OSG9第九章 安全漏洞、威胁和对策-上

第九章 安全漏洞、威胁和对策-上，CISSP（Certification for Information System Security Professional）即信息系统安全专业认证，这一证书代表国际信息系统安全从业人员的权威认证

第九章 安全漏洞、威胁和对策-上

• 9.1 共担责任
  • 共担责任(shared responsibility) 是安全设计的原则，表明任们机构都不是孤立运行的。相 反，它们与世界有着于丝万缕的联系
  • 机构里的每个人都负有一定的安全责任。建立和维护安全是CISO 和安全团队的职责。
  • 机构对利益相关方负有作出周密安全决策以保持机构可持续发展的责任，否则，可能无法满足利益相关方的需要。
  • 第三方合作时，尤其是与云提供商合作时，每个实体都要清楚自己在执行正常操作 和维护安全方面所应承担的那部分共担责任。
  • 子主当意识到新漏凋和新威胁的存在时，我们应该负责地将信息披露给相关供应商或信息 共享中心（也叫威胁情报来源或服务），即便这并不是我们的职责题
• 9.2 评价和弥补安全架构、设计和解决方案元素的漏洞
  • 9.2.1 硬件
    • 硬件(hardware)：这个词包含计算机中可以被实际触换到的任何有形部分：从键盘和显示器，到 CPU、存储介质和内存芯片等。
    • 1.处理器：中央处理单元(central processing unit, CPU)通常被称作处理器(processor) 或微处理器(microprocessor) ，是计算机的神经中枢
    • 2.执行类型
      • 多任务处理(multitasking)：是指同时处理两个或多个任务。
      • 多核的(multicore) ：今天，大多数 CPU 都是多核的。这意味着 CPU 如今已经成为一块包含 两个、四个、八个、几十个或更多可以同时和I或独立运行的独立执行内核的芯片
      • 多重处理(multiprocessing)：在多重处理环境中，一个多处理器系统驾驭多个处理器的处理能力来完成一个多线程应用的执行
      • 多程序设计(multiprogramming)：类似于多任务处理。它是指由操作系统进行 协调，假性地在单个处理器上同时执行两个任务，以提高操作效率
      • 多线程(multithreading) ：允许在一个进程中执行多个并发任务
    • 3. 保护机制
      • 保护环(protection ring)：把操作系统中的代码和组件（以及应用程序、实 用程序或在操作系统控制下运行的其他代码）组织成如图 9.1 所示的同心环
      • 四层保护环模型
        • 环0：操作系统中始终驻留在内存中的部分（方便其根据需要随时运行）被称作内核(kernel) 。它占用 环 0 并可优先占用在任何其他环上运行的代码
        • 环1：操作系统的其余部分（即作为各种被请求的任务、被执行的操作、被切换的进程等进出内存的那些部分）占用环 l
        • 环 2 ：也有一定特权，是I/0 驱动程序和系统实用程序驻留的地方；它们能访问应用和其他程序本身无法直接访问的 外围设备、特殊文件等
        • 环3：应用程序和其他程片则占用最外层的环3
      • 现代操作系统
        • 内核模式(kernelmode)/特权模式(privileged mode)：系统层面访问（环 0、1、2)
        • 用户模式(user mode) :用于用户层面的程序和应用（环 3)
      • 进程占用的环决定了进程对系统资源的访问级别。进程只有在对象驻留于自己的环内或某个环外时才可直接访间对象，调用前先检查确保拥有凭证和授权
      • 进程状态
        • 进程状态(process state)也叫操作状态(operating state) ，是指进程运行的各种执行形式
        • 就绪状态(ready state)：是指进程已经做好准备，被安排执行时可立刻恢复或开始处理
        • 运行状态(running state)： 或问题状态是指进程在 CPU 上执行并持续运行的状态，直到完成运行
        • 等待状态(waiting state)： 当进程处于等待状态时，它已经准备好继续执行，但在可以继续处理之前需要等待 1/0 提供的服务
        • 管理程序状态 :当进程必须执行一项操作，而这项操作要求权限（包括修改系统配置、安装设备驱动程序、修改安全设置等）必须大于问题状态的权限时，进程就进入管理程序状态。
        • 停止状态（stopped state）: 当一个进程结束或必须终止（因为发生错误，需要的资源不可用或者某项资源请求无法满足）时，它将进入一种停止状态
    • 4. 操作模式
      • 用户模式 :用户模式是 CPU 在执行用户应用程序时使用的基本模式。在此模式下， CPU只允许执行其全部指令集中的部分指令
      • 特权模式: CPU 还支待特权模式，这种模式的设计旨在使操作系统可以访问 CPU 支持的所有指令。这种模式还被称作管理程序模式、系统模式或内核模式
    • 5.存储器
      • 只读存储器
        • 系统的第二个主要硬件组件是存储器，也叫内存，是用来保存计算机随时需要调用的信 息的存储库
        • 只读存储器(read-only memory, ROM)是可以读取但不能更改（不允许写入）的存储器，常含有引导信息，例如开机自检（power-on self-test,POST）系列诊断
        • ROM 的主要优点在于其不可修改性。这一属性使 ROM 极适用于编排计算机的最内部工作
        • ROM类型
          • 可编程只读存储器(programmable read-only memory, PROM)：允许最终用 户日后烧入内容。但是数据一旦写入PROM 芯片，就不能再更改。
          • 可擦除 PROM (erasable PROM, EPROM)
            • 紫外线EPROM(ultraviolet EPROM, UVEPROM)可以用光擦除
            • 电子可擦除 PROM(electronically erasable PROM，EEPROM)是 UVEPROM 更灵活、更友好的替代方案，它用传递到芯片引脚的电压来强制擦除芯片上的内容
          • 闪存(flash memory)：是 EEPROM 的衍生概念，EEPROM 必须完全擦除后才能重写，而闪存可按块或页擦除和写入，NAND闪存最常见，广泛用于存储卡、U盘，SSD（固态硬盘）
      • 随机存取存储器
        • 随机存取存储器(random access memory, RAM)：属于可读写存储器，其中包含计算机在处理过程中使用的信息C RAM 只能在持续供电期间保留内容
        • 断电后，RAM存储的所有数据都会消失。因此， RAM 只能用于临时存储。关键数据绝不应只存储在RAM 中
        • RAM类型
          • 真实内存(real memory)也叫主内存(main memory or primary memory) ，通常 是计算机可用的最大 RAM 存储资源。
          • 高速缓存 RAM ：计算机系统包含许多缓存，当可以重复使用时，这些缓存从较慢的 设备提取数据并把它们临时保存到较快的设备中，以提高性能：这便是高速缓存 RAM (cache R心J) ，高速缓存 RAM 也叫 LI 、 L2、 L3 乃至 L4 缓存(L 为级别的缩写）
      • 寄存器
        • CPU 还包含一种名为寄存器(register) 的数摇有限的板载存储器，可为 CPU 的大脑——算术逻辑单元(arithmetic-logical unit, ALU)提供执行计算或处理指令时可直接访问的存储位置。
        • 内存寻址(memory addressing)：处理器在使用内存资源时必须通过某种手段来关联内存中的各个位置
        • 5 种寻址方案
          • 寄存器寻址
          • 立即寻址
          • 直接寻址
          • 间接寻址
          • 基址＋偏移量寻址
        • 二级内存(secondary memory)：这个词通常指磁性、光学或基于闪存的介质或其他存储设备，里面存储的是不能直接供 CPU 使用的数据。
        • 虚拟内存(virtual memory)：是一种特殊的二级内存，用于扩展真实内存的可寻址空间
    • 6. 数据存储设备
      • 数据存储设备(data storage device)：用于存储被写入计算机后可供计算机随时使用的信息。
      • 主存储设备:主内存RAM
      • 辅助存储设备：二级内存，SSD,硬盘（HDD），磁带，CD,DVD,闪存卡
      • 易失性存储设备：RAM
      • 非易失性存储设备：ROM
      • 随机存取存储(random access storage)设备允许操作系统通过使用某种类型的寻址系统从设备内任何位置立即读取（有时还写入）数据，RAM
      • 顺序存储(sequential storage)：要求你在到达既定位置之前读取（或加速经过）物理存储的所有数据，举例磁带
    • 7. 存储介质的安全
      • 数据残留(data remanence) ：数据被擦除后依然有可能保留在辅助存储设备上
      • 发射安全：许多电气设备发出的电信号或辐射是可以被人截取的，而且电信号和辐射呈面可能包含 保密、敏感或私人数据，无线网络设备和移动电话是信号发射设备的最突出例子
      • 用来抵御发射攻击的手段和方式被称为 TEMPEST 对策。
      • TEMPEST 防窃听对策
        • 法拉第笼(Faraday cage)：是指一个盒子、可移动的房间或整栋建筑物，经设计，它被包上了一层金属外壳，这个外壳通常是一个金属丝网，将一个区域全方位地围住。这种金属外壳起着吸收电磁信号的电容器的作用，
        • 白噪声(white noise)：是指通过广播假通信流来掩盖和隐藏真实信号辐射的存在
        • 控制区： 第 3 种 TEMPEST 对策是控制区(control zone) ，该对策同时使用法拉第笼和白噪声
      • 除了正式的 TEMPEST 对策概念外，屏蔽、访问控制和天线管理也有助于防止发射窃听。
    • 8. 输入和输出设备
      • 显示器：最大的风险始终都是肩窥或照相机长镜头
      • 打印机
        • 忘记取走打印出来的敏感信息
        • 打印机的存储介质
      • 键盘/鼠标
        • 按键记录，热力图
        • 键盘和鼠标是无线的（包括蓝牙），无线电信号也能被人截获。
      • 调制解调器（光猫）
        • 调制解调器允许用户在你的网络中创建不受控制的接入点
  • 9.2.2 固件
    • 固件(firmware)：也叫微码(microcode) ，是用于描述存储在 ROM 芯片中的软件
    • 基本输入／输出系统(basic input/output system, BIOS)：是镶嵌在主板的 EEPROM 或闪存芯片中的传统基本低端固件或软件。
    • 统一可扩展固件接口(unified extensible fmnware interface, UEFI)：支持 BIOS 的所有功能但有了许多改进，例如支持更大的硬盘驱动器（尤其是启动），缩短了启动时间，增强了安全性能，甚至允许在更改系统时使用鼠标(BIOS 只限于键盘控制）
    • 更新 UEFI、 BIOS 或固件的过程被称为刷新(flashing)
    • 引导认证(boot attestation):或安全引导(secure boot)：是UEFI 的一项功能，旨在通过阻止加载或安装未由预先得到批准的数字证书签名的设备驱动程序或操作系统来保护本地操作系统，全引导可以使系统免受一系列低层或引导层恶意软件（例如某些 rootkit 和后门程序）的侵害。
    • 测量启动(measmed boot): 是 UEFI 的一个功能可选项，它对启动进程涉及的每个元素进行哈希计算。哈希计算由可信平台模块(TPM)执行并且其结果会砓保存在这个模块中。
• 9.3 基于客户端的系统
  • 客户端攻击是指会对客户端造成伤害的任何攻击
  • 9.3.1 移动代码
    • applet （小程序）：是服务器发送给客户瑞以执行某些操作的代码对象。 applet 实际上是独立于发送它们的服务器执行的自包含微型程序，即移动代码
    • 在客户端， Web 应用程序防火墙(WAF)或下一代防火墙(NGFW)的支持会让你得到不少好 处。不建议直接禁用 JavaScript,
  • 9.3.2 本地缓存
    • DNS 缓存、 ARP 缓存和临时互联网文件
• 9.4 基于服务器端的系统
  • 基于服务器端，关注数据流控制（data flow control），数据流是指数据在进程之间、设备之间、网络之间或通信信道之间的移动
  • 负载均衡器(load balancer)用于在多个网络链接或网络设备之间传播或分配网络通信流负载
  • 拒绝服务(DoS)攻击可以对数据流控制造成严重损害
  • 9.4.1 大规模并行数据系统
    • 并行数据系统(parallel data system)或并行计算(parallel computing)是一种旨在同时执行大量计算的计算系统
    • 一台计算机含多个处理器，而这些处理器被一个操作系统同等地对待和控制一一这样的场景就叫对称多处理(symmetric multiprocessing, SMP) ，在 SMP 中，各个处理器不仅共享一个公共操作系统，还共享一个公共数据总线以及内存资源，SMP 系统擅长以极高速度处理简单操作
    • 非对称多处理(asymmetric multiprocessing, AMP) 中，各个处理器往往彼此独立工作。
      • AMP 有一种变体叫大规模并行处理(massive p扛allel processing, MPP)
      • MPP 系统包含数百乃至数于个处理器，每个处理器都有自己的操作系统和内存/总线资源（超算）
      • MPP 系统则特别适合用来处理极为庞大、复杂且计算极其密集的任务，可以分解这些任务并把它们分配给诸多从属部分
  • 9.4.2 网格计算
    • 网格计算(grid computing)是一种并行分布式处理形式，它对大量处理节点进行松散的分组，使其共同去实现一个特定处理目标
    • 寻找智慧外星人、执行蛋白质折叠、预测天气、地震建漠、规划财务决策和解决素数问题等众多
    • 网格计算通常用一个核心中央服务器来管理项目，跟踪工仵包并染成返回的工作段落。如果中央服务器过载或脱机，则可能发生彻底故障或网格崩溃
  • 9.4.3 对等网络
    • 对等网络(peer-to-peer, P2P)技术是在伙伴之间共享任务和工作负载的联网和分布式应用解决方案。
    • P2P 与网格计算相似；主要区别在于， P2P 没有中央管理系统
    • P2P 的常见例子包括许多 VoIP 服务、 BitTorrent（用于数据/文件分发）和简化音频／音乐分发的工具。
• 9.5 工业控制系统
  • ICS
    • 工业控制系统(industrial control system, ICS)：是一种控制工业流程和机器的计算机管理设 备，也叫操作技术(operational technology, OT) 。
    • 分布式控制系统（distributed control system,DCS），重于过程，是状态驱动
    • 可编程逻辑控制器(programmable logic controller, PLC) ，大屏的可编程
    • 监测控制和数据采集(supervisory control and data acquisition, SCADA)系统。侧重于数据
  • 分布式控制系统(DCS)的单元通常部署在需要从一个位置收集数据并控制整个大规模环境的工业制炼厂里,侧重于流程状态驱动
  • PLC 单元其实是单用途或专用数字计算机。
  • SCADA 系统可作为独立设备运行，也可与其他 SCADA 系统联网，或者与传统 IT 系统联网。 SCADA 常袚称为一个人机界面(HMI) ，因为这样能让人更好地理解、监督、管理和控，适用于管理散布于广阔地理区域的系统
• 9.6 分布式系统
  • 分布式系统(distributed system)：或分布式计算环境(distributed computing env订onment, DCE)是协同支持一个资源或提供一项服务的一组单个系统的集合
  • 各种现代互联网、商业和通信技术，包括 DNS、单点登录、目录服务、大型多人在线角色扮演游戏(MMORPG)、移动网络和大多数网站，均以 DCE 为主干
  • DCE 通常包含接口定义语言(Interface Definition Language, IDL) 。 IDL 是用来定义分布式系统中客户端与服务器端进程或对象之间接口的一种语言
  • DCE存在的风险
    • 未经授权的用户访问
    • 对用户和I或设备的冒充、模仿和欺骗攻击
    • 绕过或禁用安全控制
    • 窃听和操纵通信
    • 身份认证和授权不足
    • 缺乏监控、审计和日志记录
    • 无法追责
  • 要想保护 DCE, 就必须给存储、传输和处理加密（如同态加密）。此外，我们还应该执行强多因子身份认证。
  • 数据主权（data sovereignty)：的概念是，信息一旦转换成二进制形式并以数字文件的形式存储，它就要受存储设备所在国家／地区法律的约束
• 9.7 高性能计算系统
  • 高性能计算(high-performance computing, HPC)：系统是指专用于以极高速度执行复杂计算或数据操控的计算平台。超级计算机和 MPP 解决方案是 HPC 系统的常见例了
  • HPC组成
    • 计算资源
    • 网络能力
    • 存储容量
  • 实时操作系统(real-time operating system, RTOS)：经设计可在数据到达系统时以最小时延或延迟对它们进行处理或处置。实时操作系统通常保存在只读存储器(ROM)上，而且可在硬实时或软实时条件下运行
• 9.8 物联网
  • 智能设备(smart device)：是指可为用户提供大量自定义选项（通常通过安装 app 实现），并可利用配备在设备本地或云端的机器学习(ML)处理的各种设备
  • 智能手机、平板电脑、音乐播放器、家庭助理、极限运动相机、虚拟现实／增强现实(VR/AR)系统和计步器
  • 物联网(Internet of Things, IoT)：属于智能设备的一个类别，它们与互联网连接，可为装置或设备提供自动化、远程控制或人工智能(AI)处理
  • 工业物联网(Industrial Internet of Things, lloT)：是物联网的衍生品，更侧重于工业、工程、制造或基础设施层面的监督、自动化、管理和传感
  • 物联网安全主要关注访问控制和加密问题
• 9.9 边缘和雾计算
  • 边缘计算(edge computing)：是让数据与计算资源尽可能靠近，在最大限度减少时延的同时 优化带宽利用率的一种网络设计理念
  • 边缘计算往往是作为工业物联网(lloT)解决方案的一个元素来执行的，但边缘计算并不仅限于这一种执行方式。
  • 边缘设备的一个个潜在用途是，互联网服务提供商(ISP)可部署迷你 Web 服务器来为热门站 点托管静态或简单页面
  • 边缘计算解决方案的例子还包括安保系统、运动检测摄像机、图像识别系统、物联网和工业物联网设备、自动驾驶汽车、经过优化的内容分发网络(CDN)缓存、医疗监控设备和视频会议解决方案
  • 雾计算(fog computing)：是先进计算架构的另一个例子，它也常被用作工业物联网部署的一个元素。雾计算依靠传感器、物联网设备乃至边缘计算设备收集数据，然后把数据传回一个中央位置进行处理
• 9.10 嵌入式设备和信息物理融合系统
  • 嵌入式系统(embedded system)：是为提供自动化、远程控制和／或监控而被添加到现有机械或电气系统中的任何形式的计算组件
  • 微控制器(microcontroller)：类似于系统级芯片(SoC, 参见第 11 章），但是没那么复杂
    • Raspberry Pi
    • Arduino 和现场可编程门阵列
  • 微控制器算得上一个小型计算机，由 CPU（带 个或多个内核）、内存、各种输入笥出功能、 RAM 以及通常采用闪存或 ROM/PROM/EEPROM 形式的非易失性存储器组成
  • 9.10.1 静态系统
    • 静态系统(static system, 又称静态环境）。静态环境是一组静止不变的条件、事件和周围事物
    • 机柜台、 ATM 机以及通常在洒店或图书馆免费供客人使用的计算机
  • 9.10.2 可联网设备
    • 联网设备(network-enabled device)是指具备本机联网能力的任何类型的设备——无论是 移动的还是固定的
    • 可联网设备：智能手机、移动电话、平板电脑、智能电视、机顶盒或 HDMI 棒式流媒体播放器（如 Rok:u 播放器、 Amazon Fire TV 或 Google TV, Google TV 以前叫 AndroidTV/Chromecast) 、联网打印机、游戏系统等
    • 嵌入式系统的例子：包括联网打印机、智能电视、暖通空调控制器、智能家电、智能恒温控制器、车辆娱乐／驾驶员助手／自动驾驶系统和医疗设备。可联网设备可以是嵌入式系统，也可用来创建嵌入式系统
    • 可联网设备常常也是静态系统
  • 9.10.3 信息物理融合系统
    • 信息物理融合系统(cyber-physical system)指可提供计算手段来控制物理世界中某物的设备，更侧重于物理世界的结果，而非计算方面
    • 信息物理融合系统的例子包括提供人体增强或辅助功能的假肢、车辆防碰撞系统、空中交通管制协调系统、精确的机器人手术、危险条件下的远程操作，以及车辆、设备、移动设备和建筑物的节能系统等
    • 一般来说，物联网设备属于静态系统，因为它们只能运行制造商提供的固件