OSG9第十六章 安全运营管理

CISSP（Certification for Information System Security Professional）即信息系统安全专业认证，这一证书代表国际信息系统安全从业人员的权威认证

第十六章 安全运营管理

• 16.1 应用基本的安全运营概念
  • 安全运营：实践的主要目的是保护资产，如信息、系统、设备、设施和应用程序。这些实 践有助于识别威胁和漏洞，并实施控制措施来降低资产的风险。
  • 在信息安全的背景下，应尽关心(due care)和尽职审查(due diligence)是指采取合理的措施，持续保护组织的资产。高级管理层对应尽关心和尽职审查负有直接责任
  • 16.1.1 因需可知和最小特权
    • 因需可知(need to know)和最小特权(least privilege)是任何安全的 IT 环境都要遵循的两个标准原则
    • 1. 因需可知的访问
      • 因需可知原则：要求仅授予用户执行工作所需数据或资源的访问权限
      • 如果需要保守秘密，最好的办法就是不要告诉任何人
      • 因需可知通常与安全许可(security clearance)关联，例如拥有“秘密“许可的人。但许可不 会自动授予用户对数据的访问权限
      • 例如，假设 Sally 拥有一个秘密许可。这表明她具备访问秘密数据的资格。但许可不会自动授予她访问所有秘密数据的权限。相反，管理员只允许她访问工作所需的秘密数据。
      • 因需可知通常与军事及政府机构所使用的许可有关，但也适用于民用组织。
      • 数据库管理员需要访问数据库服务器才能执行维护工作，但不需要访问数据库的所有数据
      • 因需可知原则限制访问权限，可防止未经授权的访问导致保密性丧失。
    • 2. 最小特权原则
      • 最小特权原则：规定，主体仅被授予执行指定工作所需的特权。请记住，这里的特权既包 括访问数据的权限也包括执行系统任务的权利
      • 对于数据，特权是指控制写入、创建、更改或删除数据的能力
      • 最小特权原则依赖于“所有用户都具有明确定义的职责描述＂的假设，如果没有明确的职责描述，则无法知悉用户需要什么特权
      • 可以保护数据的完整性和保密性
      • 最小特权原则不仅适用于访问数据，还适用于访问系统。例如，在许多网络中，普通用户可使用网络账户登录网络中的任意计算机。
      • 组织违反最小特权原则的一种情况是，将所有用户添加到本地管理员组或授予计算机root 访问权限，这种做法可以让用户完全控制计算机
      • 最小特权原则通常侧重于保证用户特权受到限制，但也适用于其他主题，比如应用程序 或进程
  • 16.1.2 职责分离和责任
    • 职责分离(Separation of duty，SoD)：和责任确保个体无法完全控制关键功能或系统
    • 确保没有任何一个人可危及系统或系统安全，这种做法是必要的。相反，两人或更多人必须密谋或串通才能危害组织，这会增加这些人的风险。
    • 职责分离策略形成一个制衡系统，其中两个或多个用户验证彼此的行为，并且必须协同 完成必要的工作任务
    • 简单示例。电影院使用职责分离来预防欺诈行为。一个人售卖电影票，而另 一个人验票，禁止未购贾的人进入，如果一个人同时卖票和验票，此人可以允许人们无票进 入，或未给电影票却把收来的钱放入口袋
    • 同样，组织经常把流程分解为多个任务或职责，并将这些职责分配给不同的人来预防欺 诈。例如，一人批准有效发票的支付，而其他人付款
    • 执行职责分离的另一种方式是多个受信任个体分担安全或管理的功能及职能。当组织在多个用户之间分担管理和安全职责时，个人无法拥有足够的权限来规避或禁用安全机制
    • 开发不能有运维权限，防止舞弊
  • 16.1.3 双人控制
    • 双人控制(two-person control)（有时称为双人制）：要求经过两个人批准后才能执行关任务
    • 例如，银行保险箱通常要求两把钥匙。银行员工掌管一把密钥，客户持有第二把密钥。
    • 在组织内使用双人控制，可以实现同行评审并减少串通和欺诈的可能性。例如，组织可要求两人（如首席财务官和首席执行官）一起批准关键业务的决策。
    • 知识分割(split knowledge)：将职责分离和双人控制的概念融入一个解决方案。其基本思想是将执行操作所需的信息或特权分配给两个或多个用户
  • 16.1.4 岗位轮换
    • 岗位轮换（有时称为职责轮换）：是指员工进行岗位轮换，或和其他员工进行职责轮换
    • 可实现同行评审、减少欺诈行为并实现交叉培训。交叉培训可减少环境对任何个体的依赖
    • 岗位轮换可以充当威慑和检测机制，轮岗后欺诈行为会被接管工作职位的人发现
    • 防止在岗位待久了，防止串通/合谋
  • 16.1.5 强制休假
    • 许多组织要求员工强制休假一周或两周。这种做法提供一种同行评审形式，有助于发现欺诈和串通行为
    • 也可充当威慑和检测机制，即使他人仅接管一两周某人的岗位，这也足以检测到违规行为
  • 16.1.6 特权账户管理
    • 特权账户管理(Privileged Access Management，PAM)：解决方案限制特权账户的访问权限，或者检测账户是否使用了提升，使用JIT管理
    • 特权账户：是指管理员账户或具有特定提升特权的账户
      • 在Microsoft中，特权账户包括本地管理员，域管理员中的用户，企业管理员组中的用户
      • 在Linux中，特权账户包括使用root账户或通过sudo命令授予root访问权限的用户
    • 监控特权策略需要和其他基本原则相结合，例如最小特权原则和职责分离原则
    • 访问审计可以检测特权的滥用
      • 例如，大量攻击者使用 PowerShell 脚本来提升特权，通过配置安全信息与事件管理(SIEM)系统来检测特定事件并发送警报，可以检视恶意 PowerShell 脚本的使用
      • 通过监控提升特权的使用，还可以检测高级持续性威胁(advanced persistent threat, APT)活动
    • 攻击者提升特权后常见操作
      • 访问和删除日志
      • 创建并操作账户（如向管理员组添加新账户）
      • 控制通信路径（如打开 3389 端口来启用远程桌面协议和I或禁用主机防火墙）
      • 运行各种脚本（包括 PowerShell、批处理和 JavaScript 文件）
      • 创建和安排任务（如在 8 小时后注销账户以模仿普通用户的行为）
  • 16.1.7 服务水平协议(SLA)
    • 服务水平协议(service level agreement, SLA)：是组织与外部实体（如供应商）之间的协议。SLA 规定了绩效预期，并常包括针对未实现这些预期的供应商的惩罚条款
    • 例如，许多组织使用云服务来租用服务器。供应商提供对服务器的访问服务，并对服务器进行维护以确保其可用
    • 谅解备忘录(memorandum of understanding，MOU) ：谅解备忘录记录了两个实体合作达成共同目标的意愿。虽然 MOU 与 SLA 类似，但 MOU 不太正式，缺少处罚条款
• 16.2 解决人员安全和安保问题
  • 人员安全是安全运营的一个基本因素。数据、服务器甚至整个建筑等总是可以被替代。 但人员却无法替代
  • 16.2.1 胁迫
    • 当员工单独工作时，胁迫(duress) 系统非常有用
    • 例如，一名警卫可能在下班后守卫一栋楼。如果一群人闯入大楼，该警卫可能无法独自阻止。但是，警卫可使用胁迫系统发出警报。
    • 暗语，暗语培训
  • 16.2.2 出差
    • 另一个安全问题是员工出差，因为犯罪分子可能会以出差员工为目标
    • 敏感数据 ：理想情况下，出差时设备不应存储任何敏感数据。
    • 恶意软件和监控设备：许多报道的案例讲述员工在国外出差时，系统被植入许多恶意软件。同样，我们亲耳听到一些人去国外出差后设备被植入物理监听设备的事
    • 免费 Wi-Fi ： 在出差期间，免费 Wi-Fi 通常听起来非常诱人。但是，免费 Wi-Fi 很容易被 配置成捕获所有用户流量的陷阱
    • VPN（Virtual Private Network，虚拟专用网） ： 雇主应该访问虚拟专用网络(VPN)来创建安全连接。 VPN 安全连接可以访问企业内部网络中的资源，包括与工作相关的电子邮件。
  • 16.2.3 应急管理
    • 应急管理计划及实践帮助组织在灾难发生后解决人员安全和安保问题
    • 灾难可能是自然 的（如隄风、龙卷风或地震）或人为的（如火灾、恐怖袭击或网络攻击造成的大规模停电）
    • 不管面临何种灾难，都应首先考虑人员安全。
  • 16.2.4 安全培训和意识
    • 如果组织有适当的培训和意识计划，那么更易于添加人员安全的主题
    • 这些计划有助于确保员工了解胁迫系统、出差最佳实践、应急管理计划以及常见的关于人员安全的最佳实践。
    • 在处理人员安全和安保事宜时，培训计划应该强调人员安全的重要性
• 16.3 安全配置资源
  • 资产管理是安全配置资源的重要考虑因素
  • 16.3.1 信息和资产所有权
    • 数据所有者对数据担负最终组织责任。数据所有者可以是高管，如首席运营官(CEO)、总裁或部门主管
    • 高级管理人员对其他资产（如硬件资产）负最终责任
    • 管理服务器的IT 部门拥有这些服务器，而 IT 部门的高级管理人员承担保护责任。
    • 关键在于通过识别资产所有者，组织还可识别出负责保护资产的人员
    • 数据所有者通常将数据保护工作委托给组织中的其他人。例如，担任数据托管员角色的员工通常执行日常任务，如实施访问控制、执行备份和管理数据存储。
  • 16.3.2 资产管理
    • 资产管理：是指管理有形资产和无形资产。资产管理通常从资产清单开始，要求跟踪资产， 并采取额外措施在整个生命周期内保护资产
    • 许多组织使用自动配置管理系统(configuration management system, CMS)来帮助管理硬件资产。 CMS 的主要目的是配置管理，
    • 1. 硬件资产清单
      • 硬件资产包括计算机、服务器、路由器、交换机和外围设备等 IT 资源
      • 类似方法使用射频识别(radio frequency identification, RFID)标签， RFID 标签可以将信息传输到 RFID 阅读器。
      • 在处理设备之前，员工会对其进行净化(sanitize) 。净化设备的操作会删除设备上的所有 数据，确保未经授权的人员无法访问敏感信息
      • 保存敏感数据的便携式介质也可作为资产进行管理
    • 2. 软件资产清单
      • 软件资产包括操作系统和应用程序。组织会支付软件费用，并通常使用许可密钥(license key)来激活软件。
      • 例如，组织购买了一个许可密钥并计划将其用于 5 个软件产品的安装，但是紧接着仅安装和激活了 1 个软件。如果密钥被盗并安装在组织之外的 4 个系统，那么可以成功激活这些系统。
      • 软件许可还可以确保系统没有安装未经授权的软件
    • 3. 无形资产清单
      • 组织不会使用库存方式来盘点无形资产。但是，组织需要跟踪无形资产并加以保护
      • 无形资产是知识资产（如知识产权、专利、商标、公司声誉和版权）
      • 大型组织使用公认会计原则(GAAP)在其资产负债表上报告无形资产的价值
• 16.4 实施资源保护
  • 组织应用各种资源保护技术来确保在整个生命周期内安全配置和管理资源。
  • 16.4.1 媒介管理
    • 媒介管理是指为保护媒介及其存储数据而采取的步骤
    • 媒介泛指任何可存储数据的设备。媒介包括磁带、光学介质（如 CD 和 DVD)、便携式 USB 驱动器、内部硬盘驱动器、固态驱动器和 USB 闪存驱动器。许多便携式设备，如智能手机，也属于这一分类
  • 16.4.2 媒介保护技术
    • 当媒介存储敏感信息时，应该将其存储在有严格访间控制的安全场所，防止因未经授权的访问造成数据泄露。
    • 保管媒介的场所应具备温度和湿度的控制措施，防止因环境污 染造成数据丢失。
    • 媒介管理还包括技术控制措施，以限制计算机系统对媒介的访问
    • 正确的媒介管理可以直接解决保密性、完整性和可用性问题
    • 1. 磁带媒介
      • 组织通常将数据备份存储在磁带上，磁带受损将极易导致数据丢失。最佳方案是，组织至少保留两份数据备份，一份保留在本地以备不时之需，另一份保存在异地的安全位置
      • 管理磁带媒介的实用指南：
        • 如果不需要使用，应将新媒介保管在原始密封包装中，使其免受灰尘和污垢的污染
        • 打开媒介包装时，请务必小心，不要损坏介质
        • 避免把磁带媒介暴露在极端温度下
        • 请勿使用损坏的、暴露在超标尘垢中或摔过的媒介。
        • 应该使用温控车辆将介质从一个站点运输到另一个站点。
        • 应使媒介免受外界环境的影响；避开阳光、潮气、高温和低温
        • 出发点到安全的场外存储设施，应保证媒介的适当安全
        • 应根据介质存储数据的分类等级，保证媒介在整个生命周期内的安全。
        • 应考虑对备份数据加密，防止在备份磁带丢失或被盗时造成数据泄露
    • 2. 移动设备
      • 移动设备包括智能手机和平板电脑。因为配置了内部存储器或可移动存储卡，这些设备 可以存储大量数据
      • 如果移动设备存储敏感数据，那么务必采取措施保护这些数据
    • 3. 媒介管理生命周期
      • 所有媒介均拥有一个有用但有限的生命周期。可重复使用的媒介会受到平均故障时间(mean time to failure, MTTF) 的影响，其中， MTTF 有时表示为可重复使用的次数或预计保存的年限
      • 磁带说明书称其可以在理想条件下重复使用多达 250 次或使用寿命长达30年
      • 备份媒介一旦达到平均故障时间，就应该被销毁
      • 消磁操作不会删除 SSD存储的数据，内置的擦除命令通常也不会清理整个硬盘。因此，许多组织会销毁 SSD, 而不是试图从 SSD 上删除数据。
• 16.5 云托管服务
  • 云计算是指可按需访问的计算资源，几乎随处可用，云计算资源具有高可用性和易扩展性。组织通常从组织外部租用云资源，但也可在组织内进行资源的本地部署。
  • 所有敏感数据都应该加密，包括发送至云上的传输数据和存储在云上的静态数据。
  • 16.5.1 使用云服务模型分担责任
    • 3个主要云服务模式
      • 软件即服务(software as a service, SaaS)： 软件即服务模型提供通常可通过 Web 浏览器访问全功能应用程序。例如谷歌Gmail邮箱就是一个SaaS服务
      • 平台即服务(platform as a service, PaaS) ：平台即服务模型为用户提供一个计算平台，包括硬件、操作系统和运行时环境运行时环境包括编程语言、库、服务和供应商支持的其他工具
      • 基础架构即服务(infrastructure as a service, laaS) ： 基础架构即服务模型为用户提供基本的计算资源口这些资源包括服务器、存储和网络资源
    • 4 种云部署模型
      • 公有云模型：是指可供任何用户租用或租赁的资产，资产由外部云服务提供商(CSP)托管。服务水平协议可以有效地确保 CSP 以组织可接受的服务水平提供云服务。-阿里云
      • 私有云部署模型：适用于单个组织的云资产。组织可以使用自有资源创建和托管私有云。-组织自己的云
      • 社区云部署模型：为两个或多个有共同关切的组织（例如有类似的任务、安全要求、策略或合规性考虑的组织）提供云资产云资产可以由一个或多个组织拥有和管理。维护责任根据资产托管方和服务模型进行分配。-多个公司合作共用
      • 混合云模型：是指两个或多个云的组合，混合云由一种提供数据和程序迁移的技术结合在一起。模型与社区云模型类似，维护责任根据资产托管方和正在使用的服务模型进行分配
  • 16.5.2 可扩展性和弹性
    • 可扩展性是指系统通过扩充附加资源来处理超出载荷的能力
    • 例如，假设服务器配置16GB 的内存(RAM), 但服务器可以支持 64GB 的 RAM
    • 关键点是弹性方法不需要通过关闭系统来添加资源。资源可以被－自动添加或删除以匹配需求，热插拔
    • 包括添加更多带宽、磁盘空间，甚至更多服务器。
• 16.6 开展配置管理
  • 配置管理(configuration management, CM)：有助于确保系统在安全一致的状态中部署，并在整个生命周期内保持安全一致的状态。CI配置项，资产清单
  • 基线和镜像通常用于部署系统
  • 16.6.1 配置
    • 配置新系统是指安装和配置操作系统及所需的应用程序
    • 配置系统的一个关键考虑因素是基于其使用情况对其进行加固。
    • 加固措施
      • 禁用所有未使用的服务
      • 关闭所有未使用的逻辑端口
      • 删除所有未使用的应用程序
      • 更改默认口令
  • 16.6.2 基线
    • 基线：是指起点。在配置管理背景下，基线是指系统初始配置
      • 配置数据错误超过3%，就不可使用
    • 提及基线，一种简化方法就是配置列表
    • 管理员通常会根据组织内不同系统的需求对基线进行修改。
  • 16.6.3 使用镜像技术创建基线
    • 许多组织使用镜像来部署基线
    • 部署基线镜像的 3 个步骤
      • (1) 管理员首先在计算机上安装操作系统和所有需要的应用程序（图中标记为基线系统）
      • (2) 接下来，管理员使用镜像软件捕获系统镜像，并将其存储在图中所示的服务器（标记 为镜像服务器）上，也可将镜像存储在外部硬盘驱动器、 USB 驱动器或DVD 中
      • (3) 随后，员工根据组织需耍将镜像部署到具体系统
    • 基线镜像可以确保系统所需安全设置总能正确配置，从而提高系统的安全性
    • 缩减了系统部署和维护所需的时间，降低了总体维扩成本
    • 组织通常会保护基线镜像，确保其不会被任意修改
  • 16.6.4 自动化
    • 镜像通常和其他基线自动化方法相结合
    • 管理员可为组织的所有台式计算机创建一个镜像，然后使用自动化方法为特定类型的计算机添加其他应用程序、功能或设置
• 16.7 管理变更
  • 变更管理可减少因未经授权的更改而导致的意外中断，主要目标是保证变更不会导致意外中断
  • 变更往往引发可能造成中断的意外副作用
  • • 变更目的
      • 降低更改配置后，对业务中断的影响
      • 减少配置变更后，事故、事件的问题
  • 变更针对配置进行，会产生新的基线，基线要在变更后立即更新
  • 未经授权的变更会直接影响 CIA 三元组中的 A, 即可用性，一些变更可能削弱或降低安全性
  • 今天使用的许多配置和变更管理概念都源自英国出版的 ITIL(Information Technology infrastructure Library)文档
  • 16.7.1 变更管理
    • 变更管理控制提供了一种流程，以控制、记录、跟踪和审计所有系统变更
    • 变更管理流程
      • (1) 请求变更（（Request for Change，RFC））：一旦识别出所需的变更，员工便会请求变更
      • (2) 审核变更：组织内的专家会审核/评估变更，
        • CCB或CAB，变更控制或变更委员会
      • (3) 批准/拒绝变更：然后，这些专家会依据审核结果批准或拒绝变更
      • (4) 测试变更：一旦批准更改，就需要对变更进行测试，最好将测试安排在非生产服务器
      • (5) 安排并实施变更：按部就班地实施变更，从而使变更对系统及用户造成的影响最小化
      • (6) 记录变更：最后一步是记录变更，确保所有相关方知悉变更
    • 变更类型
      • • 必须要有授权（可以简化）
        • 必须要测试，2个必须同时满足
    • 变更管理控制是 ISO 通用标准中一些安全保障要求(security assurance requirement, SAR)的强制性内容
    • 在执行更改管理流程时，会为系统的所有变更创建文档
  • 16.7.2 版本控制
    • 版本控制通常指软件配置管理所使用的版本控制
    • 例如，应用程序的第一个版本标记为1.0 。经历第一次较小的更新后，版本标记为1.1; 在第一次重要更新后，版本标记为2.0 。这么做有助于追踪部署软件随时间的变更。
  • 16.7.3 配置文档
    • 配置文档明确系统的当前配置。它明确了系统的负责人以及系统的目的，并列出了应用于基线的所有变更
• 16.8 管理补丁和减少漏洞
  • 补丁管理和漏洞管理过程协同工作，帮助组织防御新出现的威胁
  • 补丁管理可确保系统已安装合适的补丁，而漏洞管理帮助验证系统能否防御已知威胁的攻击
  • 16.8.1 系统管理
    • 值得强调的是，补丁和漏洞管理不仅适用于工作站和服务器，也适用于运行操作系统的 所有计算设备。
    • 路由器、交换机、防火墙、打印机和其他设备（如统一威胁管理设备）等网络基础设施系统，均包含某种类型的操作系统。这些操作系统有些是基于思科的，有些是基于微软的，有些是基于Linux的
    • 嵌入式系统：是指配备中央处理单元(CPU) 、运行操作系统以及安装一个或多个执行单一 或多个功能的应用程序的设备。例如相机系统、智能电视、家用电器（如防盗警报系统、无线 恒温器和冰箱）、汽车、医疗设备等。这些设备有时被称为物联网(IoT)
    • 最后，如果组织允许员工在企业网络中使用移动设备（如智能手机和平板电脑），则也应 将这些设备纳入管理
  • 16.8.2 补丁管理
    • 补丁是纠正程序缺陷及漏洞，或提高现有软件性能的所有代码类型的总称。
    • 补丁有时称为更新、快速修复(quick fix)和热补丁(hot fix）
    • 补丁管理计划步骤
      • 评估补丁：当供应商公布或发布补丁时，管理员会对补丁进行评估，确定其是否适用于自己维护的系统。
      • 测试补丁：管理员应尽可能在隔离的非生产系统上测试补丁，确定补丁是否会导致任佪 不必要的副作用
      • 审批补丁：管理员测试补丁，并确认补丁是安全的，接下来便批准补丁的部署。
      • 部署补丁：经过测试和审批，管理员可着手部署补丁
      • 验证补丁是否已完成部署：部署补丁后，管理员会定期测试和审计系统，确保系统保持 更新状态
    • 微软、奥多比和甲骨文公司在每月第二个周二定期发布补丁，这一天通常称为“周二补丁日 ”(Patch Tuesday)或周二更新日(Update Tuesday)
  • 16.8.3 漏洞管理
    • 漏洞管理是指定期识别漏洞、评估漏洞并采取措施减轻漏洞相关的风险。
    • 消除风险是不可能的，同样也不可能消灭所有漏洞
  • 16.8.4 漏洞扫描
    • 漏洞扫描器是测试系统和网络是否存在已知安全问题的软件工具
    • 扫描器具备生成报告的功能，报告会显示发现的所有漏洞
  • 16.8.5 常见漏洞和披露
    • 漏洞通常使用“通用漏涸和披露”(CVE)字典来标识。CVE 数据库由 MITRE 维护
    • CVE-2020-0601 指示 Windows CryptoAPI(Crypt32.dll)存在漏洞
    • CVE 数据库使公司更容易创建补丁管理工具和漏洞管理工具，公司不必花费任何资源来 管理漏洞的命名和定义，而可以专注于检查漏洞系统的方法。