Certified in Cybersecurity Certification

作者 : 簡宏傑(Bojack)
Email : [e-mail]

本篇筆記原則上參考 ISC2 的 Exam Outline 整理相關考試可能需要了解的知識供要準備 CC 考試的人參考，也建議參考 Kuro 大神這篇自修 CC 心得說明文章。

https://www.isc2.org/certifications/cc/cc-certification-exam-outline

考試主要分 5 個 Domain

1. 安全原則 Security Principles
2. 業務持續、災難復原及事件回應概念 Business Continuity (BC), Disaster Recovery (DR) & Incident Response Concepts
3. 存取控制 Access Controls Concepts
4. 網路安全 Network Security
5. 安全維運 Security Operations

考試分配權重如下，此為2022/8/29所公告資訊

以下為官方五個 Domain 的 Takeaway，可搭配此份筆記合併閱讀

• Domain 1
• Domain 2
• Domain 3
• Domain 4
• Domain 5

此份筆記主要參考以下來源編寫而成

1. Kashish Kanojia - ISC2-CC-Study-Material
2. WUSON 共好教練團 CISSP 筆記
3. Ray教練 CISSP 筆記 - 社交工程手法
4. 樓霙 - 資訊安全
5. ChatGPT

內容若有錯誤或有建議調整的地方，也歡迎告知 ~

---

Domain 1 安全原則 Security Principles

1.1 了解資訊保障的安全概念 Understand the security concepts of information assurance

• 機密性 Confidentiality
  • 此項主要在表示針對資料在處理過程中，須避免遭到未經授權時可能被窺視或有洩露的可能，常見的情況可能像是資料在傳輸、儲存或使用中，這三種使用的形態都有機會外洩資料。
  • 至於常見的保護措施如加密(Encryption)、隱匿/隱寫(Steganography)、遮罩(Masking)等三種作法。
• 完整性 Integrity
  • 是指確保數據和資訊在其生命週期內保持不被篡改、損壞或未經授權的變更。完整性是資訊安全的一個重要方面，它確保數據保持可信、準確和可靠。
  • 以下有幾項重要關鍵概念
    • 數據完整性：這表示數據在儲存、傳輸和處理過程中沒有被意外或惡意地改變。為實現數據完整性，常常使用數位簽名、雜湊函數（hash functions）和校驗和檢查機制來確保數據的完整性。
    • 文件完整性：這涉及確保文檔、文件和軟件應用程式等資訊元素在其儲存和傳輸過程中不受損害或篡改。數位簽名和文件校驗技術是常見的工具，用於確保文件完整性。
    • 資訊系統完整性：這關乎確保整個資訊系統（包括硬體和軟體）在運作過程中不受破壞、損害或未經授權的變更。這可能包括軟體更新、安全配置、網絡防火牆和入侵檢測系統等措施。
• 可用性 Availability
  • 指確保資訊和資訊系統在需要的時候可用，不受故障、攻擊或其他不可預見的事件的影響。可用性是資訊安全的一個重要方面，它關係到資訊系統的可操作性和可訪問性。
  • 可用性是確保資訊系統持續運作、用戶可以訪問其所需資訊的重要因素。它對於企業和組織來說至關重要，因為中斷或不可用的系統可能會導致生產力損失和業務中斷。因此，確保可用性是資訊安全管理的一個重要目標之一。
  • 以下有幾項重要關鍵概念
    • 系統可用性：這表示資訊系統應該能夠在需要時保持運作，並且不因硬體故障、軟體錯誤、網路中斷或其他技術問題而中斷。
    • 容錯和冗餘：為實現可用性，組織通常會實施容錯和冗餘措施，包括備份系統、多個數據中心、硬體冗餘和軟體冗餘，以確保即使某個組件失效，系統仍能繼續運作。
• 驗證(如驗證方法、多因子驗證) Authentication (e.g., methods of authentication, multi-factor authentication (MFA))
  • 識別(Identification）、驗證(Authentication）和授權(Authorization）是資訊安全中的三個基本概念，用於確保合法用戶對資訊和資源的訪問以及確保資訊的安全性。這些概念在許多資訊安全系統和應用中扮演著關鍵的角色。
    • 識別(Identification)：識別是確定用戶或實體的過程，通常涉及用戶提供一個識別信息（例如，使用者名稱、電子郵件地址、身份證號碼等），以表明其身份。識別僅確定用戶是誰，但不確定用戶是否具有訪問特定資訊或資源的權利。舉例來說，當您輸入用戶名時，這是一個識別過程。
    • 驗證(Authentication)：驗證是確保用戶聲稱的身份是真實有效的過程。通常，用戶需要提供一個或多個驗證要素，例如密碼、生物特徵（如指紋或臉部識別）或硬體令牌，以驗證其身份。一旦用戶成功驗證，系統確信該用戶是合法的，並允許其訪問特定資訊或資源。舉例來說，當您輸入密碼以證明您的身份時，這是一個驗證過程。
    • 授權(Authorization)：授權是確保用戶經過身份驗證後擁有訪問特定資訊或資源的權利的過程。它確定了用戶可以執行的操作和能夠訪問的資訊範圍。授權通常在用戶通過身份驗證後進行，以確保只有合法用戶能夠訪問資訊或執行操作。舉例來說，一個網站或應用程序可能會根據用戶的身份和角色授予不同級別的訪問權限。
  • 所謂的多因子驗證 ( multi-factor authentication,MFA) 是一種資訊安全措施，用於增強用戶身份驗證的安全性。它要求用戶在訪問資訊或資源時提供多於一個的身份驗證因素，以確保他們的身份是真實有效的。
    • 知識因素(Something You Know)：這是用戶知道的東西，例如密碼或個人識別號碼（PIN）。密碼是最常見的知識因素。
    • 擁有因素(Something You Have)：這是用戶擁有的物理設備或令牌，例如智能卡、USB密鑰或行動應用程式生成的一次性驗證碼。
    • 生物特徵因素(Something You Are)：這是根據用戶的生理或行為特徵進行身份驗證的因素，例如指紋辨識、虹膜掃描、臉部識別或聲音識別。
• 不可否認性 Non-repudiation
  • 通常是指一個在通訊或交易的過程中，參與者無法否認他們的參與或所做的操作。這個概念通常應用於數位通信和電子商務環境中，以確保參與者不能否認他們的行動或交易。
  • 通常包含以下幾種情況
    • 數位簽名：使用數位簽名技術，參與者可以對消息或文件進行簽名，以證明消息的真實性和完整性。當消息被簽名後，發送者無法否認他們的參與，因為他們的數位簽名可以證明他們的身份和參與。
    • 電子證據：在電子交易或通信中，保留相關的電子證據可以用來證明參與者的行動。這包括交易日誌、電子郵件通信、數位收據等。這些證據可以用來確保參與者不能否認他們的參與。
    • 不可否認性協議：有些系統和協議具有內置的不可否認性功能，確保參與者無法否認他們的行動。例如，電子郵件的傳遞和讀取通常具有不可否認性，因為電子郵件服務提供了時間戳記和傳遞收據，以確保寄件者和收件者都無法否認消息的發送和接收。
• 隱私 Privacy
  • 隱私是個體對於其個人資訊的權利，包括敏感個人資訊如姓名、地址、身份證號碼、醫療記錄、財務信息等。
  • 隱私保護旨在確保個人或實體能夠控制他們的個人資訊，以及確保這些資訊不被未經授權的訪問或濫用，並在合法和道德的框架內處理。
  • 隱私在資訊安全中涉及以下一些關鍵概念和實踐：
    • 數據保護：確保個人資訊的機密性和完整性，以防止未經授權的訪問和數據洩露。這包括加密、訪問控制和數據安全措施。
    • 合法性和合規性：確保個人資訊的處理符合適用的法律、法規和規定。這包括遵循隱私法和法規，並確保獲得必要的知情同意。
    • 隱私政策：組織通常需要制定隱私政策，明確規定如何處理個人資訊，並向用戶提供相關信息。隱私政策應該清晰、易於理解並透明。
    • 監控和風險管理：組織應該監控隱私風險並採取措施以降低這些風險，包括事件監控、安全漏洞管理和數據泄露應急計劃。
    • 教育和培訓：為內部人員和用戶提供有關隱私政策和最佳實踐的教育和培訓，以提高意識和遵守。

1.2 了解風險管理流程 Understand the risk management process

• 有幾項風險管理的名詞要了解
  • 風險 Risk : 影響目標達成的不確定因素就稱之為風險，常被採用的風險公式為「風險 = 威脅 x 弱點」
  • 威脅 Threat : 一種可能帶來不良的後果、影響或造成資產損失的情況，有可能是人為(如駭客)或自然(如水災、風災、地震)
  • 威脅行動者 Threat Actor : 如駭客
  • 威脅存取媒介(向量) Threat Vector : 駭客非法存取或滲透目標系統所使用的各種手法或方式
  • 漏洞/弱點 Vulnerability : 由於系統設計、實作或操作上的錯誤，導致可被他人利用稱之為漏洞/弱點，弱點本身並不會造成傷害，但弱點沒有妥善管理，就可能導致被威脅利用進一步造成損害。如 : 作業系統未更新、使用未加密的傳輸、人員教育訓練不足。
  • 固有風險 Inherent risk : 是指一個企業或組織在沒有採取任何內部控制或風險管理措施的情況下，面臨的潛在風險和損失的程度。
  • 剩餘風險 Residual risk : 是指企業或組織在採取了一系列風險管理措施之後，仍然存在的潛在風險或損失。
  • 次要風險 Secondary risk : 是指在對應主要風險的風險管理措施之下，產生的另一種風險。這種次要風險通常不是直接與主要風險相關，而是因為主要風險管理措施的實施或其他因素而產生的額外風險。
  • 聯集風險 Joint Risk : 是指多個風險因素或事件共同出現並互相影響，增加了整體風險的情況。當不同的風險因素或事件同時發生時，它們可能會產生比單個風險更大的風險影響。
  • Ref:https://sikkertgaute.medium.com/cybersecurity-risks-in-higher-education-part-1-background-assets-threat-events-and-threat-236365e9c3ea
• 風險管理的⼝訣為1234：為⼀⼤⽬標、⼆⼤程序及風險評鑑的三個步驟、風險處置的四個作法
  • ⼀個⽬標：風險管控到經營階層可以接受的程度
  • ⼆⼤程序：風險評鑑、風險處置
  • 風險評鑑三個步驟：識別、分析、評估 (看看對組織是否有影響)
  • 風險處置四個作法：ATMA。避免、移轉、緩解、接受 (基於衝擊影響與成本等因素考量)
• 因為有⽬標所以有風險，風險就是影響⽬標達成的不確定因素，正⾯的影響是機會 (Opportunity)，負⾯的影響是威脅 (Threat)。風險管理的⽬標，降低風險發⽣的機率與影響，達到經營⾼層可以接受的程度。
• 風險評鑑 Assessment
  • 風險識別 Identification
    • ⽤來識別是否與⽬標有關，有關才進⾏分析。風險識別後，需⽂件化產⽣風險登錄表。
  • 風險分析 Analysis
    • 透過分析風險的不確定性(可能性 likelihood，質化、 機率Probability，量化)及影響，決定曝險(Risk Exposure)，有⼆種主要的風險分析⽅法，都是為了作風險對⽬標影響⼤⼩的排序。
      • 質化分析法(Qualitative Analysis)：依經驗主觀判斷，以⽂字敘述為主，常⽤德爾菲法(Delphi Method、匿名問卷)。
      • 量化分析法(Quantitative Analysis)：取得⼤量數據客觀分析，常⽤期望值法(Expectancy Method)
  • 風險評估 Evaluation
    • 做決策來做⼀⼑切，要決定多少曝險以上的風險要處理，再進⾏⼀次排序確認，以處理相同曝險的順序，後續進入處置階段，不是每⼀個被識別與分析的風險都會處理。
• 風險處理 Treatment
  • Avoid (避免/規避)：放棄原本要做的事情，風險消失。 (目標消失 ，風險不見)
  • Transfer (移轉)：第三⽅概念，風險可以轉移，責任不⾏，如買資訊安全保險
  • Mitigate (緩解)：降低發⽣的不確定性或影響，風險不會消失，如備援線路或機房。資安談的保護80%都是談緩解風險，要緩解的方式就是下安全控制措施(Security Control)
  • Accept (接受)：考量成本效益分析，僅保留在風險登錄表。暫不處理，持續觀察
• 風險管理(例如:風險優先級、風險承受能力) Risk management (e.g., risk priorities, risk tolerance)
  • 風險承受能力 Risk Tolerance
    • 指一個組織或個人在面臨風險時所能夠接受或承擔的程度。這反映了對風險的接受程度，通常在達到某種不希望的風險水平之前，組織或個人能夠容忍的程度。
    • 風險容忍度取決於多種因素，包括組織或個人的目標、價值觀、財務狀況、行業標準以及對不同類型風險的看法。不同的組織和個人可能對風險的容忍程度有不同的標準，這取決於其特定情境和風險管理策略。
    • 高風險容忍度的組織或個人可能更願意在追求更高回報的同時，接受更大的不確定性和損失風險。相反，低風險容忍度的組織或個人可能更偏向於採取保守的風險管理策略，以減少損失的可能性。
    • 風險容忍度是風險管理的一部分，有助於確定組織或個人在制定風險管理策略和做出決策時應該考慮的風險水平。通常，組織和個人會進行風險評估，以確定其風險容忍度，然後制定相應的風險管理計劃。
  • 風險優先級 Risk Priorities
    • 指的是在風險管理中，對於不同風險的重要性和優先級的評估。在面臨多個風險時，組織需要確定哪些風險是最緊迫和最重要的，以便有效地分配資源和採取適當的應對措施。
    • 風險優先順序通常基於風險的兩個主要方面：
      • 風險的影響（Impact）：這表示風險發生時可能對組織造成的損害程度。影響可以包括財務損失、業務中斷、聲譽損害等。風險的影響越大，其優先順序就越高。
      • 風險的發生概率（Likelihood）：這表示風險發生的可能性。如果風險發生的概率較高，那麼它的優先順序也可能較高。在風險管理中，通常使用概率和影響的矩陣或評估模型來評估風險的優先順序。
• NIST RMF(Risk Management Framework)
  • 準備 (Prepare) : 這個階段可能需要採取的步驟。
    • 了解組織和系統需求
    • 確立安全目標和要求
    • 確認相關法規和標準
    • 確立風險管理策略
    • 確定RMF流程
    • 確保組織和利害關係者參與
    • 進行風險評估
    • 確定資源和預算
    • 訓練和培訓
    • 建立RMF文件
  • 分類系統 (Categorize System) : 盤點資料有多重要(看CIA)，取最高水位(High Water)，分類系統會取得系統影響等級(高、中、低)
  • 選擇控制 (Select Controls) :
    • 定範圍(Scoping)：從一個控制框架中，把不適用的控制措施排除，定出初步的範圍，相當於ISO27001的適用性聲明(SOA、Statement of Applicability)
    • 量身訂作(Tailoring)：量身定做、修改基準內的安全控制，不好用的調整，不夠用的新增定範圍後再根據系統及組織個別的安全需要去調整初步的控制措施
  • 實施控制 (Implement Controls) : 執行安全控制措施
  • 評估控制 (Assess Control) : 評鑑(查驗Examination、訪談Interviewing、測試Testing)所實施安全控制的有效性與符合性，會產出評鑑報告
  • 授權系統 (Authorize System) : 主管授權讓系統上線(系統被授權)，授權非永久授權，會定期評鑑
  • 監控控制 (Monitor Controls) : 上線後監控安全控制措施

1.3 了解安全概念 Understand security controls

• 技術控制措施 Technical controls
  • 技術控制是指使用技術工具和機制來保護資訊和資訊系統的安全性。
  • 這包括使用防火牆、入侵檢測系統、加密、身份驗證和訪問控制來保護系統免受未經授權的訪問和攻擊。
  • 技術控制還包括病毒掃描程式、漏洞管理和監控系統的使用，以便監視不正當活動。
  • 這些控制通常是實施實際技術解決方案的一部分，以確保系統的安全運作。
• 行政控制措施 Administrative controls
  • 行政控制是指通過政策、程序、培訓和管理方法來確保組織的資訊安全。
  • 這包括制定安全政策、規範和標準，並確保組織中的人員了解和遵守這些政策。
  • 行政控制也涉及風險管理、安全培訓、安全意識和合規性監督。
  • 這些控制的目標是建立一個安全文化，確保組織的人員了解並遵守最佳安全實踐。
• 物理控制措施 Physical controls
  • 實體控制是指通過物理安全措施來保護資訊和資訊系統。
  • 這包括保護伺服器和資料中心的物理訪問，如閉路電視監控、門禁系統、生物識別技術和安全設施。
  • 實體控制也包括控制訪問至敏感文件和硬體設備，以防止盜竊或物理損害。

1.4 了解 ISC2 道德規範 Understand ISC2 Code of Ethics

• 職業行為準則 Professional code of conduct
  • https://www.isc2.org/ethics
  • 道德準則 Code of Ethics Canons
    • (國家社會) 保護社會、共同利益、必要的公眾信任和信⼼以及基礎設施。 Protect society, the common good, necessary public trust and confidence, and the infrastructure.
    • (個人道德) 以光榮、誠實、公正、負責任和合法的⽅式⾏事。Act honorably, honestly, justly, responsibly, and legally.
    • ((為雇主) 為原則提供勤奮和稱職的服務。(為你的雇主提供專業)。Provide diligent and competent service to principals.
    • (為產業) 推進和保護職業。(促進並保護資安專業)
      Advance and protect the profession.

1.5 了解治理過程 Understand governance processes

• 政策 Policies
  • 定義： 政策是一組指導性的宣言或規則，明確了組織在特定領域應該遵循的基本原則和期望，也是組織最高管理階層正式表達的意圖和方向，以確保組織支持行業標準和法規。
  • 目的： 政策旨在為組織提供方向，確保所有相關方了解預期的行為和執行方式。
• 程序 Procedures
  • 定義： 程序是對特定活動或任務的具體步驟和指引的描述，以確保這些活動在組織中得到正確執行。
  • 目的： 程序詳細說明了執行特定任務的方法，提供了實現政策目標的實際指南。
• 標準 Standards
  • 定義： 標準是一個制定了特定領域或特定技術要求的正式文檔，通常由業界組織或標準制定機構所制定。例如組織內所使用的軟硬體應有一致性使用規格與行為。
  • 目的： 標準提供了一個共同的框架，確保在特定領域內實現一致性和高質量。
• 法律法規 Regulations and laws
  • 定義： 法規是由政府或監管機構制定的強制性法律規則，通常涉及特定行業或主題。法律是由政府通過立法過程制定的規定，適用於整個國家或特定地區。
  • 目的： 法規旨在確保組織和個人在特定領域內遵守法律要求。法律是最高法源，要求人們遵守其內容，違反法律可能導致法律責任。

---

Domain 2 業務連續性(BC)、災難復原(DR)和事故嚮應概念 Business Continuity (BC), Disaster Recovery (DR) & Incident Response Concepts

2.1 了解業務連續性(BC) Understand business continuity (BC)

• 目的 Purpose
  • 業務持續性計劃使業務能夠在危機期間能持續營運。
• 重要性 Importance
  • 業務持續性計劃的目的是在從重大中斷中恢復時維護業務運營。計劃的一個關鍵部分是通信，包括多種聯絡方法和備用號碼，以應對電力或通信中斷的情況。許多組織將建立一個電話樹，這樣如果一個人無法聯絡，他們知道應該聯絡誰。
  • 管理層必須包括在內，因為有時情況可能會根據情況而改變優先順序。具有適當授權的人必須在場執行操作，例如，如果有需要關閉的關鍵區域。我們需要隨手準備供應鏈的重要聯絡號碼，以及法執部門和設施外的其他聯絡點。
  • 業務持續性計劃（BCP）是在災難或對組織造成重大中斷之後，主動制定程序以恢復業務運營的計劃。應該邀請來自組織各部門的成員參與BCP的制定，以確保計劃中考慮到所有系統、流程和營運。為了保護資訊的機密性、完整性和可用性，技術必須與業務需求保持一致。
• 組成部分 Components
  • BCP團隊成員名單，包括多種聯絡方式和備用成員
  • 即時應對程序和檢查表（安全和安全程序、滅火程序、通報適當的緊急應對機構等）
  • 警報人員的通知系統和電話樹，以通知人員BCP正在實施
  • 管理指南，包括特定經理的授權指定
  • 計劃的實施方式/時間。包括計劃何時以及如何使用的信息是重要的
  • 供應鏈關鍵成員的聯絡電話號碼（供應商、客戶、可能的外部緊急服務提供商、第三方合作夥伴）

2.2 了解災難復原(DR) Understand disaster recovery (DR)

• 目的 Purpose
  • 災害恢復計劃在事件應變計劃和業務持續性計劃失敗時就會啟動，以幫助業務儘快恢復正常營運。
• 重要性 Importance
  • 災害恢復規劃（Disaster Recovery Planning）在業務持續性計劃（BCP）完成後發揮作用。當發生災難或業務活動中斷時，災害恢復計劃（DRP）引導緊急應對人員的行動，直到達到最終目標，即將業務恢復到最後已知的可靠運營狀態。
  • 災害恢復專指在任何事件引起的中斷期間以及在正常服務恢復期間，恢復組織所需的信息技術和通信服務和系統。業務功能的恢復可以獨立於IT和通信服務的恢復之外進行，但IT的恢復通常對業務運營的恢復和持續運營至關重要。
  • 業務持續性計劃是維護關鍵業務功能，災害恢復規劃則是在中斷後將IT和通信恢復到正常運營的計劃。
• 組成部分 Components
  • 整體復原計劃的概述
  • 部門特定計劃
  • 供負責實施和維護關鍵備份系統的IT人員的技術指南
  • 災難恢復團隊關鍵成員的完整計劃副本
  • 檢核清單
    • 關鍵的災難恢復團隊成員將擁有檢查表，以幫助他們在災難中混亂的情況下引導他們的行動。
    • IT人員將擁有技術指南，協助他們啟動和運行備用站點。
    • 經理和公關人員將擁有簡單易懂的高級文件，以幫助他們準確地傳達問題，而無需向正在恢復工作的團隊成員徵求意見。

2.3 了解事故回應 Understand incident response

• 目的 Purpose
  • 事件應變計劃是針對營運狀況的意外變化作出反應，以確保業務持續運營。
• 重要性 Importance
  • 任何事件應變的優先事項都是保護生命、健康和安全。當需要作出關於優先順序的任何決策時，始終要首選安全。事件管理的主要目標是做好準備。準備需要擁有一個將組織引領度過危機的政策和應變計劃。
  • 事件應變過程的目標是降低事件的影響，使組織能夠儘快恢復被中斷的運營。請注意，事件應變計劃是業務持續性管理（BCM）更大範疇中的一部分。
  • 事件應變政策應參考一個所有員工將根據其在流程中的角色而遵循的事件應變計劃。計劃可能包含多個與事件應變相關的程序和標準。它是組織事件應變政策的實際體現。組織的願景、戰略和使命應該塑造事件應變過程。實施計劃的程序應該定義團隊在應對事件時將使用的技術流程、技巧、檢查表和其他工具。
• 組成部分 Components
  • 
  • 準備：制定一份經管理層批准的政策；識別關鍵數據和系統、單一故障點；培訓員工進行事件應變；實施事件應變團隊；實踐事件識別（首次應對）；識別角色和責任；計劃各利益相關方之間的協調通信方式；考慮主要通信方式可能不可用的可能性。
  • 檢測和分析：監控所有可能的攻擊途徑；使用已知數據和威脅情報分析事件；優先處理事件應對；標準化事件文件記錄；
  • 封鎖、根除和恢復：收集證據；選擇適當的封鎖策略；識別攻擊者；孤立攻擊。
  • 事後活動：識別可能需要保留的證據。記錄經驗教訓。回顧、準備、檢測和分析、封鎖、根除和恢復，事後活動。
  • 事件應變團隊（Incident Response Team）是一個組織內的特定小組或團隊，負責應對和應對安全事件、緊急情況和威脅。這個團隊的主要目標是確保組織能夠迅速有效地應對事件，減輕損害，維護業務運營的持續性。事件應變團隊通常由安全專家、技術人員、法律專家、溝通專家和其他相關的專業人員組成。

---

Domain 3 存取控制概念 Access Controls Concepts

3.1 了解實體存取控制 Understand physical access controls

• 物理安全控制措施 (例如:胸牌系統、大門入口、環境設計)
  • 胸牌系統 Badge Systems
    • 是一種管理和識別人員身份的系統，通常使用證件或徽章來標識個人的身份和權限。這種系統廣泛應用於各種場景，包括企業、學校、活動和公共場所等，以確保只有授權人員能夠進入特定區域或執行特定操作。
  • 大門入口
    • 對於人員進出的實體安全控制通常使用如旋轉閘(Turnstiles)、人體陷阱門(Mantraps)和遠程或系統控制的門鎖等技術。為了系統能夠識別授權的員工，存取控制系統需要具備某種形式的登記站，用於分配和啟動存取控制裝置。
  • 環境設計
    • 環境設計防範犯罪（Crime Prevention through Environmental Design，CPTED）是一種基於改變和優化環境設計來預防犯罪的策略和方法。這種設計理念強調通過改變物理環境來影響人們的行為，從而減少犯罪和提高安全性。
    • 設計的原則包含有以下
      • 自然監視（Natural Surveillance）：通過設計使地方更容易被觀察，提高人們對周圍環境的感知。這可以包括清晰的視線、良好的照明和適當的景觀設計。
      • 自然存取（Natural Access）：確保地方的進出口設計明確、易於識別，同時避免死角和隱藏的通道，以減少犯罪分子的藏身之地。
      • 環境整體（Territorial Reinforcement）：通過強調區域的所有權和邊界，促使人們更關注和維護特定地區。這可以透過標誌、景觀、顏色和建築設計等手段實現。
      • 管理（Management）：通過有效的管理和運營來提高地方的安全性。這包括定期維護、有效的使用規則和政策，以及與社區的合作。
• 監控(如保安、閉路電視、告警系統、日誌)
  • 保安人員 Security Guards
    • 保安人員是一種有效的實體安全控制。無論使用何種形式的實體存取控制，保安人員或其他監控系統都能夠阻止人們冒充他人或緊隨他人後面以獲得進入。這有助於防止設備或信息的盜竊和濫用。
  • 閉路電視 CCTV
    • 閉路電視（Closed-Circuit Television，CCTV）是一種使用在有限範圍內、通常用於安全監控和監視的視頻監控系統。與廣播電視不同，CCTV 的信號僅在特定的有線或無線通信系統中流動，而不會被公眾接收。這種系統通常由攝像機、監控器和錄影機等組成，用於捕捉、傳輸和記錄視頻信息。CCTV 在各種場合中都有應用，包括商業環境、公共場所、交通系統和居住區等，以提高安全性和監控效能。
  • 告警系統 Alarm System
    • 警報系統通常安裝在住宅和辦公樓的門窗上。在其最簡單的形式中，它們被設計用於在門窗意外打開時通知相應的人員。
    • 一般來說，正常的員工可以透過輸入門禁密碼或使用感應刷卡以來打開一道受管制進出的門，這個動作不會觸發警報。然後，如果相同的門是被強力打開的，而沒有人輸入正確的密碼或使用授權的卡片，這時就會產生警報。
    • 另一種警報系統是火災警報，它可透過藉由由感應器上的熱或煙觸發，並發出聲音警告以保護附近的人的生命。它可能還會聯繫當地應急人員以及最近的消防部門。
    • 最後，另一種常見的警報系統是緊急按鈕。一旦觸按，緊急按鈕將通知相應就近的警察或保安人員。
  • 日誌
    • 例如由保全人員維護的簽到表，甚至是由管理實體訪問的電子系統創建的日誌。
    • 日誌是發生事件的記錄。實體安全日誌對支持業務需求至關重要。它們應該捕捉並保留信息，只要出於法律或業務原因是必要的。因為可能需要使用日誌來證明合規性並協助法庭調查，所以必須保護日誌免受操縱。日誌還可能包含有關客戶或用戶的敏感數據，應該防止未經授權的披露。
    • 組織應該有一項定期審查日誌的政策，作為其組織安全計劃的一部分。作為組織日誌流程的一部分，必須建立並遵循日誌保留的指南。如果組織政策規定僅保留標準日誌文件六個月，那就是組織應該保留的時間。
    • 日誌異常是指任何不尋常的情況。識別日誌異常通常是識別與安全相關問題的第一步，無論是在審計期間還是在常規監視期間。有些異常情況會非常明顯，例如日期/時間戳記或帳戶鎖定的間隙。其他異常情況則可能更難檢測，例如有人試圖將數據寫入受保護目錄。儘管看似記錄所有數據以確保不錯過任何重要數據是最佳方法，但大多數組織很快會在收集的大量數據中淹沒。
    • 日誌保留的業務和法律要求會因經濟體、國家和行業而異。一些企業對數據保留沒有要求。其他企業根據其業務性質或業務合作夥伴的要求而被要求遵守特定的數據保留要求。例如，支付卡行業數據安全標準（PCI DSS）要求企業在支持 PCI 的一年中保留日誌數據。一些聯邦法規也包含數據保留的要求。
    • 如果一家企業沒有保留日誌數據的業務或法律要求，該組織應保留多久呢？首先應該詢問的是法律部門。大多數法務部門對於數據保留都有非常具體的指南，這些指南可能會推動日誌保留政策。
• 授權人員與非授權人員 Authorized versus unauthorized personnel
  • 這通常指的是誰有權限訪問特定資源、系統或數據，以及誰沒有這些權限。
    • Authorized Personnel（授權人員）：這是指被正式授權、具有適當權限的人員。他們可能通過身份驗證、授權程序或其他安全機制來獲得訪問權限。授權人員通常是合法的用戶、員工或系統管理員，他們有權進行某些操作或訪問特定資源。
    • Unauthorized Personnel（未授權人員）：這是指沒有得到明確許可或權限的人員。這可能是未經授權的外部人員、非法入侵者，或者是企圖超越其正常權限範圍的內部人員。未授權人員可能試圖進行未經授權的訪問、數據泄露、系統入侵等不當活動。
  • 在資訊安全領域，確保只有授權的人員能夠訪問和操作系統和資源是至關重要的。這包括實施強化的身份驗證機制、訪問控制策略、監控和日誌記錄等安全措施，以確保未授權的人員無法進入或操控系統，從而降低機構面臨的風險。

3.2 了解邏輯存取控制 Understand logical access controls

• 最小特權原則 Principle of least privilege
  • 用於確保在一個計算機系統或網路環境中，使用者、應用程序或系統僅擁有完成其工作所需的最低權限。這一原則的目標是減少潛在的風險和攻擊面，以防止未授權的訪問、數據洩漏和不當使用。
• 職責分離 Segregation of duties
  • 旨在減少風險，保護系統和數據免受不當存取或濫用。這個原則是建立在防止內部和外部威脅的基礎上，特別是在組織內部的內部威脅方面非常重要。
  • 職責分離涉及將特定任務或操作分配給多個人，從而確保沒有一個人能夠擁有足夠的權限來濫用其地位或實施詐騙行為。
• 自主訪問控制(DAC)
  • 用於管理和控制對系統資源（例如檔案、目錄、程序）的訪問權限。在 DAC 模型中，決定誰可以訪問資源的權力完全由資源的所有者或分配的用戶自行行使。每個資源都與一個或多個用戶或實體相關聯，這些實體被授予了權限以訪問、修改或刪除該資源。
  • 以下是 DAC 模型的一些關鍵特點：
    • 資源所有者決定權限：在 DAC 中，資源的所有者（通常是創建該資源的用戶）有權決定誰可以訪問該資源以及他們可以執行什麼操作。這些權限通常包括讀取、寫入、執行、刪除等。
    • 權限繼承：在某些情況下，權限可以繼承，這意味著如果一個用戶擁有對某個資源的權限，則他們的子目錄或文件可能會繼承相同的權限。這簡化了權限管理，但也可能導致權限過大的問題。
    • 權限衝突：DAC 可能導致權限衝突，因為不同的用戶可能有不同的權限要求。管理這些衝突可能需要謹慎的設計和配置。
    • 有限的安全控制：DAC 模型通常較為寬鬆，因為權限由資源所有者自行管理，這可能導致不當使用或權限過大的風險。因此，它通常與其他存取控制模型（如強制訪問控制和角色基礎訪問控制）一起使用，以加強安全性。
  • 儘管 DAC 提供了靈活性，使資源的管理者可以輕鬆地控制訪問權限，但它也容易產生潛在的安全風險，特別是當權限不當使用時。因此，組織通常會考慮使用其他存取控制模型來增強安全性，並在需要時實施強制訪問控制以確保更嚴格的安全控制。
• 強制訪問控制(MAC)
  • 用於確保資源的訪問和權限是基於系統中的安全策略和規則，而不是由資源的擁有者或使用者自行決定的。在 MAC 模型中，每個資源和用戶都被賦予一個安全級別或標籤，並且訪問權限受到強制的政策和規則約束。
  • 所對應常見的安全模型有 Bell-LaPadula 及 Biba 這二種。
  • 以下是 MAC 模型的一些關鍵特點：
    • 標籤和級別：在 MAC 模型中，資源和用戶都被賦予安全標籤或級別，這些級別反映了其敏感性或機密性。例如，資源可以被標記為"機密"、"秘密"或"公開"等。用戶也被賦予相應的安全級別。
    • 強制政策：系統實施了強制政策，這些政策確定了哪些用戶或主體可以訪問哪些資源，以及以什麼方式可以訪問。這些政策通常是根據機密性、完整性和可用性等安全目標制定的。
    • 沒有用戶控制權限：在 MAC 中，資源的擁有者或使用者無法自行分配或更改訪問權限。訪問控制是由系統自動執行的，基於安全政策和標籤。
    • 最小權限原則：MAC 模型通常遵循"最小特權原則"，確保每個用戶僅獲得他們工作所需的最低權限，以減少潛在的風險。
    • 強制性安全性：MAC 模型用於實現強制性安全性，這意味著用戶無法繞過安全政策，即使他們是資源的所有者。
  • MAC 模型常用於需要高度安全性和機密性的環境，如政府、國防和情報機構，以及一些高度敏感的企業環境。這種模型可以提供更嚴格的訪問控制和保護機密信息的能力，但同時也需要更多的管理和配置。
• 基於角色的訪問控制(RBAC)
  • 在RBAC模型中，使用者被分配到不同的角色，每個角色都具有相關聯的權限，而不是直接將權限分配給每個使用者。這種模型使存取控制管理更加靈活、易於維護，有助於降低權限管理的複雜性。
  • 以下是RBAC模型的一些關鍵要點：
    • 角色分配：在RBAC模型中，使用者被分配到一個或多個角色。每個角色都具有特定的功能或責任，通常包括特定的權限集。例如，一個企業應用程式可能定義角色，如"管理員"、"主管"、"普通員工"，每個角色都具有不同的權限級別。
    • 權限分配：權限與角色相關聯，而不是直接與使用者相關聯。這意味著管理者可以分配或更改角色的權限，而不需要逐個管理每個使用者的權限。使用者獲得其所屬角色的權限。
    • 最小權限原則：RBAC模型通常遵循"最小特權原則"，這意味著使用者只能獲得他們工作所需的最低權限。這有助於降低潛在的安全風險。
    • 角色繼承：有些RBAC實現支持角色繼承，這允許一個角色繼承另一個角色的權限，從而簡化權限管理。例如，"主管"角色可以繼承"員工"角色的權限。
    • 審計和監控：RBAC模型提供更好的審計和監控能力，因為權限的管理更加集中和可追蹤。
  • RBAC模型通常應用於大型組織、企業應用程式和操作系統中，以簡化存取控制和權限管理。這有助於降低人為錯誤，減輕存取控制管理的複雜性，並提供更高的可維護性。該模型對於確保系統的安全性和合規性非常有幫助。

---

Domain 4 網路安全 Network Security

4.1 了解電腦網路 Understand computer networking

• 網路 (如開放系統互連模型(OSI)、傳輸控制協定/網路協定(TCP/IP)模型、IPv4、IPv6及無線網路) Networks (e.g., Open Systems Interconnection (OSI) model, Transmission Control Protocol/Internet Protocol (TCP/IP) model, Internet Protocol version 4 (IPv4), Internet Protocol version 6 (IPv6), WiFi)
  • 網路的定義 : 透過傳輸媒介(Media)將兩個以上節點(Node)連接起來，以達到資源共享的目的
    • 區域網路 Local Area Network
      • 區域網路（LAN）通常涵蓋相對較小的地理區域，例如辦公室、學校、家庭或單一建築物。它是用於在這些有限區域內連接多台電腦和其他網路設備的網路。LAN的目的是實現這些設備之間的數據共享、通訊和資源共享，以提高工作效率和合作。
    • 廣域網路 Wide Area Network
      • 廣域網路（WAN）用於連接遠距離地理位置的計算機和網路設備。WAN的目的是實現不同地點之間的數據通信和資源共享，使各個地點的用戶能夠共享資訊和資源，並實現遠程訪問。
      • WAN通常覆蓋較大的地理區域，可能跨越城市、國家甚至全球。它們使用各種通信技術，包括電話線、光纖、衛星通信、專用線路和互聯網連接等，來實現遠程連接。WAN可以用於連接不同辦公室、分支機構、數據中心和其他地點，以實現數據共享、電話通信、視頻會議和其他應用。
      • 典型的WAN結構可能包括路由器、交換器、通信線路、數據機、防火牆和其他網路設備。WAN的設置和管理通常複雜，需要確保安全性和性能，以滿足不同地點之間的通訊需求。
    • 常見的網路設備
      • 中繼器 Repeater
        • 主要用來擴展區域網路（LAN）或廣域網路（WAN）的範圍，主要功能是接收來自一個網絡設備的數據信號，然後將信號放大和重新發送到目標設備，以確保信號能夠達到目標地點。
        • 通常用於解決信號衰減或損失的問題，這些問題可能是由於數據信號在傳輸過程中的距離過長或通過障礙物（例如牆壁或建築物）引起的。透過使用中繼器可以將信號放大，以確保它在遠距離傳輸時仍然保持強度和完整性。
      • 集線器 Hub
        • 用來連接多個具有網路功能的設備，如電腦、印表機和其他設備，以便它們可以相互通信。Hub的主要功能是在其所有連接的設備之間傳輸數據信號，通常用於區域網路(LAN)環境。
        • Hub的工作原理是將來自一個連接設備的數據信號複製並傳送到所有其他連接的設備上。這意味著當一個設備發送數據時，所有其他設備都會接收到相同的數據。這種傳輸方式稱為「廣播」，因為數據信號被傳送到所有設備上。
      • 橋接器 Bridge
        • 用於連接兩個或多個區域網路（LAN）或網段，根據 媒體存取控制地址(MAC Address)以實現封包的轉發和過濾。橋接器的主要功能是在不同的網段之間傳遞數據，並確保數據只傳遞到需要它的地方，同時避免不必要的數據傳輸。
        • 工作原理是根據封包中的目標地址來決定是否將數據包轉發到另一個網段。如果封包的目標位於橋接器連接的不同網段上，則橋接器將轉發該封包。如果目標位於相同網段上，則橋接器將過濾該封包，以防止它在同一網段上引起不必要的流量。
      • 交換器 Switch
        • 用於連接多個設備，如電腦、伺服器、印表機和其他網路設備，以實現數據包的高效交換和路由。交換器通常用於區域網路（LAN）或企業內部網路，以確保數據可以有效地傳輸到目標設備，並確保網絡的高性能和低延遲。
        • 交換器根據封包中的目標MAC地址（Media Access Control，媒體訪問控制地址）來決定將封包轉發到哪個連接埠。這使得封包可以直接傳遞到目標設備，而不需要在整個網路上廣播。
        • 交換器能夠實現快速封包交換，從而提供低延遲和高頻寬的網路連接。這使得它們非常適合支援串流媒體、視訊通話和其他需要高頻和即時傳輸要求的應用。
        • 交換器通常支援VLAN技術，允許網路管理員將網路分割成不同的虛擬網路，以實現更好的網路隔離和管理。
        • 交換器可以實施安全功能，如MAC地址過濾、端口安全(Port Security)和訪問控制列表(ACL)，以保護網路免受未經授權的訪問和攻擊。
      • 路由器 Router
        • 用於連接不同網路，並根據目標IP地址（Internet Protocol，網際網路協議）將封包從一個網路轉發到另一個網路。路由器的主要功能是在多個網路之間進行封包轉發(Forward)和路由(Routing)，以實現數據通訊的有效和安全。以下是一些路由器的主要功能：
        • 路由器可以查看封包中的目標IP地址，然後根據路由表中的資訊來決定將封包發送到哪個連接埠或下一個路由器。
        • 路由器使用路由協定（如RIP、OSPF、BGP等）來學習有關不同網路之間的路徑和可用連接的信息。路由器根據這些資訊選擇最佳路徑來轉發封包，以確保封包能夠有效地達到目標。
        • 路由器可以分割網路，將大型網路分成多個子網，從而實現更好的網路管理和隔離，也可提高網路性能和安全性。
      • 閘道器 Gateway
        • 它用於連接不同網路或協議之間，以實現數據通信和交換的功能。閘道器的主要目的是充當兩個不同網路之間的轉換器，使它們能夠相互通信，即使它們使用不同的通訊協議或通訊技術。
      • 防火牆 Firewall
        • 防火牆（Firewall）是一種網路安全硬體設備(也可以是軟體)，主要目的是保護電腦系統、網路和數據，避免受未經授權的訪問、惡意軟體、病毒、勒索軟體和其他可能的潛在威脅。防火牆通常置於內部網路和外部網路之間的位置。主要功能包括：
          • 封鎖未經授權的訪問：防火牆能夠監控訪問企圖並根據預定的安全策略，封鎖或允許特定流量進入或離開網路。
          • 網路地址轉換（NAT）：防火牆可以實施NAT，將內部網路的IP位址對應到單個對外的公共IP位址上，以隱藏內部網路的結構，同時允許多個設備共享單個公共IP。
          • 封鎖惡意流量：防火牆可以檢測和封鎖具有惡意意圖的封流量，包括病毒、惡意軟體、勒索軟體和嘗試入侵的行為。
          • 安全訪問控制：防火牆能夠設置存取控制規則(ACL)，以確保只有經授權的用戶和設備能夠訪問特定的資源。
          • 稽核和日誌：防火牆通常會記錄經過它的所有流量，以便後續的稽核和故障排除。
          • 虛擬私人網絡（VPN）支援：一些防火牆支援VPN，使用戶可以加密訪問企業網絡，確保在傳輸過程中的安全性。
  • Open Systems Interconnection(OSI)
    • 是一個由國際標準化組織（ISO）制定的標準化框架，用於描述和定義電腦和通信系統之間的通信協議和功能。OSI模型將計算機網路通信分為七個不同的層次或層級，每層都有特定的功能和責任。這種分層方法有助於不同供應商和組織之間的互操作性，並簡化了網路協議的設計和實現。
      • 實體層（Physical Layer）：該層定義了數據在物理媒體上的傳輸方式，包括電壓、電流和媒體的物理特性。它處理硬體層面的問題，例如電纜、網路線、光纖及中繼器/集線路等。ex: EIA/TIA 232、RJ45
      • 資料鏈結層（Data Link Layer）：該層負責資料的傳輸和錯誤檢測，它將資料劃分為訊框（Frames）。此層又分為兩個子層，上層是邏輯連結控制(Logical Link control,LLC)和下層的媒介存取控制(Media Access Control, MAC)層。ex: PPP、802.3、FDDI
        • MAC層控制網路上如何獲得對資料存取及傳輸資料的許可
        • LLC層負責訊框的同步、流量控制及錯誤檢查
      • 網路層（Network Layer）：網路層負責路由封包(Packet)，確保封包能夠通過不同的節點達到目的地，ex: IP、IPX、ICMP、ARP、RIP、OSPF、BGP。另外特別要提的是 IPSEC 也在此層。
      • 傳輸層（Transport Layer）：該層負責確保可靠傳輸，包括錯誤檢測和重新傳送損壞的封包，提供端到端的傳輸。ex: TCP(保證傳到)、UDP(不保證傳到)、DCCP
      • 會話層（Session Layer）：會話層負責建立、管理和終止通訊會話，並處理數據同步和恢復。ex: RPC、NFS、SMB、CIFS
      • 表現層（Presentation Layer）：表現層負責封包的編碼、解碼、加密和解密。ex: ASCII、JPEG、MIDI、MIME
      • 應用層（Application Layer）：該層包括應用程序，它們直接與用戶互動。ex: HTTP、SMTP、FTP、SSH、SNMP、DNS
    • 參考此表Ref:https://int0x33.medium.com/day-51-understanding-the-osi-model-f22d5f3df756
  • Transmission Control Protocol/Internet Protocol ,TCP/IP
    • TCP/IP是全球主流的網路通訊協定，源自美國 DARPA 計劃。主要分為網路介面層(Network Interface)、網際網路層(Network)、傳輸層(Transport)及應用層(Application)。
    • 與 OSI 對照如下表Ref:https://tecadmin.net/tcp-ip-vs-osi-model/
  • IPv4 及 IPv6
    • IPv4 是目前用於建立、分配和使用 IP 位址的協定。IP 位址的首個通用版本是 IPv4。這種網路協定使用 32 位元長度的數字位址，能提供 2 的 32 次方個唯一的 IP 位址，換算後約為 43 億個 IP 位址。
    • 1996年，IPv6 位址的升級採用了 128 位元組成的 IP 位址，提供了 2 的 128 次方個唯一位址。遠超過 IPv4 的數量，足夠讓全球每個人都分配到 100 萬個 IP 位址。
    • 顯示方式如下Ref:https://rkniyer999.medium.com/how-to-achieve-ipv4-ipv6-dual-stack-webservices-in-azure-390a3d3e5e13
    • IPv4 安全性弱點如下
      • IPv4地址空間有限，隨著網際網路的擴張，IPv4地址已經用完了。這使得獲取IPv4地址變得困難，並導致租賃和價格上升。缺乏足夠的IP地址可能會對網際網路的發展產生限制。
      • 因為IPv4的協議並未提供充分的身份驗證機制，導致攻擊者有機會假冒來源位址進行欺騙，可能透過像是中間人攻擊、封包竊取等方式來偽裝成合法用戶或伺服器來存取資源。
      • IPv4的封包預設是不加密的，因此有完整性及機密性的問題，攻擊者可以輕鬆地窺視、修改或假造封包，這可能導致有資料洩露、DDoS攻擊和其他安全問題。
    • IPv6 安全性弱點如下
      • 由於IPv6可使用的數量雖然很多，攻擊者仍然可以嘗試窮舉可能的目標地址來尋找潛在的漏洞。
      • IPv6引入了SLAAC（Stateless Address Autoconfiguration），這使得主機可以自動配置自己的IPv6位址。然而這也可能導致安全性問題，攻擊者可能利用這一特性生成虛假的IPv6位址。
      • IPv6使用ICMPv6協議來執行各種網路功能，包括錯誤通知和狀態查詢。攻擊者可以濫用ICMPv6來進行DDoS攻擊，或者利用某些ICMPv6資訊來識別網路拓撲和漏洞。
      • IPv6中的路由協議（如OSPFv3、RIPng和BGP4+）也存在風險，攻擊者可能利用它們來執行路由劫持或其他攻擊。
      • IPv6也包括一些支援協議和應用程序，例如DHCPv6。攻擊者可能濫用這些協議來入侵網路。
      • IPv6在協議層面未提供端到端加密，可能在傳輸過程中暴露於竊聽或篡改的風險。需要使用額外的安全性協議（如IPsec）來實現端到端的加密。
      • 攻擊者可能嘗試篡改路由進而影響封包的流向。
  • 無線網路 WI-FI
    • Wi-Fi是一種無線網路技術，它允許設備通過無線信號連接到Internet和其他設備。Wi-Fi是Wireless Fidelity的縮寫，它基於IEEE 802.11標準，用於無線區域網路（Wireless Local Area Network，WLAN）連接。像是藍牙、紅外線、ZigBee、NFC、行動通訊(Cellular)這些都是無線網路的應用。
    • 常見的無線網路運作模式
      • 基礎設施模式（Infrastructure Mode）：這是最常見的無線網路運作模式，其中無線設備（如電腦、智慧型手機、平板電腦）連接到一個稱為無線存取點（Wireless Access Point，AP）的中心設備，該存取點會連接到有線網路，以便設備可以訪問網際網路和其他網路資源。
      • 點對點模式（Ad-Hoc Mode）：在這種模式下，無線設備之間可以直接通訊，而無需中心接入點。這種模式通常用於設備之間的點對點連接，而無需連接到整個無線線路。例如，兩台設備可以在這種無線模式下共享傳輸文件。
      • 網狀模式（Mesh Mode）：這種模式適用於建立具有高可用性和自我修復功能的無線網路。許多無線設備可以相互連接，形成一個無線網狀，從而增加網路的可靠性和覆蓋範圍。
    • 無線網路的攻擊威脅可能有
      • 未經授權的訪問：未經授權的用戶或設備可能試圖連接到無線網路，這可能導致未經授權的訪問和資料洩漏。
      • 無線網路竊聽：攻擊者可以使用無線網路竊聽工具監看無線通訊，並截取機敏資訊，如用戶名稱和密碼。
      • 密碼破解：攻擊者可能會嘗試破解無線網路的密碼，以非法訪問網路。使用強化的密碼和妥適加密機制可以減少這種風險。
      • 偽冒無線站台：攻擊者可以建立偽造的無線網路，以引誘用戶連接並進一步竊聽資訊。
      • 設備漏洞：無線網路設備本身可能存在漏洞，使其易受攻擊。廠商應定期更新和釋出修補設備的軟體來解決這些問題。
      • DoS 攻擊：無線網路可能會受到阻斷服務（DoS）攻擊，導致網路中斷或傳輸效能下降。
    • 常見的無線網路通訊協定有這些 (以準備CC來說，知道前三個就可以了)
      • WEP（Wired Equivalent Privacy）：WEP是最早的無線網路安全協定之一，但已經不再安全，因為它容易受到破解。不建議使用WEP。
      • WPA（Wi-Fi Protected Access）：WPA是WEP的改進版，提供更好的加密和安全性。它包括WPA和WPA2，但WPA2是更安全的版本。然而，WPA2也已經被一些攻擊破解。
      • WPA3：WPA3是WPA2的進一步改進，提供更強的安全性，包括更強的加密和保護機制。
      • 802.1X（EAP）：802.1X是一種網路訪問控制協定，通常與EAP（Extensible Authentication Protocol）一起使用，用於身份驗證和加密。
      • WPS（Wi-Fi Protected Setup）：WPS旨在簡化無線網路設置，但存在許多安全漏洞，因此不建議使用。
      • RADIUS（Remote Authentication Dial-In User Service）：RADIUS是一種網路訪問控制和身份驗證協定，通常用於企業網路中。
      • PEAP（Protected Extensible Authentication Protocol）：PEAP是一種EAP方法，用於加密身份驗證，通常與802.1X一起使用。
      • TKIP（Temporal Key Integrity Protocol）：TKIP是一種用於WPA的加密協定，它提供了比WEP更好的安全性，但也已經被一些攻擊破解。
      • CCMP（Counter Mode with Cipher Block Chaining Message Authentication Code Protocol）：CCMP是一種用於WPA2和WPA3的加密協定，提供了更高的安全性。
      • EAP-TLS（Extensible Authentication Protocol with Transport Layer Security）：EAP-TLS使用TLS加密來進行身份驗證，通常在企業環境中使用。
• 埠 Ports
  • 實體的埠如下
    • 乙太網路（Ethernet Port）：這是最常見的實體網路埠，用於連接計算機、交換器、路由器和其他網路設備到乙太網路。它們通常使用RJ-45網路插座和網路線進行連接。
    • USB（Universal Serial Bus）端口：USB端口用於連接USB設備，如印表機和其他外部設備。USB端口是通用的，可用於多種設備。
    • 序列埠（Serial Port）：序列埠通常用於連接過時的設備，例如印表機、數據機和一些特殊設備使用RS-232。它們現在已經不太常見，因為大多數設備使用更現代的連接方式。
    • SFP（Small Form-Factor Pluggable）：SFP埠是用於連接光纖或銅纜的埠，通常用於網路交換器和路由器上。它們支持模組化插拔，可用於不同媒體和傳輸速度。
    • RJ-11埠：RJ-11埠通常用於電話線，用於連接到傳真機、語音和數據機等設備。
    • HDMI端口：HDMI埠用於高清多媒體設備，例如電視、顯示器和視頻播放器。它們支持影像和聲音傳輸。
  • 邏輯的埠如下
    • 已知埠（Well-Known Ports）：這些埠的範圍是0到1023。它們通常與廣泛使用的應用服務相關聯，例如HTTP（80）、HTTPS（443）、FTP（21）、SSH（22）等。這些埠通常由Internet Assigned Numbers Authority（IANA）分配和管理。
    • 註冊埠（Registered Ports）：這些埠的範圍是1024到49151。它們通常由應用程序或服務的開發人員選擇，並註冊到IANA，以確保它們不與其他應用程序產生衝突。
    • 動態或私有埠（Dynamic or Private Ports）：這些埠的範圍是49152到65535。它們通常由操作系統和應用程序動態分配，用於臨時通訊和連接。這些端口不註冊，並且可以在需要時動態分配。
• 應用面 Applications
  • HTTP (80)：用來執行或連線網頁伺服器，此連線未加密。
  • HTTPS (443)：用來執行或連線網頁伺服器，透過 SSL/TLS 進行加密。
  • FTP (21)：用來傳輸檔案文件，此連線未加密。
  • SSH (22)：使用加密方式連線遠端主機(通常是Unix-likes Server)。
  • Telnet (23)：使用未加密方式連線遠端主機(通常是Unix-likes Server)。
  • SMTP (25)：用來發送電子郵件。
  • POP3 (110/995)：用來收發電子郵件(信件可以收下來)，支援加密。
  • IMAP (143/993)：用來收發電子郵件(信件不會收下來)，支援加密。
  • DNS (53)：用來查詢IP與Domain Name對應關係。
  • NTP (123)：用來做時間校時，確保大家的資料時間戳記都一致。
  • RDP (3389)：用來連線管理遠端的Windows主機，支援加密。
  • SNMP (161)：用來管理與監控網路設備。
  • SMTPS (465)：使用加密連線用來發送電子郵件。
  • LDAP (389/636)：用來使用目錄服務主機，支援加密。
  • SMB (445)：用來分享文件或印表機。
  • RPC/NetBIOS (135/137/138/139)：用來分享 Windows 系統。

4.2 了解網路威脅與攻擊 Understand network threats and attacks

• 威脅類型 Types of threats (e.g., distributed denial-of-service (DDoS), virus, worm, Trojan, man-in-the-middle (MITM), side-channel)
  • 惡意軟體 Malware
    • 是一種專門設計來損害電腦系統、竊取敏感資訊、破壞資料或執行其他有害活動的軟體。Malware可以以多種形式存在，包括病毒、蠕蟲、木馬、間諜程式、廣告軟體和勒索軟體等。這些軟件通常未經用戶授權，並被用來實施各種惡意行為。
  • 詐欺Spoofing
    • 攻擊者試圖通過偽造或冒充他人或系統的身份，以獲得未經授權的訪問或執行詐欺行為。這種攻擊可以應用於多種身份驗證和身份識別方式，包括IP地址、MAC地址、用戶名、系統名稱、無線網路SSID、電子郵件地址等。攻擊者試圖透過偽造這些資訊用以欺騙系統或使用者，使其相信攻擊者是合法的使用者或系統。
  • 釣魚 Phishing
    • 通常通過電子郵件、簡訊、社交媒體或其他通訊方式，試圖欺騙個人或組織提供敏感資訊，如帳號、密碼、信用卡號碼進行惡意操作，例如點擊惡意連結或下載惡意軟體。
  • 阻斷式服務攻擊 Denial-of-Service/ Distributed Denial-of-Service(Dos/DDoS)
    • DoS（阻斷服務攻擊）和 DDoS（分散式阻斷服務攻擊）都是網路攻擊，目的是使目標網路、系統或服務中斷。而DoS攻擊是由單個攻擊者發起的，而DDoS攻擊是由多個攻擊者聯合一起發起的，其目的都是使目標系統無法正常運行或提供服務。
  • 病毒 Virus
    • 電腦病毒（Virus）是一種惡意軟體，通常以程式碼的形式存在，其主要目標是感染電腦系統、擴散並對系統造成損害。這些病毒的行為類似生物病毒，因此被稱為病毒。
  • 蠕蟲 Worm
    • 電腦蠕蟲（Worm）是一種惡意軟體，與電腦病毒有些相似，但具有一些關鍵區別。電腦蠕蟲通常以程式碼的形式存在，其主要目標是在電腦網絡中快速複製自己，擴散到其他電腦，而無需感染現有文件或系統。這使得它們能夠快速傳播，甚至在沒有使用者互動的情況下。
  • 木馬 Trojan
    • 木馬（Trojan）是一種惡意軟體，通常偽裝成看似有用或合法的軟體或文件，以欺騙用戶安裝或運行它們。一旦木馬進入用戶的系統，它可以執行各種惡意操作，包括竊取敏感數據、破壞系統、創建後門，或讓攻擊者可遠端訪問受感染的系統。
  • 中間人攻擊 Man-in-the-Middle，MitM
    • 攻擊者將自己置於通訊雙方中間，並嘗試截取或修改其通訊內容。這可能涉及到竊取敏感資訊、監視通信或甚至在通訊中加入惡意內容。
  • 側通道攻擊 Side-channel attack
    • 是一種透過觀察目標設備或系統的物理或實施特性，從中獲取敏感信息的攻擊方式。這些攻擊方法利用了設備或系統在執行過程中產生的非數據信號，例如電源消耗、電磁輻射、處理速度、記憶體存取模式等。
    • 側通道攻擊不依賴於直接破解加密密鑰或演算法，而是藉由設備在執行過程中泄漏的信息來推斷密鑰或其他敏感數據。
    • 攻擊手法如
      • 電源分析攻擊：通過監控設備的電源消耗模式，攻擊者可以分析設備執行加密操作時的能量變化，以推斷出密鑰。
      • 電磁分析攻擊：攻擊者可以使用專業設備來監測目標設備發出的電磁輻射，根據輻射模式來獲得有關加密操作的信息。
      • 計時攻擊：通過分析操作的執行時間，攻擊者可以推斷出有關密鑰的信息。例如，計時攻擊可以通過測量密碼驗證的執行時間來判斷密碼是否正確。
      • 聲音分析攻擊：在某些情況下，攻擊者可以使用敏感的聲音設備來監聽設備的運作聲音，以獲得信息。
  • 進階持續性威脅 Advanced Persistent Threat
    • 是一種針對特定組織或目標的高度專業、持續且隱秘的進攻型資訊安全威脅。APT 攻擊通常由具備高度技術能力的攻擊者或組織發起，其目的是長期滲透目標組織，竊取敏感資訊、破壞系統或執行其他有害活動。
  • 勒索軟件 Ransomware
    • 勒索軟體會加密受害者的檔案，然後要求贖金來解密文件。它們通常會加密受害者的檔案，並威脅永久刪除或公開這些資料。
  • 網址嫁接 Pharming
    • 目的是在用戶訪問特定網站時，將其導向至惡意的網站，以竊取個人敏感信息，如用戶名稱、密碼、信用卡號碼等。Pharming 與另一種相似的攻擊稱為 Phishing 不同，Phishing 通常是通過欺騙用戶進行社交工程攻擊，誘使他們提供個人信息，而 Pharming 則更注重攻擊網站的 DNS（Domain Name System）或其他網路協定，從而將受害者的網路流量引導到攻擊者控制的惡意網站。
      • DNS Spoofing： 攻擊者可能修改或劫持 DNS 解析器的內容，使合法的網站域名解析到攻擊者控制的惡意 IP 地址。這樣一來，當用戶輸入正確的網站地址時，他們實際上會被導向到攻擊者製作的偽造網站。
      • Hosts文件修改： 攻擊者可能在受害者的計算機上修改hosts文件，這樣受害者的計算機會誤將合法網站的域名映射到攻擊者的控制伺服器。
      • 網路攻擊： 通過其他手段，攻擊者可能直接攻擊網路基礎結構，以影響 DNS 解析或網路流量。
• 識別(如:入侵偵測系統IDS、主機型入侵偵測系統HIDS、網路型入侵偵測系統NIDS Identification (e.g., intrusion detection system (IDS), host-based intrusion detection system (HIDS), network intrusion detection system (NIDS))
  • 入侵偵測系統（Intrusion Detection System，縮寫為IDS）是一種資訊安全工具，用於監控和識別網路或系統中的異常活動和潛在的安全威脅。IDS 旨在協助保護系統和網路免受未經授權的訪問、惡意軟體、駭客攻擊和其他安全事件的侵害，但是無法阻擋相關攻擊。
  • IDS 主要分為兩種類型：
    • 網路型入侵偵測系統（Network IDS，NIDS）：NIDS 位於網路中，監視流入和流出的網路流量，以尋找識別異常行為或特定的攻擊模式。它可以識別可能的網路攻擊，例如端口掃描、緩衝區溢出和網路掃描等。
    • 主機型入侵偵測系統（Host IDS，HIDS）：HIDS 安裝在單個主機或伺服器上，監視該主機上的系統活動，包括檔案、登錄檔、應用程序和使用者活動。它可以檢測到主機上的異常行為，例如未經授權的訪問或文件異動。
  • 安全資訊和事件管理 Security Information and Event Management
    • 它是一種軟體和硬體的解決方案，用於將日誌集中管理和監控組織的資訊安全事件和數據，有助於組織識別潛在的安全威脅、回應安全事件。
• 預防 Prevention (e.g., antivirus, scans, firewalls, intrusion prevention system (IPS))
  • 防毒軟體 Antivirus
    • 防毒軟體（Antivirus Software）是一種用於保護電腦系統免受惡意軟體（例如病毒、蠕蟲、特洛伊木馬、間諜軟體等）的侵害的軟體應用程式。它的主要功能是掃描、檢測和清除已感染的檔案，以確保電腦系統保持安全和無病毒。
  • 入侵防禦系統 Intrusion Prevention System
    • 入侵防禦系統（Intrusion Prevention System，IPS）是一種用於保護電腦網路和系統免受未經授權或有害的攻擊的安全技術。IPS 通常是網路安全架構的一部分，它的主要功能是檢測、監視和阻止可能的入侵或攻擊行為。
  • 防火牆 Firewall
    • 防火牆是一種網路安全硬體或軟體，其主要功能是保護網路和系統免受未經授權的訪問、網路攻擊和潛在威脅。防火牆通常位於網路的邊緣，用於監控和控制數據流量，以確保只有合法的數據和訪問被允許進入或離開組織的內部網路。

4.3 了解網路安全基礎架構 Understand network security infrastructure

• 地端(如電源、資料中心、暖氣、通風、空調、環境、消防、冗餘、合作備忘錄(MOU/MOA) On-premises (e.g., power, data center/closets, Heating, Ventilation, and Air Conditioning (HVAC), environmental, fire suppression, redundancy, memorandum of understanding (MOU)/memorandum of agreement (MOA))
  • 電力 Power
    • 機房的電力規劃是確保設備運行和數據中心正常運營的重要部分，以下是電子應注意的事項
      • 電源冗餘性：機房應該考慮使用冗餘電源以確保電力供應的可靠性。這包括冗餘的電源供應單元（PSU）和冗餘的電源線路，以防止單點故障。
      • 電力分佈：應該有合理的電力分佈系統，以確保電力均勻分佈到各個機架和設備。這通常包括使用電力分配單元（PDU）和冗餘的PDU。
      • 電力容量：確保機房的電力容量足夠支持所有設備的運行，並預留額外的容量以應對未來擴展。
      • 緊急電源：應考慮安裝緊急電源，如UPS（無間斷電源）和發電機。UPS可以提供短期電力備份，而發電機則可在長時間停電時提供電力。
      • 電力效率：關注設備的電力效率，選擇節能型設備，以降低電力消耗和散熱需求。
      • 熱管理：電力和散熱密切相關。確保機房有有效的散熱系統，以防止設備過熱。
      • 監控：使用電力監控系統，以實時監控電力使用情況，確保及時應對任何電力問題。
      • 安全：保護電力系統免受未經授權的訪問，以防止物理安全威脅。
  • HVAC（Heating, Ventilation, and Air Conditioning）
    • 以下為設計和維護機房HVAC系統時需要考慮的一些重要因素：
      • 溫度控制：機房內的溫度應保持在穩定的範圍內，通常建議維持在20°C（68°F）至25°C（77°F）之間。過高或過低的溫度可能損害設備。
      • 溫度均勻性：確保機房內的溫度均勻分佈，避免出現熱點或冷點，這可以通過合理配置散熱設備和空調出風口來實現。
      • 濕度控制：機房的相對濕度應保持在適當的範圍內，通常建議在40%至60%之間。過高或過低的濕度都可能對設備造成損害。
      • 空氣過濾：HVAC系統應配備適當的空氣過濾器，以防止灰塵和微粒進入機房，進而減少設備故障的風險。
      • 空氣流通：確保HVAC系統提供足夠的空氣流通，以有效冷卻和循環空氣。應該避免設備之間的空氣死區。
      • 冷卻方法：根據需要選擇適當的冷卻方法，如精密空調、冷水機組或熱泵。不同的方法具有不同的效率和能源消耗。
      • 緊急備用：安裝緊急備用HVAC系統，以應對主系統故障或計劃外的停機。
      • 監控和警報：使用監控系統來實時監測溫度、濕度和HVAC系統性能，並設置警報，以在出現問題時及時警報操作人員。
      • 安全性：保護HVAC設備免受未經授權的訪問，以防止物理安全風險。
      • 定期保養：定期對HVAC系統進行保養和清潔，以確保其正常運行。
  • 消防 Fire suppression
    • 機房的消防是非常重要的，以確保設備和資料的安全。以下是機房消防應該注意的事項：
      • 火警檢測：安裝適當的火警檢測系統，包括煙霧探測器、火災警報器和溫度探測器，以及自動火警報警系統，可以及時偵測火源。
      • 消防系統：根據機房的大小和設備數量，考慮使用適當的消防系統。選項包括氣體滅火和用水的滅火系統，應選擇最適合保護設備的系統。
      • 緊急疏散計劃：制定機房內的緊急疏散計劃，確保人員能夠安全撤離。標示疏散路線並提供應急照明。
      • 防火設計：應考慮使用難燃材料，以減少火勢擴大的風險。此外，應確保機房通風良好，以降低火災爆發的風險。
      • 定期檢查和測試：定期檢查和測試火警檢測和壓制系統，確保其正常運作。進行定期的消防演練，以確保員工知道如何應對火警情況。
      • 持續監控：使用監視系統來持續監控機房的溫度和環境條件，以及檢測潛在的火災風險。
  • 冗餘 Redundancy
    • 機房的冗餘性規劃是確保設備和設施在不同部件或系統故障時能夠持續運行的重要策略。
      • 電源冗餘性：確保機房具有冗餘電源供應，通常包括使用不同的電源迴路、不間斷電源（UPS）和發電機等。這樣可以防止電力中斷對設備的影響。
      • 網路連接冗餘性：保護機房內的網路連接，以確保設備能夠繼續連接到網路。這可能包括使用多個網路服務供應商、多個網路連接點和冗餘交換器等。
      • 冷卻系統冗餘性：HVAC系統應具有冗餘設計，以確保在主系統故障時能夠繼續冷卻機房，這可以防止溫度過高造成對設備的損害。
      • 設備冗餘性：機房內的關鍵設備應該具有冗餘配置，例如多個伺服器、存儲設備和網路設備，這可以防止單一設備故障導致服務中斷或停機。
      • 安全性冗餘性：應該設立多層次的安全措施，包括物理安全、防火安全和防入侵系統，以確保機房的安全性。
      • 監控和管理冗餘性：使用冗餘監控系統，以確保對機房狀態的即時監控。這樣可以提前檢測問題並及時採取措施。
      • 測試和演練：定期進行冗餘系統的測試和演練，以確保冗餘機制能夠正確運作。
  • 合作備忘錄 memorandum of understanding (MOU)/memorandum of agreement (MOA)
    • 有些組織為了最大幅度減少停工時間，以增強業務持續性（BC）和災難恢復（DR）能力，會與其他類似的組織簽定協議。如果當其中一方遇到緊急情況並且無法在自己的環境營運時，另一方將分享資源讓簽定者在其環境提供營運，以維護關鍵業務功能。
• 設計 (如網路分段(非軍示區、虛擬區域網路、虛擬私有網路、微分段)、縱深防禦、網路存取控制(嵌入式系統及物聯網) Design (e.g., network segmentation (demilitarized zone (DMZ), virtual local area network (VLAN), virtual private network (VPN), micro-segmentation), Defense in Depth, Network Access Control (NAC) (segmentation for embedded systems, Internet of Things (IoT))
  • 非軍示區 demilitarized zone (DMZ)
    • DMZ（Demilitarized Zone）是一個在網路安全上的術語，指的是一個位於內部私人網路和外部公共網路之間的中立區域。DMZ通常是一個網路子網，用於存放公共伺服器和服務，例如網站伺服器、郵件伺服器、DNS伺服器等。這些伺服器需要與外部網路（例如網際網路）進行通訊，但同時也需要保護內部私人網路免受未經授權的訪問。
  • 虛擬區域網路 Virtual Local Area Network
    • VLAN（Virtual Local Area Network）是一種虛擬區域網路技術，用於將一個物理的區域網路（Local Area Network）劃分成多個虛擬的區域網路，每個虛擬區域網路都擁有獨立的網路區段，就像它們是不同的物理網路一樣。這允許網路管理員根據需要更有效地組織和管理網路中的設備和資源。
    • VLAN的應用包括分隔不同部門的網路流量，隔離敏感資訊，優化多播(Multicast)和廣播(Broadcast)流量，以及簡化網路管理。它是企業和組織中網路設計和管理的常見技術之一。
  • 虛擬私有網路 Virtual Private Network
    • 它是一種用於在公共網路上建立私人和安全連接的技術。VPN允許用戶通過加密和隧道(Tunnel)協定，將其數據從他們的設備傳送到遠端伺服器或另一個位置，進而實現安全的連線。
  • 微分段 Micro-Segmentation
    • 指在資料中心或雲端部署中透過網路虛擬化技術來建立更細分化 的安全區，在每個工作負載之間強制執行邊界進行區隔，從而能夠嚴格執行存取控制。就安全性而言，微分段主要目的在控制東西流量和橫向移動，降低惡意活動的可能性。
  • 縱深防禦 Defense in Depth
    • 縱深防禦是一種資訊安全策略，強調多層次的保護措施，以提高系統和資訊的安全性，以應對不同類型的威脅和攻擊。這種防禦方式可以減少單一節點失敗的風險，並提高系統在面對威脅時的韌性，攻擊者需要克服多個障礙才能成功入侵系統。
    • 深層防禦的主要思想是，單一的安全控制可能不足以防禦所有可能的威脅，因此應該在系統和網路中實施多種不同類型的防禦措施。這些措施可能包括防火牆、入侵檢測系統、入侵防禦系統、身份驗證和授權機制、加密、漏洞掃描、安全政策和執行等。
  • 網路訪問控制 Network Access Control(segmentation for embedded systems, Internet of Things (IoT))
    • 主要目標是確保只有經過驗證和授權的設備才能連接到組織的網路，這有助於防止未經授權或不符合安全要求的設備進入網路，降低了潛在的風險和威脅。
    • 當嵌入式系統中的設備需要連接到網路時，NAC可以確保這些設備符合組織的安全要求，並可以透過設定網路分段，以隔離嵌入式系統和物聯網(IoT)設備，以減少對整個網路的風險。通過適當的訪問控制，可以確保這些設備只能訪問它們應該連線的部分，進而提高安全性。
• 雲端 Cloud (e.g., service-level agreement (SLA), managed service provider (MSP), Software as a Service (SaaS), Infrastructure as a Service (IaaS), Platform as a Service (PaaS), hybrid)
  • 雲端服務是一種基於網際網路的計算服務，它通過遠端伺服器和數據中心來提供各種運算資源，包括運算能力、儲存、資料庫、應用軟體和其他資源。這些服務通常提供以訂閱形式提供，用戶可以根據需要使用和支付費用。
  • 使用雲端服務有以下特性
    • 遠端存取：用戶可以藉由網際網路從任何地點訪問雲端服務，只要有網際網路連接。
    • 資源共享：多個用戶可以共享雲端服務提供的運算能力及資源，這提高了效率和可擴展性。
    • 按需使用：用戶可以根據本身的需求來決定啟用或關閉雲端服務，並且只需支付實際使用的部分。
    • 可延展性：雲端服務通常提供很有彈性的計算和儲存資源，以應對使用者各種需求。
    • 自動管理：雲端提供商(CSP)通常負責管理硬體、軟體和安全性，用戶無需自行管理基礎設施。
  • 雲端服務有三種服務模型 Service Models
    • IaaS（Infrastructure as a Service）基礎設施即服務：IaaS 是一種雲端計算服務，它提供基礎計算資源，包括虛擬機器、儲存、網路和作業系統。用戶可以租用這些資源，並負責管理和維護操作系統之上的應用和資料。這種模型適合需要更多自主控制權的用戶，可應用於開發、測試、資料庫管理及網站托管等場景。
    • PaaS（Platform as a Service）平台即服務：PaaS 提供了比 IaaS 更高層次的應用，用戶可以在此平台進行開發、運行和管理應用程式，而無需擔心底層基礎設施如何運作，它包含了開發工具、執行環境、資料庫和應用部署平台。此平台適用提供應用開發人員，使他們可以更專注於編寫程式碼。
    • SaaS（Software as a Service）軟體即服務：SaaS 是一種完全托管的應用服務，用戶通過網際網路訪問SaaS，不需另外安裝或維護任何軟體。這些應用服務通常是多租戶的，由雲端服務供應商提供並維護。用戶只需訂閱或租用這些應用服務，而無需擔心底層基礎設施如何管理。常見的 SaaS 應用包括電子郵件(Gmail)、客戶關係管理(CRM)、辦公軟體(M365)和協作工具(Trello)。
  • 雲端服務有四種部署模型 Deployment Models
    • 公有雲（Public Cloud）：公有雲是由第三方雲端服務提供商搭建和營運的，用戶可以通過網際網路訪問和使用這些服務。公有雲的基礎設施是多租戶的，多個組織和個人可以共享相同的運算資源。這種模型通常提供高度的擴展性和成本效益，用戶只需支付他們實際使用的資源。
    • 私有雲（Private Cloud）：私有雲是專為單個組織或企業構建的雲端環境，通常位於組織的資料中心或也可委由給第三方提供商託管。私有雲提供了更多的控制權和安全性，因為它僅用於組織的內部使用。這種模型適合有高度安全和合規要求的組織。
    • 混合雲（Hybrid Cloud）：混合雲結合了公有雲和私有雲的元素，允許組織在不同的環境中運行應用程序和工作。組織可以根據需要在不同的雲中部署應用程式，並實現資源的靈活調整。混合雲可以提供更大的靈活性，並允許組織充分利用公有雲的擴展性和私有雲的控制性。
    • 社群雲（Community Cloud）：社群雲是由特定社群或行業共享的雲端環境。它通常由多個組織或實體組成，這些組織有共同的需求、利益和目標。
  • 受管理的服務提供商 Managed Service Provider, MSP
    • 受管理的服務提供商（MSP）是一家專門提供資訊技術和管理服務的公司，通常被其他組織僱用來管理和維護其資訊技術基礎設施、應用程序和資源。MSP可以為客戶提供各種資訊服務，包括監控、維護、遠端支援、資料備份、網路安全、雲端運算管理等。
    • MSP的目標是幫助組織更有效地管理IT資產，提高營運效率，減少系統故障和故障，並提供專業知識和支援。這對於那些沒有足夠內部資訊人力的中小型企業特別有價值，因為它們可以將IT營運外包給專業的MSP，這樣他們就可以專注於核心業務。
  • 服務水平協議 Service-Level Agreement
    • 是一種合同或協議，它明確規定了一項服務的特定性能指標和水平，以確保服務提供商和服務使用者之間達成一致。SLA通常包括服務的質量、可用性、性能、安全性、支援、回應時間等方面的具體指標和標準。這些指標和標準是雙方協商和約定的，以確保服務提供商能夠按照客戶的期望提供服務。
    • SLA在不同領域廣泛應用，包括雲端運算、資訊技術、網路服務、外包服務和供應鏈管理等。它是確保服務提供商履行其承諾，同時也為服務使用者提供了一個明確的標準，以評估服務的品質和性能。簡而言之，SLA是一種合同性協議，旨在確保雙方遵守服務水平標準，以實現可靠的服務提供和接受。
    • 可透過以下方式與雲端業者簽定 SLA
      • 確定需求：首先，客戶需要明確確定他們的需求和期望。這包括所需的服務類型、性能指標、可用性要求、安全標準等。客戶應該在SLA中明確地定義這些需求。
      • 與提供商洽談：客戶應與雲服務提供商進行洽談，以確保提供商理解並接受客戶的需求。在這個過程中，可能需要多次討論和協商，以確保雙方達成一致。
      • 定義指標：根據需求，客戶和提供商應共同確定SLA中的具體性能指標和標準。這些指標可能包括服務的可用性、響應時間、故障恢復時間、安全性要求等。
      • 簽署協議：當雙方達成一致並滿意協議條款時，他們可以簽署正式的SLA文件。這個文件將確保雙方了解他們的義務和責任，以及如何評估和報告服務的性能。
      • 監控和報告：一旦SLA簽署，客戶和提供商應共同設立監控和報告機制，以確保服務的持續監視和評估。這將有助於確保SLA的合規性和及時的調整。

---

Domain 5 安全維運 Security Operation

5.1 了解資料安全 Understand data security

• 加密方式(對稱式、非對稱式及雜湊) Encryption (e.g., symmetric, asymmetric, hashing)
  • 對稱式加密（Symmetric Encryption）
    • 
    • 使用相同的密鑰（稱為對稱密鑰）來加密和解密數據。這意味著用於加密數據的密鑰與用於解密該數據的密鑰相同，這種密鑰可以是一個密碼、一個密鑰短語或一串二進制數據。
    • 對稱式加密的主要優點是速度快，加密和解密過程效率高，特別適用於大量數據的安全傳輸。然而，對稱式加密的主要挑戰在於安全性的管理，因為在數據傳輸過程中需要安全地共享和保護密鑰。如果密鑰被不當使用或泄露，則數據的機密性可能會受到威脅。
    • 為了解決密鑰管理的問題，通常會使用其他加密技術，如公開金鑰基礎設施（Public Key Infrastructure，PKI），來安全地傳遞對稱密鑰。這樣可以確保只有授權的用戶能夠訪問數據，同時保護密鑰的機密性。對稱式加密常用於數據傳輸和數據存儲的安全性保護，例如加密文件、電子郵件和網絡通信。
    • 常見的對稱加密有RC4、DES、3DES、AES、Blowfish等，目前主流的為 AES256。
  • 非對稱式加密 (Asymmetric Encryption)
    • 
    • 也稱為公開金鑰加密，是一種加密技術，使用一對不同的密鑰，稱為公開密鑰和私有密鑰，來加密和解密數據。這兩個密鑰是相關聯的，但公開密鑰可公開共享，而私有密鑰必須保持私密。
    • 公開密鑰用於加密數據，並可以被任何人訪問，因為它是公開的。然而，只有擁有相應私有密鑰的人才能解密該數據。這種加密方式使得安全通信和數據傳輸變得更安全，因為即使公開密鑰被截獲，攻擊者也無法解密數據，除非他們擁有相應的私有密鑰。
    • 非對稱式加密在數據的安全傳輸、數位簽名、身份驗證和安全通信等方面非常有用。它是現代互聯網和數據安全的基石，經常用於保護數據的機密性和完整性。知名的非對稱式加密算法包括RSA和DSA。這種加密技術的主要優勢在於密鑰的管理更為安全，因為只有私有密鑰的持有者能夠解密數據。
  • 雜湊 (Hashing)
    • 雜湊（Hash）是一種數學函數，它將輸入數據（稱為消息或內容）轉換為固定長度的二進制字符串，這個二進制字符串通常以16進制或其他可讀的格式表示。雜湊函數的主要目的是將不同大小或內容的輸入映射到固定大小的散列值。
    • 雜湊函數在資訊安全、數據完整性驗證、數據檢查和密碼學等領域中被廣泛應用。它們可以用於確保數據的完整性，檢測數據是否在傳輸過程中被修改，並用於創建數位簽章、密碼、數據庫索引等。
    • 一些常見的雜湊函數包括MD5、SHA-1、SHA-256等。然而，由於MD5和SHA-1存在一些弱點，不再適合用於安全性要求較高的應用，現代的應用通常使用更強大的雜湊函數，如SHA-256或SHA-3。
• 資料處理 Data handling (e.g., destruction, retention, classification, labeling)
  • 企業首重資料的保護，一般而言會歷經以下生命週期
    • 創造/建立/取得 (Creation)
    • 儲存 (Storage)
    • 使用 (Usage)
    • 分享/共享 (Share)
    • 封存/歸檔 (Archiving)
    • 銷毀 (Destruction)
  • 為了確保資產可以獲得適當的保護，通常會採取以下作法
    • 建立資產清冊 (Inventory of assets)，也就是除了盤點資產類型外，另須包含資產所有權及資產管理，資產盤點完⾸先要指定資產的擁有者(Data Owner)。
      • 有形資產(看得到，摸得到的)
      • 無形資產 (智慧財產)
    • 資訊分級 (Information Classification)
      • 一般分級會分為政府軍方分級及企業私人機構分級。
        • 軍方 :
          • 絕對機密(Top Secret)
          • 極機密(Secret)
          • 機密(Confidential)
          • 未分類(Unclassified)
        • 企業 :
          • 機密(Confidential)/私有(Private)
          • 敏感(Sensitive)
          • 內部使用(Internal Use Only)
          • 公開(Public)
      • 資料分級也有不同的處理角色
        • 專有數據
          • 擁有者 Data Owner
            • 對資料擁有合法權利及控制權的個人或團隊，通常會是創建資料的高階管理人員或指派授權人員。
            • 可就資料決定如何使用、存取、保護、分類、備份頻率、保留時間等進行管理，對資料的保護負有最終的責任。
          • 保管者 Data Custodian
            • 通常為 IT 系統人員，他們是被上述的擁有者賦予保護資料責任的管理人員，原則上不需要決定要採取何種控制措施，而是就擁有者所決定的保護措施落實辦理即可。
            • 如執行如何保護資料、定期備份、測試備份有效性等，並在必要時執行還原作業。
          • 管理者 Data Steward
            • 主要負責資料的品質管理，常見的人員像是資料庫管理員(DBA)與數據建模師(Data Modeler)，可就儲存在資料庫中的資料品質或欄位，因業務需求或合規性得進行檢視及調整。
        • 個人資料
          • 資料主體 Data Subject
            • 指的就是當事人。
          • 資料控制者 Data Controller
            • 負責制定或決定個人資料處理目標/方法的個人或法人，並決定個資將如何被保留及處理，因此也得就資料的處理負最終管理及法律責任。
          • 資料處理者 Data Processer
            • 主要是依據上述資料控制者的委託或要求來執行處理個人資料，他們也可能是與資料控制者有簽約的外包服務供應商。
          • 個資的處理原則
            • 告知⽬的
            • 取得同意
            • 蒐集最⼩化
            • 開放修改、允許刪除(被遺忘權)
            • 善盡保護原則(做好資安)
            • 出事要告知、出事要負責
    • 資訊標示 Assets Marking/Labeling
      • 一旦資料分類完成，就需替組織的資料進行標示(Marking)或貼標(Labeling)，確保使用者可以輕易的識別資料的分類等級以採取適當的步驟來保護或處理資料。
      • 可透過像是媒體標記、文件/資料夾標記、裝置標記、浮水印標記等方式。
      • 例如備份磁帶中有機敏資料，那磁帶上的標籤就得標示此磁帶含有機敏等級資料 ; 如主管專用的印表機得進行標示，就可識別此裝置會用來列印機敏性的資料 ; 一般的紙本或電子文件，可能就是透過如蓋實體章、浮水印及頁首頁尾進行標示。
    • 資訊的保留 Data Retention
      • 基於法規要求或業務需求必須繼續儲存資料，以確保資料在需要時得隨時可取用。
      • 須制定紀錄保留政策(Records Retention Policy)來描述企業或組織應保留資料的時間長短，也可指定銷毀的方式與時間，因此得綜合考量儲存位置及空間，保留太長或太短都可能會有問題，得綜合評估決定。
    • 資訊的備份 Data Backup
      • 是一組保護資料且避免當意外發生時導致資料遺失的重要作法，也是最後一道防線。
      • 在備份時也需考量 3-2-1 原則，此原則為 US-Cert 所提出
        • 3 : 至少有三份資料
        • 2 : 將副本儲存在二個不同的本地媒體上
        • 1 : 將一個備份副本保留在遠端異地
      • 在備份時也應考量幾個因素，如容量、速度及成本，甚至也須將加密能力納入考量。
      • 備份的類型也分為三種
        • 完整備份 Full Backup
          • 依備份頻率將所有資料備份至特定媒體，這是最快還原的備份方法，但需要花費最多的時間與最多空間的備份方法。
        • 增量備份 Incremental Backup
          • 依備份頻率只備份從上次任何備份後有所變動的資料。
        • 差異備份 Differential Backup
          • 依備份頻率只備份從上次完整備份後有所變動的資料。
        • Ref : https://spanning.com/blog/types-of-backup-understanding-full-differential-incremental-backup/
    • 資訊的銷毀 (Data Destruction)
      • 在刪除數據後可能留在媒體上的數據稱為殘餘數據，這可能是一個重要的安全問題。必須採取措施，以降低殘餘數據可能危害敏感信息的風險至可接受的水平。這可以通過以下幾種方式之一來實現
        • 清除 Clear
          • 此方法使用邏緝技術清理使用者可定址儲存位置中的資料，通常應用標準的讀取及寫入指令於儲存位置。
          • 可防止他人直接用使用者介面直接利用簡單的技術將資料還原
        • 清洗 Purge
          • 應用物理或邏輯技術，即便使用最先進的電腦鑑識取證技術也無法恢復或取得資料(但媒體仍然可重覆使用)
          • 使用方法包含覆蓋、抹除，通常使用專屬/原廠的設備清洗方式
          • 消磁(Degaussing)是一種用於消除磁性媒體上存儲的數據的過程。它涉及使用一個強大的磁場，通常是一個特殊的退磁器，對磁性媒體（如硬碟、磁帶等）施加磁場，將原有的磁信息完全消除。需要注意的是，除了會完全破壞磁性媒體上的數據時，同時它也無法再次使用。
        • 銷毀 Destroy
          • 當媒體出現故障，無法使用相關清除或清洗機制處理資料時，使用物理性的破壞銷毀技術可能就是唯一選擇了。
          • 可能會使用像是機械粉碎、切割、打碎、熔化、焚燒、強酸腐蝕刻等方法。
          • 現行的固態硬碟用傳統的消磁手法是不可行的，因此大多採用物理性破壞，又或是使用加密技術將資料加密後，並將加密金鑰遺棄。
• 記錄和監控安全事件 Logging and monitoring security events
  • 日誌記錄是嘗試捕捉由事件生成的主要形式。事件是指在系統環境中發生的任何動作，它們會導致系統內的一個或多個元素或資源發生可測量或可觀察的變化。此外，規劃良好的日誌保存環境和定期審查日誌仍是最佳實踐。
  • 通常會記錄的日誌會可能會包含（但不限於）如使用者ID、系統活動、關鍵事件的日期/時間、設備和位置識別、系統和資源訪問嘗試的成功和拒絕、系統配置更改以及系統保護的啟用和停用事件。
  • 日誌審查不僅對於安全評估和測試至關重要，還可以用來識別安全事件、政策違規、欺詐活動等。日誌審查支持內外部稽核審計及取證分析，此外，針對歷史日誌的審查可以進一步判斷已被識別的漏洞，在既有系統中是否曾已被利用。
  • 針對已保留的日誌應避免未經授權的更改或存取，組織也必須遵守法律、法規和企業所規範的日誌保留政策。此外，日誌中可能會包含有關組織的有價值和敏感資訊，這部份也必須考量採取適當的保護措施來避免日誌數據被他人惡意利用的可能。

5.2 了解系統強化 Understand system hardening

• 組態管理(如基準、更新及修補) Configuration management (e.g., baselines, updates, patches)
  • 組態管理是一個將軟硬體等系統維護在所需狀態的過程，也是種確保系統隨著時間推移能以符合預期方式執行的方法，目的在於確保軟硬體的系統建構維持所規劃的狀態過程。
    • 基準 : 是一種系統、網路或設備所必需堅持的最低保護要求與水準，通常會符合工業或產業標準，而此基準值也可以讓所有人員了解組織如何達成一致性的安全等級。
    • 更新 : 必須驗證新安裝的功能是否按要求運作，以及驗證修改過程是否未引入系統中的其他可能發生的錯誤或意外情形。
    • 修補 : 保持修補的挑戰在於須判斷哪一些的修補是至要關鍵且應該盡快部署 ; 而其他一些不那麼緊急的，仍應該安排時間部署，因為後續的修補可能得依賴於它們。此外，使用自動化修補機制應注意可能導致非預期的中斷，因為正式環境在如使用自動化修補，可能會導致服務中斷暫時離線，也可能導致有其它意外的發生。
  • 變更與組態管理也應考量以下原則
    • 所有變更都須經過審核、批准、記錄、稽核與監控
    • 變更組態時須考量最小化其服務中斷的時間
    • 重大或高風險系統變更前，應在測試環境進行完整性的功能測試才能佈署至正式環境
    • 必須規劃一個可還原恢復(Roll back)的方法，以確保若變更後有未預期發生的負面影響或安全問題時，還可回復至先前的正常情況。

5.3 了解最佳實踐安全政策 Understand best practice security policies

• 資料處理政策 Data handling policy
  • 詳 5.1 資料處理說明
• 密碼政策 Password policy
  • 每個組織都應該制定一個密碼政策，該政策界定了對系統和用戶的期望。密碼政策應該描述高階領導層確保對數據的安全訪問的承諾，說明組織選擇的密碼制定標準，並確定負責執行和驗證政策的人員。
• 可接受使用政策 Acceptable Use Policy (AUP)
  • 是一種使用者必需遵守組織或機構制定電腦系統、網路、數據和資源的合理和適當使用方式。旨在確保組織資源不被濫用，以保護系統的安全性、機密性和完整性，並確保用戶在使用這些資源時遵循道德和法律標準。
  • 通常是在僱用時或定期被要求閱讀並簽署這份AUP，以表示同意與接受在僱用時需遵守組織所制定的政策。
• 自攜裝制政策 Bring your own device (BYOD) policy
  • BYOD（Bring Your Own Device）：這表示組織允許員工使用他們自己的個人設備（如智能手機、平板電腦、筆記本電腦）來處理工作任務。這意味著員工可以自行選擇和管理設備，但也帶來了安全和隱私挑戰，因為很難確保設備配置安全，並且保證沒有任何後門或其他漏洞。
  • 其他與 BYOD 的 Policy 供參考
    • CYOD（Choose Your Own Device）：與BYOD不同，CYOD政策允許員工從一個預先批准的設備清單中選擇設備。這提供了一些標準化，但仍然給予員工某種程度的選擇權。
    • COPE（Company-Owned, Personally-Enabled）：這表示組織提供設備，但員工也可以在設備上進行個人使用。這樣的政策旨在平衡組織對設備控制的需求和員工的個人需求。
    • COBO（Company-Owned, Business-Only）：這表示組織提供設備，並僅允許用於業務目的。這種政策通常在要求高度安全性的環境中使用，因為組織可以更好地控制和保護這些設備。
• 變更管理政策(如文件化、批准、回復) Change management policy (e.g., documentation, approval, rollback)
  • 變更管理政策是確保組織有效處理變更並降低風險的重要工具，並確保變更得到嚴格控制和監督。
    • 文件化 Documentation
      • 所有主要的變更管理實踐都涵蓋一組共同的核心活動，從變更請求(Request for Change,RFC)開始，經過各種開發和測試階段，直到變更釋放給最終用戶。從第一步到最後，每個步驟都需要某種形式的正式管理和決策；每個步驟都會生成用於記錄其結果或日誌紀錄。
    • 批准 Approval
      • 須評估RFC的完整性，根據風險和組織實踐適當的變更授權流程，並給相關利害關係者進行審查，識別和分配資源，進行批准或拒絕，以及保留批准或拒絕的文件記錄。
    • 回復 Rollback
      • 還原恢復(Roll back)的方法，以確保若變更後有未預期發生的負面影響或安全問題時，還可回覆至先前的正常情況。
• 隱私政策 Privacy policy
  • 組織必須記錄人員了解並承認組織處理這類信息的政策和程序，並且瞭解處理此類敏感數據的法律後果。這種文檔類似於AUP，但特定於與隱私相關的數據。
  • 組織的隱私政策應規定哪些資訊被視為個人可識別信息(Personal Identifiable Information,PII)或受保護的健康信息(Protected Health Information,PHI)，組織使用者應按照組織所規範的適當處理程序和機制來執行。
  • 其中可能包括國家和國際法律，如歐盟的GDPR和加拿大的個人信息保護和電子文件法（PIPEDA）、美國的HIPAA和Gramm–Leach–Bliley法（GLBA）或組織的當地的法律，如台灣的個資法。

5.4 了解安全意識培訓 Understand security awareness training

• 目的/概念 (如:社交工程、密碼保護) Purpose/concepts (e.g., social engineering, password protection)
  • 一般而言，人是在整體資訊安全環節中最脆弱的一環，一旦人員缺乏良好的資安意識 、警覺心或意圖不良時，就可能成為企業組織中最薄弱且可被利用的弱點，如透過釣魚郵件這種社交工程手法來詐騙員工。因此企業得持續及不斷針對每一位員工(含高階主管)實施不同的安全意識和技能訓練，而教育訓練的有效性也直接關係到企業安全政策落實度及被遵循實踐的成果。
  • 安全教育訓練有分為這三種
    • 認知/意識 Awareness：主要在建立意識認知，對象包含所有⼈，通常為聽演講、看影片、貼標語，包含政策宣導(⾼階管理意圖、AUP)、政策⾯/法規遵守、主管要求等
    • 訓練 Training：主要是技能(Skill)的培養，針對特定⼀群⼈或組織，透過培訓，學習技能，達到⼯作所需具備的能⼒。
    • 教育Education：針對特定⼀群⼈或組織提升專業(賴以維⽣的技能)能⼒，主要在取得證照或學位的提升
  • 社交工程 Social Engineering
    • 社交工程是一種攻擊技術，通常用於欺騙人們以獲取敏感信息、未授權的訪問或執行其他不法活動。社交工程攻擊者通常利用心理學、說服力和社交技巧，以欺騙目標人員。這些攻擊可能包括欺詐、釣魚攻擊、假冒、順位詐欺、撒謊等手法，旨在迫使受害者揭示機密信息，如密碼、信用卡信息或公司機密。社交工程是一個常見的安全風險，因此教育和培訓對於提高對這種類型攻擊的警覺性至關重要。
    • 常見的手法有
      • 尾隨(Tailgating)：攻擊者未經授權，卻趁其他人進入建築物或安全區域時跟隨其後
      • 夾帶熟人/搭順風車(Piggybacking)：通常涉及到兩個人，其中一個人知情並允許另一個人(攻擊者)利用他的存取權限。例如員工開門讓沒有存取權限的朋友進入
      • 假託/藉口(Pretexting)：建立一個假情境或藉口來獲得受害者的資訊。如假裝是銀行員工詢問客戶資訊
      • 假冒/偽裝身分(Impersonation/Masquerading)：攻擊者偽裝成其他人或組織，如假裝成IT部門員工，請使用者提供登入資訊
      • 誘餌攻擊(Baiting)：提供某種誘人的好處引誘受害者採取某些行動，例如贈送免費的USB隨身碟，該隨身碟中隱藏了惡意軟體，一旦受害者使用就會受到攻擊
      • 等價交換(Quid pro quo)：攻擊者提供某種有價值的東西以換取某些資訊，例如員工答應給出自己的密碼以換取鋼筆
      • 偵察(Reconnaissance)：攻擊者搜集目標組織或個人的資訊，例如透過公開資料或社交媒體平台
      • 肩窺(Shoulder Surfing)：攻擊者親自或使用遠程工具，直接監視受害者輸入的資訊，如觀看他人輸入密碼
      • 水坑攻擊(Watering Hole)：攻擊者首先確定受害者可能瀏覽的網站，然後感染該網站。當目標瀏覽該網站時，他們的系統就可能被感染
      • 媒體掉落(Media Dropping)：留下實體媒體(如隨身碟)，當受害者使用該媒體時，會啟動和執行惡意軟體
      • 調虎離山(Diversion Theft)：攻擊者透過製造干擾或轉移受害者的注意力，從而實施偷竊或其他不法行為
      • 釣魚(Phishing)：透過偽造的電子郵件、簡訊或網站，欺騙受害者提供敏感資訊如密碼或信用卡資料
      • 語音釣魚(Vishing)：透過電話進行釣魚攻擊，攻擊者偽裝成合法組織的成員，試圖誘使受害者透露個人或財務資訊
      • 簡訊釣魚(Smishing)：利用簡訊進行的釣魚攻擊，攻擊者會發送含有惡意連結或要求提供敏感資訊的訊息
      • 魚叉式釣魚(Spear Phishing)：針對特定個人或組織的高度客製化釣魚攻擊。這些攻擊基於對目標的詳細研究，使其看起來更加可信
      • 網路捕鯨(Whaling)：針對高級組織成員(如CEO或CFO)的釣魚攻擊。這些攻擊通常都是高度客製化的，並且專門設計來騙取大量金錢或獲得對組織的高級存取權
      • 複製型釣魚(Clone Phishing)：攻擊者複製一封真實的電子郵件，但將原始郵件中的附件或連結替換為含有惡意軟體的版本，然後重新發送給收件人
      • 恐嚇軟體(Scareware)：警告使用者的電腦受到攻擊或有病毒，引導下載惡意軟體或支付款項以解決不存在的問題
      • QR Code釣魚(QR Phishing / Quishing)：利用偽造之QR Code進行釣魚詐騙，引導受害者至惡意網站、誘導提供個人機敏資訊，或支付消費金額至偽冒的店家帳戶
  • 密碼保護 Password Protection
    • 使用密碼的原則
      • 長度：密碼的長度應該要夠長，通常至少包含8個字元以上，NIST 於 2020 年於 SP800-63 也提到愈長的密碼更安全。
      • 多樣性：密碼應包含不同類型的字元，包括大寫字母、小寫字母、數字和特殊字元。
      • 不可預測性：密碼應該避免使用容易猜測的詞語、短語或常見名稱。避免使用生日、暱稱、電話、地址等容易被猜測的資訊。
      • 不重複：不應在不同系統重複使用相同的密碼。
      • 定期更換：應定期更換密碼，以減少風險。通常建議每3到6個月更換一次。
      • 不分享：不要隨意與他人分享密碼。
      • 使用密碼管理器：使用密碼管理器來生成、儲存和管理複雜的密碼，並確保它們是安全的。這方案最大缺點是密碼管理器如果破壞或被偷取的話就會有其他額外的風險，如Lastpass外洩事件。
      • 多因子認證：盡可能啟用多因子認證，以提高帳戶的安全性。
      • 注意釣魚攻擊：謹慎處理來自不明來源的郵件、訊息及QR Code等，以防止釣魚攻擊。