略
      • 安全策略定义了组织所需的安全范围，讨论需要保护的资产以及安全解决方案需要提供的必要保护程度
      • 安全策略是对组织安全需求的概述或归纳，它定义了战略性安全目标、愿景和宗旨，并概述了组织的安全框架
      • 安全策略用于分配职责、定义角色、明确审计需求、概述实施过程、确定合规性需求和定义可接受的风险级别
      • 安全策略常用于证明高级管理者在保护组织以使其免受入侵、攻击和灾难时已经执行了应尽关心工作。安全策略是强制性的。
      • 从安全策略可引出完整安全解决方案所需的其他很多文档或子元素。策略是一种概述，而标准、基线、指南和程序包括关于实际安全解决方案的更具体、更详细的信息。标准处于安全策略的下一级别
      • 可接受使用策略（Acceptable Use Policy,AUP）:公司电脑安装盗版，出现问题员工自己负责
        • BYOD自带设备
        • 移动设备
  • 标准：提供了在整个组织中统一实施技术和程序的操作过程。基线通常是系统特定的，一般参考行业或政府标准。
  • 基线：定义了整个组织中每个系统必须满足的最低安全级别。基线是一种更注重操作的标
    • TCSEC（可信计算机系统评估标准）
    • 采用虚拟机模板，镜像
  • 指南：提供了关于如何实现标准和基线的建议，并且是安全专业人员和用户的操作指南。指南具有灵活性，所以可针对每个特定的系统或环境分别制订指南，并可在新程序的创建中使用指南。
• 1.4 安全程序
  • 程序：是规范化安全策略结构的最底层元素
  • 程序或标准操作程序(standard operating procedure,SOP)：是详细的分步实施文档，描述了实现特定安全机制、控制或解决方案所需的具体操作。
  • 安全策略文档
    • 指南
    • 程序
  • 文档保存优点
    • 并非所有用户都需要知道所有安全分类级别的安全标准、基线、指南和程序
    • 当发生更改时，可以较方便地只更新和重新分发受影响的策略，而不必更新全部策略并在整个组织中重新分发。
• 1.7 威胁建模
  • 威胁建模是识别、分类和分析潜在威胁的安全过程
    • 威胁建模可被当作设计和开发期间的一种主动措施来执行
    • 也可作为产品部署后的一种被动措施来执行
    • 威胁建模的最终目标是对危害组织有价值资产的潜在威胁进行优先级排序
  • 微软使用安全开发生命周期(SDL)过程在产品开发 的每个阶段考虑和实现安全
    • SD3+C
      • 设计安全
      • 默认安全
      • 部署和通信安全
    • SD3+C过程目标
      • 降低与安全相关的设计和编码的缺陷数量。
      • 降低剩余缺陷的严重程度
  • 威胁建模在设计阶段，设计安全
  • 威胁建模阶段
    • 一、识别威胁
      • 关注资产 该方法利用资产评估结果，试图识别有价值的资产面临的威胁
      • 关注攻击者 有些组织能识别潜在攻击者，并能根据攻击者的动机、目标或者策略、技术和程序(TTP)来识别其所代表的威胁。
      • 关注软件 如果组织开发了软件，就需要考虑软件受到的潜在威胁。
      • STRIDE
        • 欺骗(Spoofing) ：通过使用伪造的身份获得对目标系统的访问权限的攻击行为
        • 篡改(Tampering) ：对传输或存储中的数据进行任何未经授权的更改或操纵的行为。
        • 否认(Repudiation) ：用户或攻击者否认执行动作或活动的能力
        • 信息泄露{Information Disclosure) ：将私有、机密或受控信息泄露或发送给外部或未经授权的实体。
        • 拒绝服务(DoS) ：该攻击试图阻止对资源的授权使用。
        • 特权提升(Elevation of Privilege) ：该攻击是将权限有限的用户账户转换为具有更大特权、权利和访问权限的账户
      • PASTA
        • 攻击模拟和威胁分析过程(Process for Attack Simulation and Threat Analysis, PASTA)
        • PASTA 方法以风险为核心，旨在选择或开发与要保护的资产价值相关的防护措施。
        • PASTA 的七个阶段
          • 阶段 1: 为风险分析定义目标
          • 阶段2: 定义技术范围(Defi血tion ofthe Technical Scope, DTS)
          • 阶段 3: 分解和分析应用程序(Application Decomposition and Analysis, ADA)
          • 阶段4: 威胁分析(Threat Analysis, TA)
          • 阶段5: 弱点和脆弱性分析(Weakness and Vulnerability Analysis, WVA)
          • 阶段6: 攻击建模与仿真(Attack Modeling & Simulation, AMS)
          • 阶段7: 风险分析和管理(Risk Analysis & Management, RAM)
    • 二、确定和绘制潜在的攻击
      • 威胁建模的下一步是确定可能发生的潜在攻击。这通常通过创建事务中的元素图表及数据流和权限边界来完成
      • 一旦绘制出图表，就要确定涉及的所有技术
      • 接下来，要确定针对图表中每个元素的攻击请记住，要考虑到各种攻击类型，包括逻辑／技术、物理和社会攻击
    • 三、威胁建模的下一步是执行简化分析
      • 简化分析也被称为分解应用程序、系统或环境
      • 分解过程五个关键概念
        • 信任边界：信任级别或安全级别发生变化的位置。
        • 数据流路径：数据在两个位置之间的流动
        • 输入点：接收外部输入的位置。
        • 特权操作： 需要比标准用户账户或流程拥有更大特权的任何活动，通常需要修改系统或更改安全性
        • 安全声明和方法的细节： 关于安全策略、安全基础和安全假设的声明。
    • 四、优先级排序和响应
      • 在完成文档记录后，下－步要对威胁进行排序或定级。可使用多种技术来完成这个过程
      • 排序或定级可使用技术
        • ”概率＊潜在损失”排序技术会生成一个代表风险严重程度的编号。编号范围为 1~100, 100 代表可能发生的最严重风险；初始值范围为 1~10, 其中， l 最低， 10 最高
        • 定性分析,高／中／低(1/2/3 或者绿／黄／红）评级过程更简
        • DREAD基于每个威胁的五个主要问题的回答
          • 潜在破坏：如果威胁成真，可能造成的伤害有多严重？
          • 可再现性：攻击者复现攻击有多复杂？
          • 利用性：实施攻击的难度有多大？
          • 受影响用户：有多少用户可能受到攻击的影响（按百分比）？
          • 可发现性：攻击者发现弱点有多难？
          • 通过询问上述问题及潜在的附加定制化问并为答案指定 H/M/L 或 3/2/1 立详细的威胁优先级表。
• 1.8 将基于风险的管理理念应用到供应链
  • 供应链是一种概念，意指大多数计赁机、设备、网络、系统甚至云服务都不是单个实体构建的。
  • 安全供应链指的是供应链中的所有供应商或链接都是可靠的、值得信赖的、信誉良好的组织，他们向业务伙伴（尽管不一定向公众）披露他们的实践和安全需求
  • 供应链中的每个环节都是可靠的，并对下一个环节负责