CISSP 資安獨孤九劍

• CISSP 為經過 ISO 17024 的人員職能驗證主要國際標準的認證
• 此標記為2024年版Exam-Outline的條目中有被特別舉例提出的項目:
• 此標記為在2024年版Exam-Outline中變更或新增的項目:
• 此標記為在2024年版Exam-Outline中的項目/子項目:
• 此標記代表該主題Overview中的念書重點:
• 此標記代表為2024年版Exam-Outline改版之後的新資訊:

(ISC)² 道德準則

• Protect society, the common good, necessary public trust and confidence, and the infrastructure.
  • 保護社會、公共利益與基礎設施，贏得必要的公眾信心與信任
• Act honorably, honestly, justly, responsibly, and legally.
  • 行事端正、誠實、公正、負責、守法
• Provide diligent and competent service to principals.
  • 勤奮盡責、專業勝任
• Advance and protect the profession.
  • 推動產業發展、維護職業聲譽

總訣式(WISE Model)

• 定義: 資訊安全是透過安全管制措施，保護資產免於受到危害，以達到機密性、完整性及可用性的目標。進而支持組織業務、創造價值、實現組織使命與願景的一門學問。
• 3T目標:
  T1:創造價值、實現組織使命與願景。

  達標方法:戰略管理、風險管理、問題解決。

  T2:支持組織業務

  達標方法:支持組織產品與服務的持續交付，並將安全(控制措施)溶入組織的各個業務流程。

  T3:機密性、完整性、可用性(C、I、A)

  達標方法:對資產進行盤點、分類與保護。

CISSP 八大 Domain

Domain 1. Security and Risk Management(安全與風險管理)

• Tip: CIA+GRC
• 安全(Security):安全即保護，在此就是要保護組織的資產免於受到危害(風險)，以達到T3(C、I、A)、T2(支持組織業務)與T1(創造價值、實現組織使命與願景)的三階目標。
• 風險(Risk):根據ISO31000，風險是影響目標達成的不確定因素。風險有好有壞，好的叫機會，壞的叫威脅。
• 保護的方式是下安全控制措施，安全控制措施(Security Controls)指的便是處置風險的具體手段。
• 目標(Objectives):為了實現願景而設定的，對於未來狀態的具體描述。
  • 通常可以用SMART原則來衡量目標是否具體。
  • 目標是可拆解、有階層、有遠近的，因此有上位目標(goals)及下位目標(objectives)。
• 願景(Vision):可實現的美好未來。
• T1目標的達標方法是戰略管理、風險管理、問題解決。
• 戰略(Strategy)：達成目標的高階方法或計畫。
• 管理(Managerment):達成目標的一套有系統的方法。
• 治理(Governance):組織高層的管理行為叫做治理。

Domain 2. Asset Security(資產安全)

• Tip: 盤點、分類、保護
• 資產(Assets):有價值且值得保護的東西。
  • 價值(Value):對利害關係人重要、有意義且有用的東西我們稱他有價值。
• 在CISSP中要保護的資產(Assets)指的是資訊系統(Information System)
  • 系統(System): 為了特定目的而一起協作的一群元素的總成。(元素+目的).
    • 資訊系統的目的是把資料轉換為資訊, 其組成元素為八根毛.
    • 資訊系統中的網路系統的目的是共享資源及互傳訊息，其組成元素為節點(nodes)及傳輸媒介(media)。

Domain 3. Security Architecture and Engineering(安全架構與工程)

• Tip: 時時都安全、處處都安全
• 架構(Architecture)：一個系統的主要元素，以及它們之間的關係稱架構。
• 工程(Engineering)：作東西以滿足利害關係人的一門學問；也就是運用專業知識，把一個東西（系統、軟體、網路、機房等）作出來，讓它上線、使用它、維運它，一直到它除役的整個生命週期都必須考慮到利害關係人的需求，以抓住未來的機會、避免可能的威脅，以及解決眼前的問題的一門學問。

Domain 4. Communication and Network Security(通訊與網路安全)

• Tip: 處處都安全

Domain 5. Identity and Access Management，IAM(身分與存取管理)

• Tip: I+3A
• 存取(Access):存取即使用，描述的是主體(Subject)使用客體(Object)的行為。
• 主體(Subject)/客體(Object):都是實體(Entity)。主體為主動方，客體為被動方。
• 實體(Entity):可以被唯一識別的東西(Thing)。
• 身分(Identity):用來唯一識別實體(Entity)的屬性

Domain 6. Security Assessment and Testing(安全評鑑與測試)

• Tip: 查驗、訪談、測試
• 這裡的安全(Security)指的是安全控制措施(Security Controls)。(處置風險的具體手段)。

Domain 7. Security Operations(安全營運)

• Tip: 日常營運、持續改善

Domain 8. Software Development Security(軟體開發安全)

• Tip: 時時都安全、處處都安全

心智圖(v2.7.2)

名詞解釋

• 目標(Objectives):為了實現願景而設定的，對於未來狀態的具體描述
  • 通常可以用SMART原則來衡量目標是否具體。
    • 明確的(Specific)
    • 量化的(Measurable)
    • 可達成的(Achievable)
    • 相關的(Relevant)
    • 有時效性的(Time-based)
  • 目標是可拆解、有階層、有遠近的，因此有上位目標(goals)及下位目標(objectives)。
  • 由願景行生而來，也就是有了願景才能發展目標，進行發展出達標的戰略(strategy)。
• 資安管理系統(ISMS, Information Security Management System)：
  • ISMS是設定組織資訊安全戰略、政策、程序和控制的框架。從管理承諾和政策開始，推動資訊安全，以滿足利害關係人（或相關方）的保護需求和安全要求。它涵蓋網路存取控制、IT 流程以及業務連續性的資訊安全方面。
  • 系統即制度，管理系統(Management System) 就是管理制度，資安管理系統就是【資安管理制度】
  • 【管理制度】先行、【資訊系統】次之
  • 有了制度才能訂定罰則，也才有強制性。
  • 制度始於【政策(Policy)】
  • 政策發於【戰略(Strategy)】
  • 戰略來自【目標】
  • 目標源於【願景與使命】
• ISO 27001:
  • 為ISMS的國際標準，也就是資訊安全管理制度的要求。客戶對於有制度的公司才會有信心。
  • 系統除了有【管理系統】之外，還有配套的【資訊系統】，亦即資訊系統只是反應或實現管理制度的工具。
  • 因為人會出問題，所以要靠管理系統來規範人的行為，並藉由資訊系統來防呆及把關。
  • 【管理系統】跟【資訊系統】是一個銅板的二面，但資訊系統只是反映管理制度而已，空有資訊系統是沒有用的。
• ISO 27002:
  • 關注於安全控制的實施並提供了資訊安全控制措施的指南和最佳實踐
• ISO 27005:
  • 專門提供了資訊安全風險管理的指南，涵蓋了風險評估、風險處理和風險監控的過程，適合用來滿足ISO 27001對風險管理的具體要求。
• ISO 31000:
  • 國際通用的風險管理框架，提供了風險管理的原則和指南，適用於各種組織和管理層面的風險評估和處理。
  • 內容相較於專門針對資訊安全的框架，更加的一般性和廣泛。
• ISO 15288:
  • 用於系統工程領域，提供了系統生命週期過程的框架和要求的一個國際標準。
• ISO 17788:
  • 關於雲端計算的概念和術語的國際標準，提供了雲端服務和部署模型的基本定義，包括公有雲、私有雲、社區雲和混合雲等類型。
• ISO 22301:
  • 制定了業務持續管理系統/制度(Business Continuity Management System，BCMS) 的政策框架，主要元素包含政策、標準、程序、指引。
  • 讓組織可以準備並回應可能干擾正常運營的事件，確保商業活動在發生突發事件時能迅速恢復和繼續。
• ISO 29100:
  • 針對隱私保護的國際標準，涵蓋了隱私保護的原則、對象和組織的角色，以及隱私保護策略的制定和實施指南。
• 安全功能(Security Function):
  • CISSP所謂的安全功能或安全職能是組織處理資安相關事務的能力，而不是資訊系統層級的安全功能或特色。
  • 安全功能可以指派專責人員兼任，也可以將其部門化，並聘用專職人員專任，甚至設立資安⾧(CISO)角色。
  • 為避免產生利益衝突或是影響行政獨立性，CISO不對CIO或稽核委員會報告，而是直接向CEO(優先)或COO(次之)報告。

(D1)治理(Governance)

• T1目標:創造價值、實現組織使命與願景
• 達標常用的方法:
  • GRC : Governance、Risk Managerment、Compliance
  • EDM : 評估(Evaluate)、指示(Directive)、監視(Monitor)
  • 三輪車：戰略管理、風險管理、問題解決
• 治理結構(Governance Structure)
  • 董事會：
    • 審計委員會 (Audit committee):負責監督財務報告的完整性、公司的內部控制系統、審計過程的獨立性以及執行內部和外部審計的工作。
    • 治理委員會 (Governance committee):這個委員會專注於公司治理的各個方面，確保公司符合最佳治理實踐。
    • 薪酬委員會 (Compensation committee):負責確定公司高級管理層的薪酬政策和方案。
  • 業務持續性指導委員會 (Business continuity steering committee)：通常在操作層面設立，以確保業務持續性計畫（BCP）的制定和執行。

戰略管理(Strategy management)

• 三個重點:戰略組成、戰略形成、戰略執行。

戰略組成(Strategic Portfolios)

• 戰略:為實現目標達成的高階方法。
• 將戰略目標，拆分成各項投資組合(Portfolio)，實現其戰略價值，進一步證明其投資報酬率(ROI)。
  • 投資組合由計畫或專案的執行結果達成其效果(效益、好處)。
  • 部分大型計畫會拆分成專案，以各項專案輸出達成計畫之結果。
  3P(Project、Program、Portfolio)模型:Projects組成Program，Programs組成Portfolio。

  • 專案(Project)：有起始、有結束、有產出，且在範圍內、時程內、成本內、並且要能兼顧品質。

戰略形成(Strategic Formulation)

• 先看願景(未來狀態)->確認目前狀態->分析目前與未來的差距(Gap)->設定里程碑->形成路線圖(roadmap)->考慮實際的執行限制並決定投入多少資源。
• 戰略發展/形成(Strategy Development):從現在走向未來
• PERT 圖表:
  • 使用節點來表示里程碑或可交付成果，然後顯示里程碑之間移動的估計時間。

戰略計劃(Strategic Planning)

• 戰略計劃(Strategic Plan):
  • 使命(Mission):被賦予的任務。
  • 願景(Vision):可實現的美好未來。
  • 上位目標(Goals):為了實現願景的上位目標。
    • 目標(Goals)應該是可衡量的，因此設定目標首先要識別和選擇候選措施和指標(Measures and Metrics)。
    • 一個目標(Goals)通常被分解為多個目標(Objects)。成功是實現目標(Goals)的結果。
• 行動計劃(Action Plan):
  • 目標(Objects):為了達成上位目標(Goals)的目標。
    • 目標(Goals)是對期望結果或未來狀態的書面陳述；目標(Objects)則是為了達到目標(Goals)的結果。
  • 關鍵績效指標(KPIs):為了達成目標(Objects)的關鍵績效指標。
    • 確定關鍵風險指標(Key Risk Indicator，KRI):用來預測潛在風險的指標，用作風險管理。
    • 定義關鍵目標指標(Key Goal Indicator，KGI):衡量達到目標程度的指標。
    • 選擇關鍵績效指標(Key Performance Indicator，KPI):衡量達到特定業務目標進度的指標。
  • 措施與指標(Measures and Metrics):
    • 為達到目標而跟踪的各種衡量標準和指標。

戰略執行(Strategic Implementation)

• 透過發布政策(Policy)來執行戰略

政策框架(Policy Framework)

• 政策框架(Policy Framework):包含政策、標準、程序、指引
  • 政策(Policy):經營高層的管理意圖。
  • 標準(Standards):有了政策(Policy)之後方能制定營運管理的執行標準。
    • 標準(Standard) 是制度的一環，是一種強制性的要求。為了達到標準(Standard) 的要求, 組織常會導入框架。而這些框架常會提供一些參考的作法或控制措施(在NIST SP 800-53中, 這些控制措施被它稱為控制基準).
  • 程序(Process/Procedure):當標準(Standards)定下來後，才能進一步制定員工遵循的業務工作程序。
  • 指引(Guideline):無強制性，用以補足上述三項說明不足的部分。(可能為如何做某件事的最佳實踐)

Business Case

• Business Case是決策過程中的關鍵工具，通常會說明專案或任務的必要性和價值，以用來作為啟動一個專案或任務的理由。通常會以結構良好的書面文件形式呈現，幫助決策者理解專案的成本、收益、風險和機會，並作為是否繼續推進專案的依據。
• Business Case的內容通常包含以下重要元素:
  • 目標和需求：明確專案或任務要解決的需求或問題。
  • 成本和收益分析：評估專案項目的財務影響，包括成本、節省和收入。
  • 風險評鑑：識別且分析與專案相關的潛在風險和不確定性並評估對組織和其他利益相關者的潛在影響。
  • 替代方案：考慮不同的解決方案和方法，並評估它們的可行性和影響。

專案管理(Project Management)

• 當有了想法後就會開始進行創新提案，接著進行可行性分析並撰寫Business Case，如果分析成本與利益後覺得可行便可立案(成立專案，撰寫立案文件)並開始執行(kick-off)，Project進行過程中要持續review進度，確保里程碑有按時達成並在達到里程碑目標時獎勵團隊成員。Project完成後要對產出的結果進行驗收，檢視結果的品質是否符合要求。

問題解決(Problem Solving)

• 找出問題->定義問題->臨時解法(workaround，緩解問題)->解決根本原因->提出解決方案->建立制度(解決通用問題)

(D1)業務(Business)

• T2目標：支持組織業務。
• 業務(Business):包含產品及服務的持續交付以及支持產品及服務持續交付的各種流程(產銷人發財資)。
  • 生產(Production)：配方等商業秘密(Trade Secret)
  • 行銷(Marketing)：版權(Copyright)及商標(Trademark)
  • 人資(Human Resource)：人員的安全生命週期、個人識別資訊(PII)
  • 研發(R&D)：專利權(Patents)、外包、SBOM
  • 財務(Finance)：財務機密、欺詐
  • 資訊(Information)：資料安全、隱私權(Privacy)、去識別化
• 達標的方法(腳踏車)：
  • 支持組織產品及服務的持續交付
  • 將安全(控制機制)融入組織的各項業務流程中
• 業務持續(Business Continuity):
  • 組織的一種維持持續交付產品及服務的能力。(ISO 22301)
  • ISO22301制定了業務持續管理系統(制度)的政策框架，包含政策、標準、程序、指引。
• 組織韌性(Organization Resilience):NIST的業務持續
  • 組織要有強健的韌性以因應未知的風險(Unknown Unknowns)

產品及服務的持續交付(Continuous Delivery)

• 念書重點:業務持續規劃、事故管理、災難復原
• ISO22301:制定了業務持續管理系統(制度) 的政策框架，主要元素包含政策、標準、程序、指引。
• 業務持續:組織的一種持續交付產品及服務的能力。
  • 組織在營運的過程中會遇到需多不同的事件(Event)，其中屬於負面的事件便稱作事故(Incident)。
  • 事故又可依種類分成三種類型:
    • 緊急狀態(Emergency):人身安全(Human life)。
    • 公關危機(Crisis):組織名聲(Reputation)。
    • 中斷(Disruption):產品及服務的中斷。
      • 災難(Disaster):NIST的定義是，當嚴重到需要搬家(機房)的程度才算災難。
  • 持續便是要做好事前預防、事中處理以及事後回復。
• 業務持續管理的目標:養成組織維持及精進業務持續的能力。

業務持續規劃(Business Continuity Management, BCM)的七個步驟

1. 內外部環境(Context & Organization)分析:為一種蒐集資訊的過程，找出利害關係人(Stakeholders)為其中的最重要事項。可利用SWOT、PESTLE等分析工具。
   • SWOT:
   • PESTLE
     • 政治因素(Political)：是指對組織經管活動具有實際與潛在影響的政治力量和有關的政策、法律及法規等因素。
     • 經濟因素(Economic)：是指組織外部的經濟結構、產業佈局、資源狀況、經濟發展水平以及末來的經濟走勢等。
     • 社會因素(Social)：是指組織所在社會中成員的歷史發展、文化傳統、 價值觀念、教育水平以及風俗習慣等因素。
     • 技術因素(Technological)：技術要素不僅僅包括那些引!起革命性變化的發明，還包括與企業生產有關的新技術、新工藝 新材料的出現和發展趨勢以及應用前景。
     • 環境因素(Environmental)：一個組織的活動、產品或服務中能與環境發生相互作用的要素。
     • 法律因素(Legal)：組織外部的法律、法規、司法狀況和公民法律意識所組成的綜合系統。
2. 利害關係人溝通:業務系統乃是支持業務流程運作的資訊系統，而系統使用者及最為了解業務流程的便是該系統的利害關係人，因此需要與其進行溝通以有效了解其需求。
3. 定義範圍(Scope):根據與利害關係人溝通後得到的需求來制定業務範圍。
4. 業務衝擊分析(Business Impact Analysis, BIA):透過盤點資產(流程與資源)找出關鍵流程與資源，分析出那些流程出問題會衝擊企業以及會有多大衝擊。是一種盤點與分類的概念。
   • 最大容許時間(Max Tolerable Downtime, MTD):
     • Process停止的最大可容許時間，取決於衝擊有多大。
   • 最低業務連續性目標(Minimum Business Continuity Objective，MBCO):
     • 事故發生後，業務或服務必須達到的最低運作水平。
     • 用以確保在災難或重大中斷發生後，業務至少能達到某個最低水平的運作，以保持其生存和關鍵功能。
   • 服務交付目標(Service Delivery Objective，SDO):
     • 在災難或重大中斷後，服務或應用程序必須恢復到的具體運行水平。
     • 通常涉及特定服務或應用程序的性能指標，例如事務處理速度、用戶體驗和可用性。
   • 目標復原時間(Recovery Time Objective，RTO):
     • 需要多久來回復Resource以讓Process能重新運行的目標時間。
   • 復原時間點目標(Recovery Point Objective，RPO):
     • 如果需要倒回資料，資料能夠回復到多久前的時間點目標。
     • 某些狀況下不需要設置RPO，例如供應鏈中斷造成的業務中斷。
   • 服務水準協議(Service Level Agreement，SLA):服務供應商與客戶之間定義的正式承諾，具體的約定了服務指標：品質、可用性、責任
   • 平均修復時間(Mean Time To Repair，MTTR):
     • 指修復故障或恢復系統到正常運行狀態所需的平均時間。用於衡量系統維護效率和反應速度。
   • 平均故障間隔(Mean Time To Failure，MTTF):
     • 從系統開始運行到首次故障發生所經過的平均時間。用於衡量產品或系統的可靠性。
     額外補充

5. 風險評鑑:識別、分析、評估風險
6. 風險處置:依據不同業務需求，制定風險發生時的應變計畫書。
7. 計劃書的測試與演練
   1. 查核表(Checklist):檢查計畫書中有無缺漏。
   2. 讀一遍(Read-through):瀏覽並檢查計畫書中有無錯誤。
   3. 桌面演練(Walk-through/Tabletop):
      • 進行沙盤推演，通常在會議室中進行，不會到現場實際操作。
      • 桌面演練重點在確保出事時能知道計畫書放在哪，以及能在計劃書中找到應對程序並執行。
   4. 模擬/實際演練(Simulation):到實際的營運地點、硬體設備或系統上，並在受控的環境中模擬真實事件的演練。
   5. 平行測試(Parallel):在備援站點進行測試。(不會中斷主系統，但仍會影響到主系統的備援功能)
   6. 全中斷(Full interruption):將主系統實際中斷後照著計劃書做完復原流程，以求在最接近真實的狀況進行演練。

計劃書

• T1(組織):
  • 危機溝通計劃(Crisis Communication Plan):
    • 用以在公關危機發生時能夠有效、迅速地溝通，以減少負面影響，保持組織的信譽和穩定。
    • 通常包括：
      • 溝通團隊和責任分配：指定一個危機溝通團隊，並明確每個成員在危機溝通中的角色和責任。
      • 資訊管理：制定策略來收集、管理和驗證危機相關資訊，以確保溝通的準確性和及時性。
      • 目標受眾識別：識別危機溝通的主要目標受眾，包括員工、客戶、媒體、利益相關者等。
      • 溝通渠道和工具：確定用於傳達危機資訊的主要渠道和工具，如新聞發布、社交媒體、內部通訊等。
      • 訊息的制定：準備危機情況下的核心訊息，包括事實陳述、應對措施和後續行動。
  • 乘員緊急計劃(Occupant Emergency Plan，OEP):
    • 為組織設施中的人員在緊急情況下的安全和疏散制定的計劃和程序。(ex:火災、地震、洪水)
    • 通常包括：
      • 制定疏散計畫：明確在緊急情況下人員應如何安全地離開建築物或區域。
      • 建立通訊系統：確保在緊急情況下可以有效傳達訊息和指示。
      • 分配責任：指定緊急情況協調員和安全團隊，負責指導疏散和協助執行緊急計畫。
      • 資源準備：確保必要的緊急設備和資源(如急救包、滅火器、備用電源等)可用並處於良好狀態。
• T2(業務程序):
  • 營運連續性計劃(Continuity of Operations Plan，COOP):
    • 通常專注於政府機構或關鍵服務提供者的運營持續性，當面臨重大中斷或災難時能夠持續運作或迅速恢復，著重於維持關鍵功能和服務的最低必要運營水平。
  • 業務連續性計劃(Business Continuity Plan，BCP):
    • 為了最小化業務中斷對組織的影響，以確保關鍵服務和產品的交付不受干擾。包括緊急應對和恢復關鍵運營，直至整個業務流程的恢復。
• T3(資訊系統):
  • 災難恢復計劃 (Disaster Recovery Plan):
    • 確保在災難(如自然災害、技術故障、網絡攻擊等)發生後，組織的關鍵資料、應用程序和服務能夠盡快恢復運作，從而最小化業務中斷的影響並繼續提供正常的運作與服務。
    • 業務持續性計劃的一個重要組成部分。
  • 網絡事件響應計劃(Cyber Incident Response Plan):
    • 在發生網路安全事件(如網路攻擊、資料洩露、系統入侵等)時能夠迅速、有效地識別、評估、應對和恢復，從而減少對組織運作的影響和損失。
    • 業務持續性計劃的一個重要組成部分。
    • 應對團隊和責任分配：建立一個專門的網絡事件應對團隊(CIRT)，並明確每個成員在事件應對中的角色和責任。
  • 資訊系統應急計劃(Information System Contingency Plan，ISCP):
    • 確保在面對意外事件或系統故障時，組織的關鍵資訊系統能夠持續運作或迅速恢復。
    • 業務持續性計劃的一個重要組成部分。
    • 資料備份和冗餘：確保關鍵資料和系統有適當的備份，以便在原有系統受損時能夠迅速切換和恢復。
  • 關鍵基礎設施保護(Critical Infrastructure Protection，CIP) Plan:
    • 保護關鍵基礎設施(Critical Infrastructure)免受恐怖攻擊、自然災害、工業事故或其他威脅的影響。
    • 關鍵基礎設施(Critical Infrastructure):
      • 指對國家安全、經濟、公共健康或安全至關重要的基礎設施。
      • 通常包括能源、交通、水資源、通信、公共衛生等關鍵領域。
      • 監控控制和數據獲取系統(Supervisory Control and Data Acquisition，SCADA):
        • 一種用於控制基礎設施和工業設施的計算機系統。
        • 廣泛用於電力網、水處理廠、製造業和其他要求遠程監控和控制的領域。
      • 工業控制系統(Industrial Control Systems，ICS):
        • 用於監控和管理工業過程的自動化系統，包括用於控制機械、流程和設施的硬體和軟體。
        • 主要類型包括:監控控制和數據獲取系統(SCADA)、可程式邏輯控制器(PLC)、分散式控制系統(DCS)
• 計劃書內容通常都包含以下重點元素:
  • 分類(Classification):找出關鍵資產(Assets)並進行分級。
  • 風險評鑑(Risk Assessment):識別和評估可能造成威脅的風險與風險可能帶來的影響。
  • 風險處置(Risk Treatment):採取哪些措施，以緩解風險可能帶來的影響。
  • 事故管理(Incident Management):發生事故時要如何應對處理，以盡早恢復組織的業務。
  • 應急溝通計劃：制定有效的內部和外部溝通策略，以確保在災難發生時員工、客戶和利益相關者能夠獲得及時的資訊和指示。
• 定期審查和更新：計劃書都需要隨著時間的推移和環境的變化，進行定期審查和更新，以確保計劃書始終有效和適用。

業務持續性計畫(Business Continuity Plan，BCP)

• 保證公司或組織在面臨災難性事件或重大中斷時能夠繼續運作或迅速恢復運作。包括一系列的程序和措施，用於應對各種潛在的緊急情況，包括自然災害、技術故障、網絡攻擊或其他危及業務運作的事件。

BCP的重要性

• 業務連續性：確保在遇到干擾時，關鍵業務活動能夠繼續或迅速恢復，維持組織的運作。
• 風險緩解：通過識別和準備應對潛在風險，有助於減少災難發生時的損失。
• 客戶信任和市場地位：能夠在危機情況下維持業務運作的組織更有可能保持客戶的信任和穩定的市場地位。
• 法規遵從：許多行業有法律或監管要求，必須有有效的業務持續計畫。

BCP的項目範圍和規劃階段

• 組織的結構分析(Structured analysis of the organization):
  • 確定哪些是關鍵業務和關鍵流程。
• 建立BCP團隊(Creation of a BCP team):
  • 組建一個負責規劃、實施和維護業務持續性計劃的專門團隊。
• 可用資源的評估(Assessment of available resources):
  • 確定能夠動用的資源和能力。
• 審查法律和法規環境(Review of the legal and regulatory landscape):
  • 確保計劃符合所有相關法律和法規要求。

BCP的主要組成

• 風險評估和業務影響分析（BIA）:識別可能影響組織運作的各種風險和威脅，評估它們對業務流程的影響程度和可能造成的損失。
• 關鍵業務功能的識別:確定組織運作中不可或缺的關鍵業務領域和流程，這些是需要優先保護和恢復的。
• 恢復策略:制定具體的恢復計畫和策略，以確保關鍵業務功能在災難發生後可以快速恢復。
  • 通知系統和呼叫樹(Call Tree)：在緊急情況下迅速有效地通知和動員員工及其他相關方的機制
  • 安保和安全程序、災害應對措施，例如滅火程序、撤離程序、通知適當的緊急回應機構等
• 資源需求:識別實施BCP所需的資源，包括人員、設備、技術、資訊和財務資源。
  • BCP團隊成員列表：應包括關鍵成員的多種聯繫資訊，並確定備用成員，以應對關鍵成員不可用的情況
  • 供應鏈關鍵成員的聯繫電話：供應商、客戶、可能的外部應急供應商、第三方合作夥伴
• 計畫的制定和文檔:將BCP過程、策略和程序詳細記錄下來，形成文檔。
  • 管理指南：包括為特定管理人員指定的角色、責任和權限的指南。
  • 明確指出在何種情況下啟動BCP，以及如何執行
• 訓練和演練:定期對員工進行BCP訓練和演練，以確保在真實情況下能夠有效執行計畫。
  • 具有特定角色的員工應至少每年接受一次培訓。
• 維護和評估:定期審查和更新BCP，以確保它仍然反映當前的業務需求和潛在風險(確保有效性和時效性)。

業務流程(Processes)

• 將安全融入組織的各項業務流程中(Secure Processes)，其中有四個重點程序:人事、採購、研發、併購。

人事安全(Personnel)

• 組織雇用人員從設計工作職位開始到人員離職都包含在內。
• Life-Cycle:寫工作說明書(Job Design)->招聘(Recruitment)->到職(Onboard)->工作輪調(Development & Retention)->離職(Separation)。
  • Job Design:
    • 職責分離(Separation of Duties):確保沒有一個人可以單獨控制關鍵業務流程的所有階段，以降低濫用職權或詐騙的可能性。
    • 雙人控制(Two Person Control，TPC):增加對高風險或重要資源的保護，以防止單一個體的濫用和確保決策的正確性。
  • Recruitment:
    • 要做背景調查，例如美國政府的Security Clearance。
      • 參考人檢查(Reference Check):
        • 聯繫候選人提供的參考人，通常包括前任雇主、同事或專業人士，以獲取更多關於候選人的專業和個人特質的信息。
      • 就業歷史驗證(Employment History Verification):
        • 確認候選人提供的工作經歷，包括前任雇主、職位、工作時間、及工作表現。
      • 教育背景驗證(Educational Background Verification):
        • 驗證候選人所聲稱的學歷，包括學位、畢業院校及畢業年份。
      • 犯罪記錄調查(Criminal History Check):
        • 檢查候選人是否有犯罪歷史，包括重罪和輕罪。
      • 財務信用檢查(Credit Check):
        • 估候選人的信用記錄，包括信貸歷史、債務狀態和其他金融相關信息，特別是對於金融行業的職位。
      • 社交媒體和網絡行為調查(Social Media and Internet Presence Screening):
        • 檢查候選人的社交媒體帳戶和網上行為，評估其專業形象及可能的行為風險。
      • 健康和藥物檢測(Health and Drug Screening):
        • 對候選人進行健康檢查和藥物檢測，確保他們符合工作要求，特別是對於需要高度身體條件或安全意識的工作。(並非檢查病歷資訊)
      • 合法工作資格驗證(Legal Work Eligibility Verification):
        • 驗證候選人是否有合法的工作許可。(非本國籍員工)
  • Onboard:要簽NDA(保密條款)、AUP(限制可做哪些事)、Identity proofing(身分核實)、服務供裝(建帳號、裝系統)。
    • 保密條款(Non-Disclosure Agreement，NDA):
      • NDA是兩個或多個當事人之間的法律合同，用於保護機密資訊和商業秘密。
      • 簽訂NDA的當事人同意不向未經授權的第三方披露或使用特定的保密資訊。
    • 可接受使用政策(Acceptable Use Policy，AUP):
      • 一種組織或網路服務提供商(ISP)制定的指導方針，用於界定用戶或員工使用網絡服務、電子郵件、電腦設備等的行為規範。
    • 登記(Enrollment)/註冊(Registration):
      • 將用戶、設備或系統的身份信息引入到管理系統中的過程。
  • 工作輪調:
    • 進行工作輪調須避免權限蔓延(Pivilege Creep)/權限聚合(Aggregation)的狀況。
      • 權限蔓延(Pivilege Creep)/權限聚合(Aggregation):
        • 指個體可能會因為多個角色或職責而被授予多個不同的權限，從而獲得比原本更高級別或更敏感的訪問權限。
        • 可能導致權限滲透，即原本應當臨時或有條件限制的權限變成永久且無條件的。
        • 可透過有效實行最小權限原則或是實施基於角色的存取控制(RBAC)等多種方式來避免
  • 強制休假(Mandatory Vacation):
    • 員工被要求定期離開工作崗位一段連續的時間（通常一至兩周），在這期間不得進行任何工作相關活動，也不能訪問公司的系統或電子郵件。
    • 休假期間由其他員工或臨時替代者接手其職責，能夠幫助公司揭露該員工可能涉及的欺詐或不當行為。
    • 確保沒有任何員工對特定工作或系統擁有不中斷的控制權，從而可能掩蓋不正當行為。
  • Separation:離職前要做好反供裝以及離職面談。
    • OASIS為了在組織內部能有效管理員工身份資訊和系統資源的服務開通，制定了一套SPML標準。
• NIST SP 800-63A為Identity proofing制定了一套流程:Resolution->Validation->Verification
  • 決議階段(Resolution):
    • 在身份證明過程的開始，需要收集可用來核實身分的個體基本資訊核心資訊(名字、出生日期等個人資料)。(ex:護照、身分證、證書等)
  • 驗證階段(Validation):
    • 驗證蒐集到的資訊的CIA。需要被證實是真實且有效的，這可以通過比對官方文件、資料庫等方式來完成。
  • 核實階段(Verification):
    • 核實身分，確認申請者提供的資訊與他們實際存在的主體之間有直接聯繫。這可能包括與申請者面對面會議或通過其他方式驗證他們的身份。
• 職責分離(Separation of Duty，SoD):
  • 將關鍵過程或任務分割成不同部分，由不同的人或組培來負責，以避免單一人員具有足夠的權限來進行潛在的欺詐行為。例如，一個人負責發起付款，而另一個人負責批准付款。
  • 著重於過程和任務的分配，以防止單一點的故障或欺詐行為。
• 特權分離(Separation of Privilege，SoP):
  • 指的是只有在滿足多個條件或擁有多個相關權限時，才能執行特定的操作。它通常在訪問控制系統中實現，如需要同時提供密碼和生物識別資訊才能訪問系統。
  • 著重於實現多重驗證和條件以提高權限的安全性。
• M of N Control:
  • 必須有N個可能的授權者中的至少M個同意或執行某項操作，該操作才能進行。
  • N代表了總數，即參與某個特定決策或操作的個體總數。M則是這些個體中必須達到共識或同意的最小數量。這意味著任何重要的或潛在風險高的操作都需要一定比例的參與者同意才能執行。
  • 是一種用於增強安全性和減少錯誤或濫用風險的安全策略，在需要多重認證或授權的場景中尤為有用。

資訊安全學習(IT Security Learning)

• 意識(Awareness):
  • 透過不同方式做到資安意識提升
    • 推廣安全政策
    • 建立問責制度
    • 社交工程演練(ex:釣魚信件)
    • 分享資安事件新聞
    • 遊戲化(Gamification):
      • 將遊戲設計元素和原則應用於安全培訓中，使學習過程更加吸引人和有效。例如積分和獎勵系統、競爭元素等等。
    • 安全冠軍(Security Champion):
      • 安全冠軍通常是為了在組織的技術團隊和項目中促進安全實踐，以提高應用程式安全性和合規性的有效性和效率，並加強各個團隊和資訊安全之間的關係。
      • 「安全冠軍」是資訊安全和開發人員之間的聯絡人。
      • 根據團隊的規模和結構，「安全冠軍」可能是軟體開發人員、測試人員或產品經理。
      • 通過在每個專案中指派一名熟悉該專案的開發人員來擔任安全冠軍角色來實現。 這有助於確保安全措施在專案中得到有效實施和維護。
  • 對象為組織的所有人
  • 內部威脅(Insider Threat):
    • 指的是來自組織內部人員的安全威脅，包括員工、承包商或業務夥伴，他們可能因惡意意圖或疏忽而危害組織的安全。
    • 培訓教育員工識別和報告可疑行為，加強對數據訪問和使用的規範，並定期進行安全審計，以早期發現並應對內部威脅。
  • 社交媒體的影響(Social Media Impacts):
    • 社交媒體可能對組織的造成資訊洩露、社交工程攻擊或聲譽損害等威脅。
    • 培訓員工關於如何安全使用社交媒體的指導，強調保護個人和公司資訊的重要性，教育員工識別和防範釣魚和社交工程攻擊。
  • 雙因素認證疲勞(2FA Fatigue):
    • 隨著安全措施的增加，使用雙因素認證（2FA）可能導致員工感到疲勞，這可能降低其使用效率和意願，甚至導致安全漏洞。
    • 教育員工為何需要使用2FA，如何有效地管理2FA過程，並採用用戶友好的認證方法來減少疲勞感，同時確保安全。
• 訓練(Training):
  • 學習內容為工作所需的特定技能
  • 對象為特定的群組或個人
• 教育(Education):
  • 學習內容為特定的專業技能
  • 對象為專業人員
  • 會取得學歷或證書
• 新的安全挑戰:
  • 隨著技術的迅速變化，新興技術持續影響著安全環境，因此安全培訓內容需要定期內容審查以反映這些變化。
  • 最近的新興技術如加密貨幣(Cryptocurrency)、人工智慧（AI）、區塊鏈(Blockchain):
    • 加密貨幣(Cryptocurrency):基於區塊鏈技術的數位或虛擬貨幣，它利用密碼學來保障交易安全。
    • 人工智慧(AI):涉及機器學習、深度學習等技術，用以使機器模擬人類智慧行為。
      • 資料操控：AI系統的決策往往基於資料學習，如果資料被操控，AI的行為可能被篡改。
      • 隱私問題：AI的資料處理能力可能導致個人隱私泄露或未經授權使用。
      • 自動化威脅：AI能夠自動執行任務，如果被惡意利用，可能放大攻擊的規模和影響。
    • 區塊鏈(Blockchain):一種分布式記帳技術，以其安全性和去中心化特點著稱。
      • 51%攻擊：如果一個實體控制了區塊鏈網絡中超過50%的計算力，則可以操控交易記錄。
      • 智能合約漏洞：智能合約是自動執行的合約條款，但如果合約設計有漏洞，可能被利用進行攻擊。

社交工程(Social Engineering)

• 利用人的心理和行為來取得資訊的方法，社交工程並非一種高深的技術但卻相對容易取得重要資料，屬於低成本高回報的攻擊方式，故駭客常常利用社交工程的手法來竊取資料。
• 社交工程手法：
  • 尾隨(Tailgating)：
    • 攻擊者趁其他人進入管制區域時跟隨其後進入管制區域。
  • 夾帶熟人/搭順風車(Piggybacking)：
    • 至少為兩人一組，組織內部人員知情並允許攻擊者利用他的存取權限。(ex.員工開門讓無權限的朋友進入)
  • 假託/藉口(Pretexting)：
    • 使用虛假情境或藉口來獲取受害者的資訊。(ex.假裝是銀行員工詢問客戶資訊)
  • 假冒/偽裝身分(Impersonation/Masquerading)：
    • 攻擊者偽裝成其他人或組織。（ex.假裝成IT部門員工，請使用者提供登入資訊)
  • 誘餌攻擊(Baiting)：
    • 提供某種誘人的好處引誘受害者採取某些行動。(ex.贈送免費的USB隨身碟，但隨身碟中已被植入惡意軟體，當使用時就會發動攻擊)
  • 媒體掉落(Media Dropping)：
    • 留下實體媒體(如隨身碟)，當受害者使用該媒體時，會啟動和執行惡意軟體
  • 等價交換(Quid pro quo)：
    • 攻擊者提供某種有價值的東西以換取某些資訊。(ex.員工答應給出自己的密碼以換取金錢)
  • 偵察(Reconnaissance)：
    • 攻擊者蒐集目標組織或個人的資訊。(ex.透過公開資料或社交媒體平台)
  • 肩窺(Shoulder Surfing)：
    • 攻擊者親自或使用遠程工具，直接監視受害者輸入的資訊。(ex.窺視他人輸入密碼)
  • 水坑攻擊(Watering Hole)：
    • 攻擊者首先確定受害者可能瀏覽的網站，然後感染該網站。當目標瀏覽該網站時，他們的系統就可能被感染
  • 調虎離山(Diversion Theft)：
    • 攻擊者透過製造干擾或轉移受害者的注意力，從而實施偷竊或其他不法行為
  • 釣魚(Phishing) ：
    • 透過偽造的電子郵件、簡訊或網站，欺騙受害者提供敏感資訊如密碼或信用卡資料
  • 語音釣魚(Vishing)：
    • 透過電話進行釣魚攻擊，攻擊者偽裝成合法組織的成員，試圖誘使受害者透露個人或財務資訊
  • 簡訊釣魚(Smishing)：
    • 利用簡訊進行的釣魚攻擊，攻擊者會發送含有惡意連結或要求提供敏感資訊的訊息
  • QR Code釣魚(Quishing)：
    • 透過QR Code進行的釣魚攻擊，攻擊者將惡意連結隱藏在QR Code，因本身為圖像檔案，故部分防護機制無法偵測圖像檔案之連結是否為惡意
  • 魚叉式釣魚(Spear Phishing)：
    • 針對特定個人或組織的高度客製化釣魚攻擊。這些攻擊基於對目標的詳細研究，使其看起來更加可信。(ex.假裝為求職者提交求職履歷給HR)
  • 網路捕鯨(Whaling)：
    • 針對高級組織成員(如CEO或CFO)的釣魚攻擊。這些攻擊通常都是高度客製化的，並且專門設計來騙取大量金錢或獲得對組織的高級存取權
  • 複製型釣魚(Clone Phishing)：
    • 攻擊者複製真實的電子郵件後將原始郵件中的附件或連結替換為含有惡意軟體的版本，然後重新發送給收件人
  • 恐嚇軟體(Scareware)：
    • 警告使用者的電腦受到攻擊或有病毒，引導下載惡意軟體或支付款項以解決不存在的問題
  • 翻垃圾桶(Dumpster Diving)：
    • 攻擊者透過檢查目標組織的廢棄物，尋找未被妥善處理的敏感文件、記錄或其他資料，以獲取有價值的資訊。包括密碼、財務記錄、個人身份資料、業務機密等資訊
    • 不僅限於實體垃圾搜尋，也可以擴展到數位領域，例如搜索被刪除的或未加密的數位文件。然而，這種行為更常見地指實體世界中的垃圾搜尋

採購安全(Procurement)

• 採購分為甲(買方)、乙(賣方)、丙(第三方)三方:
  • 甲方向乙方提供合約
  • 乙方向甲方提供產品及服務
  • 丙方對乙方的產品提供檢驗
    • ex:產品檢驗報告
  • 丙方對乙方交付產品及服務的能力進行驗證
    • ex:ISO27001
  • 丙方向甲方提供(乙方產品及服務的)保證
    • 消除甲方疑慮並提升甲方信心
    • 透過產品檢驗報告與能力驗證證書
• 甲方會向乙方提出服務水準要求(SLR)，並在與乙方討論、修改、議定後簽下雙方都認可且同意的服務水準協議(SLA)，依內容多寡或其他考量可能會放在合約或是附件中，也可能將SLA獨立簽成一份合約。
• 在美國會要求對乙方做 (FOCI)調查，目的是檢查外國勢力(F)對乙方公司的擁有權(Ownership)、控制力(Control)以及影響力(Influence)。

供應鏈風險管理(Supply Chain Risk Management，SCRM)

• 識別、分析、評估、處置來自供應鏈的各種風險，特別是那些影響資訊安全和企業運營的風險。
• 可能的風險類型:
  • 產品篡改(Product Tampering):產品在生產或分銷過程中被故意修改或損害，可能導致功能異常或安全風險，例如硬體設備中被添加的惡意元件。
  • 假冒(Counterfeits):市場上流通的偽造產品，這些產品可能未經適當的安全測試，使用這些產品可能會帶來重大的安全威脅。
  • 植入(Implants):在製造過程中故意植入的惡意韌體或軟體元件，這些元件可能用於間諜活動或遠程控制裝置。
• 風險處置措施:
  • 第三方評估與監控(Third-party Assessment and Monitoring):
    • 通過外部專業機構對供應商的安全措施進行定期評估和監控，以確保他們符合企業的安全要求。
  • 最低安全要求(Minimum Security Requirements):
    • 為供應商設定一系列必須遵守的安全基準，這些標準涵蓋產品的整個生命週期，從開發到退役。
  • 服務水平要求(Service Level Requirements):
    • 與供應商簽訂合約時，明確規定服務水平和安全性能指標，並設定違約懲罰。
  • 矽根信任(Silicon Root of Trust):
    • 在硬體設計和製造過程中植入信任錨點，用於加密操作和驗證，保證從最基礎的晶片級別開始建立安全。
  • 物理不可複製功能(Physically Unclonable Function，PUF):
    • 利用物理裝置的固有不可預測性，為每個裝置創建唯一的身份識別和安全密鑰，提高安全性。
  • 軟件物料清單(Software Bill of Materials，SBOM):
    • 提供完整的軟體組件清單，包括所有依賴庫，以便於跟蹤、管理和驗證軟體來源和完整性。

併購(Mergers and Acquisitions，M&A)

• 併購前需做好盡職調查，以了解併購對象的資安狀況。
  • 需評估被收購公司的安全架構、政策、風險和合規性問題。包括檢查潛在的安全漏洞、驗證必要的安全控制措施、以及歷史安全事件等。
  • 網路安全評鑑(Cybersecurity Assessments):
    • 用以評估和分析目標組織的網絡安全狀態，包括識別潛在的安全漏洞、威脅、風險，以及評估現有安全措施的有效性。

業務出售(Divestitures)

• 出售或剝離其業務單元、子公司或資產的行為，通常是為了優化資源分配、提高財務績效或應對法律和監管要求。
• 進行業務出售(Divestitures)時需要注意的主要安全和策略考量包括但不限於以下:
  • 資料保護和隱私:
    • 確保在交易過程中遵守所有相關的資料保護法規，特別是當涉及跨境資料傳輸時。
    • 處理好資料的分割問題，確保只有相關的資料被轉移給買方，並保護那些留在公司的資料不受影響。
  • 資產和訪問控制管理：
    • 確定哪些資產將隨業務部門一起被出售，並管理這些資產的轉移過程，包括硬體、軟體授權、資料庫等。
    • 清理系統訪問權限，確保離開的員工和業務單位不再有訪問留在公司系統的權限。
  • 網絡架構的調整：
    • 出售業務可能需要對網絡架構進行重大調整，要確保在此過程中維持網路的安全性和完整性。
    • 確保新的網路設計符合安全最佳實踐，並且與組織的總體安全策略一致。
  • 合規性與法律問題：
    • 確保交易過程遵循所有相關的法律和合規性要求，包括出口控制、行業特定規範等。
    • 進行風險評估，以識別和管理由於資產和業務單位的變動可能帶來的合規風險。
  • 事後審計和文件記錄：
    • 確保所有與出售相關的變更和配置都有充分的記錄和文件支持，以應對未來的審計和查詢。
    • 實施定期的安全審計，以確保新環境符合安全政策和標準。
  • 與其他部門的協調：
    • 需要與財務、法律、人力資源等部門緊密合作，確保安全措施與業務目標和法律要求相匹配。
    • 確保資訊安全的角度被納入到交易的所有階段和討論中。

保證(Assurance)：消除疑慮、提升信心

• 常見的保證方法
  • 第一方的自我宣告：老王賣瓜，自賣自誇。
  • 第二方的他人見證：來自客戶的見證。(口碑)
  • 第三方的檢驗或稽核：由第三方的公正實驗室，以科學儀器及標準進行檢驗，並提出檢驗報告。
• 重要的認證標準與組織:
  • TCSEC:
    • 美國國防部制定，通稱橘皮書。定義了安全的電腦系統應具備安全機制且送實驗室檢驗過被確認安全機制有效。
    • 計算機系統必須包含可以獨立評估的硬件/軟件機制，以提供足夠的保證:
      • 操作保證(Operational Assurance)：系統架構、系統完整性、隱蔽通道分析、可信設施管理和可信恢復
      • 生命週期保證(Life-cycle Assurance)：安全測試、設計規範與驗證、配置管理和可信系統分發
      • 持續保護保證(Continuous Protection Assurance):強制執行這些基本要求的可信機制必須持續受到保護，防止篡改或未經授權的變更。
    • 依保護程度分ABCD四級，其中A級的安全性最高。
      • A級-驗證保護(Verified Protection):需要通過正式的驗證和證明過程，證明其安全策略的實現是正確無誤的。
      • B級-強制保護(Mandatory Protection):有強制型存取控制(MAC)來做存取控制。
      • C級-自由裁量保護(Discretionary Protection):有自主型存取控制(DAC)來做存取控制。
      • D級-最低保證(Minimal Protection):沒有特別的安全保護或者只滿足最基本的保護需求。
  • ISO15408:Common Criteria通稱CC標準。
    • Security Target(ST):安全功能描述，在PP之上增加的功能。
    • 保護輪廓(Protection Profile，PP):為ST的基礎範本，規範了應有的基本功能。其中包含有兩個安全需求(Security Requirement)
      • 安全機能需求(Security Functional Requirements，SFR):指定產品提供的安全機能，例如RBAC要用何種方式做身分驗證、可信恢復(Trusted Recovery)等。
      • 安全保障需求(Security Assurance Requirement，SAR):描述在產品的開發與評估過程中應採取的措施，以確保符合聲稱的安全功能。例如專案開發過程應該進行何種測試、組態管理(Configuration management、CM) 等。
    • Target of Evaluation(TOE):送驗的產品。
    • 評估確認等級(Evaluation Assurance Levels, EAL):
      • EAL提供了一個等級制度，從EAL1(最低)到EAL7(最高)，每個等級表示對產品或系統安全性的更嚴格和詳細的審查。
        • 嚴謹性:所採用的評估方法、流程和工具
        • 範圍:評估時考慮系統的百分比
        • 深度:系統的設計、實現、流程的評估粒度
      • 較高的EAL等級意味著該產品或系統經歷了更徹底和複雜的安全測試和驗證過程。(EAL等級較高不等於安全性較高)
      • EAL1 - 功能測試（Functionally Tested）
      • EAL2 - 結構測試（Structurally Tested）
      • EAL3 - 系統測試及檢查（Methodically Tested and Checked）
      • EAL4 - 系統設計、測試及審查（Methodically Designed, Tested, and Reviewed）
      • EAL5 - 半形式化設計和測試（Semi-Formally Designed and Tested）
      • EAL6 - 半形式化驗證設計和測試（Semi-Formally Verified Design and Tested）
      • EAL7 - 形式化驗證設計和測試（Formally Verified Design and Tested）：透過嚴謹、學術水準、數學理論支持的測試
  • 美國聯邦資訊處理標準(FIPS, Federal Information Processing Standards):
    • 除了軍事機構以外的美國政府機構與政府承包商在採購及存取資訊與通訊安全設備時，必須使用與遵守的標準。
    • FIPS 140為FIPS第140號標準，規定美國聯邦政府機構必須使用經過驗證的密碼模組的資通安全設備的標準。
  • SOC(服務組織控制措施):由美國職業會計師(AICPA)進行查核(專屬業務)。
    • 基於SSAE(Standards for Attestation Engagements，鑑證服務標準) 進行的一系列審計。
      • SSAE為由AICPA制定的一系列審計標準。旨在為專業會計師提供執行和報告確證任務（如審計、審查和協議遵循）的指導。
    • 看控制措施的設計是否適合
    • 每半年一次檢查控制措施營運的有效性(書審/實測)
    • SOC1:針對內部控制對用戶組織的財務報告的影響。
    • SOC2:針對資訊系統的資訊安全、資料保護與系統操作。
    • SOC3:為SOC2簡化的結論報告，目的是為了供組織外部(一般公眾)參考使用。
    • 可再區分為 Type 1 與 Type 2
      • Type 1(書審):對控制措施的適用性進行一次或多次檢查。
      • Type 2(書審+實地查核一段時間):檢查一段時間(6個月~1年)內控制措施的運作有效性。
  • CMMI:能力成熟度模型是一個框架，可用於改進和評估組織的過程，其中也包括軟件工程和採購過程。
  • 支付卡產業資料安全標準(PCI-DSS):信用卡支付系統要求標準
    • 由VISA、美國運通公司、發現金融服務公司、JCB和萬事達國際組織等五家國際信用卡組織聯合推出,是目前全球最嚴格、級別最高的金融機構安全認證標準。
  • CSA STAR:雲端安全聯盟。等級分為L1(有填文件資料即可)及L2(至少通過一種驗證ex:PCI-DSS、SOC)
  • CMMC:網路安全成熟度模型認證
  • SAMM:軟體保障成熟度模型。OWASP的一個開放框架，用來支援完整的軟體開發生命週期。
  • BSIMM:軟體安全建構成熟度模型。新思科技(Synopsys)推出的軟體安全建構成熟度模型，用來作為衡量組織在安全性方面的表現相較於其他組織的基準。

可信路徑和可信通道(Trusted Path and Trusted Channel)

• 可信計算機系統(Trusted Computer System):
  • 具有必要的安全功能並保證安全策略將得到執行並且可以同時處理一系列敏感資訊（即機密、受控非機密資訊 (CUI) 或非機密公共資訊）的系統。(CNSSI 4009-2015)
  • 系統被設計來保證特定的安全屬性，如機密性、完整性、可用性和不可否認性並通過實施一系列的安全措施和協議，來確保資料在處理、傳輸和存儲時的安全性和可靠性。
• 可信計算基礎(Trusted Computing Base，TCB):
  • 計算機系統內保護機制的總和，包括硬件、固件和軟件，負責執行安全策略的組合。(CNSSI 4009-2015)
  • TCB 的目標是為系統的敏感操作提供一個可信的執行環境，保證系統的安全策略得到有效實施。
• 安全內核(Security Kernel):
  • 實現參考監視器概念的可信計算基礎(TCB)的安全內核硬件、固件和軟件元素。安全內核必須調解所有訪問，防止修改，並且可以驗證是否正確。(CNSSI 4009-2015)
  • 安全內核負責管理對系統資源的訪問，確保只有經過授權的用戶和過程能夠執行敏感操作。這個概念最早在1970年代被提出，用於設計高度安全的計算系統。
• 可信路徑(Trusted Path):
  • 是一種安全機制，用於確保用戶與系統進行安全的交互，如登錄、配置安全設置、執行特權命令等。旨在建立用戶與系統之間的安全通信通道，保證在這條通道上的交互不會被未授權的第三方截取、修改或干擾。
  • 用戶（通過輸入設備）可以通過這種機制直接與資訊系統的安全功能進行通信，並有必要的信心來支持系統安全策略。該機制只能由用戶或資訊系統的安全功能激活，不可被不可信軟件模仿。(CNSSI 4009-2015)
• 可信通道(Trusted Channel):
  • 一種可以保證在通信過程中的資料保密性、完整性、以及可認證性的安全通信通道。這種通道的建立依賴於加密技術和安全協議，旨在確保資料在傳輸過程中不被未經授權的第三方截取、修改或篡改。
  • 端點已知且資料完整性在傳輸過程中受到保護的通道。根據所使用的通信協議，資料隱私可能在傳輸過程中受到保護。示例包括傳輸層安全 (TLS)、IP 安全 (IPSec) 和安全物理連接。(CNSSI 4009-2015)
• 可信平台模塊(Trusted Platform Module，TPM):
  • 一種內置於某些計算機主板中的防篡改集成電路，可以執行加密操作（包括金鑰生成）並保護少量敏感資訊，例如密碼和加密金鑰。(NIST SP 800-147)
  • TPM 主要用於實現硬件級別的安全，以增強計算設備的安全性
  • 金鑰綁定(Key Binding):
    • 計算機可以創建一個金鑰並加密它，使其只能由TPM解密。這個過程通常被稱為綁定(Binding)一個金鑰，這可以幫助保護金鑰不被泄露。
  • 金鑰封存(Key Sealing):
    • 計算機也可以創建一個金鑰，不僅包裹起來，還綁定到某些平台度量值，使其只有在這些平台度量值與創建密鑰時具有相同的值時才能解包。這個過程被稱為“將密鑰封存到TPM”。解密密鑰被稱為解封。

可信恢復(Trusted Recovery)

• 共同準則(Common Criteria，CC)中定義了四種類型的可信恢復，是一種在系統發生故障或安全違規後，能夠將系統恢復到一個已知安全的狀態的能力。包括在應用程式崩潰、系統故障或安全漏洞被利用後的恢復過程:
  • 手動恢復(Manual Recovery):當系統發生故障或安全事件後，由人工介入來恢復系統到安全狀態，例如Windows系統的安全模式。
  • 自動恢復(Automated Recovery):系統在發生故障後能夠自動恢復到一個安全狀態，無需人工介入，但是此狀況下尚未存檔的資料可能會消失。例如Windows系統藍屏當機後的自動重啟並修復。
  • 不會造成不當損失的自動恢復(Automated Recovery Without Undue Loss):類似於自動恢復，但這在恢復過程中特別設計來防止資料損失(文件的恢復)。
  • 功能恢復(Functional Recovery):如果安裝或更新程式失敗，系統能夠回滾(Rill Back)到之前的狀態，並且恢復所有已安裝的程序、文件和配置。
• 預設故障模式(Default Failure Mode):(額外補充)
  • 當系統或設備遇到故障時，會自動採取的行動或狀態。這通常是為了在出現問題時最小化損失或風險，確保系統安全。

安全通信通道(Secure Communication Channels)

• 在網路架構中，實施安全通信通道是確保資料傳輸安全和隱私的關鍵。
• 安全通信通道透過可信路徑(Trusted Path)與可信通道(Trusted Channel)確保資料傳輸安全和隱私，以保護資料傳輸過程中的完整性、機密性和可用性。
  • 使用加密技術（如SSL/TLS）來確保資料在傳輸過程中不被竊聽或篡改。
  • 要能抵抗各種網路攻擊，包括中間人攻擊（MITM）、封包嗅探和重放攻擊等。
• 以下類型需要根據設計實施安全通信通道:
  • 語音、影像和協作(Voice, Video, and Collaboration):
    • 視訊會議(Conferencing):視訊會議應該實施端到端加密，以保護會議內容不被未經授權的第三方截取。此外，應設置安全的會議密碼和驗證機制。
    • Zoom房間(Zoom Rooms):專為企業會議室設計的Zoom房間系統應加強物理安全措施和網路安全設置，如定期更新軟體和使用強化的訪問控制。
  • 遠端存取(Remote Access):
    • 網路管理功能(Network Administrative Functions):遠端存取網路管理功能時，應使用VPN或其他安全隧道技術來加密數據傳輸，並實施多因子認證以增加安全性。
  • 數據通訊(Data Communications):
    • 迴程網絡(Backhaul Networks):用於連接分散的網路節點至主網路的迴程網路需要特別注意資料加密和流量監控，以防止資料截取和篡改。
    • 衛星通信(Satellite):衛星通信必須採取加密措施來保護信號不受干擾，並確保通信鏈路的安全性。
  • 第三方連接(Third-Party Connectivity):
    • 電信提供商(Telecom Providers):與電信提供商的連接應該在合約中約定的安全要求，並進行定期的安全審查和合規性檢查。
    • 硬體支援(Hardware Support):涉及第三方硬體支援時，應確保所有硬體組件均來自可信來源，並通過安全認證，避免使用可能帶來安全隱患的未經授權或偽造產品。

(D7)安全營運(Security Operations)

• Tip: 日常營運，持續改善
• 安全營運有四個主要項目(念書重點):持續改善、變更管理、事故管理、災難復原

持續改善(Continuous Improvement)

• 改善:
  • 改，指的是採取矯正行動(Corrective)，將不符合的事項或是不好的地方改好。
  • 善，指的是採取升級行動(Upgrade actions)，把原本做得還不錯的讓它做得更好，也就是精益求精。
  • 矯正行動(Corrective) 與 升級行動(Upgrade actions) 合在一起便稱作改善。
• 持續:指的是沒有截止期限且頻繁地做某件事。
• 持續改善(Continuous Improvement) 指的便是要 每天、常常(定期或不定期) 進行改善，並將整個改善的觀念融入到組織日常的作業或日常營運之中。

變更管理(Change Management)

• 我們將改善的觀念融入到日常營運之中，但是改善也不能夠隨便做。若是有動到基準，那我們就必須注意變更管理。也就是當需要變更基準(Baseline)的時候都必須先提出變更申請，申請核准後才能實施變更。
• 基準(Baseline):
  • 任何被核定(Approved)的東西都稱為Baseline。
  • 在專案管理領域, 常見的基準有範圍(Scope), 時程(Schedule), 成本(Cost)等。
  • 在IT領域有組態基準(Configuration Baseline)。
  • 在資安領域則有控制基準(Control Baseline)，即為NIST的Baseline。在資通安全責任等級分級辦法又稱為防護基準。
• 變更諮詢委員會(Change Advisory Board，CAB):
  • 在IT服務管理框架中，特別是在ITIL實踐中用來審查、評估、批准、拒絕或延遲變更請求的一個正式組織。
  • 主要作用是確保對IT基礎設施所做的變更是有管理的、可控的並且具有最小的風險。
  • 成員通常包括來自不同部門的關鍵利益相關者，如IT管理、業務單位代表、QA、資訊安全、風險管理等，以保證從多個角度審視變更的影響。根據變更的性質和規模，也可能包括外部顧問或供應商代表。

變更控制(Change control)

• 監管變更的實施過程，包括審查、批准和記錄所有對基礎設施的變更。
• 這個過程會涉及一些測試來確保變更不會導致問題，但主要是關注整體變更的管理。

請求控制(Request control)

• 管理和審查變更請求(Request for Change，RFC)，主要關注於變更請求的初步評估和批准，並不直接負責執行接受測試。

組態管理(Configuration control)

• 專案管理和系統工程中的一個關鍵過程，用於管理技術系統（如硬體、軟體和更複雜的整體系統）在整個生命週期中的變更。
• 組態管理確保所有變更都經過審查、記錄和批准，從而維護系統的完整性、一致性和功能。

發佈控制(Release control)

• 屬於組態管理的一部分，管理和監控軟體從開發階段到生產環境的轉移，以減少部署新軟體或系統更新時對現有運營的干擾。
• 過程確保軟體的發佈是計劃性的、可預測的、並且符合預定的質量標準。

事故管理(Incident Management)

• Overview:
  1. 事故管理階段(Incident Management Phases)
  2. 入侵偵測與預防(Intrusion Detection and Prevention)
  3. 數位鑑識(Investigation and Evidence)
  4. 事故反應能力(Incident Response Related Capabilities)

事故管理階段(Incident Management Phases)

• 四個階段:準備(Preparation)->檢傷(Triage)->處理(Handling)->事後(Post-incident)。
• 可分為事前規劃與事故回應
  • 事前規劃:
    • 準備(Preparation):
      • 包含制定政策、制定計畫(事件響應計畫(IRP))
      • IRP要能讓管理層Buy-in，且依循公司的整體安全政策(Policy)
      • User意識提升(User Awareness)
      • 建立事故回應團隊:成員除了包含組織的管理高層、資安人員、法定代表人、系統技術團隊的代表人員外，也可將公關、廠商、檢警等納入考量。
        • IR團隊任務:
          • 確定事故造成的損害數量和範圍
          • 確定事故期間是否有任何機密資訊被洩露
          • 實施任何必要的恢復程序，從損害中恢復
          • 實施任何必要的額外安全措施，提高安全性並防止事故再次發生
      • 蜜罐(Honeypot/Padded Cell):
        • 可作為誘餌以拖延駭客駭進真正主機的時間，需注意被當跳板或是其他法律風險
      • 蜜網(Honeynets):
        • 由多個蜜罐(Honeypots)組成的網絡用來監控並記錄攻擊者的活動，以便研究其攻擊方法和行為模式，進而提高現有安全措施的有效性。
      • 沙盒(Sandboxing):
        • 為執行中的程式提供隔離環境。作為一些來源不可信、具破壞力或無法判定程式意圖的程式提供實驗之用。
      • 白名單(Whitelisting)
      • 黑名單(blacklisting)
      • 惡意程式阻擋(Anti-Malware)
  • 事故回應(Incident Response，IR):
    • 檢傷(Triage):判斷(真假)、排序(優先等級/事故等級)、通報(對上報告、其餘通知)。
      • 偵測與調查(Detection & Investigation)：判斷(真假)
        • 入侵偵測(Intrusion Detection，ID):包括實體與網路入侵
      • 排序(Prioritization)：排序(優先等級/事故等級)
      • 通知(Notification)與標準化事故文件：通報(對上報告、其餘通知)
    • 處理(Handling):停損(治標)、根除(治本)、回復(有損失的話)。
    • 事後(Post-incident):反省檢討，持續改善。

入侵偵測與預防(Intrusion Detection and Prevention)

• CISSP考試以網路入侵偵測為重點，包含IDS(偵測)與IPS(偵測+Action)。
  • 入侵偵測系統(Intrusion Detection System，IDS)：只偵測不動作
  • 入侵預防系統(Intrusion Prevention System，IPS)：偵測+動作
• 偵測方式分兩種類型:
  • 特徵式偵測(Signature-Based-Detection):以知識為基礎，此種偵測方式只認得既有/已認定 的異常行為。
  • 異常行為式偵測(Anomaly-Based-Detection):以行為做基礎，此種方式旨在偵測偏離正常範圍的行為，透過蒐集資料->建立模型->機器學習的方式來訂定正常範圍。
    • 網路行為分析(Network Bechavior Analysis，NBA)
• 使用IDS/IPS偵測時特別需要注意:
  • 誤報(False Positive):沒事但告警
  • 漏報(False Negative):有事但沒告警
• IDS/IPS部署方式(IDPS Deployment):
  • 在軟體上安裝Agent來監視主機行為:Host-Based IDS
  • 在硬體上用Sensor來監視網路行為:Network-Based IDS
    • 感測器模式(Sensor Modes):
      • 內聯模式(InLine):
        • 感測器直接放在資料流的傳輸路徑上。這意味著所有進入或離開網絡的流量都必須經過感測器。
        • IPS可以即時阻擋或修改流量，實現主動的攻擊防禦。
      • 被動模式(Passive):
        • 透過監聽或複製通過網路的資料副本來進行監視和分析
        • 不會直接干預網路流量，但如果檢測到異常或攻擊時便會發出警報。
        • 被動感測器部署位置(Passive Sensor Locations):
          • SPAN通訊埠(Spanning Port):
            • 在Switch上的特殊端口，可用於複製一個或多個Port的流量到另一個Port上。
            • IDS感測器通常連接到SPAN Port以接收網絡的流量副本進行分析。
          • 網路攔截器(Network Tap)：
            • 安裝在網路連接中，用於創建流量的精確複本。
            • 可使IDS感測器能夠監聽網絡流量而不影響原始資料的傳輸。
          • IDS負載平衡器(IDS Load Balancer):
            • 夠將網絡流量均衡分配給多個IDS感測器，確保有效監控而不會因單一點的流量過載而遺漏潛在的威脅。
            • 通常應用在大型網絡環境中，當需要多個IDS感測器來處理大量的網絡流量時使用。
• 補充：
  • 談IDS就只有誤報(偽陽性,False Positive)及漏報(偽陰性,False Negative)，門禁就只有錯殺(FRR)及錯放(FAR), 只有談統計的假設檢定或Machine Learning的分類器才會用Type I或Type II錯誤。

事故反應能力(Incident Response Related Capabilities)

• 分為事前、事中、事後。
  • 事前:
    • 安全意識的提升
    • 威脅資訊的蒐集
    • 與其他組織情資分享及交換
    • 實體的行為分析
  • 事中:
    • 單位聯防
    • 設備聯防
  • 事後:
    • 安全資訊與事件管理(Security Information and Event Management，SIEM)
      • 用來集中各種設備所蒐集到的Log，進而整合事件告警、關聯分析、產出資料報表來識別潛在的安全問題。(看LOG)
      • 核心功能:
        • 相關性(Correlation):將不同來源的安全事件和日誌資料進行匹配和分析，以識別出潛在的安全威脅和異常行為。
          • 資料彙總與索引:
            • 可以有效解決日誌來源多樣、內容和格式不一致的問題且能統一時間戳記。
            • 將來自不同來源的安全日誌和事件資料彙總到一起，並將它們進行索引，以方便進一步的分析和搜索。
          • 模式識別與關聯規則定義:
            • 通過定義特定的規則和條件，分析日誌和事件資料中的行為模式，識別出可能的安全威脅。
          • 警報生成與響應:
            • 識別到符合預定義威脅模式的行為時，系統將產生警報，並可以根據設定執行自動化響應動作，如阻擋攻擊或通知安全管理員。
        • 稽核軌跡(Audit Trail):提供詳細的、有序的活動記錄
    • 用戶和實體行為分析(User and Entity Behavior Analytics，UEBA):
      • 使用者和實體行為分析(UEBA)擴展了使用者行為分析(UBA)的概念。增加的實體(Entity)一詞指的是裝置、應用程式和網路。
      • 為特定目的分析使用者以及實體的行為，將來自綜合資料來源的事件關聯起來，進而建立正常行為的基準(Base Line)
      • 透過檢測並評分行為與基準的偏差，找出異常行為並發送警報來捕獲可能的潛在威脅。(看LOG)
    • 安全協調、自動化與回應(Security Orchestration, Automation, and Response，SOAR):
      • 使安全團隊能夠整合和協調獨立的安全工具，自動化重複性任務，並優化事件和威脅響應工作流程的一種軟體解決方案。
      • 工作原理是將安全事件響應平台、安全編排和自動化平台以及威脅情報平台的功能合併在一起。
• 六標準差（Six Sigma）：是一種以數據為驅動的方法學，用於減少缺陷，提高質量和效率，適用於流程改進和變異減少，因此可以用於量化和改進事件響應過程。

事件響應計畫(Incident Response Plan，IRP)

• 一套事先制定的指南和程序，用於幫助組織在發生安全事件時快速、有效地應對，以減少損失並恢復正常運營。
• 主要目標是確保組織能夠迅速識別、評估、回應和恢復於各種安全事件。
• 關鍵組成:
  • 準備階段(Preparation)：涉及取得老闆支持、制定政策、建立團隊、指派責任、加強員工資安知識訓練。
    • 識別和報告：建立機制以快速識別和報告安全事件。
    • 評估和決策：對事件進行分類和優先級排序，並決定適當的響應策略。
  • 預處理(Triage): 判斷真假、排定順序、完成通報
  • 回應(Response): 先停損、後根除、有損害再復原
    • 響應和處理：按照預定程序採取行動以控制、包含和緩解事件影響。(抑制(Containment)/減輕(Mitigation))
    • 恢復和復原：採取措施恢復受影響系統和服務，並將業務恢復至正常運營狀態。(根除(Eradication)/補救(Remediation))
    • 識別攻擊者&蒐集證據
    • 權變(Workaround):臨時的解決方案，在無法立即修復問題或缺陷時，繞過或暫時解決問題以減少影響並保持業務或系統的正常運行。
  • 事後(Post-incident): 尋找根因、防止再發、反省檢討、持續改善
    • 保留證據(Evidence Retention)
    • 事後審查和改進：分析事件處理的效果，並從中學習以改進未來的響應能力。
• OSG中對IRP的說明:
  1. 偵測/檢測 (Detection): 識別的判斷真假，排定順序
  2. 回應/響應 (Response): 有CSRT或CSIRT，在最短的時間要有團隊(完成)
  3. 緩解/抑制 (Mitigation): 限制事件的影響範圍，先停損(Containment)後根除(Eradication)
  4. 報告 (Reporting): 報告給主管了解知道，甚至到執法單位
  5. 恢復 (Recovery): 有損害則恢復至原來可運作的狀態
  6. 修復/補救 (Remediation): 要做根因分析
  7. 檢討改進/總結教訓 (Leasson Learned): 學習本次事件避免再犯

數位鑑識(Investigation and Evidence)

• 電腦證據來源:硬碟資料、RAM資料、網路傳輸紀錄。
• 文檔證據/文件證據(Documentary evidence) 以正本為最佳:
  • 文件證據指的是以文件形式存在的證據，例如書面文件、電子郵件或數位檔案。
• 口頭證據(Parol evidence):
  • 指的是未被紀錄在書面合同中的口頭協議或聲明。
  • 口頭證據不能推翻文件證據。
• 特別要注意Chain of Custody，也就是是否有完整紀錄有哪些人經手過證據。
  • 監管鏈(Chain of Custody)：確保在整個調查過程中，所有蒐集的證據都遵循嚴格的處理和記錄流程，以保證其在法律程序中的有效性。
• 證據還有許多不同的分類方式:
  • 直接證據(ex:DNA、指紋) vs 間接證據
  • 有形證據 vs 無形證據
  • 實物證據(Real evidence)(ex:子彈) vs 展示證據(ex:彈道圖)
    • 實物證據指具體的物理物品，可以直接帶到法庭上展示的證據
  • 類別證據(ex:鞋印) vs 個體證據(ex:DNA)
  • 見證證據(Testimonial evidence):
    • 在法庭上由證人提供的口頭證詞，涉及證人的陳述和描述。
• 聯邦證據準則(Federal Rules of Evidence):由美國聯邦法庭採用的法律規則，用於在法庭上判斷證據的可接受性。旨在確保證據的公正性、可靠性和有效性，並指導法庭如何處理證據問題。
  • 最佳證據規則(The best evidence rule):
    • 在法庭訴訟中使用文件作為證據時，必須提供原始文件。除非規則存在某些例外情況，否則原始證據的副本或描述（稱為次要證據）將不被接受為證據。
  • 傳聞證據規則的例外(Exceptions to the rule against hearsay):
    • 傳聞是指在法庭外制作的陳述，用於證明陳述所斷定事實的真實性。
    • 通常，傳聞在法庭上是不可接受的。然而，存在一些例外情況，例如當直接證人不可獲得或陳述具有特別的可靠性時，某些傳聞可以被接受作為證據。
    • 電子日誌證據為了確保其有效性便是引用此規則而需要系統管理員認證。
  • 口頭證據規則(Parol evidence rule):
    • 此規則限制或禁止在書面合約確定後，使用口頭協議來改變或矛盾合約的內容。
    • 用來防止試圖通過聲稱未記錄在合約中的額外協議來修改已經達成的書面協議。
  • 排除合理懷疑標準(Beyond a reasonable doubt standard):
    • 排除合理懷疑是刑事案件中的一個相當嚴格的定罪標準，要求證據的確定性程度必須非常高，以致於沒有合理的懷疑被告是無辜的。
  • 證據優勢標準(Preponderance of the evidence standard):
    • 為民事案件中的判決標準。
    • 根據這一標準，一方的證據必須比另一方的證據更有說服力，即有超過50%的概率說明其主張為真。
    • 這是一個相對較低的標準，與超越合理懷疑的標準相比，它不需要證據達到那麼高的確定性程度。
• 證據接納標準(Admissibility Criteria):
  • 在法律上，證據的接納性(Admissibility)確保在法庭上使用的證據是合適且可靠的。
  • 資格(Competence)標準:
    • 指的是證據是否由合格的來源或方式獲得。
    • 文件證據或其他物理證據必須由可信的來源提供，並以正確的方式處理和保管，以確保其未被篡改或損壞。
  • 傳聞(Hearsay)標準:
    • 指透過第三方的述說而來的信息。
    • 一般來說，傳聞證據在法庭上是不被接納的，因為它不能被交叉審問以驗證其真實性。然而，有許多例外情況，例如當事人已故，或其他特殊情況下，傳聞證據可能會被允許。(傳聞證據規則的例外)
  • 關聯性(Materiality)標準:
    • 指的是證據與案件事實的直接相關性。
    • 若證據與案件的具體事實或結果無關，可能會被認定為非關聯性證據而不被接納。

電子發現參考模型(Electronic Discovery Reference Model，EDRM)

• 電子發現參考模型(EDRM):
  • 概述了數位資料恢復和發現的標準框架。作為法律過程中收集和整合電子資料的指導，包括刑事證據的發現。資料治理(Data Governance)則是其中最關鍵的要素。
  • 資訊治理（Information Governance)
    • EDRM的首要階段，涉及建立政策和程序來管理資料生命週期，確保有妥善的資料處理流程，以便在需要時能夠快速準確地獲取資訊。
  • 識別（Identification）:
    • 找出潛在的資訊來源和資料的位置，這些資料可能與案件相關。
  • 保護（Preservation）:
    • 確保識別出的相關的資料不被篡改、刪除或損壞。這通常涉及將資料置於法律保留狀態，防止資料丟失。
  • 收集（Collection）:
    • 將相關資料從其原始位置轉移到一個安全的環境，以進行進一步的處理和審查。
  • 處理（Processing）:
    • 將收集的資料轉換成可用於審查和分析的格式。處理階段可能包括資料剔除(Cut through)、轉換和整理。
  • 審查（Review）:
    • 交由法律團隊評估資料以確定哪些資料與案件相關，哪些不相關。這包括檢查特權和保密性。(移除敏感且需要保護的資訊)
  • 分析（Analysis）:
    • 分析資料以揭示模式、事實、趨勢等，這有助於了解案件情況並制定法律策略。
  • 呈交（Production）:
    • 在呈交階段，相關的電子文件以適當的格式交付給請求方或法庭。
  • 呈現（Presentation）:
    • 將資料以法庭可以接受的方式展示出來，用於訴訟、審判或其他法律程序。
• 取證磁盤控制器(Forensic Disk Controller):
  • 專為資料取證目的設計的裝置，主要用於安全地存取和複製硬碟中的資料，而不修改原始資料。(保護資料完整性)
  • 控制器保證在進行資料取證時，能夠以一種非侵入性的方式讀取儲存裝置，從而不觸發任何可能改變硬碟內容的寫入操作，如系統日誌更新或文件日期時間戳的變更。
  • 寫入阻斷(Write Protection):最重要的功能，磁碟控制器會防止所有寫入操作，保證取證過程中不會對原始資料進行任何修改。
  • 除了資料複製，取證磁盤控制器還可以用於資料恢復，幫助取證專家從損壞或格式化的硬碟中恢復資料。

災難復原(Disaster recovery)

• 災難(Disaster):NIST提到，需要搬家(機房)的程度才算災難。

災難復原計劃(Disaster Recovery Plan，DRP)

• 一組詳細的策略和程序，旨在幫助組織在發生災難性事件後恢復其技術基礎設施和系統。專注於IT和技術系統的快速恢復和維護，以確保關鍵業務功能能在災難後繼續運作或迅速恢復。
• 主要組成:
  • 風險評估和業務影響分析（BIA）：識別可能對IT基礎設施造成影響的災難類型，並評估對業務運作的影響。
  • 關鍵系統和資源的識別：確定組織運作中關鍵的IT系統、應用程序和資料，以及它們的恢復優先級。
  • 恢復策略和目標:制定具體的恢復目標，包括恢復時間目標（RTO）和恢復點目標（RPO），並規劃恢復這些系統和資源所需的策略。
    • 最大容許時間(Max Tolerable Downtime, MTD):Process停止的最大可容許時間，取決於衝擊有多大。
    • 目標復原時間(Recovery Time Objective，RTO):需要多久來回復Resource以讓Process能重新運行的目標時間。
    • 復原時間點目標(Recovery Point Objective，RPO):如果需要倒回資料，資料能夠回復到多久前的時間點目標。
  • 備份和資料復原：制定備份計畫以保護關鍵資料，並計畫如何在災難後迅速恢復這些資料。
  • 應急通訊計畫(Communications):
    • 確保在災難發生時，能夠與員工、客戶、供應商和其他利益相關者溝通並及時獲得準確的資訊，以協調和實施恢復策略。
      • 所有利益相關者保持資訊同步：包括內部員工、管理層、外部合作夥伴，以及必要時的公眾。
      • 緊急響應團隊能迅速行動：通訊保證了指令和策略能夠快速傳達給負責實施的個人或團隊。
      • 降低恐慌和不確定性：透明和持續的通訊有助於緩解恐慌和不確定感，保持組織的穩定性。
    • 通訊方法(Methods):
      • 電子郵件和短信
      • 會議電話和視頻會議
      • 專用通訊平台
      • 緊急通訊系統
      • 社交媒體
  • 訓練、測試和演練：定期對DRP進行測試和演練，以確保計畫的有效性並使員工熟悉執行程序。
    • 測試過程中需要有效的溝通策略確保所有相關人員都清楚計劃的執行情況、遇到的問題及改進的需求。
    • 利益相關人(Stakeholders):
      • 所有直接或間接受災難復原計劃影響的個人或組織，如員工、管理層、業務合作夥伴、客戶等。
      • 確保利益相關人了解各自的角色和責任，以及測試中可能影響他們的方式。
    • 監管機構(Regulators):
      • 對組織的災難復原策略有監督和合規要求的政府或行業監管機構。
      • 向監管機構報告測試結果和計劃的符合性狀態，特別是當法律或行業標準有明確要求時。這包括任何必要的正式報告或審核文件。
    • 測試狀態(Test Status):
      • 指災難復原計劃測試的當前進展、階段及任何關鍵事件的更新。
      • 定期更新測試狀態，包括任何關鍵成功或遇到的挑戰，以及後續處理步驟。
  • 計畫的更新和維護：定期審查和更新DRP，以確保它反映當前的業務需求和技術環境。
• 重要性:
  • 最小化中斷：在災難發生時，DRP可以幫助組織迅速恢復關鍵技術操作，減少業務中斷的時間和影響。
  • 資料保護：通過備份和資料恢復策略，DRP保護組織的重要資料免受災難性事件的損害。
  • 財務穩定：避免由於業務中斷造成的重大財務損失。
  • 客戶和市場信心：展示組織能夠有效應對災難和挑戰，有助於保持客戶信任和市場地位。

備援站點

• 備援站點依整備程度分三類:Hot Site、Warm Site、Cold Site。
  • Hot Site:場地、硬體、軟體都已準備好，且資料是與主站點即時同步或只差最新的一份資料。處於隨時可啟動的狀態或是已在啟動狀態，當事故發生時隨時可切換過來。RTO(復原時間目標)在30秒~30分鐘，RPO(資料復原點目標)為0。
    • 鏡像站點(Mirrored Site)：與主站點不間斷的同步資訊。RTO(復原時間目標)在0秒~30秒，RPO(資料復原點目標)為0。
  • Warm Site:場地、硬體、軟體都已準備好，但資料並未與主站點即時同步。事故發生後需要將資料倒入後才能啟動。RTO在30分鐘~72小時，RPO大於0。
  • Cold Site:啥都沒有，只有場地。可能是已完成事前選址評估作業的組織閒置場地或是其他可立即簽約採購或租下的場地。RTO大於72小時，RPO大於0。
• 互惠站點 (Reciprocal site)：指兩個或多個組織間的協議，它們同意在災難發生時提供對方設施的使用權。
  • 雖然在成本上可以節省，但在實際執行時可能非常困難。它依賴於兩個組織間的持續合作和信任，以及他們的能力和意願在災難時互相支援，因此互惠站點協議較難以強制執行。
• 行動站點(Mobile Site)：機房就在卡車內，靈活但可能設備和資源會受限。

資料備份策略(Data Backup Strategy)

• 資料備份策略是組織中資訊管理的重要組成部分，旨在保護資訊免受丟失、損壞或其他風險的影響。有效的備份策略確保在發生資料丟失事件時，可以迅速恢復資料，維持業務的持續運營。
• 備份類型可分為:完整備份(Full Backup)、增量備份(Incremental Backup)、差異備份(Differential Backup)
  • 完整備份(Full Backup):
    • 複製所有選定資料的完整備份。儘管耗時且佔用存儲空間較多，但全備份能提供資料恢復的最完整基礎。
    • 恢復過程直接且簡單。只需從最近的全備份中恢復所有資料即可。(恢復時間最短)
    • 完成後會清除所有檔案的保存位元（設為0），以表示所有檔案都已備份過。
  • 增量備份(Incremental Backup):
    • 僅備份自上次備份（無論是全備份還是增量備份）之後發生變更的資料。這種方法可以節省時間和存儲空間。
    • 恢復過程中需要先從最近的全備份恢復，然後依次應用所有後續的增量備份。如果增量備份的數量較多，恢復時間會增加，因為每個增量備份都需要依次恢復。(恢復時間最長)
    • 透過檢查所有檔案的保存位元，備份軟體即可得知哪些檔案被更動過，從而確定需備份的檔案。
  • 差異備份(Differential Backup):
    • 備份自上次全備份以來發生變更的所有資料。比增量備份占用更多的存儲空間。
    • 恢復時只需要最近的全備份和最後一次的差異備份。(恢復時間中等)
    • 差異備份不會更動保存位元，檔案的保存位元會維持在上一次完全備份完成後的狀態。
• 備份窗口(Backup Windows)：完成一次給定備份所需的時間，其長短由需要備份資料的總量和處理資料的網路構架的速度來決定。
• 保存位元(Archive bit)：一種檔案屬性，Archive bit＝0表示已備份，當應用程式修改或回存檔案時，會把此位元設為1，表示此檔案經過異動，以便備份軟體檢查。
• 依備份位置可分為雲端儲存(Cloud Storage)、本地儲存(Onsite)、異地備份(Offsite):
  • 雲端儲存(Cloud Storage):
    • 使用雲端平台來儲存資料備份。優點包括可擴展性、靈活性和成本效益，並且可以從任何地點訪問備份資料。
    • 雲端儲存通常提供高可用性和災難恢復能力
  • 本地儲存(Onsite):
    • 在組織的物理設施內部儲存備份資料。
    • 便於快速存取和控制資料，但可能會受到物理安全問題（如火災或洪水）的影響。
  • 異地備份(Offsite):
    • 在組織外部的其他地點儲存備份資料以提供額外的保護，以防組織所在地發生災難。
    • 通常存放在地理上分離的安全位置，以增加資料安全性和可靠性。
• 遠端鏡像(Remote mirroring):
  • 指即時複製資料到另一個遠端位置，通常用於確保資料即時性和可用性。
• 電子分批複製(Electronic Vaulting):
  • 將本地系統所產生的重要資料批量備份到離線或遠端儲存位置。
• 遠程日誌記錄(Remote Journaling):
  • 將資料變更日誌定期傳送到異地儲存位置。
• 資源容量協議(Resource Capacity Agreements):確保在災難發生時，恢復站點具備足夠的處理能力、儲存空間和網絡資源來支持業務持續運作。
• 備份驗證(Backup Verification Data):
  • 定期檢查備份資料的完整性和可用性，以確保在資料丟失或系統損壞的情況下，備份資料可以被成功恢復。
    • 完整性檢查：確認備份資料的完整性，無損壞或數據丟失。
    • 恢復測試：定期進行恢復演練，確保備份資料可以在需要時迅速且完整地恢復。

高可用性(High Availability Clustering，HA)

• 用於提高系統或應用程式可靠性的技術，主要目的是保證系統服務的持續運作，即使其中一部分發生故障也能迅速恢復。
• 容錯移轉集群(Failover Cluster):
  • 通過多個互聯的節點工作在一起來實現，形成一個集群。當集群中的一個節點失效時，其他節點可以接管失效節點的工作負載，從而確保系統的整體運作不受影響。
  • 主動/被動(Active/Passive Clustering):
    • 最常見的高可用性集群形式之一，其中一個節點（主動節點）在正常情況下處於運行狀態，而另一個或多個節點（被動節點）處於待命狀態。
    • 當主動節點發生故障時，一個被動節點會接管服務，成為新的主動節點。
  • 主動/主動(Active/Active Clustering):
    • 所有節點都同時處於運行狀態，共同處理來自用戶的請求。
    • 如果一個節點失效，其餘的節點會接管失效節點的工作負載。
    • 更好的資源利用率和負載平衡，但需要更複雜的管理和同步機制。
  • N+1/N+M:
    • N代表正在執行的節點數，而+1或+M代表一個或多個額外的備用節點。
    • 允許一個或多個節點同時失效，備用節點能夠立即接管故障節點的任務

(D1)機密性、完整性、可用性(C、I、A)

• T3目標:機密性、完整性、可用性(C、I、A)
• FISMA條文中對資訊安全目標的定義
• 機密性(Confidentiality):資料不外洩。
  • 資料被不符合安全等級(低級別拿到高級別)或是職務上不需要知道的人員拿到便代表資料外洩。
• 完整性(Integrity):資料不被篡改。
  • 真實性(Authenticity):確保資料來源的真實性。
  • 不可否認性(Non-repudiation):收發雙方均不可否認有發送/收到。
    • 指可透過足夠的科學性/技術性讓法院認定，無法否認執行特定行為的責任。
    • 第三方可以驗證資料的完整性和來源是否源自擁有所聲稱簽署者私鑰的特定實體。
    • 確保向資訊發送者提供傳遞證明，並且向接收者提供發送者身分證明，以便日後雙方都不能否認已處理該資訊。
• 可用性(Availability):資料要用時隨時可用，且系統不中斷。

(D2)資產安全(Assets Security)

• Tip:盤點、分類、保護
• 念書重點:盤點、分類、保護、資訊系統的組成(孔雀八根毛)
• 資產安全(Asset Security) = 資訊系統安全(Information Systems Security)

資訊系統的組成(孔雀八根毛)

• 資料(Data)
• 電腦系統(Computer Systems)
• 作業系統(OS)
• 軟體(Software)
• 網路(Network)
• 機房(Data Centers)
• 人(People)
• 業務程序(Business process)

盤點(Inventory)

• 這邊的重點是:指派資產負責人(Owner)。
• Owner並非資產擁有者而是保護者，也就是對資產當責(Accountability)，出事時要出來扛責任，由高階管理者擔當。
• 可再依層級細分為Business Owner(組織)、Process Owner(業務流程)、System Owner(資訊系統)、Data Owner(資料)。
  • Business Owner(組織):
    • 業務領域或部門的高級管理者，負責:
      • 業務策略和目標的制定。
      • 決定如何分配資源，以支持業務策略和提高業務效率。
      • 確保業務操作符合法律和監管要求，並管理與業務相關的風險。
  • Process Owner(業務流程):
    • 負責特定業務流程的設計、執行和持續改進以確保流程執行有效並達到預期的業績指標。
    • 需監控流程性能，並對流程的效率和效果負責，也要定期向高層報告。
  • System Owner(資訊系統):
    • 負責管理特定的信息系統，包括技術維護、升級和確保系統運行的安全性和穩定性。
    • 需要確保系統遵守相關的安全政策和合規要求，並實施適當的安全措施來保護系統和資料。
    • 需要確保用戶能有效使用系統，並提供必要的支持和培訓。
  • Data Owner(資料):
    • 負責指定資料集的管理，確保資料的質量、準確性和完整性。
    • 決定誰可以存取和使用資料，並確保資料的使用符合隱私政策和合規要求。
    • 需要確保適當的資料保護措施被實施，以防止未經授權的存取和資料洩露。
• 補充:責任(responsibility)與當責(accountability)的差異
  • 責任:他人所賦予的，員工經常被賦予工作上的責任要將工作任務做好。
  • 當責:由自身主動扛起責任，做為主管都應有當責的意識，當下屬在任務上失敗時，主管要能扛起責任讓下屬能夠免去多餘的顧慮，以盡力達成任務目標。

額外補充

• 企業內容管理工具(Enterprise content management tool):
  • 用於管理企業的文檔和其他內容，不適用於實體資產。
• 條碼財產標籤(Barcoded property tags):
  • 這種標籤通常貼在實體資產上，透過掃描條碼來追踪資產的位置和擁有者資訊。
• RFID財產標籤(RFID-based property tags):
  • 以RFID標籤替代條碼財產標籤，提供更先進的追踪功能，可以遠距離讀取資產資訊，適合於大型企業或需要高度自動化的環境。(成本較高)
• 系統清單(System inventory):
  • 軟體和硬體資產的盤點清單，可用於匹配資產的使用者和擁有者，需要定期更新。

分類(Classification)

• 這邊的重點是:將資產分類或分級。
• 資訊系統(Information System):
  • NIST RMF對資訊系統的分級依出狀況時造成的影響大小分為三級:高衝擊(High)、中衝擊(Moderate)、低衝擊(Low)。
• 資料(Data):
  1. 機密資料(Classfiled) 為經過一定 標準/程序/授權 核定，且符合機密等級的資料。
  2. 除了特定的單位，在大部分的組織中做分級是想怎麼分就怎麼分，並沒有固定的分法。
  3. 美國政府將機密資料依機密性從高至低分成四級:Top Secret、Secret、Confidential、Unclassified。
     • 極秘(Top Secret):資料外洩時可能對國家安全造成極為嚴重損害的資訊
     • 秘密(Secret):資料外洩時可能對國家安全造成嚴重損害的資訊
     • 機密(Confidential):資料外洩時可能對國家安全造成損害的資訊
     • 未分類(Unclassified):未被定義為機密資料(Classfiled)的資料，之後可能會被歸類到機密資料，因此不代表可以被公開。
  4. 美國民間則分為三級:Confidential、Sensitive、Public。
     • 機密(Confidential):對公司營運至關重要的訊息，例如商業機密、客戶資料、策略計畫等
     • 敏感(Sensitive):需受到一定保護的訊息，其揭露可能對公司或員工造成一定影響，例如內部薪酬結構
     • 公開(Public):可以向公眾分享的訊息，如行銷資料、公司新聞等
  5. 民間分級中的Confidential，在個資有另一個說法-Private。
  6. 也可以根據商業價值(Business Value)來分類:
     • 關鍵資料(Critical Data):對企業的營運和策略決策至關重要的資料。 例如，核心財務資料、專利技術。
     • 重要資料(Important Data):對日常營運很重要，但不一定是企業策略的核心的資料。 例如，行銷策略、業績報告
     • 普通資料(Routine Data):：用於日常業務活動，但對企業決策和策略影響較小的資料。 例如，日常工作報告記錄、一般行政記錄
     • 非關鍵資料(Non-Critical Data):對企業的營運和策略影響最小。 例如，過時的記錄或已不再使用的資料
• 人員(People):
  1. 安全許可(Security Clearance):美國政府在僱傭人員前會先做盡職調查，後將人員依可取得機密資料的權限做分級(分級方式同資料分級)。
  2. 高機密級別資料被低安全許可級別的人員拿到便可稱作洩密。
  3. Need to know:即使是同級別的機密資料，如果拿到不屬於職務或身份上應該接觸的資料也算洩密。
• 業務流程(Business Process):
  • 可分為關鍵流程以及非關鍵流程或核心流程以及非核心流程。

保護(Protection)

• 透過安全控制機制(Security Control)令資產免於受到風險造成的危害。
• 經由風險評鑑->風險處置->設安全控制措施->安全(控制措施)評鑑來保護資產

系統高級模式(System High Mode)

• 一種特定的安全操作模式，常見於軍事和政府機構中的信息系統。
• 此模式下的系統被設定來處理和存儲具有統一最高安全分類級別的信息。
• 所有被授權訪問這一系統的用戶都必須擁有對這一最高分類級別的訪問許可。
• 統一安全級別:所有的數據都被視為具有相同的敏感度和保密需求。

電腦系統(Computer Systems)

• 包含算術邏輯單元(Arithmetic & Logic Unit, ALU)、控制單元(Control Unit)、記憶單元(Memory Unit)、輸入單元(Input Unit)和輸出單元(Output Unit)

CPU記憶體位址定址

• 在使用記憶體資源時，處理器必須有某種方式來參考記憶體中的各個位置。這個問題的解決方案稱為位址定位，並且有幾種不同的位址定位方案在各種情況下使用:
  • 寄存器定址(Register Addressing):
    • 寄存器是CPU內部的小型記憶體位置。當CPU需要從其中一個寄存器獲取資訊以完成操作時，它使用寄存器位址（例如，“register 1”）來訪問其內容。
  • 立即定址(Immediate Addressing):
    • 立即定址本身並非記憶體位址方案，而是一種將數據作為指令的一部分提供給CPU的方式。
    • 例如，CPU可能處理命令“將2加到寄存器1的值中”。這個命令使用兩種位址方案。第一種是立即定址——CPU被告知要加上值2，並不需要從記憶體位置檢索該值——它作為命令的一部分提供。第二種是寄存器定址；它被指示從寄存器1檢索值。
      • MOV AX, 20H (把一個常數20H存入AX)
  • 直接定址(Direct Addressing):
    • 在直接定址中，CPU被提供了要訪問的記憶體位置的實際位址。該位址必須位於與正在執行的指令相同的記憶頁上。
    • 直接定址比立即定址更靈活，因為記憶體位置的內容比重新編程立即位址的硬編碼資料更容易改變。
      • MOV AX, [20H] (把位址20H的內容存入AX)
  • 間接定址(Indirect Addressing):
    • 間接定址使用與間接定址類似的方案。然而，作為指令一部分提供給CPU的記憶體位址並不包含CPU要用作操作數的實際值。相反，記憶體位址包含另一個記憶體位址（可能位於不同的頁面上）。
    • CPU讀取間接位址以獲取期望資料所在的位址，然後從該位址檢索實際的操作數。
      • MOV BX, 20H (把一個常數20H存入BX)
      • MOV AX, [BX] (把BX位址的內容存入AX)
  • Base + Offset Addressing:
    • 基址 + 偏移位址使用存儲在CPU的某個寄存器中的值作為起始計數的基本位置。然後CPU將指令提供的偏移量加到該基本位址上，並從該計算出的記憶體位置檢索操作數。

記憶體保護(Memory Protection)

• 防止程式在執行時對記憶體的非法訪問或錯誤操作的一項重要的安全功能。包括防止程式訪問不屬於它的記憶體空間，以及防止程式間互相干擾，進而提高系統的穩定性與安全性。
• 可以有效防止許多常見的安全攻擊，這些攻擊都是由不良的記憶體管理和不足的輸入驗證引起的:
  • 緩衝區溢出(Buffer Overflow):
    • 當數據寫入到一個固定長度的緩衝區，但數據量超過了緩衝區的容量時。這會導致額外的資料覆蓋相鄰的記憶體位址，可能會覆蓋重要的控制數據，如返回地址。
    • 攻擊者可以利用這種情況，將惡意的程式寫入控制流程的部分，從而執行任意程式。
  • 記憶體損壞(Memory Corruption):
    • 記憶體中的數據因為程序錯誤而被意外修改或損壞的情況。這種損壞可能導致程序行為不預期，包括系統崩潰、數據損失或安全漏洞。
    • 攻擊者有時能夠利用這種損壞來繞過安全檢查或執行惡意程式。
  • 控制流程劫持(Control Flow Hijacking):
    • 攻擊者通過修改應用程式的控制流程（通常是通過利用緩衝區溢出或其他記憶體損壞漏洞）來強制執行惡意程式。
• 記憶體保護的主要技術:
  • 分段(Segmentation)：
    • 分段是一種記憶體管理技術，將記憶體分成多個獨立的段，每個段都有一定的長度和起始地址。系統會為每個程序分配一個或多個段，並確保程序只能訪問分配給它的段。
    • 這樣做可以防止程序訪問或修改不屬於自己的記憶體區域。
  • 分頁(Paging)：
    • 分頁是另一種記憶體管理技術，將物理記憶體劃分為固定大小的頁，並將虛擬地址映射到物理地址。
    • 分頁系統通過頁表來控制每個程序的地址映射，這樣程序只能訪問已映射到其地址空間的記憶體頁。這有助於防止程序越界訪問和非法訪問。
  • 存取控制列表(Access Control Lists，ACLs)：
    • 在記憶體保護中，ACLs用於定義哪些用戶或程序具有對特定記憶體區域的訪問權限。
    • 這可以確保只有擁有適當權限的程序才能讀取、寫入或執行某些記憶體區域。
  • 非執行保護(Non-Executable Protection，NX)：
    • 非執行保護是一種安全特性，用於標記記憶體區域為不可執行，即不能被當作指令執行。
    • 這主要是為了防止惡意代碼注入，如緩衝區溢出攻擊中常見的執行堆棧上的代碼。
  • 地址空間布局隨機化(Address Space Layout Randomization，ASLR)：
    • ASLR是一種安全技術，通過隨機排列程序的地址空間元件（如堆、棧、庫）的位置，使得攻擊者難以預測目標的確切位置，從而增加成功利用記憶體損壞漏洞的難度。

容錯式磁碟陣列(Redundant Array of Independent Disks，RAID)

• 將多個硬碟整合在一起的技術，旨在提升資料的可靠性、容錯能力和存取效率。
• RAID可以透過鏡像、資料分割和錯誤更正技術來保護資料免受單一硬碟故障的影響。
• 根據不同的配置和需求，RAID有多種不同的級別：
  • RAID 0 (條帶化, Striping):
    • 特點：將數據分割成多個區塊，並且平均分配到所有的硬盤上，沒有冗餘或鏡像。
    • 優點：提供最高的讀寫速度。
    • 缺點：不提供冗餘支持，任一硬盤故障會導致整個陣列數據丟失。
  • RAID 1 (鏡像, Mirroring):
    • 特點：數據被完整地複製到兩個或多個硬碟上，形成數據的鏡像。
    • 優點：提供非常好的讀取速度和數據保護。
    • 缺點：寫入速度受限於最慢的硬碟，存儲成本高。
  • RAID 5 (條帶化與奇偶校驗, Striping with Parity):
    • 特點：數據和奇偶校驗資訊被分散在所有硬盤上。
    • 優點：提供數據保護和較好的讀寫速度；一個硬碟故障時，可以重建數據。
    • 缺點：重建數據需要時間，且在重建期間性能會下降。
  • RAID 6 (雙奇偶校驗):
    • 特點：類似於RAID 5，但有兩個奇偶校驗塊，可以容忍兩個硬盤同時故障。
    • 優點：提供更高的數據安全性。
    • 缺點：寫入性能有所下降，成本更高。
  • RAID 10 (組合鏡像與條帶化):
    • 特點：結合了RAID 1和RAID 0的特性，提供鏡像和條帶化。
    • 優點：高讀寫速度和很好的數據保護。
    • 缺點：高存儲成本。

分級保護域(Ring Protection Model)

• 原始的電腦安全架構，最早在多級安全操作系統和硬體架構中被實施，用以控制對資源的存取權限和區分不同層次的操作權限。
• 系統分成不同的「環」（Ring），每個環代表一個安全級別。最常見的實現是由四個環組成。
• 核心模式(Kernel Mode)-Ring 0：
  • 最高權限級別。操作系統的核心部分在這個級別運行，可以直接存取所有硬體和記憶體資源。
• Ring 1/Ring 2：
  • 這兩個中間層級一般用於特定類型的驅動程式或較少敏感的系統服務，但在現代操作系統中很少使用。
• 用戶模式(User Mode)-Ring 3：
  • 最低權限級別。普通應用程式在這個層級運行，限制了對操作系統核心和硬件的直接存取，從而提高系統的安全性和穩定性。

(D1)風險管理(Risk Managerment)

• 當我們將資產分類好之後，接著就要做好資產的風險管理以保護資產。
• Tip:風險管理1、2、3、4
  • 一大目標:滿足風險胃納，也就是管到經營高層可以接受的程度。
    • 風險偏好/胃納(Risk Appetite)：經營高層可以接受的風險程度(或水平)
    • 風險容忍度(Risk Tolerance)：在風險偏好範圍內，能夠容忍的風險波動範圍。例如ROI預期10%，波動範圍±5%
    • 風險閥值(Risk Threshold)：組織設定的具體風險界限值。例如一項業務損失不得超過50萬，超過這個金額則可能需要採取額外的風險緩解措施
  • 二大程序:風險評鑑(Risk Assessment) & 風險處置(Risk Treatment)
  • 三大步驟:識別、分析、評估。(風險評鑑的步驟，盤點出風險並記錄在風險登錄表上，最後依風險程度排序出進行風險處置的優先順序)
  • 四大選項:避免(Avoid)、移轉(Transfer)、緩解(Mitagate)、接受(Accept)
    • 避免:換其他作法。
    • 移轉:將風險轉嫁，例如買保險或委外。
    • 緩解:下控制措施，降低風險發生機率與衝擊大小。
    • 接受:暫時無法有效處置風險，但仍先將其留在風險登錄表上持續觀察。
• ISO31000:風險為影響目標達成的不確定因素。風險造成的影響有好有壞，好的叫機會，壞的叫威脅。

NIST RMF(Risk Managerment Framework) 專為資訊系統制定的風險管理框架

• 準備 -> 分類系統 -> 選擇控制基準(量身訂做:移除不適用，替換不好用，新增不夠用) -> 實施控制 -> 評鑑控制(安全評鑑) -> 授權運行(正式接受殘餘風險的決策) -> 監視控制措施

  框架圖

  準備 (Prepare)

  1. 了解組織和系統需求
  2. 確立安全目標和要求
  3. 確認相關法規和標準
  4. 確立風險管理策略
  5. 確定RMF流程
  6. 確保組織和利害關係者參與
  7. 進行風險評估
  8. 確定資源和預算
  9. 訓練和培訓
  10. 建立RMF文件
  分類系統 (Categorize System)

  • 依據營運衝擊分析(Business Impact Analysis)的結果來評估資料有多重要，取最高水位(High Water)，依衝擊大小確定影響等級(高、中、低)。
  選擇控制 (Select Controls)

  1. 定義範圍(Scoping)：依影響等級選擇一個合適的控制框架，然後從框架中移除不適用的控制措施，定出初步的範圍，相當於ISO27001的適用性聲明(SOA、Statement of Applicability)。
  2. 量身訂作(Tailoring)：對有些不適合組織狀況導致不好用的控制措施進行替換&調整(替換不好用)，不夠用的部分就依組織狀況新增新的控制措施(新增不夠用)。
  實施控制 (Implement Controls)

  • 執行安全控制措施
  評鑑控制 (Access Control)

  • 透過 安全評鑑(Security Assessment) 來評鑑所實施的控制措施的有效性與符合性。
  • 要有安全評鑑報告。
  授權系統 (Authorize System)

  • 授權允許系統上線(系統被授權)，上線後要定期實施評鑑。
  • 正式接受殘餘風險的決策
  監控控制 (Monitor Contols)

  • 系統上線後對實施的安全控制措施進行監控。
  • 根據NIST SP 800-137，組織應使用以下因素來確定評估和監控頻率：
    • 安全控制的變動性
    • 系統分類/影響級別
    • 提供關鍵功能的安全控制或特定評估對象
    • 已識別弱點的安全控制
    • 組織的風險承受能力
    • 威脅訊息
    • 漏洞訊息
    • 風險評估結果
    • 監控策略審查的輸出
    • 報告要求
  補充 NIST SP 800-53

  • 高衝擊: 449 項控制措施
  • 中衝擊: 365 項控制措施
  • 低衝擊: 230 項控制措施

風險評鑑(Risk Assessment)

• 風險評鑑的三個步驟:識別、分析、評估。
• • 識別:
    • 重點:首先找出資產可能遭受到的風險，並將風險文件化紀錄在風險登錄表上，記錄下來的的風險則稱作固有風險。
    • 原則:從資產的生命週期(Life Cycle)以及其架構(Architecture)下去找風險，也就是做到時時都安全，處處都安全。
      生命週期

      • Data Life Cycle
      • Employee Life Cycle
      • Key Life Cycle
      • Software Development Life Cycle
      • System Development Life Cycle
      架構(Architecture)

      • Data Architecture
      • Network Architecture
      • Software Architecture
      • System Architecture
      • Enterprise Architecture
    • 技巧:可利用Brain storming、Checklist、Delphi method
      補充

  • 分析:用來了解風險有多大。也就是每個風險發生時對資產可能造成的衝擊大小。衝擊大小可以用量化與質化的方式來呈現，而在進行分析時質化與量化都需要做，所得出的風險大小我們稱作曝險也叫風險敞口(Risk Exposure)。
    • 量化:
      • 暴露因子(Exposure Factor，EF):在發生安全事件時可能遭受損失的資產價值比例。
      • 年度發生率(Annualized Rate of Occurrence，ARO):指一年內發生安全事件的次數比率
        • 1年內發生3次: ARO = 3
        • 10年發生1次: ARO = 1/10
      • 年度預估損失(Annual Loss Expectancy，ALE):根據資產的價值、暴露因子和年化發生率計算得出。

    影響 X 發生機率 = 期望值(衝擊大小)

    資產價值(Asset value) X 暴露因子(EF) = 單次損失(SLE)

    單次損失(SLE) X 年度發生率(ARO) = 年度預估損失(ALE) = 期望值(衝擊大小)

    • 質化:
      • 用可能性的方式來評估，此方式也可透過諮詢專家意見(Delphi method)來得出。
    • PMI建議質化分析可以先做，因為比較簡單。
    • 做完質化與量化分析後，綜合分析得出的結果可以用Risk Heat Map來呈現。
      Risk Heat Map

  • 評估:最後將所有風險進行分類，先分出要處置與不要處置的風險，接著再將要處置的風險做排序，以決定哪個風險要優先進行風險處置。最後我們將風險處置到滿足 風險胃納 ，也就是經營高層可以接受的程度，最後剩下來的風險則稱為殘餘風險(Residual Risk)。
    • 固有風險(Inherent Risk):未經處置的風險。
    • 串接(級聯)風險(Cascading risk):有關係的風險。
    • 次級風險(Secondary Risk):實施處置行為後才會出現的新風險。
  • 危害指標(Indicators of Compromise:IoC)
    • 它不是一個行業標準，但它提供了一個很好的基礎，以評估在威脅源中提供的妥協指標 （IOC）。

NIST Generic Risk Model

• 描述風險的通用模型，包含威脅來源(Who)、威脅手法(How)、針對弱點(Where)以及所造成的衝擊(What)。可再加上造成弱點的原因(Why)以及攻擊的頻率或時長(When)
  • 威脅來源(Who):攻擊者，例如：腳本小子(Script kiddie)
  • 威脅手法(How):技術手段，例如：SQL注入(SQL injection)
  • 衝擊(What):曝險，例如：造成30萬美元的財務損失。
  • 弱點(Where):安全漏洞，例如：尚未更新Patch的Server。
• 統合起來的例子:某組織利用某種手法，針對我們的某個因為某種原因造成的弱點，進行了多久一次的攻擊行動，造成組織多少損失。
• 可與滲透測試(Penetration Testing，PT)進行搭配

風險處置(Risk Treatment)

當我們評估完並排序出風險處置的優先序後，接下來就是要進行風險處置。

• 首先要 決定風險處置選項(treatment options)/制定回應策略(response strategies)。
  • ISO27005(風險處置選項):避免(Avoidance)、分享(Share)、調整(Modification)、保留(Retention)
  • PMI(威脅的應對策略):避免(Avoid)、移轉(Transfer)、緩解(Mitigate)、接受(Accpet)
    • 避免(Avoid):換成其他方法。
    • 移轉(Transfer):風險轉嫁，例如買保險或是委外。
    • 緩解(Mitigate):降低發生機率，減少衝擊影響。(利用安全控制錯施)
    • 接受(Accpet):持續觀察，暫不處理。要留在風險登錄表上。
  • ISO22313的指引:風險處置概念
    1. Strategies (options): 即PMI的ATMA
    2. Solutions : 大概相當於資安的security controls
    3. Plans: 計劃書，可參考NIST的天龍八部。
    4. Procedures:例如計劃書中制定的SOP。
    額外補充

    PMI(機會的應對策略):利用(Exploit)、分享(Share)、強化(Enhance)、接受(Accpet)

• 每個 風險處置選項(treatment options)/回應策略(response strategies) 都包含著不同的解決方案(Solution)，安全控制措施(security controls)也是屬於解決方案的一環。
• 決定了 解決方案(Solution) 後就會接著產出不同的計畫書(Plans)，例如設備的採購計畫書或是當風險發生時如何因應、如何回復的計畫書，也就是我們的風險回應計畫(response plan)。
• 計畫書(Plans) 可以參考NIST的天龍八部

痛苦金字塔(The Pyramid of Pain)

• 這個金字塔將網絡安全中可用於識別和防禦威脅的不同類型的指標（indicators）按照使攻擊者感到痛苦的程度進行排列，從而表明這些指標對安全操作的價值。
• 當能識別並阻斷處於金字塔較高層次的威脅指標時，攻擊者所需的努力和成本會大幅增加，從而有效提升組織的安全防禦能力。
• • 雜湊值(Hash Values):
    • 包括文件的MD5、SHA1或其他散列值。這些是最容易獲取和使用的指標，但攻擊者也能最容易地改變它們（例如，通過對惡意文件做微小修改）。
  • IP位址(IP Addresses):
    • 指攻擊者的基礎設施所使用的IP位址。相比雜湊值，IP位址稍難被攻擊者改變，但他們仍可通過使用代理、租用新的服務器等方式相對容易地變更。
  • 域名(Domain Names):
    • 用於惡意活動的域名。攻擊者需要花費更多努力來維護或更換域名，因此它們比IP位址更難以變更。
  • 網絡/主機(Network/Host Artifacts):
    • 包括持久性機制（如註冊表鍵值、文件名和路徑）和特定網絡簽名。這類信息更加具體，攻擊者要修改這些特徵會更加困難。
  • 工具(Tools):
    • 攻擊者所用的惡意軟件工具和腳本。雖然工具可以被重新編譯或修改，但這需要相當的技術知識和時間。
  • 戰術、技術和程序(TTPs):
    • 位於金字塔頂部。指攻擊者的操作方法，包括攻擊的具體步驟、行為和程序。這些是對抗攻擊者最有效的信息，但同時也是最難獲取和利用的。

相關名詞解釋

• 威脅情境(Threat scenario):
  • 威脅來源和利用漏洞的威脅事件之間的任何組合都會形成威脅場景。
  • 可以用NIST Generic Risk Model來描述。
• 風險概況(Risk profile):
  • 企業面臨的整體（已識別）風險的描述。
  • 對風險登記表中記錄的任何風險集的結構化且完整的描述。
  • 包含列出與策略、計劃、專案或活動相關的所有風險的估計的摘要。
  • 使用不同的方法記錄和視覺化風險概況，但通常基於已識別風險清單的機率和影響的估計。
• 風險指標(Key Risk Indicators，KRIs):
  • 指標包含:
    • 漏洞暴露率:未修復的重要漏洞數量與總漏洞數量的比率。
    • 安全事故頻率:在一定時間內發生的安全事故次數。

(D1)符合性(Compliance)/符合性要求(Requirements)

• Compliance:指的是符合特定要求，包含組織層次與個人層次。
  • 組織層次:
    • 法律與監管:法規&行政命令
    • 產業標準:ISO標準
    • 合約
  • 個人層次:
    • 組織政策
    • 盡職調查(Due Diligence):(側重於前期的規劃和評估，是一個較為主動的過程，涉及收集和分析數據以制定策略。)
      • 指組織在作出決策前所進行的全面調查和評估，以確保已瞭解所有相關的風險、法律和規範要求。這包括評估潛在風險、制定合適的政策，並建立有效的管理流程，從而保護組織的利益不受威脅。
        • 發展和審核安全政策和程序。
        • 進行安全風險評估。
        • 確保符合行業標準和法規要求。
        • 進行技術和市場趨勢的研究。
    • Due Care:(側重於日常的實踐和行動，是將盡職調查中的策略實施到具體操作的過程。)
      • 指組織在已知情況下必須採取的行動，以防範和緩解風險，實際上就是把盡職調查中規劃的策略落到實處。這包括實施和維持安全措施，以及確保這些措施能夠持續有效地保護組織的資產和資訊。
        • 實施和更新安全控制措施。
        • 提供員工安全訓練和教育。
        • 定期監控和評估安全措施的效果。
        • 積極應對安全事件。
    • 職業道德
    • 額外補充-精明人規則(Prudent Man Rule):
      • 用於評估一個人在管理他人財產時是否表現出了應有的謹慎和智慧。
      • 此規則要求受託人、投資管理者或其他管理者在處理財務資源時，必須以一個普通的、合理謹慎的人會採取的方式來行事，尤其是在投資決策上。這意味著必須考慮到合理的風險和回報，並針對受益人的最佳利益來管理和保護資產。
• 法規補充資料:
  • FISMA(美國資安根本大法)
  • SOX(針對美國上市公司)
  • GLBA(針對美國金融機構):《格雷姆-里奇-比利雷法案》又稱《金融服務法現代化法案》，允許商業銀行、投資銀行、證券公司和保險公司等金融機構的合併。
  • HITECH(針對醫療機構):健康資訊科技促進經濟與臨床健康法案，HIPAA的範圍是便是以HITECH法案的制定而擴充的。
  • HIPAA
  • GDPR(歐盟個資法)
  • 智慧財產

智慧財產(intellectual property)

• 包含著作權、專利權、商標、營業秘密。
  • 著作權(Copyright):
    • 保護表現方式，如小說、音樂。(著作人格權、著作財產權)
    • 相關法案:著作權法(Copyright law)
  • 專利權(Patent):
    • 保護點子，申請成功後需公開。(發明、新型(結構)、新式樣(外觀))
    • 相關法案:專利法(Patent law)
  • 商標(Trademark):
    • 包含圖像、文字、聲音。(商標、證明標章、團體標章、產地標示等)
    • 相關法案:連邦商標法(Lanham Act)
  • 營業秘密(Trade Secret):
    • 保護企業的營業祕密。
    • 包括公式、實踐、流程、設計、工具、模式或資訊彙編，這些資訊具有內在的經濟價值，因為它們通常不為他人所知或不易被他人確定，且所有者採取合理措施保守秘密。在某些司法管轄區，此類秘密被稱為機密資訊。
    • 相關法案:經濟間諜法(Economic Espionage Act)

授權(Licensing)

• 允許一方（許可方）授予另一方（被許可方）使用其知識產權，如專利、商標、著作權、或專有技術的權利。
• 明確了使用權的範圍、條件、期限和費用，使得知識產權的創造者可以從其創意中獲得收益，同時允許其他人或公司合法地使用這些創意來發展產品或服務。
• 常見開源授權(Open Source License):
  • Apache License 2.0：
    • 允許商業使用、修改、分發，甚至可以將軟件用於專有產品。
    • 需要提供修改後的檔案的通知，並且必須帶有版權聲明和免責聲明。
  • GNU General Public License (GPL)：
    • 允許軟件被自由使用、共享和修改。
    • 要求所有修改過和擴展過的版本必須也同樣地自由給予他人（Copyleft）。
    • 如果公開發布基於GPL授權軟件的產品，必須同時公開源代碼。
  • MIT License：
    • 非常寬鬆的授權條款，幾乎無限制地允許人們做任何事情，只需保留版權聲明和免責聲明。
    • 常用於學術和開源社區。
  • BSD License：
    • 與MIT類似，但有幾個版本，其中某些版本包含額外的條款，如禁止使用作者的名字促銷衍生產品。
  • Mozilla Public License (MPL)：
    • 較GPL更為靈活，允許將MPL下的代碼與其他類型的授權代碼集成。
    • 要求修改過的檔案必須開源，但可以將MPL代碼與專有代碼結合在一個更大的項目中。

聯邦資訊安全管理法(FISMA, Federal Information Security Management Act)

• 由NIST發布，宗旨是保護美國政府的敏感資料免受網路安全攻擊和自然災害所造成的風險。
• 根據FISMA敘述，資訊安全一詞意味著保護資訊和資訊系統免受未經授權的訪問、使用、揭露、中斷、修改或破壞，以確保資訊的完整性、機密性和可用性。
• FISMA要求每個機構的負責人實施政策和程序，以成本效益的方式將資訊技術的安全風險降至可接受的水平。

沙賓-歐克斯法案(SOX, Sarbanes-Oxley Act)：

• 由美國證券交易委員會(SEC)所管理的美國聯邦法律
• 因安隆有限公司及世界通訊公司等財務欺詐事件破產暴露出來的公司和證券監管問題而立的監管法規，簡稱 《SOX法案》《索克思法案》《塞班斯法案》或《沙賓法案》
• 要求稽核員和主管們需要對欺詐和外部威脅的偵測承擔共同責任。
• 法案設計的宗旨是藉由要求嚴格的記錄保存、稽核與控制，以及概述有關電子記錄的IT需求，協助保護投資者並且提高公司財務報表的可信度。

健康資訊科技促進經濟與臨床健康法案(HITECH, Health Information Technology for Economic and Clinical Health Act)

• 根據HITECH法案，美國衛生和公共服務部(U.S. HHS)決定花費259億美元來推廣和擴大健康資訊科技的採納。華盛頓郵報報導包含"多達365億美元的支出，以建立全國性的電子健康記錄網絡"。當它被制定時，它被認為是"過去20到30年間通過的最重要的健康護理立法"，以及"健康護理改革的基石"

歐盟通用資料保護規則(GDPR)

• 資料主體的權利：包括透明的資訊提供、訪問權、更正權、被遺忘的權利（擦除權）、處理限制權、資料可攜帶權、反對權以及自動化個人決策的權利。
• 資料控制者和處理者的義務：負責保護處理個人資料的安全性，確保遵守資料保護原則，實施資料保護影響評估，以及在違規時通知監管機構和資料主體。
• 當向第三國或國際組織轉移個人資料必須遵守以上的適當保護措施和遵循的程序，以確保在轉移過程中保護資料的安全和隱私。
• 屬人原則+屬地原則：不僅適用於歐洲經濟區(EEA)內的公司，只要該公司提供商品或服務給EEA內的公民，或監控他們的行為，就需遵守此規範。
• 要求個資外洩72小時內通報資料保護主管機關
• 違規罰款最高可達年度全球營業額的4%或2000萬歐元(以較高者為主)

加州消費者隱私法(California Consumer Privacy Act，CCPA)

• 此法案對企業如何處理涉及加州居民的個人資訊提出了嚴格的要求。
• 主要規定包括：
  • 資訊披露：企業必須在收集數據時通知消費者將收集哪些數據以及使用目的。
  • 訪問權和刪除權：消費者有權要求企業披露其個人資訊的具體使用情況，並可要求企業刪除其個人資訊。
  • 拒絕出售個人資訊的權利：消費者可以指示企業不得出售其個人資訊。
    • 社會安全號碼、駕駛執照號碼、州身分證號碼、信用卡/金融卡號碼和銀行帳號皆屬個人資訊範圍。
  • 非歧視：企業不得因消費者行使其隱私權利而對其進行歧視。

其他補充法案

加州線上隱私權保護法案(California Online Privacy Protection Act，CalOPPA)

• 要求任何商業性網站或線上服務（包括行動應用程式），如果收集加州居民的個人信息，就必須公開其隱私政策。

安全港協議(Safe Harbor)

• 2000年12月美國商業部跟歐洲聯盟建立的協議
• 用於調整美國企業出口以及處理歐洲公民的個資(例如名字和住址)。
• 2007年10月31日Merck&Co.Inc.安全港隱私政策聲明標準的範圍擴大到從瑞士傳送個資到美國。
• 2009年Merck通過了安全港架構(Safe Harbor Framework)認證。該協議是瑞士聯邦資料保護及資訊委員會(FDPIC)與美國商務部之間簽訂針對從瑞士傳送個人資訊到美國的隱私保護協議

家庭教育權利與隱私權法案(FERPA, Family Educational Rights and Privacy Act of 1974)

• 為有18歲以下子女的父母提供三項主要權利(存取子女的教育紀錄、當發生錯誤或變更時要求修改紀錄的能力、控管子女揭露PII)
• 當學生年滿18歲或以任何年齡進入大專院校時，FERPA中的權利將自動從父母轉移給學生。
• 教育機構揭露學生教育紀錄中的PII前，父母或合格學生必須先提供簽名且標註日期的書面同意書。

計算機欺詐和濫用法案(Computer Fraud and Abuse Act，CFAA)

• 美國最早針對電腦犯罪制定的法律之一。法案主旨在打擊黑客攻擊和未經授權訪問計算機和計算機系統的行為。
• CFAA 的核心在於它對於"未經授權訪問"或超越授權訪問的定義，對此行為施加刑事和民事責任。
• 主要條款包括：
  • 禁止未經授權訪問保護的計算機以獲取資訊、詐騙、傳輸惡意軟件或損害計算機的完整性。
  • 禁止故意傳播計算機病毒和其他惡意程式。
  • 對因違反這些規定而造成的損害和損失提供民事賠償途徑。

出口管理條例(Export Administration Regulations，EAR)

• 由美國商務部的工業與安全局（Bureau of Industry and Security, BIS）負責實施的一套規範，主要目的是控制特定商品、軟體和技術的出口和再出口，以保護美國的國家安全和執行美國的外交政策。

數位千禧年版權法案(Digital Millennium Copyright Act，DMCA)

• 美國版權法，旨在應對網絡傳播與數位環境中的版權問題。
• 反規避技術措施:
  • DMCA 禁止規避版權保護技術(DRM)的技術措施。
• 安全港規定:
  • DMCA 提供了所謂的“安全港”條款，這些條款保護網絡服務提供商免於因用戶行為而直接負責，只要他們在得知侵權行為後採取適當行動。
• 版權管理信息的保護:
  • 禁止未經授權地刪除或更改版權管理信息。

電子通訊隱私法(Electronic Communications Privacy Act，ECPA)

• 美國保護無線通訊和數據隱私權的一項法律，主要針對電子數據和通訊的保護。
• 作為1974年制定的《聯邦隱私法》(Federal Privacy Act)的補充。

金融現代化法案(Gramm-Leach-Bliley Act，GLBA)

• 法案主要目的是允許不同類型的金融機構（如銀行、證券公司和保險公司）進行合並和分享市場資源，且強調保護消費者的個人財務資訊，尤其是非公開個人資訊（NPI）。
• 主要條款包括：
  • 隱私條款：要求金融機構向其客戶提供隱私政策通知，說明個人資訊的收集、共享和保護措施。
  • Safeguards Rule：要求金融機構實施全面的安全計劃，以保護客戶資訊免受未經授權的存取和資料泄露。
  • Pretexting Protection：規定金融機構必須采取措施，防止他人假借各種借口（如假冒客戶）非法獲取個人財務資訊。

中華人民共和國個人資訊保護法(Personal Information Protection Law，PIPL)

• 中國在個人數據保護領域內最全面的立法之一，旨在規範個人資訊的處理活動，保護個人隱私權利，促進數據的合理使用。
• PIPL的部分不合理要求可能會引發一些風險:
  • 法律和監管不確定性
  • 合規成本和操作複雜性

南非個人資訊保護法(Protection of Personal Information Act, POPIA)

• 南非在個人資訊保護領域內的主要立法，目的是保護個人從處理個人資訊中可能產生的損害，並賦予個人與其個人資訊相關的權利。
• 適用範圍：適用於在南非境內處理個人資訊的任何實體，無論是自動化還是非自動化方式。
• 資料主體權利：賦予個人多項權利，包括存取、更正、反對處理以及要求刪除其個人資訊。
• 責任和義務：資料處理者和負責人必須採取合理的措施保護個人資訊免遭未經授權存取和處理。
• 監管機構：設立資訊保護監管機構（Information Regulator），負責監督和執行POPIA。
• 罰則：違反POPIA的個體可能面臨嚴重的財政處罰和刑事起訴。

(D2)安全控制(Security Controls)

• 念書重點:分類、存取控制、控制框架
• 安全控制項目的分類目前有四大門派:
  • HIPAA: 分3大保證措施
  • (ISC)²: 分為7個Type
  • ISO27001: 分成14個類別
  • NIST RMF: 分成20個家族
  • 以上門派都有一項共同的重要項目，就是存取控制。

健康保險流通和責任法案(HIPAA, Health Insurance Portability and Accountability Act)

• HIPAA為了保護健康資訊的隱私與安全，在1996年要求美國衛生與公眾服務部(HHS)制定法規，而後HHS便發布了俗稱的HIPAA安全規則(Security Rule)與HIPAA隱私規則(Privacy Rule)，以此制定了保護個人的「電子受保護健康資訊」(e-PHI)的國家標準與相關法規。其中規範了一系列包含行政、科技與實體等安全程序來確保e-PHI的機密性、完整性與可用性。
• 分成三大保障措施(Safeguards):
  • 行政保障(Administrative Safeguards(管理類)):
    1. 安全管理程序(Security Management Process)
    2. 安全人員(Security Personnel)
    3. 資訊存取管理(Information Access Management)
    4. 勞動力培訓與管理(Workforce Training and Management)
    5. 評估(Evaluation)
  • 實體保障(Physical Safeguards(物理類)):
    1. 設施存取與控制(Facility Access and Control)
    2. 工作站與設備安全(Workstation and Device Security)
  • 科技保障(Technical Safeguards(邏輯類)):
    1. 存取控制(Access Control)
    2. 稽核控制(Audit Controls)
    3. 完整性控制(Integrity Controls)
    4. 傳輸安全(Transmission Security)
• 補充:
  • Summary of the HIPAA Security Rule
  • 美國醫療資訊保護法規之初探
  • 商業夥伴協議(Business Associates Agreement，BAA):
    • 在HIPAA框架下，醫療服務提供者與第三方服務供應商（即商業夥伴）之間簽訂BAA，用以確保這些夥伴在處理、傳遞或儲存保護健康信息（PHI）時遵守HIPAA的隱私與安全規範。
    • BAA 要求商業夥伴必須採取適當的保護措施來保障PHI的機密性和安全性，並明確規定了資料泄露的報告和應對機制。

(ISC)² Types of Security Control

• 從事前、事中到事後共分成7個Type，包含指示、嚇阻、預防、偵測、矯正、回復以及補償性措施。
• 事前(Before):
  • 指示(Directive):
    • 目的是影響行為。
    • 例如公佈公司政策，也可從 視覺上(ex:標語) 來影響。
  • 嚇阻(Deterrence):
    • 目的是打消動機。
    • 例如制訂違規的罰則。
  • 預防(Preventive):
    • 提高門檻(違規的)。
    • 例如門禁系統，沒有權限門便不會打開，想違規也進不去。
• 事中(During):
  • 偵測(Detective):
    • 用來偵測並警告組織內有發生未經授權或者不正常的活動。
    • 例如入侵檢測系統(IDS)。
  • 矯正(Corrective):
    • 用來補救或是減輕安全事故所造成的影響，包含防止同類事故再次發生的措施。
• 事後(After):
  • 回復(Recovery):
    • 目的是將系統回復到受影響前的正常狀態。
• 其他(Other):
  • 補償性措施(Compensating):
    • 用來支援實際的安全控制措施。
    • 當主要的安全措施被破壞或無法有效提供保護時，能提供一個類似強度的替代方法或是行動方案來降低風險至可接受水平，以確保組織的資產仍受到足夠的保護。

ISO 27001:2013 Annex A

• 目前的ISO 27001:2013版本在2024/04/30後將停止認證(包含Renew)，在2025/10/31前需替換為ISO 27001:2022。
• ISO 27001:2013的安全控制措施分為14類共114項，而ISO 27001:2022將部分控制措施合併，合併後的控制措施分為4主題共93項。
• ISO 27001:2013控制措施(Annex A Controls Explained)
  • A.5 資訊安全政策(Information Security Policies):資訊安全政策的制定和審查
  • A.6 組織內部的資訊安全(Organization of Information Security):內部組織和外部各方的資訊安全
  • A.7 人力資源安全(Human Resource Security):在僱傭前、僱傭期間以及離職時的資訊安全
  • A.8 資產管理(Asset Management）:資產責任和資訊分類
  • A.9 存取控制(Access Control):存取權限和使用者存取管理
  • A.10 密碼管理(Cryptography):加密和金鑰管理
  • A.11 實體與環境安全(Physical and Environmental Security):保護實體設施和環境
  • A.12 營運安全(Operations Security):運營計劃和控制
  • A.13 通信安全(Communications Security):網絡安全管理和資訊傳輸
  • A.14 系統取得、開發和維護(System Acquisition, Development and Maintenance):資訊系統的安全性需求和安全性開發
  • A.15 供應商關係(Supplier Relationships):供應商服務的資訊安全
  • A.16 資訊安全事故管理(Information Security Incident Management):資訊安全事件和弱點管理
  • A.17 資訊安全方面的業務持續性管理(Information Security Aspects of Business Continuity Management):業務連續性和災難恢復
  • A.18 合規性(Compliance):法規和合約遵守
• ISO 27001:2022:
  • 調整為4大類:
    1. 組織控制措施(Organizational controls):37項控制措施
       • 5.12 存取控制(Access Control)
    2. 人員控制措施(People controls):8項控制措施
    3. 實體控制措施(Physical controls):14項控制措施
    4. 技術控制措施(Technological controls):34項控制措施
       • 8.24 Use of Cryptography
  • 新增11項控制措施：
    • 威脅情報(Threat Intelligence)
    • 雲端服務的資訊安全(Information Security For use of Cloud Services)
    • 持續營運之資通訊整備(ICT Readiness For Business Continuity)
    • 實體安全監控(Physical Security Monitoring)
    • 組態管理(Configuration Management)
    • 資訊刪除(Information Deletion)
    • 資料遮罩(Date Masking)
    • 防範資料外洩(Date Leakage Prevention)
    • 活動監控(Monitoring Activities)
    • 網站安全防護(Web Filtering)
    • 程式開發安全(Secure Coding)

NIST Control Families

• 根據2020/09/23更新的NIST SP 800-53 Rev. 5文件，NIST的安全控制選項共分為20個家族(Family)，其中一個Family也是存取控制(AC Access Control)。
• NIST 有提供風險管理的框架NIST RMF(Risk Managerment Framework)與風險評鑑的通用模型NIST Generic Risk Model
• AC-25 參考監視器(Reference Monitor):
  • 系統中的一個抽象機制，用於保證存取控制的有效性和可靠性。
  • 在操作系統或安全核心模組中充當一個關鍵組件，用以強制實行安全策略，確保所有的資源存取都必須通過它的審核。
  • 參考監視器的設計必須保證其不可被篡改、必須始終被調用，並且其小巧的尺寸使得能夠對其進行徹底的分析和測試。
  • 關鍵屬性:
    • 完全仲裁原則(Complete Mediation):
      • 參考監視器必須檢查所有對敏感資源的訪問試圖，確保每個訪問都經過許可和控制。這意味著系統中的每次訪問都應該被監視器截獲並評估。
    • 防篡改性(Tamper-proof):
      • 參考監視器本身必須受到保護，以防止任何形式的未授權修改或破壞。這確保了其可靠性和安全性，不會被惡意軟件或攻擊者繞過或禁用。
    • 小而簡單(Small and Simple):
      • 參考監視器的設計應當盡量簡單和小型化，這有助於降低錯誤的風險，使其更容易進行正確和徹底的安全評估及驗證。

其他 Other

資訊和相關技術的控制目標(COBIT)

• 全稱為Control Objectives for Information and Other Related Technology
• 是由ISACA（資訊系統稽核與控制協會）開發的，旨在幫助組織創建、監控和衡量他們的IT系統和流程的性能，廣泛應用於IT管理和IT治理的框架。
• COBIT框架提供了一系列最佳實踐、分析工具和指南，幫助管理層和業務用戶確保IT環境與組織的業務目標一致，並確保透過適當的控制來實現這些目標。這個框架重視風險管理、資源最優化、資訊架構和價值實現。

SABSA(Sherwood Applied Business Security Architecture)

• 一種專門用來設計和實施企業安全策略的企業安全架構框架，融合了業務需求與風險管理來創建客製化的安全架構。
• 從業務案例分析和需求梳理開始，到框架設計、實施計劃、部署和最終的維護與評估。每個階段都要求緊密結合業務戰略和技術實施，並進行持續的風險評估和管理。
• 六個維度(六大問題):
  • What：涉及資訊本身，資訊的類型和特性。
  • Why：涉及業務目標和動機，安全措施必須支持的業務目的。
  • How：技術層面，如何實現安全措施。
  • Who：涉及使用或管理資訊系統的人。
  • Where：地點和分佈網絡的範圍，涉及資料存儲和處理的地理位置。
  • When：時間相關的因素，包括存取控制和時間戳等。

聯邦風險與授權管理計劃(FedRAMP)

• 此計劃由美國國家標準與技術研究院（NIST）提供支持，提供一個標準化的方法來評估、授權和持續監控雲產品和服務的安全性。
• FedRAMP 安全要求建立在 NIST SP 800-53 的基礎上，該標準涵蓋了包括訪問控制、事故響應、業務連續性和災難恢復計劃、物理和環境保護等多個方面。
• 雲服務提供商（CSP）需要根據其雲服務的影響等級（低、中、高）實施相應的安全控制。

受限介面(Constrained Interface)

• 一種安全控制策略，通過限制用戶可訪問的界面元素來實施安全措施。
• 這種方法可以用於應用程序或系統，目的是減少用戶犯錯或進行未授權操作的風險。
• 隱藏或禁用不應該由特定用戶使用的功能，確保用戶只能執行其角色允許的操作。
• 通常與最小權限原則一起使用，以實現更緊湊和安全的用戶環境。

(D5)存取控制(Access Control)

• 存取控制(access control) 指的是主體使用客體的行為，且須受到3A(Authentication、Authorization、Accounting)的管制。(主體與客體為相對關係:主動方與被動方)
• 念書重點:
  • 身分與存取管理(Identity and Access Management，IAM)(I+3A)
    • 身分(Identity): 用來唯一識別實體的屬性。
    • 身分驗證(Authentication)
    • 檢查授權(Authorization)
    • 紀錄行動(Accounting)
  • Zero-Trust
  • 存取控制的 情境(context) 大致可以分為以下類別:
    1. 邏輯存取控制(Logic Access Control): 電腦系統上的存取控制。 (Security Kernel)
    2. 媒體存取控制(Media Access Control) : 位於資料鏈結層，用於設備間透過有線或無線網絡的互相存取。
    3. 網路存取控制(Network Access Control) : 區域/無線網路的存取控制。有只需密碼即可存取的，也有需要帳號加密碼才能存取的。
    4. 遠端存取控制(Remote Access Control) : WAN上面的存取控制。
    5. 實體存取控制(Physical Access Control): 實體的存取安全控制，例如機房門禁系統。
    6. 周邊存取控制(Perimeter Access Control): 實體存取控制周邊的安全機制，例如保全、CCTV等。

身份管理(Identity Management)

• 念書重點:帳號(Account)、登入(Sign In)、帳號管理(Account Manager)
• 身份管理即為帳號管理，也就是帳號的增、刪、修、查詢等動作。帳號是代表實體的技術手段，包含實體(Entity)與實體的屬性(Attributes)。
• 身份管理也可結合人事安全從人員的Life-Cycle角度來看帳號的Life-Cycle。從到職的供裝(Service Provisioning) 開始，到離職的反供裝(Deprovisioning)並終止帳號:
  • 供裝/反供裝(Service Provisioning/Deprovisioning): 使用SPML(Service Provisioning Markup Language)建帳號、設權限、安裝軟體、開通服務etc…
  • 重新配置(Re-provisioning):
    • 更新或修改用戶的系統存取權限來符合其當前角色或職責的過程。
    • 在用戶轉換職位或責任範圍擴大時，需要調整其存取權限以反映新的需求，確保員工只能存取他們工作所需的資源。
  • 帳戶審查(Account review):
    • 確保所有用戶帳戶的存取權限仍然適當且符合公司的安全政策的一種定期安全審計過程。
    • 涉及審查員工的帳戶設置、啟用狀態以及他們的權限是否符合其當前的職位要求。有助於識別未授權的存取和過時的帳戶，從而減少安全風險。
  • 權限擴展(Privilege creep):
    • 指隨著時間的推移，員工逐漸累積比其當前角色所需更多的存取權限的情況。
    • 可能導致過度的存取權限，增加內部和外部的安全風險。

出示身分(Identification)

• 當我們進行Sign-In時會透過出示身分的動作來提供證明(Credential) 作為驗證身分使用。
• 證明(Credential):包含身分(Identity)與信物(Authenticator)，信物是可用來驗證身分的東西，可有不同形式但都不會讓其他人知道，而在資安領域有三種不同的形式統稱為身分驗證因子(Authentication Factors)。

身分驗證(Authentication)

• 念書重點:SMSP
  • S-身分驗證步驟(Authentication Steps):出示身分(Identification、驗證身分(Verification)、通知結果(Notification)。
  • M-多因子驗證(Multi-Factor Authentication，MFA)
  • S-單一登入(Single-Sing-On，SSO)
  • P-身分驗證協議(Authentication Protocols):網路、作業系統、應用程式
• 身份確認等級(Identity Assurance Levels, IAL):
  • 關注於在確認個體身份的過程，包括如何收集、驗證和維護個人身份資訊的準確性。
  • 目的是確保一個人在系統中的身份是獨一無二和真實的，並且該身份的所有屬性都是真實、準確的。
  • 通常分為不同的等級，每個等級代表了身份證明過程的不同強度和嚴格性，以確保只有合法的個體能夠訪問特定資源或服務。
• 身份驗證器確認等級(Authenticator Assurance Levels, AAL):
  • 關注於在系統或服務中使用的身份驗證過程的安全性。
  • 衡量用於驗證個人身份的機制（如密碼、生物識別或多因素認證）的強度和可靠性。
  • 高級別的AAL意味著更強的身份驗證要求，通常涉及多因素認證和更加複雜的安全措施，以減少未經授權訪問的風險。
• 無密碼認證(Password-less Authentication):
  • 一種不依賴傳統密碼的用戶身份驗證方式。這種方式可以通過多種方法實現，例如生物識別技術（指紋或臉部識別）、硬體安全密鑰、或是透過移動裝置上的認證應用進行認證。
  • 安全性增強:
    • 抵抗釣魚攻擊：無密碼認證機制由於不使用可被竊取或重用的靜態密碼，因此可以有效減少釣魚和其他社交工程攻擊的風險。
    • 避免密碼重複使用問題：使用者往往會在多個網站重複使用相同的密碼，無密碼認證消除了這一點，從而降低了一處被破解導致其他服務遭受入侵的風險。
  • 使用者體驗:
    • 快速且便捷：無密碼登入過程更快捷，使用者無需記憶或輸入複雜的密碼，可以通過一次點擊或一次掃描即可安全登入。
    • 降低維護成本：企業無需投入大量資源於密碼重置支持和密碼相關的用戶支援問題上，有助於降低運營成本。
  • 實施考量:
    • 技術整合與兼容性：無密碼認證需要與現有系統和安全架構兼容，可能需要更新硬體和軟體支援新的認證技術。
    • 法規遵循與用戶接受度：在實施無密碼解決方案時，必須考慮相關的隱私法規和提升用戶對新認證方法的信任和接受度。
• 即時存取(Just-In-Time Access):
  • 概念是指在需要時才賦予用戶或系統臨時的存取權限，這種存取權限通常是限時的，並在任務完成後撤銷。
  • 通常用於管理高權限賬戶，如管理員或對關鍵系統具有廣泛存取權限的用戶。
  • 主要特點為時間限制、審核追踪、條件觸發:
    • 時間限制：存取權限在指定時間窗口內有效，過後自動撤銷。
    • 審核追踪：所有的存取權限賦予和使用情況都會被記錄和監控，以便進行審計和符合性檢查。
    • 條件觸發：存取權限的賦予通常基於特定的條件或規則，如完成身份驗證的多個步驟、符合安全政策要求等。
• 認證管理系統(Credential Management System，CMS):
  • 一種幫助組織安全、有效地儲存、管理和監控用戶的身份驗證憑證的技術解決方案。
  • 安全儲存:
    • 認證管理系統使用加密技術來安全地存儲密碼和其他敏感認證。這確保了即使數據庫被非法存取，信息也不會輕易洩露。
  • 統一存取控制:
    • 定義和實施統一的存取控制政策，確保只有授權用戶才能存取特定的資源。
  • 自動化密碼輪換:
    • 提供自動更改密碼的功能。
  • 審計和報告:
    • 這些系統能夠生成詳細的審計日誌，記錄誰在什麼時候存取了哪些認證，以及進行了什麼操作。
  • 支援多因子認證（MFA）
  • 密碼保險庫(Password Vault):
    • 密碼保險庫是一種安全的憑證管理工具，用於儲存和管理用戶的密碼和其他敏感憑證。通常加密存儲在一個安全的資料庫中，只有經過授權的用戶才能訪問。
    • 主要功能:
      • 安全儲存:所有憑證都是加密保存，確保即使資料庫被竊取，資料也無法被輕易解讀。
      • 集中管理:集中儲存所有憑證，簡化管理過程，減少憑證遺失的風險。
      • 訪問存取:提供精細的訪問存取機制，確保只有授權用戶才能存取相應的憑證。
      • 審計追蹤:記錄所有對保險庫的存取和操作，方便追踪和審計。
    • 安全意義:
      • 防止密碼重用:用戶往往在多個系統中重用相同的密碼，使用密碼保險庫可以生成和管理唯一強密碼，減少重用帶來的風險。
      • 抵抗釣魚攻擊:密碼保險庫可以減少用戶直接輸入密碼的次數，降低釣魚攻擊的成功率。
      • 提高應對資料泄露的能力:在資料泄露事件發生時，密碼保險庫可以迅速更改受影響的憑證，防止進一步的損害。

身分驗證因子(Authentication Factors)

• 因子(Factors) : 指信物的形式。
  • Something you Know:可以記在腦中的，例如密碼、PIN(Personl Identity Number)、Pre-Shared Key(PSK，用在常見的WPA2/WPA3網路登入，為一種金鑰)、密碼片語(以足夠長度的名言錦句再加以變化作為密碼使用)。
  • Something you Have:可以放在Device中的，例如將金鑰(Private Key)放在其中的Dump Card(磁條卡)、IC Card、Smart Card(RFID ISO 14443/15693/18000)以及用HMAC演算法、同步或非同步的一次性密碼(One-Time Password，OTP)Token。
    • 主動式Smart Card:自帶電池
    • 被動式Smart Card:無電池，分為接觸式(刷卡式)與非接觸式(感應式)
    • 一次性密碼(OTP):
      • HMAC(Hash-Based Message Authentication Code):是一種基於雜湊的消息認證碼，經常用於同步OTP解決方案，如TOTP（基於時間的一次性密碼）。通過結合一個密鑰和一個時間戳（或其他同步因子）來生成密碼，這使其成為生成同步OTP的理想選擇。
      • 時鐘計時器(Clock timer):同步OTP設備的一個關鍵組件（特別是在基於時間的OTP生成中）
  • Something you Are:個人生物特徵(Biometric)，包含靜態特徵(Physiological)、行為特徵(Behavioral)與生物性特徵(Biological)。
    • 靜態特徵(Physiological): 指紋、指靜脈、掌紋、虹膜、視網膜、臉部辨識。
    • 行為特徵(Behavioral): 聲音動態、簽名動態、打字動態。
    • 生物性特徵(Biological): DNA、血糖。
    • 由於生物特徵的秘密性不足，且具有恆定性無法更換，因此NIST 800-63B中要求生物特徵只能用作多因子驗證(MFA)的其中一項，而不能單獨使用。
• 生物特徵(Biometric):將生物特徵註冊(Enrollment)後便可應用於識別(Identification)與驗證(Verification)上。
  • 註冊(Enrollment):經過 採樣(Biometric Features) 後將生物特徵 建模/建檔(Biometric Template) ，然後存放在 資料庫(Model Database) 中。
  • 識別(Identification):通常會找到類似的多筆資料。(One-to-Many)
  • 驗證(Verification):實務上只用生物特徵較難做到，因此通常會搭配其他因子使用。例如先用其他因子將指定的生物特徵從資料庫(Model Database)中調出後再進行比對，這樣也能維持較好的系統效能。
  • 在採用生物特徵進行識別與驗證時，需要考量幾個面向。成本效益、效能、準確性(Accuracy)、使用者接受度等:
    • Sensitivity/Threshold:安全性與便利性是成反比的，越安全則越不便利，越便利則越不安全。(High for Security，Low for Convenience)
    • 誤殺率(False Rejection Rate，FRR)
    • 錯放率(False Acceptance Rate，FAR)
    • 交叉誤差率(Crossover Error Rate，CER):FRR與FAR的平衡點，但並非安全的最佳選擇。

驗證(Verification)

• 當 Directory Service 收到 證明(Credential) 之後，便會透過X.500協議標準向目錄/帳號 資料庫(Directory Repository)進行身分的驗證(Verification)。
• Directory Service:
  • Microsoft Active Directory(AD):微軟的帳號資料庫。
  • X.500:為一系列Directory Service的協定標準，用來作帳號的增、刪、修、查詢(CRUD)。由於太過笨重，目前用途僅剩做為帳號的表示法。
    • DAP(Directory Access Protocol):目錄訪問協定。
    • LDAP(Lightweight Directory Access Protocol):輕型目錄訪問協定，乃是基於X.500標準的簡易子集，因而又被稱為X.500-Lite
    • 唯一識別名稱(Distinguished Name，DN):
      • 在LDAP和其他目錄服務中，唯一識別名稱(DN)是用來唯一標識目錄中的每個實體的。
      • 包括一系列的屬性，如國家、組織、組織單位等，這些屬性一起確定了實體在目錄中的完整和唯一的位置。
      ​​​​​​​​​​​​CN=Alice,
      ​​​​​​​​​​​​OU=Sales,
      ​​​​​​​​​​​​O=XXX.inc,
      ​​​​​​​​​​​​C=TW
      

    • 常見名稱(Common Name，CN):
      • 實體名的一部分，通常用於指代人的名字或物件的名稱，如伺服器名稱。
      • 不一定能唯一識別一個實體，除非與其他屬性結合使用。
    • 別名(Alias Name，AN):
      • 別名通常用於提供替代名稱或縮寫，方便記憶或引用。
      • 在目錄服務中，別名可能用於簡化對實體的引用，但不提供唯一識別。

通知結果(Notification)

• Directory Service進行驗證(Verification) 之後便會將驗證結果(Token)進行回傳。
• Token:某種東西或權力的象徵，可交由某人持有。驗證結果的Token中通常會放UserID、Role、DeviceID、數位簽章、Token有效期限等，由主體屬性、客體屬性以及環境屬性所組成的基本資料，較慎重的做法會將Token進行加密處理。
  • Token的格式必須一致才能系統互通，常見的格式有XML Base的SAML與JSON Base的OIDC Token(用於OAuth2)。

多因子驗證(Multi-Factor Authentication，MFA)

• 同時採用兩種以上的身分驗證因子(Authentication Factors) 進行驗證便稱作多因子驗證(Multi-Factor Authentication，MFA)。

單一登入(Single-Sing-On，SSO)

• 指User只需登入一次即可使用所有系統的服務，與多少帳號無關。
• 目前SSO有三種類型:聯盟型、整合型、自建型。
  • 聯盟型(Federated Identity):由多個組織組成聯盟，讓各組織間的服務可以用其他組織的帳號登入，通常是以較大的組織作為盟主，較小的組織則用其帳號來讓User登入，例如Google、Apple、Facebook即屬於此類。(透過On-Premises & IDaaS來實現)
    • 聯盟確認等級（Federation Assurance Levels，FAL）:
      • 這是一種跨多個系統和服務共享身份資訊的架構。用來衡量在身份聯盟中交換身份資訊的安全性，包括身份聲明的創建、傳遞和使用的安全性。
      • 較高的FAL等級指的是使用更嚴格的安全措施來保護在聯盟中交換的身份資料，以防止身份盜用和資料洩露。
  • 整合型(Integrated Identity):通常用在組織中的各個服務，User只需登入一次便可使用組織中的各項系統服務，例如微軟的Azure、Office365。(透過Active Directory來實現)
  • 自建型(Scripted Access):有些較舊的系統或服務無法透過另外兩種類型來做到SSO，因此便採用自建腳本(Logon Script)的方式來做。

身分驗證協議(Authentication Protocols)

• 身分驗證協議依層級可分為網路(Network)、作業系統(OS)、應用(Application)三個種類。
  • 網路(Network Protocols):
    • 建立通道(Tunnel)的Protocols:PPP、L2F、PPTP、L2TP
    • 身分驗證的Protocols:PAP、CHAP、EAP
    • 點對點協議(Point-to-Point Protocol，PPP)：
      • Data-Link層通信協議，常用於在兩個節點之間建立直接連接，以進行資料傳輸。最初被設計用於撥號連接。
      • 支援多種身份驗證機制，如PAP、CHAP、EAP：
        • PAP(Password Authentication Protocol):密碼在網路上明文直送，簡單易用但不安全。
        • CHAP(Challenge Handshake Authentication Protocol):
          • 挑戰握手認證協議。使用一個挑戰-響應機制來進行身份驗證(傳值給你運算回傳)
          • 相較於PAP，密碼沒有在網路上傳送。
        • 可延伸身分驗證協議(EAP-*):給廠商依需求自行基於EAP框架延伸擴充使用。
          • 這是一種認證框架，支持多種認證方法，用於各種網絡接入技術，包括VPN。
          • 提供了彈性和擴展性，可以支援多種認證機制。較重要的有EAP-TLS & PEAP，此兩這的提供者都是Microsoft，差別在於EAP-TLS另外需要 憑證或智慧卡(需輸入PIN) 來進行驗證。
            • EAP-TLS:採用交互驗證來驗證Server是否為正確的Server，因此安全等級最高。但當Client-Server的數量一多時，要做憑證的更換就會很麻煩。
            • EAP-TTLS：EAP-TLS改良版，AP有憑證即可，雙向認證
            • 受保護的可擴展認證協議(PEAP):建立在EAP之上的安全認證協議，會創建一個加密的通道來保護交換的認證資料，常用於VPN和其他網絡訪問服務的認證。
    • 802.1X:
      • 一種用來實現有線/無線區域網路(LAN/WLAN)的網路存取控制(Network Access Control，NAC)的協議。
      • 802.1X定義了驗證過程，須要做 身分驗證(輸入帳密) 來確保只有經過授權的用戶和設備才能存取網路資源。
      • 802.1X只認可延伸身分驗證協議(EAP-*)，以EAP作為其主要的身份驗證機制來進行用戶身份認證。
      • 以RADIUS伺服器作為Authentication Server的角色，透過RADIUS處理來自EAP的認證請求。
    • RADIUS:
      • 是一種用於網路訪問或IP服務的Client/Server協議，廣泛用於VPN認證，但它本身不是認證協議，而是認證和授權的服務提供者，做為後端身分驗證使用。
      • 支援PAP、CHAP、EAP等身份驗證機制，處理來自不同類型客戶端的認證請求。
      • 使用UDP（通過預設1812和1813 port）。
      • 只加密用戶的密碼資訊，而其他資訊（如用戶名和授權資訊）則以明文形式封裝後傳輸。
      • RADIUS over TLS(RadSec):
        • 使用TLS來封裝 RADIUS 訊息，在RADIUS服務之間提供安全傳輸方式的標準。
        • 使用TCP作為其傳輸協議來確保通信中的資料完整性和可靠性
    • 數據機時代的身份驗證協議用PAP、CHAP、EAP三種，VPN則是PAP、CHAP、EAP、RADIUS四種都能使用。
    • 數據機時代在電話線上是用PPP、L2F、PPTP來建立通道(Tunnel)控制連線。
    • TACACS(Terminal Access Controller Access-Control System):
      • 是一種用於網絡設備上的用戶身份驗證和訪問控制的協議。
      • 使用TCP（通過預設49 port）。
      • 最早由思科系統開發，用於控制對網絡設備如路由器和交換機的訪問，允許遠端訪問服務器來控制用戶對網絡設備和系統的訪問。
      • 安全性：TACACS+使用加密來保護整個身份驗證過程，而不僅僅是密碼。
      • 靈活性：TACACS+允許更細粒度的控制，管理員可以為不同的用戶或用戶組設置不同的訪問策略。
      • 可擴展性：能夠支持大型網絡，並與多個身份驗證資料庫（如Active Directory）整合。
      • 版本演進:TACACS -> XTACACS(Extended TACACS) -> TACACS+
        • TACACS：最初的版本，提供基本的身份驗證功能。
        • XTACACS(Extended TACACS)：擴展版的TACACS，增加了一些功能，例如更細粒度的訪問控制和審計功能。
        • TACACS+：是目前最常用的版本，與原始的TACACS協議不兼容。TACACS+支持分離的身份驗證、授權和紀錄（AAA）服務，使得它比原始的TACACS和XTACACS更靈活和強大。
  • 作業系統(OS Protocols):
    • Windows2000以前使用NTLM。
    • Windows2000之後的微軟AD開始使用Kerberos。
  • 應用程式(Application Protocols):在完成身分驗證後需要將包含主體屬性、客體屬性以及環境屬信等基本資料的 斷言(Asserting，SAML)/肯定描述(Claim，OIDC) 回傳來通知驗證結果，此時為了能夠進行溝通而有兩種主要協議，分別是OASIS以XML為基礎的SAML(Security Asserting Markup Language)以及用JSON格式的OIDC。
    • OAuth(Open Authorization):
      • 一種允許第三方應用程序訪問用戶在其他服務上的私人資源（如帳戶信息、聯絡人、文件等），而無需向第三方應用程式提供用戶的帳號密碼的開放標準授權協議。
      • OAuth2.0指定了存取資源的存取權令牌，但它沒有提供身分資訊（ID Token）的標準方法。
      • 身份驗證通常由OpenID技術處理(OIDC)。
        • OpenID 2.0:使用XML進行資料交換
        • OIDC:第三代OpenID技術，使用JSON進行資料交換(與OAuth 2.0保持一致)。

VPN & RADIUS

• 遠端使用者撥入驗證服務(Remote Authentication Dial In User Service，RADIUS):數據機、無線AP、Switch與VPN server均是透過RADIUS來與Domin Control進行溝通。
  • VPN認證可以使用EAP完成，無需802.1X（EAP Over LAN）。
• VPN(Virtual Private Network) 重點:
  • 建立通道(Tunnel) : 把Internet當成一種虛擬的網路線即為通道(Tunnel)。Tunnel只是連線的概念，與安全無關。因此在技術上可不加密，但在實務的使用上通常還是會加密，但無法保證CIA。
  • 安全服務:早期的VPN使用L2F協定，並未提供安全服務，但後來的協定便開始提供。
    • 第二層轉發協定(Layer 2 Forwarding Protocol，L2F):無安全服務。
    • 點對點隧道協定(Point to Point Tunneling Protocol，PPTP):採用的安全服務為Microsoft的微軟點對點加密(Microsoft Point-to-Point Encryption，MPPE)。
    • 第二層隧道協定(Layer Two Tunneling Protocol，L2TP):採用的安全服務稱作IPsec(Internet Protocol Security)，其中要注意認證頭(Authentication Header，AH)與封裝安全載荷（Encapsulating Security Payload，ESP）兩種協定。
      • AH:提供完整性控制，不提供加密。(給看不給改。完整性)
      • ESP:有提供加密。(既不給看，也不給改。機密性+完整性)

Kerberos

• Kerberos用在Domin Control與AD(Active Directory) 之間。
• Kerberos主要元素有Client、Server與金鑰配發中心(Key Distribution Center，KDC)。
  1. Client端透過發送一個包含用戶名和其他資訊(不含密碼)的明文請求至KDC的身分驗證伺服器(Authorization Server，AS)進行身分驗證後取得加密過的購票許可(Ticket-Granting-Ticket，TGT)與會話金鑰(Session Key)。
     • 會話金鑰(Session Key) 由售票服務伺服器(TGS)產生
  2. Client使用其用戶密碼的Hash解密來取得會話金鑰，並將此金鑰用於後續的通信中來加密和解密訊息。
  3. 之後Client端再以此TGT與會話金鑰向KDC的售票服務伺服器(Ticket Granting Server，TGS)取得服務票證(Service Ticket，ST)後便可以此Ticket作為有權限的證據來存取AP Server的服務。
• Kerberos支援多種加密技術，包括但不限於 DES 和 AES。它也可以配置為使用公鑰加密。
• Kerberos依賴連接兩端正確同步的時間來發揮作用。如果與本地系統時間不同步超過五分鐘，有效的 TGT 將會失效，並且系統不會再收到任何新的票證。
• Kerberos漏洞利用(Kerberos exploitation):
  • 攻擊者利用Kerberos協議中的安全漏洞或配置錯誤來獲得未授權的訪問權限。
  • 常見攻擊方式：
    • 金票攻擊(Golden Ticket):攻擊者創造一個偽造的Kerberos票證(TGT)來獲取域控制器的最高權限。
    • 銀票攻擊(Silver Ticket):創造服務特定的偽造Kerberos票證(TGS)來訪問特定服務。
    • Pass-the-Ticket：使用盜取的Kerberos票證來進行認證。

強制門戶(Captive Portal)

• 一種常用於公共Wi-Fi網絡的網路技術，用來控制或管理訪問者對網際網路的訪問權限。
• 當用戶首次連接到這樣的網絡時，他們會被重定向到一個網頁界面——即所謂的 "Captive Portal"。
• 透過網路層的攔截和重定向技術，當用戶設備嘗試訪問網際網路時，網絡路由器或接入點會攔截這些請求並將流量重定向到一個登錄頁面，直到用戶完成身份驗證或接受相關條款。
• 主要功能和應用：
  • 身份驗證:
    • 要求用戶輸入賬號和密碼、或提供其他形式的身份驗證（如社交媒體登錄、電子郵件或手機號碼）來訪問網絡。這幫助確保只有獲得授權的用戶可以使用網絡資源。
  • 註冊和接受條款：
    • 在允許用戶訪問互聯網之前，可以用來提示用戶註冊或接受使用條款和條件。這對於遵守法律規定或保護網絡運營商免受潛在的法律問題至關重要。
  • 數據收集和行銷：
    • 通過註冊過程，網絡提供者可以收集用戶信息，用於行銷和客戶關係管理。
  • 流量和頻寬管理：
    • 允許網絡管理者限制個別用戶或用戶群的網絡頻寬，確保公共Wi-Fi網絡的穩定運行。

結構化資訊標準促進組織(Organization for the Advancement of Structured Information Standards，OASIS)

• 制定的標準中包含了用XML語法為基礎的Protocols: SPML、SAML、XACML etc…
  • 簡單對象訪問協議(Simple Object Access Protocol，SOAP):
    • 基於XML的消息協議，用於在網絡上交換結構化的信息。
    • 主要用於實現網絡服務之間的遠程過程調用（RPC）和資料交換，使得不同操作系統和程式語言之間的應用程序能夠通過網際網路進行通信。
    • 用標準的XML格式構造，這使它具有極強的擴展性。
• • SPML(Service Provisioning Markup Language):
    • 服務供裝標記語言，用於服務供裝交換資料的標準格式，使不同系統能夠互相通訊以管理使用者帳號和權限。
• • SAML(Security Asserting Markup language):安全性聲明標記語言，用於身分驗證。
    • SAML 斷言是由 SAML 權威機構產生的資訊包，包含關於主體的身份驗證行為、屬性資訊或與特定資源相關的授權資料。
    • 斷言關於主體的聲明，而主體是安全領域內的主要實體。
    • SAML 權威可以是斷言方，在斷言生成和交換的討論中，而依賴方是使用收到的斷言來做出決策的系統實體。
    • SAML 協議包括請求者和回應者，分別用於請求和回應服務。
• • XACML(eXtensible Access Control Markup Language):
    • 可擴展存取控制標記語言，用於表達和管理存取控制決策(授權)。
    • 用於制定和執行存取控制決策的核心組件:
      • 政策執行點(Policy Enforcement Point，PEP):
        • 在公司的應用系統中實施存取控制決策的地方。
        • 當一個請求被提交至應用系統時，PEP攔截這個請求並將相關資訊（如用戶身份、請求的操作和對象等）發送到PDP進行授權判斷。
        • 根據PDP返回的決策（允許或拒絕），PEP將執行相應的存取控制操作。
      • 政策決策點(Policy Decision Point，PDP):
        • 授權處理的核心部分，位於伺服器端。
        • 負責評估接收到的存取請求，根據PAP設定的政策來決定是否授權該請求。
        • PDP通過分析政策、規則和請求中的屬性，作出決策並將結果返回給PEP。
      • 政策管理點(Policy Administration Point，PAP):
        • 管理授權政策的介面，通常由使用單位或安全管理員操作。
        • PAP允許管理員創建、修改和刪除存取控制政策和規則。這些政策隨後由PDP使用來評估存取請求。
        • PAP是政策生命週期管理的重要部分，確保政策的及時更新和維護。
      • 政策資訊點(Policy Information Point，PIP):
        • 管理和提供PDP在決策過程中所需的屬性資訊。這些屬性可能包括用戶角色、資源屬性、環境條件等。
        • PIP從各種數據源收集這些屬性資訊，如資料庫、目錄服務或其他外部系統，並將這些資訊提供給PDP以支持準確的存取控制決策。

檢查授權(Authorization)

• 念書兩大重點:授權機制(Authorization Mechanisms)與安全模型(Security Models)
• Access Control在以前指的便是授權，但在現今Access Control已不只討論授權。需注意的是在此節中提到的Access Control則是單指授權一事，即授予特權。
• 特權(Privileges):指的是權限(Permissions)+權利(Right)。
  • 權限(Permissions):指對於資源使用權限的等級，會分得較細，例如:讀取、寫入etc…
  • 權利(Right):指某個行為/動作能不能做。
  • 特權提升(Privilege Escalation):
    • 特權提升指的是用戶或程式通過各種方法獲得超出初始授權範圍的訪問權限。這可以是合法的（如系統管理員授權），也可能是非法的（如攻擊者利用系統漏洞）。
    • 使用sudo並且稽核其使用過程(Use of sudo, auditing its use):
      • 為了安全地使用sudo，重要的是要稽核所有通過sudo執行的命令。這可以通過配置適當的稽核日誌來追蹤sudo的每一次使用，確保其使用符合安全政策和標準。
• 服務帳號管理(Service Accounts Management):
  • 服務帳戶(Service Accounts) 是用於執行應用程式和服務的專用帳戶，通常具有自動訪問特定資源的權限。
  • 管理這些帳戶尤為重要，因為它們經常具有較高的特權，且不直接與人類用戶互動。

授權機制(Authorization Mechanisms)

• 授權機制的演進 : DAC->MAC->RBAC->ABAC->ISC²再分為Risk-Based、Rule-Based & History-Based。
• 自主型存取控制(Discretionary Access Control，DAC):最基本的由人決定的權限表/存取控制矩陣(ACM)來進行授權的存取控制機制，以權限表/存取控制矩陣(ACM)為核心，亦可稱身分型(Identity-Based)存取控制。
  • 由Owner依據Need-to-Know原則與最小授權原則(Least Privilege)來設定權限表的內容。
    • Need-to-Know原則:
      • 以是否與工作相關來決定要不要給。
      • 只授權給需要知道特定資訊的人以完成其工作的資訊存取權。
    • 最小授權原則(Least Privilege):
      • 給到剛好可以完成工作的程度即可，不多也不少。(決定給多少)
      • 確保系統的用戶/Service僅擁有完成其任務所必需的最少權限。
    • 利益衝突原則(Conflict of interest):
      • 防止個人在其職責和個人利益之間產生衝突的情況。
  • 由Custodian來負責依照權限表的內容設定權限。
  • 存取控制矩陣(Access Control Matrix):為一個理論模型，用於描述系統中所有可能的存取控制關係，說明了主體對客體有何種權限，主體可以是個人也可以是群組。從縱軸與橫軸來看可分成實務上在系統中進行權限設置的存取控制清單(Access Control List)與能力表清單(Capability Table)，系統在執行時便以此來進行管制。
    • 存取控制清單(Access Control List，ACL):以客體為主，從客體(資源)的角度來看客體被授權了那些控制權限出去。每個客體都有各自的ACL，列出了哪些主體(用戶/群組)可以對此客體進行哪些操作。(可被做哪些動作)
    • 能力表(Capability Table):以主體為主，從主體(用戶/群組)的角度來看主體被授權可以進行哪些行為，列出了其可以存取的客體及其對這些客體的操作權限。(可以做哪些動作)
  • 缺點:權限可能擴散、失控 & 不易進行管理。
    • 授權原則(Privilege)沒有強制性，若Owner沒有依照原則或是設定錯誤便會造成權限擴散、失控。(最大缺點)
    • 只能一個一個設定，當主客體一多便不易進行管理。
    • 轉移(Transitivity):
      • 存取權限的間接獲得，只其中一個實體的權限能夠通過連接的實體間接地擴展到其他實體。
      • 例如:一位經理可能將任務委派給下屬，並賦予其完成任務所需的特殊存取權限。如果這些下屬能夠再次賦予他人這些權限，就可能出現未經審核的權限擴散。
• 強制型存取控制MAC(Mandatory Access Control):由於DAC具有權限可能擴散、失控的缺點，美國國防部的橘皮書便制定了始於制度(System)的強制型存取控制(MAC) 來彌補DAC所產生的缺點。
  • 強制型存取控制(MAC) 的 制度(System) 始於 政策(Policy)，也就是要先做資料(Data Classification)與人員(Security Clerance)的分類。
  • 有了制度才會有搭配的罰則，有了罰則才能夠強制執行。
  • 搭配的安全模型(Security Models):BLP Model、Information Flow Model、Lattice Model。
  • 安全核心(Security Kernel)：用來做存取控制(3A)
    • 在主體對客體進行存取行為時，驗證主體身份(Authentication)，確認使用行為是否已被授權(Authorization)，並對於在客體的任何行為進行記錄(Accounting)
• RBAC(Role-Based Access Control):由於DAC在管理上，資料的擁有者(Owner)對每個客體的ACL都必須去逐個設置不同主體的存取權限，導致不易進行管理，便衍伸出了以角色為基礎的存取控制機制RBAC(Role-Based Access Control)。
  • 以角色(Role)為主，針對不同角色設置不同的權限內容(可以存取那些客體?以及各有何種程度的存取權限?)。
  • 將角色(Role)與主體做關聯來授予主體存取權限，這裡主體通常是個人但也可以與用戶群組做關聯，且每個主體可以分派多個角色。
  • 當角色(Role)的權限被修改時，所有擁有此角色的主體權限也會跟著變動。
  • 角色(Role) = 帶有權限的群組 = 權限的集合
  • 群組:一群人/帳號的集合。
• ABAC(Attribute-Based Access Control):由於現代的組織業務越趨複雜化，RBAC逐漸不敷使用，因此便出現了以屬性(主體、客體、環境)為基礎的ABAC(Attribute-Based Access Control)。
  • ABAC亦為Zero Trust的核心觀念，並且在權限設定上分為了條件式(一個條件不合即不行)與分數式(分數不夠則不行)兩種機制。
    • 條件式:只要有其中一個屬性條件不合，主體便無法對客體進行存取。
    • 分數式:將各個屬性與條件計算出分數，當分數不足時主體便無法對客體進行存取。
  • 透過SAML與XACML配套來實現ABAC(Attribute-Based Access Control)。
• ISC² 又以ABAC的分數式為基礎延伸(硬凹發明)出了三種機制的說法:
  • 以風險分數為基礎的(Risk-Based Access Control)
  • 以規則為基礎的(Rule-Based Access Control)(其實就是防火牆)
  • 以存取紀錄為基礎的(History-Based Access Control)
• LBAC(Lattice-based access control):使用Lattice模型來定義系統狀態和轉換規則，確保資訊流的安全性和整體系統的完整性。在這種模型中，每個對象和主體都被賦予一個安全級別(標籤Label)，形成一個Lattice，用來決定訪問權限。可以細緻地控制資訊流和防止權限濫用，利用狀態機模型(State Machine Model) 來實現對資訊流的精確控制，防止未授權的資訊泄漏。

安全模型(Security Models)

• 安全模型(Security Models) 為學術理論，有四個重點模型BBCC(Bell-LaPadula Model、Biba Model、Chinese Wall、Clark-Wilson Model)。
• 基本模型(Basic Models):
  • 狀態機模型(State Machine Model):
    • 描述系統中可能的狀態和在這些狀態之間轉換的規則
    • 在發生故障時，系統會根據狀態機模型的規則自動轉移到一個安全的恢復狀態，以確保系統在遭遇故障或攻擊後能夠可靠地恢復到一個安全的狀態。
    • 確保每個狀態(State)都是處於安全的狀態
    • 用來實現信任復原。
  • 資訊流模型(Information Flow Model):
    • 描述系統中資訊的流動和控制，以確保資訊只能在特定的安全級別之間流通，防止機密資訊洩漏到不應該獲取該資訊的實體。
  • 無干擾模型(Non-interference Model):
    • 分析和確保系統組件之間隔離性的方法，適用於需要高度隔離和安全保障的環境。
    • 核心概念是系統的一部分不應該影響到另一部分的狀態，除非這些組件之間存在明確的授權共享。
• 機密性模型(Confidentiality Models):
  • Bell-LaPadula Model(BLP):
    • 為了防止洩密(Confidentiality)，以分類等級為基準，禁止資料流向下流動。
    • No read up(簡單安全屬性) & No write down(星安全屬性)
  • Chinese Wall(Brewer and Nash Model):
    • 為了避免發生使用者透過多筆資料而拼湊出更高階的機密資料導致洩密的情況發生(Confidentiality)，設定利益衝突群組，透過歷史紀錄來動態阻絕取得資料。
    • ex:如果A+B能得出C，則曾經存取過A資料便不能再存取B資料，反過來先存取過B資料亦同。
  • Sutherland Model:
    • 早期的資訊安全模型，專注於研究和分析在一個開放系統中資訊的流動和控制，有助於識別和管理可能的隱蔽通道(Covert channel)。
    • 強調在不同安全域之間正確處理資訊流通的重要性，並尋求在保護資訊安全的同時，允許必要和正當的資訊共享。
• 完整性模型(Integrity Models):
  • Biba Model:
    • 為了確保資料完整性(Integrity)，以分類等級為基準，防止資料往上流動。No write up(星完整屬性) & No read down(簡單完整屬性)
  • Lipner’s model:
    • 結合了貝爾-拉帕杜拉（Bell-LaPadula，BLP）模型和比巴（Biba）模型的概念，從而同時支持機密性和完整性保護。
  • Clark-Wilson Model:
    • 目的是為了確保資料的完整性(Integrity)，與Access Control並無直接關係。
    • 例如資料庫交易(Database Transaction)，概念是當資料庫進行異動時，將多個異動動作視為一個交易(Transaction)，全部成功時才完成交易，如果發生異動失敗則全部Roll Back。
    • 且須做到職責分離，使用資料與變更資料的角色必須分開。
• 授權模型(Authorization Model):
  • 取得-授予模型(Take-Grant Model):
    • 用於描述系統中實體如何通過一系列的「取得」和「授予」操作來改變其他實體的權限。
    • 這個模型通常用來表示系統中各種資源（如文件、設備）的權限分配和傳遞。
    • 每個實體都可以擁有或被授予特定的權限，並且可以將這些權限傳遞給其他實體。
    • 這種模型有助於分析和驗證系統的存取控制策略是否能有效防止未授權存取。
    • 取得規則(Take):
      • 如果一個主體對另一個主體有控制權，它可以取得該主體持有的任何權限。
    • 授予規則(Grant):
      • 一個主體可以將其擁有的任何權限授予另一個主體，前提是它有授予該權限的權力。
    • 創建規則(Create):
      • 一個主體可以創建新的對象或主體，並為其分配權限。
    • 移除規則(Remove):
      • 主體可以移除另一個主體或對象的某些權限。

紀錄行動(Accounting)

• 念書重點:
  • 紀錄(Accounting):寫Log
  • 稽核(Auditing):看Log
  • 追責(Accountability)
• 從身分驗證(Authentication) 開始，出示身分(Identification)、驗證身分(Verification)、通知結果(Notification) 到檢查授權(Authorization) 的一連串動作都要進行紀錄(Accounting)。
• Accounting(寫Log):為了追蹤主體或客體的軌跡紀錄(Investigation and Evidence)，透過Logging動作或SIEM(Log Server) 來記錄與收集Log。
  • Logging & SIEM
  • 數位鑑識
• Auditing(看Log):
  • Clipping Level:設定門檻值，排除未達門檻的事件。
  • Correlation:確認關聯性，排除不相關的紀錄。
  • 稽核軌跡(Audit Trail)
• Accountability(追責):進行事件追責(不可否認，Non-repudiation)。

稽核軌跡（Audit Trail）

• 指記錄和保存的系統或應用程序中發生的一系列活動或操作的日誌。
• 這些記錄提供了對系統或資料庫操作的詳細的、可追溯的歷史，包括誰在何時進行了什麼操作，以及操作的結果。
• 稽核軌跡對於確保資訊系統的安全性、監控用戶行為、符合法規要求以及進行事後分析和調查非常重要。
• 稽核軌跡的特點:
  • 完整性：提供一個完整的活動記錄，包括成功和失敗的嘗試。
  • 不可否認性：幫助證明特定行為或交易發生了，使得用戶不能否認他們的操作。
  • 可追溯性：應該能夠追蹤到特定操作的來龍去脈，明確誰、何時、做了什麼，以及操作的結果。
  • 保密性和安全性：應受到妥善保護，防止未經授權的訪問和修改。
• 稽核軌跡的應用:
  • 安全監控和警報：通過分析稽核軌跡，可以檢測到不正常或惡意的活動，及時警覺潛在的安全威脅。
  • 合規性驗證：許多法規要求實施稽核軌跡來證明組織符合特定的安全和隱私標準。
  • 故障診斷和問題解決：可以幫助技術人員理解系統問題的起因，並修復故障。
  • 事後分析和取證：在安全事件或資料洩露發生後，提供資訊來進行事後分析和取證。

零信任(Zero Trust)

• 在目前越發多樣化的工作型態以及全球化的環境影響下，既有的存取控制機制已無法滿足現今環境。因此為了滿足現今的需求，便有了 零信任(Zero Trust) 的概念產生。
• 零信任(Zero Trust):可被稱作存取控制(Access Control)2.0。
• 念書重點:
  • 資料為中心
  • 虛擬邊界
  • 更細膩/粒(Fine-grained)
  • 更動態(Dynamic)
  • 更透明(Transparent)
• 零信任(Zero Trust) 乃是以資料為中心，畫定虛擬邊界，從零開始建立信任的控制機制。把 身份驗證(Authentication) 及 檢查授權(Authorization) 作到更細膩/粒(Fine-grained)、更動態(Dynamic)及更透明(Transparent)。
  • 消除邊界化(De-perimeterisation):
    • 意味著不再依賴固定的網絡邊界來保護資源，而是將安全控制應用到資源(Data)本身，不管它們在哪裡。
  • 完全中介（Complete mediation）:
    • 意味著每次訪問都必須被檢查和驗證，無論內部還是外部，所有訪問都需要經過驗證和授權。
  • 更細膩/粒(Fine-grained):透過以資料為中心，運用VXLAN(虛擬局域網擴展)、SDN(軟體定義網路)、SDP(軟件定義邊界)、Micro-Segmentation(微切分架構) 等技術畫定虛擬邊界。從使用者開始，是誰使用哪個設備，執行哪個應用程式來存取何種資料。都用以ABAC為核心的授權機制以及OSI 7層將身分驗證與檢查授權的動作做得更細膩。
  • 虛擬邊界(Virtual Perimeter):
    • Micro-Segmentation(微切分架構):
      • 細分數據中心和雲端環境中的安全邊界，每個工作負載都有其專屬的安全策略。
      • 這種策略可以有效防止橫向移動攻擊，即使攻擊者侵入系統，也難以從一個系統擴展到另一個系統。
      • 利用SDN(軟體定義網路) 提供的動態調整能力可以促進微切分實施的靈活性和精確性，使得安全邊界更加細緻化。
    • SDP(軟體定義邊界):
      • 一種極大地提高資訊中心和雲環境中安全性的網絡安全框架。
      • SDP採用一種“隱形”策略，只允許經過認證和驗證的設備和用戶訪問網絡資源。這種設計理念有助於保護網絡免受未經授權的訪問和攻擊。
      • 可以利用SDN的集中控制能力來加強SDP策略的實施，使得安全策略的部署和管理更加集中和高效。
    • SDN(軟體定義網路):為了使網路靈活並易於管理，通過將控制層（負責決策的部分）從資料層（負責實際傳輸資料的部分）分離出來，將網路控制集中到一個或多個SDN控制器中，這些控制器提供了對交換機和路由器等網路設備的集中管理。
      • 在OSI第二層（資料連結層）和第三層（網路層）進行設定和管理，這允許網路管理員更靈活地處理網路流量和策略
      • 集中式控制：網路智能和控制功能集中在SDN控制器上，允許從一個位置控制多個網路設備。
      • 抽象化的控制層：通過與底層硬件的抽象化，SDN控制器可以使用軟件應用來定義和管理網路行為，而無需改動物理設備。
      • 程序化網路配置：網路管理員可以使用軟件應用來動態配置網路，以滿足變化的需求和條件，提高了網路的靈活性和可編程性。
      • 軟體定義廣域網路(Software-Defined Wide-Area Network，SD-WAN):
        • 特定類型的SDN技術，專門用於優化企業的廣域網路（WAN）性能和安全，可以連接不同的數據中心和雲服務。
        • 允許企業通過自動化和集中式控制來增強、替換或部分替換傳統的分支路由器，使用軟件定義的方法來控制流量路由，從而確保更有效的網路資源管理。
        • 支援多個連接類型（如MPLS、寬頻網路和移動網路），是確保多ISP連接可靠性和頻寬的理想選擇。(提高資料傳輸的效率和可靠性)
      • 多協議標籤交換(MPLS)
        • 一種高效的資料傳輸機制，用於增強網路服務質量（QoS）和流量管理。
        • 在封包進入網路時給予它們一個短的標籤，這個標籤決定了封包在網路中的路徑。
        • 這種技術特別適用於改善網路延遲和擁塞管理，廣泛應用於大型 ISP 和企業網路。
      • 網路功能虛擬化(Network Functions Virtualization，NFV):
        • NFV技術允許將網路功能（如防火牆、負載平衡器和侵入檢測系統）從專用的硬體設備中抽象出來，並在虛擬化環境中運行。
        • 這樣不僅減少了硬體依賴，也提高了網路服務的靈活性和擴展性。
      • • 應用層(Application Plane):這裡顯示的是「Stateful SDN Application」，指的是能夠根據網絡狀態變化動態調整的應用程序。這些應用程序通過北向API（Northbound API）與控制平面溝通。
        • 控制平面(Control Plane):在圖中，「Stateful SDN Controller」作為網絡的大腦，控制和管理所有的網絡決策。控制器將下達的規則傳達給資料平面中的交換機和路由器。
        • 南向API(Southbound API):控制器通過這個API將資料和指令傳輸到資料平面的交換機和路由器。
        • 資料平面(Data Plane):由「Stateful Switch」組成，這些交換機根據從控制器接收到的規則來處理網絡流量。流量的處理是基於控制器下發的規則和流量本身的狀態。
        • OpenFlow:允許網路控制器以程式化的方式管理網路交換器和路由器的一種通訊協議。既可以提供管理/應用平面的北向介面用於管理指令，也可以提供南向介面用於設備控制。
    • 覆蓋網絡(Overlay network):
      • 在現有網路之上建立的虛擬網路，使用現有的物理網路基礎設施，通過軟體創建一個新的網路層。
      • 覆蓋網路可以實現跨越不同物理網路的連接，並能夠更加靈活(細膩)地處理資訊流和存取控制。
    • VXLAN(虛擬局域網擴展):
      • 一種網路虛擬化技術，可解決傳統大規模數據中心網絡中的擴展性問題。允許創建橫跨不同地理位置的大規模多租戶環境中的虛擬網絡。
      • 可以與SDN結合使用，透過SDN控制器管理VXLAN策略，從而提高網絡的靈活性和擴展性。替微切分架構提供更靈活的網絡切分方法，進一步加強安全防護。
    • SDSec(軟體定義安全):
      • 一種安全架構和實踐，將安全控制措施如防火牆、入侵檢測系統和資料流量監控等完全通過軟體實現。
      • 不依賴於傳統的硬件設備，而是使用軟體和虛擬化技術來動態部署和管理安全策略。
      • 可以整合到SDN架構中，利用SDN的靈活性和中心化控制來增強安全策略的部署和管理。
  • 更動態(Dynamic):用更動態的Port Knocking或Single Packet Authorization(SPA)技術來增加安全性。
    • Port Knocking:平時不開port，當要使用時須通過驗證才會開啟。
    • SPA(Single Packet Authorization):使用HMAC技術的Port Knocking。
  • 更透明(Transparent):每個階段都要進行存取控制且更透明的紀錄各種軌跡及流量。
• 且 零信任(Zero Trust) 也能夠避免入侵者從外部入侵防火牆(縱向移動) 後就能在組織內部網路自由移動，也就是防止入侵者的橫向移動。

Pre-admission & Post-admission

• 預先准入(Pre-admission):在用戶或設備連接到網絡之前對其進行身份驗證和授權(先進行存取管理)。這一過程確保只有經過驗證和授權的用戶或設備才能訪問網絡資源，從而提高網絡的安全性和控制性。
• Post-admission指的是在用戶或裝置被准許進入網絡後執行的一系列安全檢查和策略實施，以確保持續的安全性和遵守政策。這個過程是動態的，通常涉及到持續的監控和評估，以確保一旦許可進入網絡的用戶或裝置不會造成安全威脅。
  • Post-admission的關鍵要素:持續監控和評估、行為分析、遵守政策、安全事件響應
    • 持續監控和評估：網絡安全系統需要持續監控許可進入網絡的用戶或裝置的行為，以確保它們不會從事惡意活動或違反安全政策
    • 行為分析：通過分析網絡行為和流量模式，安全系統可以識別異常或可疑的行為，從而及時採取補救措施。
    • 遵守政策：確保所有訪問網絡的用戶和裝置持續遵守企業的安全政策和標準。
    • 安全事件響應：一旦檢測到安全事件或違規行為，應立即採取措施進行應對和糾正。

(D6)安全評鑑(Security Assessment)

• Tip: 查驗、訪談、測試
• 安全評鑑是一個透過查驗、訪談及測試等方法，確保安全控制措施的有效性與符合性，並在最後產出報告的一連串過程。
  • 安全評鑑的Purposes:
    • 針對安全控制措施
    • 確認符合性:有達到控制的目標就算有效
    • 確認有效性
  • 安全評鑑的Method:
    • 查驗:檢查文件。(用眼看)
      • ex:遭受DDOS攻擊時的應對計畫在哪?拿來看看。
    • 訪談:與組織內的個人或單位進行討論。(張嘴問)
      • ex:遭受DDOS攻擊時你該怎麼做，說來聽聽。
    • 測試:實際演練。(動手做)
      • ex:實際操作一下應對計畫的流程試試。
  • 安全評鑑的Result:
    • 持續改善:報告產出的結果有好有壞，好的要精進，壞的要改正。
• 稽核(Audit):
  • 由獨立第三方單位來做，被稽核的單位無法影響到的單位。
  • 1st-party:稽核委員會，隸屬於組織董事會之下。
  • 2nd-party:來自客戶的稽核。
  • 3rd-party:專門的稽核公司。
• 安全控制評估(Security Controls Assessment，SCA):
  • 美國政府用於評估安全控制的正式流程。

(D2)資料治理(Data Governance)

標籤(Labeled) & 標記(Marked)

• 在安全標識和文件管理中，透過替資料加上Labeled或Marked來傳達資料的性質和目的。
• 標籤(Labeled)偏向於有意識地為了提供信息而添附的標籤，標記(Marked)則更多用於指出某物的狀態或進行簡單的識別。
• 標籤(Labeled):提供詳細信息或說明
  • 指在物品上附加或印製標籤，這些標籤通常包含了描述性的信息或說明，用以識別或說明該物品。
  • 這類標籤可以是文字、符號或圖像，並且通常用於提供有關物品的更多信息，如內容、用途、安全說明等。
  • 將安全屬性與組織資訊系統內的內部資料結構所表示的主體和客體關聯起來，以實現基於資訊系統的資訊安全策略的執行。
  • 可以被安全系統用來強制實施存取控制決策，確保只有授權用戶才能訪問機密文件。
• 標記(Marked):標示狀態或提供識別
  • 指在某物上做出標記或符號，這種標記可能是為了顯示某種狀態、分類、所有權或方向。
  • 標記可以是簡單的符號或線條，並不一定像標籤(Labeled)那樣提供豐富的信息，但它有助於識別、跟踪或指引。
    • 例如：一個文件被標記(Marked)為機密(Secret)，通常是在文件上加蓋了「機密(Secret)」的印章。

個人資料與隱私(Personal Data and Privacy)

• 五個重要議題:個資與隱私的定義、個資的角色、個資處理原則、去識別化、個資相關法律的要求。
• 個人資料(Personal Data):個資，指的是可直接或間接追朔到當事人的各種資料。
  • 角色與職責：
    • 個資當事人(Data Subject):被收集資料的個人主體，當事人只會有一位。
    • 個資控制人(Data Controller):拿到個資的組織就是個資的控制人，所有拿到相同個資的組織都是該個資的控制人。
    • 個資處理者(Data Processor):依照控制人所決定的目的及方式來使用資料的人。
• 隱私(Privacy): 個人有決定資料如何被運用(個資處理)的權利。
• 隱私框架:
  • 隱私框架為一套原則、政策、指南和技術措施的組合，旨在協助組織管理個人資料的收集、使用、存儲和分享，以保護個人隱私權。框架提供了一種結構化方法，幫助組織在符合法律和道德要求的同時，有效地處理隱私相關風險和挑戰。
  • 隱私框架的主要元素:
    • 原則和政策:
      • 定義組織對隱私的基本承諾和目標，包括遵循的法律標準（如GDPR、CCPA等）和內部政策。
    • 風險管理:
      • 識別和評估與處理個人資料相關的隱私風險，包括未經授權存取、資料泄露和不當使用等。
    • 資料管理措施:
      • 確定資料收集、儲存、處理和共享的技術和管理控制措施。這可能包括資料收集最小化、資料加密、匿名化和使用者同意管理。
    • 透明性和責任:
      • 確保向個人提供其資料如何被使用的清晰信息，並實施機制以支持資料主體的權利，如存取權、更正權和刪除權。
    • 培訓和意識提升:
      • 對員工進行定期的隱私保護培訓，增強對重要隱私原則和政策的理解和執行。
    • 持續監控和審計:
      • 定期評估隱私控制措施的有效性，並對隱私實踐進行審計，以確保符合內部和外部要求。
• 個資處理:
  • 只要動到個資就叫處理。
  • 包含蒐集、儲存、傳輸、分享。
  • 處理個資要依照法規來處理。
    • 特別重要：歐盟(GDPR)、美國、加拿大、加州個資法
• 個人識別資訊(Personally Identifiable Information，PII):
  • 能夠用來識別、聯繫或找到某個特定人的資訊。包括姓名、地址、電話號碼、Email、社會保險號、出生日期等，常用於資安及隱私權法。
  • 資訊的特定組合也可能被視為PII，即使這些資訊片段本身可能不足以識別個體，但組合起來便能識別出特定個體。
• 個人健康資訊(Protected Health Information，PHI):
  • 個人的健康狀況、提供的醫療服務，或付款給醫療服務的資訊。
  • 包括疾病、診斷、治療、醫療紀錄、測試結果、保險資訊和其他與健康相關的敏感資料
• 個人財務資訊(Personal Financial Information，PFI):
  • 個人的財務狀況和交易的資訊。包括銀行帳戶資料、信用卡資料、交易紀錄、稅務資訊以及其他與財務相關的敏感資料
• 敏感個人資料(Sensitive Personal Data):
  • 在台灣叫特種個資，泛指病歷、醫療、基因、性生活、健康檢查及犯罪前科等個人資料。
  • 原則上不能蒐集、處理或利用，除非符合特殊狀況。
    • 法律明文規定:例如醫師依醫師法及醫療法的規定可以使用病歷資料。
    • 公務機關執行法定職務，或非公務機關履行法定義務所必要，且有適當安全維護措施。
    • 當事人自行公開，或其他已合法公開之個人資料。
    • 公務機關或學術研究機構，為了醫療、衛生或犯罪預防，必須進行統計或學術研究，且經一定程序所為蒐集、處理或利用之個人資料。
    • 為協助公務機關執行法定職務，或非公務機關履行法定義務必要範圍內，且事前或事後有適當安全維護措施。
    • 經當事人書面同意
• 技術性和組織性措施(Technical and Organizational Measures，TOMs):
  • 為了保護個人資料免受意外或非法的破壞、丟失、更改、未經授權的披露或存取而採取的措施。
  • 這些措施是根據相關法律要求（如歐盟的GDPR）以及企業的內部政策和程序來設計和實施，以求達到適當的安全水平，並確保資料處理活動的合法性和安全性。
• 個資在歐洲的OECD/GDPR稱為Personal Data，在美國的ISO 29100則稱為Personally Identifiable Information(PII)。兩邊都有著一定的處理原則，但雙方的差異不大，基本上都符合以下8項個資處理原則：
  • 告知蒐集目的
  • 取得蒐集同意
  • 蒐集最小化
  • 開放修改
  • 允許刪除
  • 做好資安
  • 出事要通知
  • 出事要負責(罰錢、賠償)

企業資料(Proprietary Data)

• 角色與職責:
  • 資料擁有者(Data Owner):
    • 屬於治理層級(當責)的角色。
    • 負責做授權的決策。
    • 對資料進行分類與保護。
  • 資料管家(Data Steward):
    • 負責資料品質。
    • 資料品質:
      • 資料正確性。
      • 格式一致性。
      • 要用相同的資料處理邏輯來處理資料。
  • 資料控制者(Data Custodian):
    • 資料的實際操作者。
    • 負責依照Data Owner的授權決定來設權限、備份、etc.

去識別化(De-identification)

• 個人資料經過 去識別化(De-identification) 後便已不算個資
• 去識別化(De-identification) 的方式:
  • 匿名化(Anonymization):完全匿名且不可還原
    • 遮罩/抑制/刪減(Masking/Suppression/Redaction)：
      • 隱藏或移除某些資料的部分，以防止原始資料被辨識。
      • 例如把信用卡號的中間8位替換為XXXX-XXXX > 1234-XXXX-XXXX-5678
    • 混淆/擾亂(Obfuscation/Scrambling)：
      • 將資料的元素重新排序或更改，使其變得難以辨識。
      • 例如將姓名「王 聰明」變成「葉 大雄」
    • 概化(Generalisation)：
      • 將具體的資料替換為更一般的值。
      • 例如將生日「1992-03-15」更改為「1992」或「1990s」
    • 雜湊化(Hashing)：
      • 使用一個算法將資料轉換為固定⾧度的字符串，這通常是不可逆的。
      • 例如將密碼「password123」通過SHA演算法轉換為一串固定的字符
  • 擬匿名化/假名化(Pseudonymization):有條件還原
    • 加密(Encryption)：
      • 使用金鑰將資料轉換成密文，只有持有金鑰的人才能解密。
    • 格式保留加密技術(Format-Preserving Encryption)：
      • 加密資料但仍保留其原始格式。例如將信用卡號碼加密，但仍保持為16位數字1234-5678-1234-5678 -> jS1K-Kfj9-sjfL-!3fJii)
    • 記號化(Tokenization)：
      • 替換資料元素的值為隨機生成的代表值或令牌，記號化內容可保有原資料特性。
      • 例1:將信用卡號碼替換為一個隨機令牌，該令牌在購物時使用。1234-5678-1234-5678 -> 8265-4515-9561-6314
      • 例2:將身分證號碼轉為另一組符合身分證編碼原則之字串。A123456789 -> A987654321
  • 統計通則化(Statistical Generalization)：
    • 通過分群、聚合或抽樣來表示資料的整體趨勢，而不是單個資料點。
    • 例如根據年齡範圍將顧客分成多個群組，如「18-25」、「26-35」等

資料生命週期(Data Life Cycle)

• 資料狀態(Data State):
  • 靜止狀態(Data at Rest):
    • 資料被儲存在任何類型的電子媒介上時的狀態，如硬碟驅動器、SSD、USB驅動器或其他儲存裝置上。
  • 傳輸狀態(Data in Transit):
    • 資料從一個位置傳輸到另一個位置時的狀態，例如在網際網路或內網中傳送。
  • 使用狀態(Data in Use):
    • 當資料被激活並在記憶體中處理時，即認為資料處於使用狀態。
• 生命週期(Life Cycle):
  • 生成(Create):
    • 資料的生成或收集階段是生命週期的開始，這包括通過各種方式(如資料輸入、資料擷取或自動生成)創建新資料。
  • 儲存(Store):
    • 生成的資料需要被儲存在適當的儲存系統中，如資料庫、文件服務器或雲端儲存。在此階段，應確保資料的安全性和完整性。
  • 使用(Use):
    • 資料被應用於各種業務流程和決策支持活動。在這個階段，資料被讀取、處理和分析來提供有價值的見解。
  • 分享(Share):
    • 將資料提供給內部或外部的利益相關者。這需要嚴格控制資料訪問和傳輸過程，以保護資料的隱私和安全。
  • 備份(Archive):
    • 當資料不在使用時，為了長期保留並在需要時能夠恢復資料，資料會被存檔或備份。存檔資料可能會在非活躍的低成本儲存媒介(磁帶)中保留一段時間。
  • 銷毀(Destroy):
    • 最終階段是資料銷毀，這是當資料不再需要時，應採取適當措施從所有存儲媒介中安全地刪除資料。這確保敏感資訊不被未經授權訪問或濫用。

資料擦除(Data Sanitization)

• 移除或銷毀儲存在記憶裝置上的資料
• 資料擦除方法(Data Sanitization Methods)：
  • 參照NIST SP 800-88 R1《媒體消毒指南》（Guidelines for Media Sanitization）
  • 清除(Clear)：資料救的回來
    • 清除是通過對存儲裝置執行標準讀寫指令對所有用戶可察覺的儲存位置中的資料進行擦除，以防止簡單的非侵入式數據恢復技術。
      • 重寫新值
      • 使用MENU選項將設備重置為出廠狀態(當儲存媒介不支持重寫的情況下)
    • 適合於控制環境中重新使用媒體。然而，清除無法防止資料被復原。
  • 抹除(Purge)：資料救不回來但硬碟可能仍然可以使用
    • 應用物理或邏輯技術，使得即便使用最先進的實驗室技術也無法恢復目標資料。
    • 抹除專用指令(Purge Specific Commands):
      • 針對特定媒體類型設計的指令，通常為由設備製造商提供，可進行高級的覆寫程序、區塊擦除或加密擦除。(HD+SSD適用)
    • 消磁法(Degaussing):
      • 針對磁性媒體(如硬碟和磁帶)的資料擦除技術，通過使用高強度磁場來隨機改變磁性媒體上的磁性位，從而使儲存在媒體上的資料變得無法讀取和恢復。(HD適用)
      • 需要使用專門的消磁設備，消磁過程通常會導致磁性媒體完全無法再次使用，因此它也可以被視為一種破壞性的資料擦除方式。
    • 加密式刪除(Crypto-Erase):
      • 利用加密技術來實現資料擦除的方法，通過對儲存於媒體上的所有資料進行加密，然後銷毀或丟棄用於加密的密鑰，使資料無法被解密和訪問，從而實現資料的安全擦除。
      • 這種方法適用於所有支持全盤加密的儲存設備，是一種快速且有效的數據消毒方式。(HD+SSD適用)
  • 破壞(Destroy)：資料救不回來且媒體也無法重覆使用，要注意資料殘留
    • 使用最先進的實驗室技術使目標資料的恢復變得不可行，並導致該儲存媒體後續無法用來儲存資料。
    • 破碎、粉碎、熔化和焚燒。
  • 磁性媒體經刪除後可能留在介質上的資料稱為剩磁(Residual Magnetism)/殘餘資料(Remnant Data )

資料保護方法(Data protection methods)

數位版權管理(Digital Rights Management，DRM)

• 是一種控制數位內容的使用權限和訪問條件的技術，被廣泛應用於版權保護，以防止未經授權的分享或複製。
• 主要功能包括：
  • 訪問控制:限制文件、音樂、影片等數位內容的訪問權限，只允許經過授權的用戶訪問。
  • 使用限制:對數位內容的使用進行限制，例如限制觀看次數、複印次數或複製。
  • 使用期限:設定數位內容的有效使用期限，過期後無法再被使用。

資料外洩防護(Data loss prevention，DLP)

• 一種用於檢測和防止資料在不安全的地點儲存或不當傳輸的安全技術。
• 主要功能包括：
  • 資料識別:自動識別敏感或重要資料，如個人身份資訊（PII）、金融資訊等。
  • 資料監控:實時監控資料的使用和傳輸，確保資料不會被未經授權的方式存取或傳輸。
  • 資料防護:在資料被傳輸到非法目的地或被未授權用戶存取時，自動執行阻止或加密操作。

雲端資安代理(Cloud access security broker，CASB)

• 是一種在用戶和雲服務提供商之間，用來實施安全政策和提供雲端資安可視性的安全工具。
• 主要功能包括：
  • 可視性:提供對組織使用的雲端服務的完整可視性，幫助識別未經授權的雲端服務使用。
  • 合規性:確保組織使用的雲端服務符合相關法律和行業標準的合規性要求。
  • 資料安全:實施加密和存取控制等安全措施，保護儲存在雲端服務中的資料不被非法存取。
  • 威脅防護:檢測並回應針對雲端應用的威脅，如惡意軟體感染和賬戶劫持。

全盤加密(Full Disk Encryption，FDE)

• 用來對硬碟上存儲的所有資料進行加密的一種加密技術。
• 這種加密發生在操作系統層面或通過硬體實現，以確保存儲在硬碟上的所有資料在未被授權存取時保持加密狀態。
• 當使用者通過驗證（如密碼、生物識別等）後，系統才解密資料供使用者使用。

自我加密硬碟(Self-Encrypting Drive，SED)

• 一種具有內建的加密機制的硬碟，乃實現全盤加密(FDE)的一種方式。
• 自我加密硬碟(SED)在硬體層面自動進行資料加密和解密，不需作業系統的介入，這樣可以提供更高的安全性和效率。
• 通常使用一個或多個加密金鑰來進行操作，這些金鑰在硬碟內部安全地管理。

資料加密金鑰(Data Encryption Key，DEK)

• 用於加密和解密資料的金鑰。
• 在自我加密硬碟(SED)中，資料加密金鑰(DEK)是實際用來加密存儲在硬碟上的資料的金鑰且由硬碟內部的加密機制管理，並且通常被另一個稱為密鑰加密金鑰(KEK)的金鑰加密保護。
• 也可以利用可信平台模組(TPM)來儲存資料加密金鑰(DEK)或密鑰加密金鑰(KEK)。

(D3)安全工程(Security Engineering)

• 工程的本質:做東西以滿足利害關係人需求的一門學問。
• 工程的定義:運用專業知識把一個東西(系統、軟體、網路、機房、etc.)做出來，使其上線、使用它、維運它，一直到其除役為止的整個生命週期都需要考慮到利害關係人的需求，以協助利害關係人抓住未來的機會，避免可能的威脅，解決眼前的問題。
• 兩大主題:專業知識與解決方案。
  • 專業知識:工程方法(Approaches)、安全模型(Security Models)/安全理論(Security Theories)、密碼學研究(Cryptology)。
  • 解決方案(Solution)/工程專題:機房建置(Data Center)、網路工程(Network)、軟體開發(Software)。

工程方法(Approaches)

• 生命週期(Life Cycle):
  • NIST SDLC:NIST的SDLC指的是系統開發生命週期(System Development Life Cycle)。要做到時時都安全。
    初始、開發/籌獲、執行/評鑑、運作與維護（維運）、系統除役。

    • 與NIST RMF(Risk Managerment Framework)一起看:
      • 初始(Initiation):
        • 從提出點子開始，經過立案到Kick-off的過程階段。
        • Categorize the Information System(對資訊系統進行分類) 對應RMF的分類系統(Categorize System)
      • 開發/籌獲(Development/Acquisition):
        • 自行開發系統或是委外開發/購買。
        • Select and Document Security Controls(選擇安全控制措施) 對應RMF的選擇控制(Select Controls)
        • Engineer in Security and Develop Controls(整合安全控制措施) 對應RMF的實施控制(Implement Controls)
        • 籌獲需進行安全評估，確保其不會對組織的資訊安全帶來負面影響，籌獲來源:
          • 商業現成軟體(Commercial off-the-shelf，COTS):
            • 現成可購買的商業軟、硬體產品以及服務(例如:安裝服務、維護服務、雲端服務、修理服務、培訓服務和其他服務等)。
            • 需要檢查軟體供應商的信譽、產品的安全更新政策、已知的安全漏洞及其修補程序。
          • 開源(Open source):
            • 開源產品包括原始碼、設計文件或產品內容的授權許可。
            • 應關注社區的活躍程度、程式碼維護的頻率、安全漏洞的公開和修補情況以及遵守開源許可證的合規性。
          • 免費軟體(Freeware):
            • 非開源(Open source)產品，通常是專有的，並免費分發給終端用戶使用的軟體。
            • 對於免費軟體的權利、許可或終端用戶許可協議（EULA）並沒有一套公認的定義，每個發行者都為其提供的免費軟體設定自己的規則。
          • 第三方(Third-party):
            • 由外部供應商或外部開發者開發的軟體
            • 需要確認第三方軟體的安全標準，包括資料處理和儲存的安全措施，以及供應商的安全背景和聲譽。
          • 託管服務(Managed services):
            • 由第三方供應商管理與維護的IT服務，且由第三方負起相關責任。
            • 需檢視服務提供者的安全政策、服務水準協議(SLA)和資料保護措施。確保這些服務或應用能夠滿足組織的安全要求和合規需求。
            • 企業應用(Enterprise applications):支持企業營運的大型軟體系統
          • 雲端服務(Cloud services):透過網際網路提供的各種服務
            • 屬於託管服務(Managed services)的一種，包括SaaS、IaaS、PaaS等
            • 需評估雲服務提供商的安全架構和合規性，包括資料加密、用戶訪問控制、多租戶隔離和資料中心的物理安全。
      • 執行/評鑑(Implementation/Assessment):
        • 評鑑系統的安全控制與授權系統可以上線(Certification and Accreditation, C&A)。
          • C&A(Certification and Accreditation):
            • 驗證(Certification):由獨立第三方確認某一項產品、過程或服務，能否符合規定要求達到一定標準。(安全評鑑)
            • 認證(Accreditation):指主管機關對某實驗室或驗證機構給予正式認可，證明其有能力執行某特定工作ex: SGS的食品服務部是經過衛生福利部TFDA認證。
        • Assess System Security(評估系統安全性) 對應RMF的評鑑控制(Access Control)
        • Authorize the Information System(授權資訊系統) 對應RMF的授權系統(Authorize System)
      • 運作與維護(Operations and Maintenance):
        • 我們常稱的維運階段，也就是日常營運的部分。
        • Conduct Continuous Monitoring(進行持續監控):對應RMF的監控控制(Monitor Contols)
          • 真實用戶監控(Real user monitoring，RUM):
            • 記錄和分析終端用戶與應用程式或網站的實際互動的一種性能監控技術。
            • 這種監控是被動的，因為它不干預用戶行為，只是記錄數據來分析用戶體驗。
          • 模擬用戶監控(Synthetic user monitoring):
            • 創建腳本和使用機器人來模擬真實用戶操作以測試應用程式性能。
            • 這種方法不涉及真實用戶資料，主要用於預測可能的性能問題。
        • 持續授權(Ongoing authorization):
          • 指在資訊系統維運過程中持續進行安全評估和重新授權的過程。
          • 當資訊系統處於持續授權狀態時，系統可以在時間驅動或事件驅動的基礎上進行授權，並將授權包透過自動化報告呈現給授權官員，以盡可能高效、及時地提供資訊。
          • 需注意並非所有資訊系統都有資格進行持續授權。
      • 系統除役(Disposal):
        • 系統除役並不再使用，此階段需要考量如何處理系統遺留下來的資產(孔雀八根毛)，是要延續到新的系統繼續使用或是要進行銷毀處理。
    • 授權系統(Authorize System)時，資訊系統所有者(Owner) 應準備授權包(Authorization package)並將其提交給適當的授權操作(Authorization to Operate，ATO)機構。授權包為三個文件的彙編，通常包含：
      • 安全和隱私計劃(Security and privacy plans):指導活動/任務
        • 首先需要開發的文件，因為在獲得操作授權之前，需要明確和記錄資訊系統的安全和隱私要求。
        • 安全和隱私計劃為系統的風險管理框架提供基礎，並為後續的授權活動定下基調。
      • 安全和隱私評估報告(Security and privacy assessment reports):在實施安全控制之後
        • 在系統評估階段後產生，用於記錄和報告系統安全狀態和隱私影響的評估結果。
      • 糾正措施和改進的行動計劃和里程碑(Plan Of Action & Milestones，POA&M):管理審核和批准的任務應糾正不合規問題並降低風險
        • 在評估過程中識別到風險後才會開發，用於追踪解決這些風險所需的措施。
      • 執行摘要(Executive summary)
• ISO 15288:
  • 屬於一種通用的概念，並不限於資訊系統。
    • One to many
  • ISO 15288的系統和軟件工程過程可以分為四個類別:
    • 協議過程(Agreement Processes):採購管理
    • 組織專案啟動流程(Organizational Project-Enabling Processes):
      • 生命週期模型管理
      • 知識管理
      • 基礎設施管理
    • 技術管理過程(Technical Management Processes):
      • 專案管理、風險管理
    • 技術過程(Technical Processes):本質學能
  • 技術(硬底子)
  • 技術管理流程(軟實力)：專案管理
  • 組織:
    • 共用資源管理:如果遇到組織工程案的話，各部門間要協調如何共用組織資源。
    • 合約管理(買＆賣)
• 重要名詞解釋：
  • ATO(Authorzation to Operate):上線許可
  • 品質管理(QM):包含品質控制(QC)與品質保證(QA)。
    • 品質控制(QC):針對產品本身的品質。
    • 品質保證(QA):針對產品製作流程的品質。
  • Verification and Validation:內驗與外確，屬於一種QC動作。
    • 內驗(Verification):內部驗證，確認規格正確性(Do The Thing Right!)。
    • 外稽(Validation):外部確認，確認有效性(Do The Right Thing!)。確認後即為基準(Base Line)
  • 託管協議(Escrow agreement):
    • 涉及賣方、買方和一個中立的第三方（託管代理）的一種法律文件。
    • 第三方（託管代理）持有並管理資產、文件或資金，直到合約中規定的特定條件得到滿足。
    • 滿足所有合約條件之前，資產或資金不會轉移給買方或賣方。
    • 在軟體開發和技術服務行業中，原始碼存放在託管中，以保障客戶在供應商無法履行服務時，可以獲取必要的技術支持和維護。
• 安全是品質的要求之一。

架構(Architecture)

• 主要元素與其之間的關係稱之為架構。
• 常見架構(Common Architecture):
  • 雲系統(Cloud-based sysetm)
  • 分散式系統(Distributored system)/三層式架構
  • 微服務(Microservices)
  • 企業架構(Enterprise Architecture)

雲計算(Cloud Computing)

• 一種以虛擬化為基礎的資源(運算資源)共享機制。
• 把實體資源(CPU、RAM、HDD、etc.)透過虛擬化技術變成一個資源池(Pool)。
• NIST的定義有五大基礎特點:
  • 隨選與自助(On-demand self-service):使用者可以隨時根據需求自行配置。
  • 廣泛的網絡存取(Broad network access):資源在網路上可用，並通過標準機制提供給不同平台的客戶端。
  • 資源池(Resourse pooling):虛擬化後的實體資源的資源池。
  • 快速彈性(Rapid elasticity):可隨著當下需求快速調整資源的使用量。
  • 可計量(Measured service):計算使用量。
• ISO17788中提到 多租戶(Multi-Tenancy) 特性。
• 服務模型(Service Models):
  • SaaS(Software as a Service):軟體即服務。(ex:Office365)
    • 提供應用程式給最終使用者直接使用，通常透過瀏覽器存取。
  • PssS(Platform as a Service):平台即服務。(ex:AWS)
    • 提供開發和部署應用程式的環境，包括作業系統、開發工具、資料庫等環境
  • Iaas(Infrastructure as a Service):基礎設施即服務。(ex:VM)
    • 提供虛擬化的硬體資源，如伺服器、存儲和網路。使用者可以租用這些基礎設施，而不需要實體購買和管理硬體。
  • FaaS(Serverless):功能即服務。
    • 與PaaS相比起來，在部署企業級的應用程式上的管理開銷更低。
    • 通常托管在部署在本地或PaaS上的容器中
  • IDaaS(Identity as a Service):身分即服務。
    • 是一種提供身份認證、授權管理和用戶賬戶信息管理功能的服務。
    • IDaaS 是作為服務模型的一部分，旨在幫助組織簡化並加強其身份管理和訪問控制流程，通常透過一個集中管理的平台實現。
    • 主要特點:集中身份管理、單點登錄（SSO）、支援多因素認證（MFA）、聯合身份管理
• 部署模型(Deployment models):
  • 分類方式是看誰在用。
  • 私有雲(Private Cloud):只有自己(人或組織)在用。
  • 公有雲(Public Cloud):例如AWS、GCP、Azure。
    • 虛擬私有雲(Virtual Private Cloud，VPC):
      • 一種在公有雲基礎設施上提供的隔離的網絡環境，讓用戶可以在這個隔離環境中運行資源，如虛擬機和應用服務。
      • VPC提供了管理IP地址範圍、子網、閘道器和安全設置的能力，使用戶可以在公共雲環境中享有類似私有雲的控制權和隱私保護。
  • 社群雲(Community Cloud):基於有共同利益的使用者來使用的雲。(ex:情報單位的情資共享)
  • 混合雲(Hybrid Cloud): 混合以上兩種類型的雲。
• OpenStack:
  • 開源的雲端管理平台，用於構建和管理公有雲和私有雲的基礎架構。
  • 提供了一組軟體工具來管理雲端平台的各種資源，如VM、儲存和網路。
• Roles:
  • Cloud Consumer:使用者
    • 購買、租賃或租用雲端服務的組織或個人使用雲服務的實體
  • Cloud Carrier:電信業者
    • 透過網絡、衛星或電信的方式提供雲端消費者和CSP之間的連接的實體。
    • 具備足夠的頻寬、網絡可用性、資料傳輸的速度和可靠性，以滿足雲端交互的需求。
  • Cloud Provider:雲服務提供者(AWS、Azure、GCP)
    • 提供雲端基礎設施、平台或軟體的公司。
    • 擁有資料中心，僱用員工，擁有和管理資源(硬體和軟體)，監控服務提供和安全性，並為客戶、客戶的資料和處理需求提供行政協助。
  • Cloud Auditor:3rd-Party稽核
    • 能夠進行雲端服務和雲端部署模型的效能和安全稽核的實體。
    • 評估和驗證CSP的服務，確保其符合行業的標準和規範，並確保提供者遵循相關的合規性要求。
  • Cloud Broker:雲服務管理者(代理商)，負責協助Consumer申請雲服務與設置相關設定等多項工作。
• 虛擬化技術:
  • Hypervisor(VM Manager):安全性較Container佳
    • Bare-metal Hypervisor(TYPE-I):裸機虛擬化，硬體上不需有OS。
    • Hosted Hypervisor(TYPE-II):硬體上需要先安裝OS，接著才能安裝VM。
  • 容器(Container):效能較VM佳
    • 為一種應用層的虛擬化技術，容器(Container)共享相同的作業系統核心，而不是由虛擬機監控器管理的基於虛擬機的虛擬化，並且可以在沒有虛擬機監控器或虛擬機的裸機伺服器上實現容器化。
    • Docker:
      • 允許開發者打包應用及其所有依賴項到一個隔離的容器中。這個容器可以在任何支持Docker的設備上運行，保證了應用系統在不同環境間的一致性和安全性。
    • Kubernetes(K8s)
      • 一個開源的容器編排平台(Orchestrator)，能夠支持數據中心的分布式系統運行，並提供高效的機器利用率。
    • 容器編排器(Orchestrator):
      • 一種用於自動化容器化應用的部署、管理、擴展和網絡操作的工具。
      • 可以處理容器的生命週期，包括管理容器的部署、提供容器間的負載平衡、監控容器的健康狀態、替換出現故障的實例，以及實現自動擴展或收縮容器群組大小等功能。
      • 主要目的是提高應用的可靠性和可用性，同時簡化部署和運維工作。
• 相關風險:
  • Lock-in:指的是客戶過於依賴某一雲服務提供商的技術而難以轉移到其他提供商，這是雲服務中一個重要的風險考量因素。
  • Lock-out:指的是客戶因為某些原因（如帳號被禁止或服務中斷）無法訪問自己的資源或資料，這對業務運營是一個重大風險。
  • 共享責任(Shared responsibility):在雲計算中，安全責任是由雲服務提供商和客戶共享的。這意味著客戶不需要對雲平台的底層安全負全責，但需要管理自己的資料和應用程序。

安全模型(Security Models)

• 為學術理論，有四個重點的安全模型，簡稱 BBCC

密碼學研究(Cryptology)

• Tip:密碼學研究1、2、3、4
  • 一大研究:密碼學研究(Cryptology)
  • 二大學問:密碼學(Cryptography)、破密學(Cryptanalysis)
  • 三個重點(破密學):情境、弱點、技術
  • 四大技術(密碼學):加密(Encryption)、雜湊(Hash)、訊息驗證代碼(MAC)、數位簽章(Signaturas)
    • 原生技術：加密(Encryption)、雜湊(Hash)
    • 應用技術：訊息驗證代碼(MAC)、數位簽章(Signaturas)

密碼學(Cryptography)

• 當代密碼學與古典密碼學的差異:
  • 當代密碼學:金鑰為唯一的秘密。(Kerckhoffs原則)
  • 古典密碼學:密文、演算法、金鑰皆為祕密。

加密(Encryption)

• 用來維護資料的機密性。
• 主要元素:明文(Plaintext)、演算法(Cipher)、金鑰(Key)、密文(Ciphertext)
  • 明文(Plaintext):沒有被加密過的資料。
  • 密文(Ciphertext):看不懂的明文。(要有明文才有密文)
  • 金鑰(Key):加密一定要有金鑰(Key)。
    • 對稱式金鑰(Symmetric):
      • 鑰匙數:加解密都是使用同一把鑰匙。
      • KeySize:同樣加密強度(Key Space)下，KeySize較小。
      • 效能:由於KeySize較小，效能也較好。
      • 資料大小:通常沒有限制加密的資料大小。
      • 應用:加密大部分資料。
      • 連接N方所需的數量: N*(N-1)/2
    • 非對稱金鑰(Asymmetric):
      • 鑰匙數:會產生並使用兩把唯一配對的金鑰對(Key Pair)，兩把金鑰皆可加解密且互為加解密。
      • KeySize:同樣加密強度(Key Space)下，KeySize較大。
      • 效能:由於KeySize較大，效能超級慢。
      • 資料大小:受效能限制，通常只加密小於512 bits的資料。
      • 應用:拿來做金鑰交換與數位簽章。
      • 連接N方所需的數量: 2*N
  • 演算法(Cipher):取代與換位兩種手法。
    • 取代(Substitution):用新的符號取代舊的符號。
      • XOR
      • 查表法(Lookup)
    • 換位(Permutation):替換位置。
      • Rotation:旋轉換位。
      • Transposition:用特定規則重新排列。
• 明文與金鑰(Key)輸入(Input)到 演算法(Cipher) 後輸出(output)密文。
• 演算法(Cipher)分類:8大演算法要記
  • 古典:
    • 凱薩演算法(Caesar Cipher):一種用取代方式的最簡單加密技術。
    • One-Time-Pads:以隨機的金鑰（key）組成明文，且只使用一次。
  • 現代:
    • 對稱金鑰加密(Symmetric):
      • 區塊加密:現今大部分使用此種方式加密。
        • Skipjack:
          • 美國國家安全局（NSA）在1990年代設計來保護政府通訊，並結合Clipper 晶片讓執法機構在擁有合法授權時可解密通訊。
          • 由於存在隱私爭議，加上更強的加密標準（如AES）的出現，Skipjack的使用已經大大減少。
        • Blowfish:
          • 每個數據塊的大小為64bits，而密鑰長度可以是32bits ~ 448bits。
          • 由於分組長度太小現在已被認為不安全。
        • DES(Lucifer):美國國家標準定的第一代資料加密標準(Data Encrypt Standard)，由IBM設計，現今已不再使用。
          補充資料

          • Triple DES:
            • 3-KEY Tripel DES(3TDES):
              • DES-EEE3:演算法方向為正正正(EEE)
              • DES-EDE3:演算法方向為正反正(EDE)
            • 2-KEY Tripel DES(2TDES)
              • DES-EEE2,K~1 = K_3:K1與K~3為同一把Key
              • DES-EDE2,K~1 = K~3
        • AES(Rijndael):美國國家標準定的進階加密標準(Advanced Encryption Standard)，透過世界各地科學家提出並海選而來，為現今主流。
          • 金鑰長度(Key Size):
            • AES-128:128bit
            • AES-192:192bit
            • AES-256:256bit
          • 相同的Key Space強度下，只需較小的Key Size。
          • 由於Key Size較小，加密的速度較快。
          • 有不同的區塊加密模式(Block Cipher Mode):
            Electronic Codebook(ECB):加密效能較好，但同樣的明文塊會被加密成相同的密文塊，因此無法很好的隱藏資料模式，在OWASP TOP 10:2021中認為ECB是 不安全的加密方式。

          • Initialization Vector(IV):以下四種模式會另外加入初始向量(IV)來強化加密強度。
            Cipher Block Chaining(CBC)

            Cipher Feedback(CFB)

            Output Feedback(OFB):此模式明文並未被演算法加密。

            Counter(CTR):常用在WIFI，如WPA2/WPA3

      • 串流加密:位元加密，來一個位元就加密一個位元
        • 串流加密因其按位元處理數據的特性，通常在硬體實現中非常高效，特別適合於需要低延遲或高吞吐量的應用，如即時通信和影像串流。
        • 由於串流加密需要保持發送方和接收方之間的同步。如果同步失敗，則解密將失敗。
        • 安全性高度依賴於金鑰流的質量。如果金鑰流可以被預測或存在重復，那麼串流加密就容易受到攻擊。
        • RC4:第一代無線網路所使用的加密技術，現在TLS已禁止使用。
        • :Salsa20/ChaCha::這是現代高性能的串流加密之一，提供了良好的安全性和高效的性能，被廣泛用於加密通信中。
    • 非對稱金鑰加密(Asymmetric):
      • 現在主要用在數位簽章或金鑰交換。
      • 使用兩把金鑰(公鑰/私鑰)，稱之為金鑰對(Key pair)。這兩把金鑰都可用來加解密，且兩把金鑰互為加解密使用。
      • A使用A的私鑰來做數位簽章，B再拿A的公鑰來確認是A所發送或發佈。
      • A使用B的公鑰來加密資料，B再拿B的私鑰來解密A發過來的資料。
      • 質因數分解:
        • RSA:
          • 最短長度(Key Size)為2048bit，也就是常見的RSA-2048。
          • 相同的Key Space強度下，需要較大的Key Size。
          • 由於Key Size較大，加密的速度超慢。
          • 在TLS的金鑰交換中，由於每年才更換一次金鑰，因此被認定為不夠安全，在現今的TLS中已不建議使用RSA來做金鑰交換。
      • 離散對數:
        • ElGamal
      • 橢圓曲線:
        • ECC
• 量子加密(Quantum):
  • 量子加密利用量子力學的原理(海森堡不確定性原理，Heisenberg Uncertainty Principle)來實現加密通訊，提供理論上無法破解的安全性。
  • 這種加密技術主要基於量子糾纏和量子疊加的性質，使得任何試圖監聽通訊的行為都會留下可檢測的痕跡，因此可以即時警告通訊雙方。
  • 後量子密碼學（PQC）標準:
    • 為了應對量子破密的潛在威脅，NIST在2024年8月13日公布了3個新的聯邦資訊處理標準（FIPS），分別是FIPS 203、FIPS 204與FIPS 205作為後量子密碼學（PQC）標準。
    • 新標準可分成兩大應用面，一是通用加密（General encryption），用於保護在公共網路上交換的資訊，一是保護數位簽章（Protecting digital signatures），用於身分認證。
      • 通用加密（General encryption）:
        • FIPS-203 （ML-KEM）:
          • 基於CRYSTALS-Kyber演算法而來，現已重新命名為ML-KEM，代表Module-Lattice-Based的金鑰封裝機制（Key-Encapsulation Mechanism）。
          • 這項標準的優勢在於屬於相對小型的加密金鑰，可方便交換且執行快速。
    • 保護數位簽章（Protecting digital signatures）: * FIPS-204 （ML-DSA）: * 使用CRYSTALS-Dilithium演算法，現已更名為ML-DSA，代表Module-Lattice-Based的數位簽章演算法。 * FIPS-205 （SLH-DSA）: * 使用Sphincs+演算法，現已更名為SLH-DSA，代表Stateless Hash-Based的數位簽章演算法。 * 由於這項標準使用了與ML-DSA不同的數學方法，若是ML-DSA被發現有漏洞時，將可作為備用方法使用。

金鑰管理(Key Management)

• 由於當代密碼學中，金鑰是唯一的秘密，因此金鑰的管理就變得非常重要。
• 金鑰的生命週期:產生(Generation)->儲存(Storage)->交換(Exchange)->更替(Rotation)->託管(Escrow)->銷毀(Destruction)
  • 產生(Generation):可以利用金鑰產生器(Key Generator)。
    • 要有不可預測性(Unpredictability):Key Space夠大，密鑰長度夠長。
    • 要有足夠的隨機性(Entropy)。
  • 儲存(Storage):可存在以下安全的地方
    • 實體Token:使用時需要插入主機才能做加解密。(攜帶性高)
    • TPM(Trusted Platform Module):信賴安全模組，可安裝在主機板上。
    • HSM(Hardware security module):硬體安全模組，獨立的金鑰存放機器。(貴)
  • 交換(Exchange):
    • 可依被加密的資料與金鑰的交換管道來分為兩種交換類型。
      • In-Band:資料與金鑰通過同一管道來傳送。
        • 公鑰加密(Public Key Encryption)
        • Diffie-Hellman(Key Agreement)
      • Out-Band:資料與金鑰通過不同管道來傳送。
        • Courier:快遞。(ex:金鑰透過另外儲存在實體token來傳送)
        • 量子金鑰分發(Quantum Key Distribution，QKD):
          • QKD的安全性基於一個基本的量子力學原則：觀測過程會干擾量子系統。這意味著，任何試圖攔截鑰匙的行為都會被發現，因為這種攔截會導致量子狀態的改變
    • RSA:應用RSA演算法的公私鑰來做金鑰交換。
    • DH(Diffie-Hellman):
      • 是一種金鑰交換的安全協定，稱為金鑰協議。
      • 本身有自己的公鑰及私鑰，所以在密碼學中被歸類於非對稱式技術，但只用作金鑰協議/交換使用，並未用於加密或雜湊。
      • 透過雙方協議產生一組只有雙方會知道的參數來做加解密使用。
    • PKI:憑證管理基礎設施。

      • 憑證(Certificate):有寫名子的公鑰。可包含以下資訊:

        • Country Name
        • State or Province Name
        • Locality Name (e.g. city)
        • Organization Name
        • Common Name

      • 註冊管理中心(Register Authority，RA):

        • 通常是CA的代理機構，負責接收憑證申請，初步驗證申請者的身份資訊，然後將這些資訊提交給CA處理。RA並不簽發憑證。

      • 憑證管理中心(Certificate Authority，CA):

        • 負責簽發、撤銷和管理數位憑證。CA是可信的第三方機構，負責確認憑證申請者的身份並簽發憑證。
        • X.509:
          • 為X.500標準的一部分，專門定義了數位憑證的格式和管理。X.509憑證包含證書持有人的公開金鑰以及發行者（證書授權中心，CA）的簽名，證明了公開金鑰的真實性和證書持有人的身份。
          • X.509標準關鍵元素:
            • 證書持有者的信息:如名稱、組織等。
            • 公開金鑰:證書持有者用於加密通訊或數位簽章的公開金鑰。
            • 簽發者信息:發行該證書的CA的詳細信息。
            • 有效期:證書的有效起始日期和結束日期。
            • 證書序列號:一個唯一編號，用於識別發行的每個證書。
            • 數位簽章:CA使用其私鑰創建的簽名，用於驗證證書的完整性和真實性。
        • X.509的描述樣式(唯一識別名稱(DN)):
        ​​​​​​​​​​​​​​​​CN = WentzWu.com，
        ​​​​​​​​​​​​​​​​O = Amicliens，
        ​​​​​​​​​​​​​​​​S =台灣，
        ​​​​​​​​​​​​​​​​C = TW
        

        CN = WentzWu.com，O = Amicliens，S =台灣，C = TW（符合RFC 1779，LDAP v2）

        CN = WentzWu.com; O = Amicliens; S =台灣; C = TW（符合RFC 1779的LDAP v2）

        / CN = WentzWu.com/O = Amicliens / S =台灣/ C = TW（臨時但可以接受）

      • 驗證中心(Validation Authority，VA):

        • 負責驗證憑證的有效性。當有服務或用戶要驗證憑證時，VA提供憑證的狀態資訊，如是否被撤銷或過期。

      • 數位憑證生命周期的流程

        :
        1. 申請憑證:用戶向RA提出憑證申請，提交必要的身份證明等資訊(用戶的身份資訊和公鑰)。
        2. 身份驗證:RA對用戶提交的資訊進行初步驗證，然後把申請資料轉給CA。
        3. 憑證簽發:CA在核實申請者資料無誤後，為申請者生成數位憑證，憑證內包含申請者的公鑰和其他身份資訊，並由CA的私鑰進行數位簽名。
        4. 憑證分發:數位憑證隨後分發給用戶，用戶將憑證與其私鑰結合使用(打包在同一個PKCS#12檔案)，進行安全的通信和資料交換。
        5. 憑證安裝:將CA簽發的證書安裝在所有需要信任該CA的伺服器(Server)與主機(Host)上。
        6. 憑證驗證:當用戶進行交易或通信時，商店或交易對手可以通過VA來驗證用戶的數位憑證的有效性。
           • 憑證撤銷清單(CRL)和線上憑證狀態協定(OCSP)這兩種方法都可以驗證憑證。CRL的下載URL和OCSP的服務端點皆可以在憑證中找到。
           • 憑證撤銷清單(CRL):由CA或驗證機構(VA)提供的已撤銷憑證(Serial number)列表，通常會定期更新。
           • 線上憑證狀態協定(OCSP):客戶端即時查詢憑證狀態的協定。
             • 客戶端透過向證書發行機構的OCSP伺服器發送請求，以檢查伺服器證書是否被撤銷。
           • OCSP Stapling:經過優化，提高了證書撤銷檢查的效率和隱私性的OCSP。
             • 通過讓證書持有的伺服器（如HTTPS伺服器）向OCSP伺服器進行定期請求，並將得到的OCSP響應“綁定”到TLS握手過程中。
             • 當用戶存取服務時，用戶能接收到包含了OCSP響應的TLS握手，而無需自行向OCSP伺服器發出請求。
           • HTTP公鑰固定(HTTP Public Key Pinning，HPKP):在連接時驗證公鑰是否與固定的公鑰匹配。
             • 一種用來防止中間人攻擊的安全機制，該攻擊利用不正當的證書權威機構頒發的偽造證書。
             • HPKP允許網站通知瀏覽器"固定"特定的公鑰到該網站，一旦公鑰被固定，瀏覽器將只接受那些包含已固定公鑰的證書。
             • 此機制透過發送一個特殊的HTTP Header實現，其中包含了網站使用的公鑰的數位指紋。
             • 由於配置錯誤的風險和某些靈活性問題，已被逐漸棄用。Google也在2018年發布的Chrome中終止了對HPKP的支援。
           • 證書的擴展欄位中通常包含多種信息，如授權信息存取點（AIA），其中可能包括用於OCSP（線上證書狀態協議）的URL。
        7. 交易或通信:一旦憑證驗證無誤，用戶和商店就可以進行加密的安全交易或通信。
  • 更替(Rotation):
    • 定期替換金鑰。
    • 降低(風險)衝擊的影響。
    • 無法降低(風險發生)的可能性。
  • 託管(Escrow):
    • 將金鑰託管在第三方的組織(企業或政府)中，且在特定情況下可授權第三方存取金鑰。
    • 目前在執行上仍存在爭議性，組織通常都不會願意將金鑰存放到第三方。
  • 銷毀(Destruction):
    • 刪除金鑰的所有痕跡，使其無法透過實體或電子方式恢復。
    • Cypto-erase:銷毀金鑰可利用在資料擦除(Data Sanitization)上，當金鑰被銷毀時，已被加密的資料便難以復原(不保證演算法不會被破除)。

雜湊(Hash)

• 用來維護資料的完整性，也可被應用在密碼的保護上。
• 雜湊函數 (Hash function)的特性:
  • 所產出的Hash值具有唯一性(Unique)
    • 不同Hash值代表不同的Data
    • 不同的Data也有機會產出相同的Hash值(碰撞,Hash Collision)
    • 選擇演算法時要選擇安全性足夠的演算法(目前不會產生碰撞)
  • 固定長度(Fixed length)
    • 相同演算法所產出的Hash值為固定長度。
  • 不可逆(Irreversible):無法從雜湊值推回原本的資料是什麼
• 通常可被稱作資料的指紋(Fingerprint)、摘要(Digest)或Checksum。
• 有兩種演算法:MD5、SHA
  • MD5:被破解，目前已不再使用。
  • SHA
• Hash所需的時間依資料量大小呈現比例增加(線性)。

密碼安全(Password Security)

• 密碼複雜度由密碼長度決定，較長的密碼比短的密碼更能有效抵禦暴力攻擊。
• 密碼通常被以四種方式儲存:
  • Raw Password(明文):最危險。
  • Encrypted Password(加密):密碼經過演算法加密後產生的密文。
    • 忘記密碼後仍可還原。
    • 需要注意金鑰的儲存與管理。
  • Hashed Password(Hash):密碼經過Hash後產生的Hash值。
    • 不可逆，忘記密碼後無法還原。
    • 透過比對Hash值是否一致來判斷密碼是否正確。
    • 常見密碼會容易被識破，且會有許多用戶存有相同Hash值。
  • Salted Password(Hash+Salt):密碼在Hash前先加入一組隨機值(Salt)後再進行Hash後所得出的值。
    • 不可逆，忘記密碼後無法還原。
    • 要另外儲存Salt值。
    • 即使是常用密碼，所產生的Hash結果也仍保有唯一性。

訊息驗證代碼(Message Authentication Code,MAC)

• 用來確認資料的來源真實性
• 兩種做法:HMAC & CBC-MAC:
  • Hash-based MAC(HMAC):
    • 用HASH來算出來的MAC。
    • 將一組密鑰與要傳送的Data結合，再整個丟到HASH演算法中去算出的Hash值便是我們要的MAC。
    • 資料收發雙方手上都有相同的密鑰，發送方(A) 會將原始Data與 MAC(A) 一起傳送出去，接收方(B) 收到後將Data與B手上的密鑰結合後也丟去相同的HASH演算法中算出一組MAC(B)，透過比對MAC(A)與MAC(B)便能確認資料來源的真實性。
  • 密碼塊鏈接訊息驗證代碼(Cipher Block Chaining Message Authentication Code，CBC-MAC):
    • 用CBC模式的AES演算法來算出來的MAC，可確保資料在傳輸過程中未被篡改，並可以驗證資料的來源。
    • 提供資料完整性和來源驗證

數位簽章(Signaturas)

• 可用來確認資料的完整性、來源的真實性以及不可否認性。
• 把要傳送的Data的Hash值用私鑰下去加密所得出的便是數位簽章，接收方便以公鑰來確認數位簽章。
• FIPS 186-4批准的有三種演算法:DSA、RSADSA、ECDSA
  • DSA(Digital Signature Algorithm):數位簽章演算法，由NIST提出將其作為數位簽章標準。
  • RSA DSA:RSA的DSA。
  • ECDSA:用橢圓曲線(EC)的DSA。

優良保密協定(Pretty Good Privacy，PGP)

• 是一種資料加密和解密程序，廣泛用於保護電子郵件通信和文件存儲的安全。
• 通過結合對稱加密、公鑰加密和數位簽章來保護通信的安全性和隱私性。
• 加密的電子郵件由隨機金鑰加密保護，再用收件者的公鑰來加密保護隨機金鑰。

破密學(Cryptanalysis)

• Tip: 情境，弱點，技術
• 情境:蒐集目標資訊。
  • 攻擊設想(Attack Scenarios):並非攻擊手法，而是描述與攻擊對象的關係。
    • 只有密文攻擊(Ciphertext Only Attack，COA):攻擊者僅蒐集到目標對象的密文而沒有任何相關的明文或加密金鑰，之後進一步分析並嘗試恢復明文以取得資訊。
      COA補充圖示

    • 已知明文攻擊(Known Plaintext Attack，KPA):攻擊者成功蒐集到目標對象的明文，並搭配已經蒐集到的密文來進一步分析明文與密文間的關係，以尋找加密金鑰或發現加密算法的弱點。
      KPA補充圖示

    • 選擇密文攻擊(Chosen Cihertext Attack，CCA):攻擊者能夠選擇特定密文傳送給接收端，並取得接收端解密後的明文來嘗試分析加密系統。
      CCA補充圖示

    • 選擇明文攻擊(Chosen Plaintext Attack，CPA):攻擊者能夠選擇特定明文傳送給接收端，藉由觀察接收端回傳的明文加密後的密文長怎樣來嘗試找出發現加密演算法的弱點。
      CPA補充圖示

• 弱點(Vulnerabilities):找出目標弱點。
  • 演算法漏洞(Algorithm Vulnerabilities):如果用了安全性不足的演算法，攻擊者便容易破解金鑰。有軟體演算法(ex:AES)與硬體演算法(ex:晶片)
  • 軟體漏洞(Software Vulnerabilities):軟體開發時未找出並處理的Bug可能會成為被攻擊者拿利用的漏洞。
  • 隨機性漏洞(Entropy Vulnerabilities):如果金鑰產生器(Key Generator)的隨機性(熵)不足，攻擊者便較容易破解金鑰。
  • 物理漏洞(Physical Vulnerabilities):指的是系統運作時所產生的如CPU時脈，風扇噪音，電磁波，硬碟震動等物理特性被攻擊者拿來分析並利用。是一種無法迴避的漏洞。
• 技術:挑選攻擊技術。
  • 暴力演算(Brute Force Attack):並非隨便亂試，而是將Key Space中所有的可能性嘗試一遍來破解密碼，並透過系統性的嘗試來加速破解進程。
  • 演算法攻擊(Algorithm Attack):
    • 頻率分析(Frequency Analysis):針對傳統密碼表，例如透過字母出現頻率來找出密文的字母是對應哪個明文字母。
    • 碰撞攻擊(Birthday attack):針對HASH的攻擊手法，由於不同的明文有可能產生出相同的HASH值，此種狀況便稱碰撞。攻擊者可利用來破解加密演算法或是偽造數位簽章。
    • 中間相遇攻擊(Meet in the Middle Attack):以空間換時間的手法是一種已知明文攻擊(KPA)，通常用在破解DES加密技術(ex:DES，2DES，etc…)。(非中間人攻擊)
    • 量子電腦(Quantum Computing):在密碼學中的唯一用途是用來攻擊、破解非對稱式加密技術演算法，例如RSA(質因數分解)、ElGamal(線性對數)、ECC(橢圓曲線)。
      • 現在量子電腦技術尚不成熟，但未來如果技術成熟，現有的金鑰交換技術將產生問題。
      • 補充1:量子密碼學，為如何將量子電腦技術用在密碼學的研究。
      • 補充2:後量子密碼學，針對未來量子電腦技術成熟後，要用何種新的演算法來代替現有演算法的研究。
  • 軟體攻擊(Software Attack):針對軟體漏洞的攻擊，例如使用CVE上已被揭露的漏洞來攻擊。
  • 隨機性攻擊(Entropy Attack):加密系統中金鑰產生的隨機性如果不足，攻擊者便容易找出規律來限縮可能的金鑰範圍，進而縮短破解金鑰的時間。
  • 物理攻擊(Physical Attack):利用電腦系統的物理特性來破解密碼。此種攻擊又稱旁路攻擊(Side-Channel Attack)，手法為時序攻擊與故障注入(Timing & Fault Injection)。
    • 時序攻擊(Timing):
      • 利用處理加密操作所需時間的變化來推斷出可能的密鑰資訊。該攻擊方法不直接攻擊加密算法，而是利用實現該算法的硬件或軟件在操作時的時間效率差異。
    • 故障注入(Fault Injection):
      • 通過故意在系統中引入錯誤來分析加密系統在面對非預期的操作狀況時的安全性。
      • 電氣故障注入：
        • 通過電氣方式對硬體組件如處理器、記憶體等施加異常電壓或電流，以引起硬體故障。這可能包括高壓攻擊、電磁干擾（EMI）、鐘擺干擾等。
      • 溫度故障注入：
        • 透過對目標設備施加極端溫度變化，使其工作在非正常的溫度條件下，從而誘發故障。
      • 軟體障注入：
        • 在軟體層面引入故障，例如通過修改程式碼、更改程式運行時的記憶體、或者是使用惡意輸入數據來觸發應用層的錯誤處理機制。
      • 時間故障注入：
        • 透過操縱系統或程序的時間計算，例如改變系統鐘或操作時間戳，來影響程序的執行順序或結果。
  • Dictionary:用蒐集來的常用密碼表來嘗試登入單一帳號。
  • 彩虹表(Rainbow Table):用經過Hash的Dictionary來嘗試登入單一帳號。
  • Pass the hash:
    • 利用從其他機器竊取的用戶密碼的Hash值來認證其他系統或服務，而無需知道用戶的實際密碼。
    • 攻擊者利用來偽裝為合法用戶，進行橫向移動或進一步侵入網絡。
  • Spraying Attack:用單一弱密碼來對所有帳號嘗試登入(在同一個系統使用同一個"密碼")
    • 密碼噴灑(Password Spraying):
      • 使用大量的不同帳號, 搭配同一個密碼, 在同一個系統發起登入的攻擊。就像噴霧一樣, 大量的噴灑出去。
      • 搭配不同帳號的原因主要是為了避開同一個帳號連續打錯幾次密碼就會遭鎖定(lock-out)的機制.
  • Stuffing Attack:利用外洩的帳號資料庫中的密碼組合來嘗試登入系統(在不同的系統使用一組"帳號+密碼")
    • 帳密填充/撞庫攻擊(Credential Stuffing):
      • 攻擊者利用一般人習慣在不同的系統使用同一組帳密(為了方便)的弱點, 使用偷來的帳密在不同的系統作登入。
      • 證明(Credential)就是身分(Identity)+信物(Authenticator), 最常見的Credential就是帳號+密碼, 簡稱帳密。

(D8)軟體開發(Software)

• Tip:時時都安全，處處都安全
• 時時都安全：從Life-Cysle的角度來看，每個階段都要做好安全控制。
• 處處都安全：從軟體架構的角度來看，各處都要做好安全控制。
• 軟體:透過程式對資料進行處理。主要元素即為Code & Data。
• 念書重點:軟體開發生命週期(SDLC)
• SDLC:在軟體工程指的是軟體開發生命週期(Software Develope Life Cycle)。
  • 規劃(Planning) -> 分析需求(Analysis) -> 設計(Design) -> 開發(Development) -> 測試(Testing) -> 交付(Delivery) -> 維護(Maintenance)

計畫/規劃(Planning)

• 計畫階段的重點: 專案管理的相關計畫書(Project Managerment Plan)、開發方法(Development Approaches)以及整合產品開發團隊(Integrated Product Team)。
  1. 確定開發的大方向(高階需求)後訂定目標。
  2. 撰寫相關的計劃書(特別注意採購管理計畫書與變更管理計畫書)。
  3. 蒐集資訊並文件化:利害關係人登錄表(Stakeholder Register)、風險登錄表(Risk Register)。
  4. 選定要用何種開發方法。
  5. 整合產品開發團隊，各利益關係方的人員都要聚集至此團隊。

開發出好的軟體

• 好軟體(Quality Software):除了軟體功能可以正常使用外，還要能兼顧品質才是好的軟體。
  • 品質(Quality) 指的是易用性(Usability)、效能(Performance)、可用度(Availability)、規模(Scalability)、安全性(Security)、易維護性(Maintenance)及擴充性(Extensibility)(U PASS ME!)。
    • 易用性(Usability):良好的使用者體驗。(UI/UX)
    • 效能(Performance):優良的效能。(Response Time)
    • 可用度(Availability):軟體隨時可用。
    • 規模(Scalability):能同時供應一定規模人數使用。
      • 無狀態設計(Stateless Design):適合對擴展性和容錯性要求較高的大規模分布式系統
    • 安全性(Security):安全軟體。
    • 易維護性(Maintenance):容易維護。
    • 擴充性(Extensibility):容易擴充。
  • 好軟體(Quality Software) 除了要能用，還要能提供給使用者良好的使用者體驗。不只要能滿足安全要求，還要能在供應一定規模的人數(Scalability)使用下維持良好的效能(Performance)、確保軟體的可用度(Availability)，以提供良好的使用者體驗(Usability)。並且有注意並完善軟體的安全性(Security)，且在設計時有留意到未來的易維護性(Maintenance)與良好的擴充性(Extensibility)。

開發方法(Development Approaches)

• 軟體的開發方法是逐步進化的，從最早的預測式(Predictive Approaches)到目前蔚為主流的敏捷式(Agile Approaches)開發方式，各種方法會互相搭配使用。

預測式(Predictive Approaches):靠經驗看到未來

• 經典代表為瀑布模型(Waterfall Model)，傳統的瀑布模型(Waterfall Model) 在一個階段完成後才開始下一個階段，幾乎不會回朔。

反復式(Iterative Approaches):降低風險

• 又稱迭代式，每完成一個SDLC週期便算完成一次迭代。
• 經典代表為 快速應用程式開發(Rapid application development, RAD) 與 螺旋式(Sprial)開發。特點為會產出原型(Prototype)讓User能先看到大致的樣子，但仍不能上線。
  • 快速應用程式開發(Rapid Application Development, RAD)
  • 螺旋式(Sprial)開發

敏捷式(Agile Approaches):強調交付價值與風險管理

• 透過更短周期的迭代，每個迭代(SDLC)週期都需要交出可用的成果，使軟體的價值漸增。
• 目前盛行的有Scrum、Kanban、與極限編程(Extreme Programming)，這幾種方法通常會搭配使用。
  • Scurm:一種產品開發方法，所以不談專案不會出現專案經理，產品生命週期比專案⾧很多
  • Kanban : 透過視覺化管理計畫，常用待辦事項(Backlog or Todo) / 處理中(Doing) / 已完成(Done)
  • 極限編程(Extreme Programming):軟體開發的最佳實踐
    • 重點與名詞說明:
      • 測試驅動開發(Test-driven development，TDD):先寫測試程式(Unit Test)再進行開發(Coding)。
      • 結對程式設計(Pair Programming):兩人一組，一人寫一人看，累了就換手。是一種最昂貴的代碼審查(Code Review)方式。(提升程式品質)
      • 持續整合(Continuous Integration，CI):穩定而持續。
      • 比喻(Metaphor):善用比喻，提升溝通效率。
• 規模化敏捷框架(Scaled Agile Framework，SAFe):
  • 一種企業級的軟體開發框架，用來幫助組織以靈活和高效的方式實施敏捷方法。
  • SAFe 結合了敏捷開發、精益思想和產品開發流程管理的原則，提供一個結構化的體系，用於大型系統或多團隊環境中的軟體開發。
  • 整合的原則和實踐:
    • 整合了敏捷開發的靈活性與反應迅速的優點。
    • 強調精益製造原則，如流程效率、減少浪費和持續改進。
    • 包含 DevOps 的實踐，促進開發與運維的密切協作。
  • 角色與責任:
    • 明確定義各種角色的明確職責和期望。
  • 規劃和執行：
    • 通過定期且固定的節奏（PI Planning）進行項目和發行計劃，這是 SAFe 的關鍵活動，幫助所有利益相關者同步和計劃下一階段的工作。
  • 持續交付和回饋：
    • 強調快速交付、測試和收集用戶反饋，以驗證假設並迅速適應市場或用戶需求的變化。

整合產品開發團隊(Integrated Product Team)

• 由美國國防部推動，核心觀念是在專案前期就將所有專案成員(包括客戶)Join起來。
• 此概念後來延伸為DevOps，之後更進一步加入安全概念變為現在的DevSecOps。
  • DevOps:
    • Software development(Dev) 與 IT Operations(Ops)。
    • 主旨在開發團隊、測試團隊、維運團隊與管理團隊間的有效溝通合作。並通過自動化工具做到軟體的持續交付(Continuous Delivery)，使得構建、測試、發布軟體能夠更加地快捷、頻繁和可靠。
  • DevSecOps:
    • 

成熟度模型(Maturity Models)

• 能力成熟度模型整合(Capability Maturity Model Integration，CMMI):
  • CMMI主要用於軟體開發、系統工程以及產品和流程改進項目，提供了組織在流程改進方面的操作指南，以幫助它們評估自身的能力成熟度。
  • 
  • LEVEL 1-初始階段（Initial）：
    • 組織在此階段的流程通常是非正式和不穩定的。項目成敗往往依賴個別員工的努力和英雄主義行為。
  • LEVEL 2-可管理階段（Managed）：
    • 組織開始建立基本的項目管理流程來追蹤成本、時間表和功能性。流程在某種程度上是計劃的、文件化的和可重複的。
  • LEVEL 3-已定義階段（Defined）：
    • 組織已經將其流程標準化和文檔化，並且已經將它們整合到標準的組織流程中。這使得流程更加一致和穩定。
  • LEVEL 4-量化管理階段（Quantitatively Managed）：
    • 組織使用量化和統計方法來控制流程。這個等級的目的是通過量化資料來進一步改善流程。
  • LEVEL 5-優化階段（Optimizing）：
    • 最高階段的組織不斷進行流程改進，使用創新和技術進步來應對新的挑戰和變化，並且尋求持續和預先的流程改進機會。
• 軟體保障成熟度模型(Software Assurance Maturity Model，SAMM):
  • 用於幫助組織制定和實施軟體安全策略，從而提高其軟體開發過程的安全性的一個開放框架。在可行性和靈活性方面進行設計，以適應各種不同大小和業務模式的組織。
  • 
  • 業務功能（Business Functions）& 安全實踐（Security Practices）：
    • SAMM將軟體安全分為不同的業務功能領域，並在每個業務功能領域中定義了一系列安全實踐，旨在解決該領域內的特定安全問題。
      • 治理（Governance）：
        • 策略與指標（Strategy & Metrics）：建立和推廣安全策略，並且通過指標來測量和改進這些策略。
        • 政策與合規（Policy & Compliance）：制定安全標準政策並管理合規性問題。
        • 教育與指導（Education & Guidance）：提供培訓和意識提升，促進組織文化和態度的轉變。
      • 設計（Design）：
        • 威脅評估（Threat Assessment）：評估應用程序風險概況，並進行威脅建模。
        • 安全要求（Security Requirements）：確定軟件安全要求和供應商安全性問題。
        • 安全架構（Secure Architecture）：從架構設計到技術管理，都需要考慮安全因素。
      • 實施（Implementation）：
        • 安全構建（Secure Build）：確保構建過程的安全性，管理軟件依賴性問題。
        • 安全部署（Secure Deployment）：管理部署過程和機密資訊。
        • 缺陷管理（Defect Management）：缺陷追蹤與流程的持續改進
      • 驗證（Verification）：
        • 架構評估（Architecture Assessment）：進行架構驗證和風險緩解。
        • 需求驅動測試（Requirements-driven Testing）：進行控制驗證和濫用/錯誤使用測試。
        • 安全測試（Security Testing）：實施可擴展的安全測試，獲得對系統安全性的深入理解。
      • 運營（Operations）：
        • 事故管理（Incident Management）：從事件檢測到響應，管理安全事件。
        • 環境管理（Environment Management）：進行配置強化和系統更新，管理遺留問題。
        • 運營管理（Operational Management）：資料保護與遺留管理。
  • 成熟度等級（Maturity Levels）：SAMM為每個安全實踐提供了成熟度等級，通常從1到3，表示組織在該安全實踐領域的成熟度和能力。
    • Level 1:旨在實現流程中特定活動的臨時性和最佳努力執行。
    • Level 2:旨在建立一個可靠的、一致的、可重複的過程。
    • Level 3:旨在通過基於有效和及時的反饋持續改進，以最大化效能。
• 軟體安全建構成熟度模型(Building Security In Maturity Model，BSIMM)
  • 一種用於評估和改善軟體開發過程中的安全實踐和策略的框架，提供了一個量化的度量標準來衡量組織在軟體安全領域的成熟度。
  • 核心領域：
    • 治理(Governance):
      • 包括政策制定、教育訓練和計劃管理等活動。
    • 情報(Intelligence):
      • 涉及威脅建模、收集安全需求和資訊等。
    • SSDL接觸點(Secure Software Development Lifecycle Touchpoints):
      • 涵蓋需求分析、設計審查、源碼審查、安全測試等。
    • 部署(Deployment):
      • 涉及部署準備、漏洞管理和軟體配置等。
• 網路安全成熟度模型認證(Cybersecurity Maturity Model Certification，CMMC):
  • 美國國防部主推的一套以NIST SP 800-171 為基礎，並混合其他法規、標準的認證機制，將在2026財年(2026年9月30日)時，所有新的國防部採購案(合約)都將納入CMMC 2.0 的要求。。
  • 此安全標準的目的是確保所有國防部的承包商都有適當的措施來保護敏感的聯邦信息，並提升整體供應鏈的網絡安全水平。
  • 
  • CMMC 1.0將網絡安全措施和流程分為五個成熟度等級:
    • Level 1 – Basic Cyber Hygiene：
      • 組織實施基本的資訊安全措施來保護聯邦合約信息。
    • Level 2 – Intermediate Cyber Hygiene：
      • 過渡階段，為組織提供向保護受控未分類資訊（CUI）邁進的準備。
    • Level 3 – Good Cyber Hygiene：
      • 組織需要管理和保護CUI，並實施所有NIST SP 800-171的控制。
    • Level 4 – Proactive：
      • 組織需要實施先進的安全措施，並能夠適應不斷變化的戰術、技術和程序，以抵禦先進的持續威脅（APT）。
    • Level 5 – Advanced/Progressive：
      • 最高等級，組織需要實施專業化的安全流程，並對高級威脅進行優化和應對。
  • 
  • CMMC 2.0將原來的五個成熟度等級簡化為三個等級，使框架更為直接且容易理解：
    • Level-1: 基礎(Foundational)
      • 基礎防護，要求實施17項基本的網絡安全措施。
    • Level-2: 高級(Advanced)
      • 進階防護，與美國國家標準與技術研究院的NIST SP 800-171標準對齊，專注於保護受控未分類資訊（CUI）。
    • Level-3: 專家(Expert)
      • 最高級別的安全防護要求，面向需要保護高度敏感防禦資訊的組織。
• RIMS風險成熟度模型(RIMS Risk Maturity Model，RMM):
  • 由風險管理學會(RIMS)開發的一個框架，旨在幫助組織評估和改進其風險管理實踐。
  • 這個模型提供了一個方法來衡量組織在風險管理過程中的成熟度和效能，從而提高其整體風險管理能力。

分析需求(Analysis)

• 分析階段的重點在需求管理(Requirement Management)。當計劃書完成，選定好開發方法並且團隊成型之後便要開始對需求進行細部分析，此階段特別要與業務單位(使用者)進行深入討論。

需求管理(Requirement Management)

• 引出需求(Elicitation)->分析需求(Analysis)->文件化(Documentation)->驗證及確認(Verification & Validation)->變更管理(Change Management)
• 需要(Needs): 客戶腦海中想到的。
• 需求(Requirements): 將腦海中想到的需要(needs)寫到文件中進行管理便成為了需求(requirements)。
• User Requirement Specification(URS):精準描述的User需求。
• 常用的需求表達工具有文字描述的Use case text、圖像表示的Use case Diagram與用特定句型描述操作步驟的User Story。
  • Use case:資安特別關注惡意使用者的Use case。
  • User Story:由User負責寫。

設計(Design)

• 設計(Design):需求分析後產出的書面Solution。
• 設計階段的重點包括架構設計(Architectural Design)、細部設計(Detail Design)以及威脅建模(Threat Modeling)。
• 在分析完細部需求後便開始進行架構(Architectural)與細部的設計規劃，並進行威脅建模(Threat Modeling)。最後產出書面的文件(Solution)交付給開發組員按圖開發。

安全設計原則(Security Design Principles))

• 根據 ISO/IEC 19249:2017標準的架構原則(Architectural Principles)與設計原則(Design Principles)
• 核心觀念:CIA、3A
• 架構原則(Architectural Principles):
  • 域分離(Domain Separation):
    • 指在系統中劃分獨立的安全域或區域，每個域可以有自己的安全策略和控制。
    • 有助於限制安全事件在不同域間的傳播，並管理不同信任級別的資源。
  • 分層(Layering):
    • 將系統結構劃分為多層，每層提供不同級別的安全防護。
    • 有助於實現防禦深度，每一層都能獨立地抵禦攻擊
  • 封裝(Encapsulation):
    • 隱藏對象的內部狀態和實現細節，僅通過定義良好的接口暴露功能。
    • 有助於限制對敏感資料和系統部件的直接訪問，減少潛在的攻擊面。
  • 冗餘(Redundancy):
    • 在系統設計中引入額外的元素或組件，以提高系統的可靠性和可用性。
    • 幫助緩解單點故障的風險，並確保在部分系統失效時仍能維持運作。
  • 虛擬化(virtualization):
    • 在單一的物理硬件上創建多個隔離的虛擬環境。
    • 虛擬化有助於隔離運行環境，使得不同虛擬機或應用之間的交互受到控制，從而增強安全性。
• 設計原則(Design Principles):
  • 最小特權(Least Privilege):
    • 確保系統的用戶、程序和進程僅擁有完成其任務所必需的最少權限。
    • 有助於限制在權限被濫用或系統受到攻擊時的損害範圍。
  • 攻擊面最小化(Attack Surface Minimization):
    • 減少系統可被攻擊的點。
    • 通過關閉不必要的服務、端口、功能和限制訪問權限，來降低系統容易受到攻擊的部分。
  • 集中化參數驗證(Centralized Parameter Validation):
    • 將資料驗證邏輯集中在一個地方，以保持一致性，減少漏洞，並簡化系統的維護和更新。
  • 集中化通用安全服務(Centralized General Security Services):
    • 將身份驗證、授權、加密等安全功能集中管理，以確保整個組織或系統中的安全實踐一致並且高效。
  • 錯誤和異常處理 (Preparing for Error and Exception Handling):
    • 在系統設計中預先考慮並處理潛在的錯誤和異常狀況，以防止它們被利用來進行安全攻擊，並保證系統的穩健性。
  • 完全中介(Complete Mediation)
    • 要求每次對敏感資源的存取都必須經過檢查和控制，以確保只有合法和授權的請求能夠被執行。旨在防止未經授權的存取和保護系統免受濫用。
• 安全設計原則:
  1. 最小特權(Principle of Least Privilege):用戶和系統應僅獲得完成其任務所必需的權限，不應有多餘的訪問權限。這有助於限制安全漏洞的影響範圍並降低風險。
  2. 縱深防禦原則 (Defense in Depth):應使用多層防禦策略，即使一層被破壞，其他層仍然能提供保護。這通常涉及物理安全、網絡安全、應用程序安全等多個層面。
  3. 最小暴露原則 (Principle of Least Exposure):系統應最小化其攻擊面，通過減少公開訪問的端點和服務來降低風險。這意味著只有必要的服務和端口應對外開放。
  4. 安全預設 (Secure Defaults):軟體、系統或技術產品在出廠或初始安裝時預設的安全配置應當是最嚴格的，在不進行任何自定義設置的情況下，系統應能提供最大程度的保護，防止未經授權的訪問和數據洩露。
  5. 安全失敗原則 (Fail securely):當系統失敗或出現錯誤時，應該預設到一個安全狀態，而不是無限制的狀態。例如在出現故障時，系統會自動失效為關閉以保護系統和資料不受進一步的損害，或是軟體開發用try-catch來handle exception。
  6. 完整性與鮮活性 (Integrity and Freshness):確保資料在傳輸或存儲過程中維持其完整性和鮮活性，防止資料被篡改或是使用過時的資料。
  7. 簡潔明了原則 (Economy of Mechanism):系統的設計應盡可能簡單和透明。複雜的系統更難以理解和審計，從而可能隱藏安全風險。
  8. 職責分離(Separation of Duties):通過將職責和權限分散到不同的個體或系統組件中，可以防止權力過分集中，降低濫用或錯誤使用權限的風險。不管是在商業邏輯層級或是系統層級，都應該做到責任分離。例如：付款模組跟訂單模組應該要分開，前端介面跟後端資料庫要分開，各司其職。 這樣的原則跟出納跟會計要分開很像，責任分離避免安全性的疑慮。
  9. 不可否認性 (Non-Repudiation):系統應提供機制來記錄和驗證用戶的行為，使個體不能否認他們所執行的操作。
  10. 可靠性與可用性 (Reliability and Availability):系統應設計為可靠和可用的，即使在遭受攻擊或出現故障時也能繼續運作。
  11. 保持簡單和小型化(Keep it simple and small):通過簡化系統和減少其規模來降低錯誤、增加可靠性和提高安全性。系統越簡單，其內部的交互和依賴性越少，因而出錯的機會和安全漏洞的風險也就越小。
  12. 設計時考慮隱私(Privacy by design):隱私和資料保護應從一開始就被納入產品和服務的開發中，而不是作為事後補充或反應。

架構設計(Architectural Design)

三層式架構(Three-Layer Architecture)/分層式架構(Distributored system):Layer(邏輯關聯) vs Tier(實體關聯)

• 呈現層(Presentation Layer)/Client-based sysetm:輸入或輸出的介面
• 商業邏輯層(Business Logic Layer)/Server-based sysetm:運算邏輯
• 資料存取層(Data Access Layer)/Database sysetm:資料儲存，重點是資料庫

服務導向架構(Service Oriented Architecture，SOA):把模組服務化

• 介面(Interface):
  • 圖形化使用者介面(Graphic User Interface，GUI)：給人用
  • 命令列介面(Command Line Interface，CLI)：給人用
  • 應用程式介面(Application Programming Interface，API)：
    • 應用程式介面，為應用程式和應用程式之間的橋樑，透過API去服務其他程式稱為服務(Service)。
• Web Services:第一代SOA，公開服務市集
  • Representational State Transfer(REST)
    • RESTful API:符合HTTP命名方式的API
• 微服務(Microservices):第二代SOA，內部服務市集，專注於單一責任與功能。(專心做一件事)
  • 
  • 基於微服務的應用程式由於是分散且透過網路相互通訊的，因此會比單體應用程式具有更大的攻擊面。
  • 微服務架構中，HTTP連接通常不會保持活躍來進行完全的中介，而是採用無狀態通信(Stateless Communication)，每個請求都需要完整的授權和身份驗證。
  • 通常部署於不可變的工作負載，這有助於保證服務的一致性和安全性，並支援彈性伸縮。不可變的基礎設施確保了部署的一致性，減少了配置錯誤和相關安全問題。
  • API Gateway:提供一個統一的進入點來減少攻擊面，並且管理和調節存取微服務的流量和處理跨多個微服務的共同關注點，如認證、授權、流量限制、監控和日誌記錄等。
  • 服務網格(Service Mesh):作為服務間通信的基礎設施層，通常指的是微服務與微服務之間的通訊。提供了負載平衡、服務間的安全通信、故障管理和可觀察性。
    • Side Car: Service Mesh的其中一種實作方式，將應用程序的主要功能與服務相關的側面功能分開。在這種模式中，每個微服務與一個側車容器共存，側車容器處理網絡通信、安全性、監控等功能。
• 容器化(Containerization)
• 無伺服器(Serverless):
  • 
  • 不須管理Server與Container，只需要寫一段處理的Code，依靠Event來Trigger這段Code(同時會啟動需要執行的資源)，Code執行完畢後會自動把執行的資源關閉。
  • 管理負擔最小化ex: AWS Lambda
• 其他資訊建模技術:
  • 硬體架構圖(Hardware Architecture)
  • 軟體架構圖(Software Architecture)
  • 系統關聯圖(System Context Diagram)
  • 功能特性模型(Feature Model)/網站地圖(Sitemap)
  • 流程流(Process Flow)
  • 資料流圖(Data Flow Diagram，DFD)
  • 實體關係圖(Entity-Relationship Diagram，ERD)
  • 線框圖(Wireframe)
  • 雛形(Prototype)

資料庫(Database)

• 完整性議題(Integrity)
  • 實體完整性(Entity Integrity):
    • Table中不能有重複資料，亦即PK(Primary Key) 不能重複。
  • 參考完整性(Referential Integrity):
    • FK(Foreign Key) 不能找不到對應資料。
    • Transaction Control
  • 語意完整性(Semantic Integrity):
    • 資料格式(Data Type)是否正確。
    • 字串長度(String Length)與數值值域(Value Domain)是否在範圍內。
• 機密性議題(Confidentiality)
  • 威脅(Threats):
    • 聚合(Aggregation):蒐集到夠多資料時會被拼湊出機密資料。
      • 聚合指的是將不同的資料單元組合或匯總。
      • 在一個敏感性級別上聚合資料可能導致總資料被指定為更高的敏感性級別而導致保密性問題。
    • 推理(Inference):透過少量資料即可推測出機密資料。
      • 從已知資訊導出新資訊，用戶可從他們獲取的合法資訊中推斷未被授權的資訊。
  • 對策(Countermeasure):
    • 資料欄位隱藏(Cell suppression):不要顯示太多資料。可透過視圖(Views)建立虛擬表格
    • 限制使用者介面(Constrained user interface):直接隱藏資料或將資料以*來顯示
    • 雜訊與干擾(Noise and perturbation):
      • 多實例化(Polyinstantiation):透過雜訊來掩蓋機密資料。
        • 多實例化允許一個關係包含具有相同主鍵的多行；多個實例通過其安全級別區分。
        • 可以有多個版本的資料存儲在不同的表中，或者即使在同一個表中也可能有不同版本的記錄。這些版本的資料會根據訪問它們的用戶的安全等級或角色來呈現不同的資料細節。
        • 由於過於繁瑣和成本不划算，通常用於軍事和高安全環境，在商業數據庫系統中實施複雜且不常見。
    • 分區/分割(Partitioning):將資料分割成不同部分存放，每個部分都有自己的權限。
    • 加密(Encryption):加密資料。

資料庫相關術語

• 欄位(Field)/屬性(Attribute):Column
• 紀錄(Record)/元組(Tuple):Row
• 主鍵(Primary Key):每個Table要有一個主鍵當成唯一識別欄位(不能重覆)
• 外鍵(Foreign Key):其他Table的主鍵
• 候選鍵(Candidate Key):Table中主鍵之外的欄位
• 參數化查詢(Prepared statement):
  • 也常被稱為預備語句，是一種資料庫查詢技術，它可以幫助提高安全性、減少SQL注入攻擊的風險，並提升查詢效率。
  • 參數化查詢讓開發者可以先定義SQL語句的結構，然後再動態地插入參數值。
• 預存程序(Stored procedure):
  • 一種在資料庫中預先編寫好的SQL腳本，它儲存在資料庫中，可隨時被呼叫執行。(節省處理時間)
  • 可以包含一個或多個SQL語句以及流程控制語句，允許執行複雜的運算和邏輯。
  • 可以限制用戶直接存取Table，只允許通過Procedure來存取資料，並且可以實現更細粒度的存取控制。(提高安全性)
• 分區(Partitioning):
  • 在資料或資料庫中，分區指的是將資料集分割成部分並分別存儲。它是對抗聚合和推理攻擊的一種措施。
• 標準化(Normalization):
  • 資料庫標準化的原始目的是減少資料重複以節省存儲空間和加強資料完整性。
• 聚合函數(Aggregate Functions):
  • SQL、Excel和其他軟體提供所謂的聚合函數，如Sum()、Average()、Count()、Max()和Min()等。
  • 這些函數作用於“一組資料”，而不是“單個資料記錄”，因此它們可能因“聚合”而導致資料洩露。
• 參照完整性(Referential integrity):
  • 如果所有外鍵都引用現有的主鍵，則資料庫具有參照完整性。
• 實體完整性(Entity integrity):
  • 主鍵不能有空值，也不能重複。
• 語意完整性(Semantic Integrity/Domain)：
  • 透過限制資料型態維持語意完整性。
• 細粒度(Granularity):
  • 可以限制對對象訪問的程度。細粒度可以應用於對對象允許的操作，以及允許對該對象執行這些操作的用戶。
• 數據定義語言(DDL):
  • 用於定義或修改數據結構，例如創建、修改和刪除表和索引。
• 數據查詢語言(DQL):
  • 主要用於查詢數據，例如使用SELECT語句。
• 數據操作語言(DML):
  • 用於插入、更新、刪除和查詢數據庫中的數據。這包括INSERT, UPDATE, DELETE等語句。
• 數據控制語言(DCL):
  • 用於定義數據庫的安全政策和控制訪問數據的權限，例如授予和撤銷權限。

基礎設施即代碼(Infrastructure as Code，IaC)

• 一種IT基礎架構管理的方法，通過使用高級語言或宣告式文件自動管理和配置硬體，而不是通過手動過程來操作物理硬體。使得基礎設施管理更加自動化、一致且可重現。

威脅建模(Threat modeling)

• 威脅建模(Threat modeling) 的四個重點步驟:
  1. 畫出應用架構圖(Diagram Application Architecture) 並把相關文件(Use Case、DFDs ,etc…)拿出來檢視。
  2. 識別威脅(Identify Threats)，也就是風險評鑑的識別動作，可利用STRIDE、DREAD、OWASP等工具或文件來列出可能遇到的風險並記錄到風險登錄表。
     • STRIDE:由微軟所開發，將威脅(Threat) 分成六類:
       • 欺騙(Spoofing):完整性(真實性)
         • 攻擊者冒充另一個用戶或設備，以欺騙系統或其他用戶，從而獲取非法存取權限。(偽造身分)
       • 篡改(Tampering):完整性
         • 對資料或系統的未經授權修改。
       • 否認(Repudiation):完整性(不可否認性)
         • 當攻擊者執行了惡意行為後，無法證明其行為的發生。
         • 可能由於系統缺乏足夠的審計或日誌記錄設施，或是紀錄被竄改使得進行行為追踪和證實變得困難。
       • 資料外洩(Information disclosure):機密性
         • 機密信息被未經授權的人士存取。
       • 拒絕服務(Denial of service):可用性
         • 正常用戶無法訪問特定的網絡服務或應用。
       • 特權提升(Elevation of privilege):
         • 攻擊者利用系統漏洞、配置錯誤或安全政策缺陷，獲得比他們正常權限更高的訪問權限，使其可以執行本不應允許的操作。
     • DREAD:由微軟所開發，技術觀點的分析工具。將威脅分成五個類別。
       • 損害程度(Damage):影響
       • 可再現程度(Reproducibility):不確定性
       • 可利用性(Exploitability):不確定性
       • 影響人數(Affected Users):影響
       • 可發現性(Discoverability)
  3. 識別、排序與實施控制(Identify,Prioritize & Implement Controls)，也就是將前一步驟識別出來的風險利用風險評估工具進行排序後依風險程度依序進行風險處置(實施安全控制)。
  4. Document & Validate，確認安全控制措施的有效性(V&V)，並將處置後的剩餘風險留在風險登錄表上。
• 簡化分析(Reduction Analysis):
  • 將系統分解為五個核心元素來評估安全協議或系統的強度:
    • 信任邊界、資料流路徑、輸入點、特權操作和安全控制細節

開發(Development)

• 開發階段的重點包括運作環境(Software Environment)、開發工具(Software Development Tools)以及開發語言(Programming Languages)。
• 名詞解釋:
  • 程式(Program):存在硬碟上，尚未被呼叫執行的程式碼。
  • 程序稿(Script):不須經過編譯就可以直接執行的程式碼，常見的如 .sh檔、.bat檔、.cmd檔 等。
  • 行程(Process):被呼叫並載入到記憶體執行的程式(program)。
  • 行動代碼(Mobile code):從遠端系統透過網路傳輸到本地系統，並且能在接收端未經明確安裝或執行的情況下執行的軟體或者部分程式碼。

軟體環境(Software Environment)

• 開發環境(Development)
• 測試環境(Testing)
• 過度環境(Staging)
• 正式環境(Production)
• 常見的程式運行(Runtime)環境:瀏覽器(Browser)、JVM、.NET Framework、Container。
  • 容器(Container):由OS來提供程式運作的環境。Docker or K8s使其簡化並方便使用。
  • 

Git分散式版本控制軟體

• 常用操作:
  • commit:提交程式到Local git repo.。
  • checkout:切換/讀取指定commitID版本的程式。
  • push:將 Local git repo.的程式上傳至Remote/Server端的 git repo。
  • pull:將 Remote/Server端 的 git repo 下載至Local git repo.。
• 現代的軟體開發都強調將程式模組(Code Model)與單元測試(Unit Test)放入 版本庫(Code Repository) 中。

開發語言(Programming Languages)

• 機器語言(Machine Language):CPU與GPU可直接讀取，由二進位代碼組成。
• 組合語言(Assembly Language)
• 高階語言(High-Level Programming Language):Python、JavaScript、 PHP、Ruby、C#、Java、etc…
• 極高階語言(Very high-level programming language，VHLL)
• 自然語言(Natural Language)
• 直譯式語言(Script):不須經過編譯(Compiler)即可執行。
  • 操作系統殼腳本(Operating systems shell scripts):
    • 如Bash腳本，是用於自動化操作系統任務的腳本語言。
    • 與宣告式語言不同，腳本是命令式的，意味著它們需要具體描述達到最終狀態的每一步。
• 編譯式語言(Executable):需要經過編譯後才可執行。(ex:Java)
• 宣告式語言(Declarative Language):JSON、XML、YAML
  • 一種編程範式，它強調“描述你想要什麼”而不是“怎麼得到你想要的”。
  • 定義最終應達到的目標狀態，而具體的執行過程由工具自動處理。這有助於減少設置和維護基礎設施時的錯誤。
  • YAML(YAML Ain’t Markup Language)
    • 一種宣告式的資料序列化格式，常用於配置文件和在應用程式間傳遞資料。
    • 允許用戶描述資料應該如何被處理和展示，而不需要編寫控制流程的程式碼。

物件導向(OOP)

• 念書重點:封裝、繼承、多型
  • 封裝(Encapsulation):為了避免外部隨意存取Class中的Properties & Methods而實施存取限制的動作。
  • 繼承(Inheritance):子類別可繼承父類別的屬性和方法。
  • 多型(Polymorphism):
    • 不同類別的物件可以通過相同的接口進行操作，而表現出不同的行為(即方法的具體實現)。
    • 兩種做法:Overload & Override
  • 高聚合(High cohesion):盡量是相關的Properties & Methods才放到同一個Class中。
  • 低耦合(Low coupling):：盡量不要用別人的程式，即便使用也要避免將程式模組互相綁得太緊，當某個模組因某些原因不可用而需要更換時，可以降低更換模組的影響。

測試(Testing)

• 測試階段的重點在定義(Definition)、分類(Taxonomy)與技術(Techniques)。測試的定義就是比對程式處理完資料後產出的結果是否與預期結果相同。而針對不同的面向與需求有不同測試方法與測試技術。
  • 定義(Definition):比對程式處理完資料後產出的結果是否與預期結果相同。
  • 分類(Taxonomy):
    • 正向(Positive)測試與負向(Negative)測試:透過輸入有效的或無效的值來看程式處理結果。
    • 白箱測試(White-box):測試者知道受測物的內部結構與邏輯。
    • 黑箱測試(Black-box):測試者不知道受測物的內部結構與邏輯。
    • 灰箱測試(Gray-box):測試者知道部分受測物的內部結構與邏輯。
    • 靜態測試與動態測試(Static vs Dynamic):以程式(Program)是否有被呼叫運作(Process)來區分。
      • 靜態應用安全測試(Static ApplicationSecurity Testing，SAST)
      • 動態應用安全測試(Dynamic ApplicationSecurity Testing，DAST)
    • 被動測試與主動測試(Active vs Passive):看測試者與被測者是否有直接互動來區分。
      • 互動式應用安全測試(Interactive Application Security Test，IAST)
    • 手動測試與自動(透過機器)測試
  • 技術(Techniques):
    • 源碼審查(Code Review):
      • 人來看(主管 or 老鳥)。
        • 費根檢查(Fagan Inspection):
          • 一種結構化的同行審查過程，在開發過程中檢查和審查設計文檔、源代碼以及其他軟件相關文檔
          • 
      • 機器看(軟體工具)。
      • 專家看(通常只有重要程式會這樣做，例如與人命有關的)。
    • 單元測試(Unit Test)
    • 整合測試(Integration Testing):
      • 回歸測試(Regression Testing):檢驗軟體原有功能在修改後是否保持完整。
      • 介面測試(Interface Testing)::檢驗人機介面(User Interface)、網路介面(Ntework Interface)、API等介面功能，實務上偏重API。
      • 模糊測試(Fuzz Testing):用隨機產生的亂數資料進行測試，並監視是否出現程式異常。
        • 向應用程式提供無效或意外的輸入，測試格式字串漏洞、緩衝區溢位問題和其他問題等漏洞。
        • 屬於隨機測試(Random testing)，是一種黑箱軟體測試技術，也可稱作猴子測試(Monkey testing)。
        • 智能模糊器(Smart Fuzzer):
          • 根據對目標程序或系統的先前知識（如輸入格式或協議規範）生成測試資料。能生成更有效的測試案例，以發現更深層次的錯誤或安全漏洞。
        • 笨模糊器(Dumb Fuzzer):
          • 不依賴於對目標系統的任何先前知識，隨機生成輸入資料或操作，用於測試目標程序的穩定性和安全性。
        • 基於變異的模糊器(Mutation-based Fuzzer):
          • 從已存在的資料集中選取樣本，通過變更、替換或重新排列資料來生成新的測試案例。
          • 這種方法依賴於有效的初始測試資料，並在此基礎上進行變異來探索新的測試路徑。
        • 基於生成的模糊器(Generation-based Fuzzer):
          • 根據預定義的模式或模板從頭生成測試資料。
          • 通常需要對目標系統有深入的理解，以便設計出能有效觸發系統行為的測試案例。
    • 系統測試(System Testing):
      • 壓力測試(Stress Testing)
      • 安全性測試(Security Testing)
        • 弱點掃描(Vulnerability Assessment，VA)：針對系統找弱點並提出報告
        • 滲透測試(Penetration Testing，PT):找到弱點後實際去利用這個弱點
    • 誤用案例測試(Misuse Case Testing)
    • 驗收測試(User Acceptance Testing,UAT)
    • 安裝測試(Installation Testing):檢查安裝檔的完整性，並查看是否存在後門。
    • 綜合交易(Synthetic Transactions):
      • 用在做系統監控，透過假資料進行虛構交易以確認系統是否正常。
      • 也可稱作綜合監控(Synthetic Monitoring)或基準測試(Synthetic benchmarks)
• 覆蓋率分析(Coverage analysis):
  • 測試時要注意測試覆蓋率，重點是重要功能是否有進行測試，而不是只看覆蓋率大小。(不只重量，更要重質)
  • 分支覆蓋/決策覆蓋(Branch coverage):
    • 確保原始碼中的每個分支路徑都至少執行一次，包括if和case語句中的所有可能路徑。(注重整體控制流程)
  • 條件覆蓋(Condition coverage):
    • 確保原始碼中的每個決策點的每個可能條件都至少評估一次。(注重於單個條件的TURE/FALSE)
  • 函數覆蓋(Function coverage):
    • 確保原始碼中的每個函數或程式中的子程式至少被呼叫和執行一次。
  • 語句覆蓋(Statement coverage):
    • 確保原始碼中的每行程式至少執行一次。

靜態應用安全測試(Static ApplicationSecurity Testing，SAST):

• 不需要執行程式即可進行的安全測試方法。它通過分析應用程式的原始碼、位元碼或二進制代碼來識別安全漏洞。(Checkmarx、Fortify)
• SAST的特點:
  • 通常在開發過程的早期進行，有助於及早發現和修復漏洞。
  • 不需要執行應用程式，它是對原始碼的靜態分析。
  • 可以檢測到的漏洞包括輸入驗證問題、代碼注入、跨站腳本（XSS）、存取控制問題等。
  • 易於整合到開發環境和持續整合/持續部署（CI/CD）流程中。
• SAST的優點:
  • 減少誤報:由於分析是基於原始碼，因此相對於DAST來說誤報較少。
  • 早期介入:可以在軟件開發的早期階段發現問題，降低修復成本。
• SAST的限制:
  • 可能漏報:可能無法識別運行時才會顯現的漏洞。
  • 需要存取原始碼:對於無法獲取原始碼的第三方組件或服務，SAST的應用受限。

動態應用安全測試(Dynamic ApplicationSecurity Testing，DAST):

• 在應用程式執行時對其進行的安全測試。它通過模擬外部攻擊來識別執行中應用程式的安全漏洞。
• DAST的特點:
  • 通常在應用程式開發的後期或部署後進行。
  • 需要應用程式處於執行狀態，通過外部接口進行測試。
  • 專注於發現程式執行期間的錯誤，如配置錯誤、身份驗證和會話管理問題、注入攻擊等。
  • 測試者無需存取原始碼，只需像真正的攻擊者一樣，從外部存取應用。(黑箱測試)
• DAST的優點:
  • 實際環境下測試:能夠在實際運行環境中發現漏洞。
  • 通用性:不需要原始碼，可以對任何執行的應用程式進行測試。
• DAST的限制:
  • 誤報較多:由於是基於外部測試，可能產生較多誤報。
  • 測試成本較高:發現漏洞通常較晚，修復成本和風險較高。

互動式應用安全測試( Interactive Application Security Test，IAST):

• 融合了靜態應用安全測試(SAST)和動態應用安全測試(DAST)的優點的安全測試技術，用以在應用程式開發和執行時檢測安全漏洞。
• IAST通過即時分析應用程式的行為和資料流，能夠識別出潛在的安全問題。
• IAST的特點：
  • IAST在應用程式執行時分析其行為和資料流，以檢測安全漏洞。(即時分析)
  • 透過與應用程式的持續互動，可以更深入地檢測涉及執行時資料和用戶互動的漏洞。(高互動性)
  • 工具通常以代理形式整合在應用程式或其執行環境中，直接存取內部資料結構和流程。
  • 結合了靜態分析的深度和動態分析的實際應用場景。
• IAST的優點：
  • 即時反饋:能夠向開發人員提供即時的安全問題反饋，有助於快速修復漏洞。
  • 減少誤報和漏報:由於同時分析原始碼和執行時的行為，IAST能夠提供更精確的漏洞檢測，減少誤報和漏報。
  • 深入的安全洞察:提供關於漏洞的詳細上下文，幫助開發人員理解漏洞發生的具體原因。
  • 易於整合:可以輕易地整合到現有的開發和測試工作流程中，支持敏捷開發和DevOps實作。
• IAST的限制:
  • 資源消耗:由於IAST需要在應用程式執行時分析數據，可能會對應用程式性能產生一定影響。
  • 技術依賴:部分IAST工具可能只支援特定的程式語言或開發平台，限制了其應用範圍。
  • 初始設置複雜性:配置IAST工具需要對應用程式的內部結構和執行環境有一定的理解，初期設置可能相對複雜。
  • 安全範圍限制:雖然IAST能夠檢測許多類型的漏洞，但對於某些特定類型的安全問題，如與硬體相關的漏洞，可能無法有效檢測。

軟體組成分析(Software Composition Analysis，SCA)

• 用於識別和評估在開發項目中所使用的第三方軟體或元件的風險，特別是開源的軟體或元件。
• 這種分析有助於確定軟體依賴項中存在的已知漏洞、許可證合規性問題以及其他潛在的安全風險。
• SCA的功能:
  • 元件識別:
    • 自動識別應用程式中包含的所有第三方和開源元件。
    • 建立和維護元件清單，包括版本號和依賴關係。
  • 安全漏洞檢測:
    • 對識別出的元件進行安全掃描，查找已知的安全漏洞。
    • 利用公開的漏洞資料庫（如NVD）來匹配和報告潛在風險。
  • 許可證合規性管理:
    • 分析開源元件的許可證條款，確保使用合規，並避免潛在的法律和合規風險。
    • 識別許可證衝突或限制性強的許可證，如GPL。
  • 政策管理和執行:
    • 允許企業定義和實施關於使用開源軟件的內部政策。
    • 自動執行這些政策，如阻止使用特定許可證或存在嚴重漏洞的元件。
  • 風險評估和報告:
    • 提供詳細的風險評估報告，幫助開發團隊理解和優先處理安全問題。
    • 支援安全審計和合規性審查過程。
• SCA的優點:
  • 提高安全性:通過識別和修復已知漏洞，減少應用程序的安全風險。
  • 法律和合規風險降低:確保開源元件的使用符合相關的法律和合規要求，避免潛在的訴訟和罰款。
  • 加速開發過程:自動化的元件和漏洞管理使開發團隊能夠更快地解決安全問題，而不會妨礙開發進度。
• SCA的限制:
  • 依賴準確的資料庫:SCA的效果很大程度上依賴於外部漏洞和許可證資料庫的準確性和及時更新。
  • 不包括未知漏洞:僅能識別已知的安全漏洞，無法檢測到新出現或未公開的漏洞。
  • 整合挑戰:在複雜的開發環境中，整合SCA工具可能會遇到技術和操作上的挑戰。

交付(Delivery)

• 交付階段的重點在打包(Software Packages)、透過何種管道進行發佈(Distribution Channels)與持續交付(Continuous Delivery)。
  • 打包(Software Packages):開發完成後將程式打包成執行檔或佈署檔。
  • 交付(Delivery):開發完的軟體完成打包後，交付給客戶或是維運單位自行進行部署。交付方式可透過網路傳送(Online)或是用實體USB或光碟(Offline)的方式交付。
  • 部署(Deployment):部屬指的是將打包好的安裝檔或部署檔放到Server上進行安裝讓系統上線的動作。

維護(Maintenance)

• 維護階段的重點在職責分離(Separation of Duty)、漏洞管理(Vulnerability Management)與惡意軟體(Malicious Software/Malware)。
  • 維護階段依職責分離原則，通常會有不同於開發人員的另外一組維護人員來進行維護。此階段要時常注意是否有發佈與我們有關的新的CVE或CWE漏洞並依情況進行補救也要避免上線的系統受到惡意軟體(Malicious Software/Malware)的入侵攻擊。
• 惡意軟體(Malicious Software/Malware):
  • 指設計用來損害、干擾或非法訪問電腦系統的軟體。它可以以多種形式存在，每種形式都有其特定的行為和攻擊方式。
  • 病毒(Virus):
    • 一種能夠自我複製的惡意軟體，它依附於潔淨檔案上，並在執行這些檔案時啟動。
    • 病毒通常需要用戶介入來傳播，如開啟感染的電子郵件附件或下載並執行感染的軟體。
    • 文件感染型病毒(File infector virus):文件感染型病毒會感染系統中的可執行文件。當這些文件被執行時，病毒會被激活。
    • 主引導記錄病毒(MBR virus):MBR病毒會感染硬碟的主引導記錄，從而在系統啟動時執行病毒代碼。
    • 服務注入型病毒(Service injection virus):服務注入型病毒會注入或修改系統服務或進程，使惡意代碼在正常的系統操作下運行。
    • 隱形病毒(Stealth virus):隱形病毒採用多種技術來隱藏自己的存在，使得它們在系統運行時難以被探測到。
    • 多形態病毒/千面人病毒(Polymorphic virus):這類病毒能夠改變其代碼的外觀或結構，以避免被防病毒軟件檢測到。
    • 複合型病毒(Multipartite virus):這種病毒結合了多種感染技術，既可以感染可執行文件，也可以感染啟動扇區。
    • 伴侶病毒(Companion virus):伴侶病毒創建一個與現有的合法程序同名但擴展名不同的文件。當用戶嘗試執行原始的合法程序時，系統由於文件名相同且擴展名優先級的原因會優先執行病毒文件，從而啟動病毒。
  • 蠕蟲(Worm):
    • 是能自我複製且自我傳播的惡意軟體。與病毒不同，蠕蟲不需要附加到現有的程式上。
    • 蠕蟲利用網絡連接來傳播，能夠自動從一台機器傳送至另一台機器，通常是利用操作系統或應用程序中的安全漏洞。
  • 特洛伊木馬(Trojan Horse):
    • 特洛伊木馬是看似合法的軟體，但實際上內藏惡意功能。與病毒和蠕蟲不同，特洛伊木馬不會自我複製。
    • 通常用來開啟後門，允許攻擊者遠程訪問受影響的電腦系統。
    • 用戶可能在不知情的情況下下載並安裝了特洛伊木馬，因為它們常常偽裝成有用的軟體或媒體檔案。
  • 惡意廣告軟體(Adware):
    • 惡意廣告軟體通常以在用戶的裝置上顯示侵入性廣告的形式出現。
    • 這些廣告可能會干擾用戶體驗，減慢裝置性能，並有可能引導用戶到含有惡意軟體的網站。
  • 間諜軟體(Spyware):
    • 間諜軟體是設計來秘密監視用戶行為的軟體。
    • 通常在不被用戶察覺的情況下運行，收集鍵盤敲擊、瀏覽歷史、密碼和其他個人信息。
  • 惡意移動代碼（Malicious mobile code):
    • 一種設計來在無需明確授權的情況下在多個平台和裝置上執行的惡意軟體。
    • 這種代碼的特點是它的流動性和多功能性，可以通過網絡傳播，並在不同的系統環境中執行。
  • 邏輯炸彈(Logic Bomb):
    • 在特定條件成立時才觸發其惡意功能的惡意軟體。
    • 條件可以基於時間（稱為時間炸彈），或基於一個或多個事件的發生，如特定的應用程式行為、用戶登錄、系統達到特定狀態等。
  • 勒索軟體(Ransomware):
    • 通過加密受害者的資料或鎖定設備來限制用戶對其系統或檔案的存取，並要求支付贖金以解鎖。
    • 根據適用的司法管轄區，根據腐敗行為法或針對恐怖組織的禁運，支付贖金可能是非法的。
• 競爭狀態(Race Condition):
  • 指的是在軟體或系統中多個線程同時試圖存取和修改共享數據資源，並且最終結果取決於這些線程的具體執行順序的情況。
  • 當系統的安全性或穩定性依賴於事件發生的時序時，如果這些事件未按預期順序發生，就可能導致意料之外的結果。且可能會被利用來進行安全攻擊，如利用TOCTOU漏洞。
• TOCTOU(Time-of-check to time-of-use):
  • 一種競爭狀態漏洞，在一個檢查（check）和後續使用（use）之間的時間差，攻擊者可以在這段時間內操縱條件。
  • 通常發生在應用程式檢查某個狀態或條件後，但在後續使用該狀態或條件之前，狀態或條件被改變。
    1. 系統檢查一個文件的訪問權限，確認用戶有權限讀取文件。
    2. 在檢查後和讀取文件之前，攻擊者將該文件替換為一個惡意文件。
    3. 系統讀取了被替換的惡意文件，誤以為是原始安全文件。
  • 這種漏洞可能導致未經授權的資訊洩露、數據損壞或安全政策的違反。
• 漏洞管理(Vulnerability Management):
  • 安全內容自動化協定(Security Content Automation Protocol，SCAP):
    • 提供了一套標準用於自動化配置、漏洞評估以及修補程序的管理，使其非常適合簡化補丁管理過程
  • SCAP 的關鍵組成部分
  • 通用缺陷列表(Common Weakness Enumeration，CWE):
    • 列出不分廠商的軟體和系統中可能出現的通用弱點。
  • 通用漏洞披露(Common Vulnerabilities and Exposures，CVE):
    • 列出針對特定廠商、特定產品或特定型號的已知的安全漏洞。
  • 通用配置枚舉(Common Configuration Enumeration，CCE):
    • 軟體可配置控制項的枚舉。它提供了一個標準化的方法來識別和管理軟體配置的各個方面。
  • 通用平台枚舉(Common Platform Enumeration，CPE):
    • 軟體/硬體實體的身份識別枚舉。它用於標準化地識別和記錄特定的軟硬體平台。
  • 可擴展配置清單描述格式(eXtensible Configuration Checklist Description Format，XCCDF):
    • 用於封裝安全指導建議的結構和內容的語言。
  • 開放漏洞和評估語言(Open Vulnerability and Assessment Language，OVAL):
    • 描述針對系統狀態進行測試的語言。它用於定義和執行安全檢查。
  • 開放清單交互語言(Open Checklist Interactive Language，OCIL):
    • 用於用戶問卷的語言（將在SCAP 1.1中推出）。這種語言允許創建交互式的安全檢查清單。
  • 通用漏洞評分系統(Common Vulnerability Scoring System，CVSS):
    • CVSS 指標組
    • CVSS Metrics and Equations
    • 用於給漏洞條目分配嚴重程度分數的指標。這個系統提供了一個量化漏洞影響程度的方法。
    • CVSS會參考CVE作為評分標準。
    • 三個主要的度量組成：基本度量、時間度量和環境度量:
      • 基本度量(Base Metrics):基本度量提供對漏洞嚴重性的一個固定評估，不考慮特定環境下的影響
        • 攻擊向量（AV, Attack Vector）：描述攻擊者利用漏洞所需的接近度。例如，是否需要本地訪問（L）、鄰近的網絡（A）或是遠程（N）。
        • 攻擊複雜性（AC, Attack Complexity）：描述攻擊者利用漏洞所面臨的障礙或條件。它可以是低（L）或高（H）。
        • 特權要求（PR, Privileges Required）：攻擊者在成功利用漏洞前需要擁有的特權級別。它可以是無（N）、低（L）或高（H）。
        • 用戶交互（UI, User Interaction）：攻擊是否需要用戶參與，例如點擊一個惡意鏈接。它可以是無（N）或需要（R）。
        • 影響範圍（S, Scope）：描述漏洞是否會影響系統的其他部分。範圍可以是未變更（U）或變更（C）。
        • 機密性影響（C, Confidentiality Impact）：漏洞利用成功後對資料機密性的影響。它可以是無（N）、部分（P）或完整（C）。
        • 完整性影響（I, Integrity Impact）：對資料完整性的影響。它可以是無（N）、部分（P）或完整（C）。
        • 可用性影響（A, Availability Impact）：對系統可用性的影響。它可以是無（N）、部分（P）或完整（C）。
      • 時間度量(Temporal Metrics):時間度量涉及時間因素對漏洞嚴重性的影響
        • 漏洞利用程度（E, Exploit Code Maturity）：反映目前利用該漏洞的代碼或技術的成熟程度。
        • 修補程度（RL, Remediation Level）：描述修補漏洞的可用性和完成程度。
        • 報告置信度（RC, Report Confidence）：關於漏洞存在和細節的報告的可靠性。
      • 環境度量(Environmental Metrics):環境度量考慮了特定組織環境中的因素，允許組織根據自身環境的特點調整漏洞評分
        • 環境機密性影響、環境完整性影響和環境可用性影響：這些是對基本度量中的相應指標的組織特定調整。
        • 修正後的攻擊向量、攻擊複雜性、特權要求和用戶交互：允許對基本度量進行組織特定的調整。
  • 美國國家漏洞資料庫(National Vulnerability Database，NVD):
    • 美國政府維護的一個安全漏洞資料庫，它提供關於軟體漏洞的資訊，包括描述、影響程度以及修復措施。
      • 漏洞資訊彙整：整合來自各個來源的漏洞資訊，包括但不限於CVE清單的詳細資料。
      • 安全評估：提供每個漏洞的CVSS評分，這是一個量化的漏洞嚴重程度指標，幫助評估漏洞可能對組織造成的影響。
      • 修復和緩解措施：提供關於如何修復或緩解特定漏洞的建議和指南。
      • 標準化的漏洞描述：使用標準化的方式來描述漏洞，便於跨組織和系統共享和理解漏洞資訊。
  • 交通號誌協定(Traffic Light Protocol，TLP)：
    • 英國政府國家基礎設施安全協調中心 (NISCC；現為國家基礎設施保護中心，CPNI)創建的敏感資訊分類系統，旨在鼓勵更多地共享敏感資訊。
    • 
  • 可信自動交換指標資訊(Trusted Automated eXchange of Indicator Information，TAXII):
    • 用於交換威脅情報資料的協議。
  • 結構化威脅資訊表達(Structured Threat Information eXpression，STIX):
    • 用於結構化描述威脅情報的語言，它允許對威脅情報進行詳細描述。

(D4)網路(Network)

• Tip:處處都安全。(縱深防禦的概念)
• 網路(Network):透過傳輸媒介(Media)將兩個以上的節點(Node)連接起來，以達到共享資源及互傳訊息的目的所形成的結構。
  • 主要元素:傳輸媒介(Media) & 節點(Node)。
  • 網路的結構通常會形成特定的形狀，也就是所謂的拓撲(topology)。
• 網路(Network)的縱深防禦:網路架構的各個主要元素都要做好安全控制，可以從ISO的OSI 7 Layer來看。從實體層(Physical)開始、資料鏈結層(Data Link)、網路層(Network)、傳輸層(Transport)、會議層(Session)、展示層(Presentation)到應用層(Application)的各個部分都要做好安全控制。
• 念書重點:OSI Model、IEEE 802、TCP/IP、滲透測試
• 常見的基本網路拓撲(Network Topology):點對點(P2P)、匯流排(Bus)、網狀(Mesh)、星狀(Star)、環狀(Ring)、樹狀(Tree)。
• • 星狀(Star):最常見
  • 網狀(Mesh):常見於廣域網
• 資料平面(Data Plane):網路層(Network)
  • 又稱為轉發平面，主要負責處理通過網絡設備的實際封包。
  • 核心功能是根據路由表或交換表的資訊，決定封包的轉發路徑。
  • 資料平面直接影響網絡的性能，因為它負責快速、高效地轉發資料。
• 控制平面(Control Plane)::網路層(Network)
  • 負責網路中的路由和信號決策過程，即決定封包應該如何在網路中轉發。
  • 通過運行路由協議和其他網路協議，維護路由表和策略，確保資料能夠被正確且有效地傳送。
• 管理平面(Management Plane):應用層(Application)
  • 管理平面涉及配置網路設備並監控整體網路健康狀況的功能。
  • 允許網路管理員進行設備設定、維護、監控網路性能和安全狀況，以及進行故障診斷。
• 直通式交換(Cut-through):資料鏈結層(Data Link)
  • 直通式交換是一種網路交換技術，其中交換器在接收到整個封包之前就開始轉發封包的一部分。
  • 這種方式可以減少延遲，因為轉發過程開始得更早，但它可能在不檢查封包錯誤的情況下轉發錯誤的封包。
• 存儲-轉發(Store-and-Forward):資料鏈結層(Data Link)
  • 存儲-轉發是另一種交換技術，交換器會在轉發之前存儲整個封包。這允許交換器檢查封包中是否存在錯誤，並且只有確認封包無誤時才進行轉發。
  • 這種方法提高了封包的完整性，但會引入額外的延遲。
• 點對點(Point-to-Point，P2P):指的是網路上的兩個節點直接連接，中間沒有經過其他節點。
• 端到端(End-to-End，E2E):指的是網路上的兩個節點間接連接，中間會經過其他節點後才連接。
• 網路覆蓋(Network Overlays):在現有的物理網路基礎設施之上創建虛擬網路的技術。這種技術允許多個虛擬網路共享相同的物理網路基礎設施，同時保持各自的獨立和隔離。

名詞解釋

流量流向(Traffic flows)

• 南北向(North-South):
  • 指流量在網路的進出邊界時的移動，通常涉及用戶和網際網路之間的數據傳輸。這包括進入和離開資料中心或企業網路的流量。
• 東西向(East-West):
  • 指的是在資料中心或內部網絡中同一層級之間的資料傳輸。這類流量涵蓋了伺服器、虛擬機之間的通訊，或是儲存系統和應用服務器之間的資料交換。

性能指標(Performance metrics)

• 頻寬(Bandwidth):
  • 指網路傳輸媒介在單位時間內能夠傳輸資料的最大量，通常以位元每秒(bps)來衡量。
  • 頻寬越大，理論上網路能夠傳輸的資料量越多，但實際效果還需考慮其他網路因素。
• 延遲(Latency):
  • 資料從源頭到目的地的傳輸時間，通常以毫秒(ms)計。
  • 延遲越低，資料傳輸越快，對於實時應用如視頻會議和線上遊戲尤為重要。
• 抖動(Jitter):
  • 網路延遲的變化率，它描述了延遲時間的不穩定性。
  • 在語音和視頻通信中，高抖動會導致通信質量下降，因此抖動的低值通常更可取。
• 吞吐量(Throughput):
  • 在特定的網路條件下，網路實際能夠成功傳輸資料的速率，也以位元每秒(bps)計。
  • 這反映了網路負載和效率的實際表現，並受到網路擁塞、頻寬和延遲的影響。
• 信噪比(Signal-to-Noise Ratio，SNR):
  • 有效信號強度與背景噪聲強度的比例，通常以分貝(dB)計。
  • 高信噪比表示有效信號明顯高於噪聲水平，這意味著資料傳輸質量較好，錯誤率較低。

廣域網路(Wide-Area Network,WAN)

• 小範圍的網路(如家裏的電腦), 我們可以自己拉線, 透過LAN的技術將這些電腦連接起來。但是如果電腦之間的距離是無法自己拉線來連接, 就必須使用到WAN的技術。
• 常見的WAN連接技術:
  • Leased Lines: 跟電信業者租用專線(如T1電路)
  • Circuit Switching: 使用現有的電話線(電話是透過電話交換機轉接才能接通, 所以叫電路交換網路)
  • Packet Switching: 跟電信業者租用虛擬電路(不是像T1獨佔一條專線, 而是透過封包交換的方式來建立虛擬電路, 英文叫virtual circuits)
  • VPN: 把Internet虛擬化成一條網路線(VPN把這個虛擬連線稱為Tunnel, 不叫virtual circuits, 但都是虛擬化或邏輯連線, 不是實體的電路)

ISO OSI 7 Layer

• ISO 7498標準的開放式系統互聯模型(Open System Interconnection Model，OSI) 將電腦網路體系結構劃分為7層:實體層(Physical)、資料鏈結層(Data Link)、網路層(Network)、傳輸層(Transport)、會議層(Session)、展示層(Presentation)、應用層(Application)
  • 由於此模型太過笨重，目前剩下學校在教授相關理論，業界主流已為IEEE 802與TCP/IP
    • TCP/IP其實為一組通訊協定，也就是網際網路協議套組(Internet Protocol Suite，IPS)或稱協議堆疊(Protocal Stack)。將此網際網路協議套組(IPS)中的TCP協定與IP協定拿來做命名便是TCP/IP。
    • 架網路:由下往上念，包含實體層(Physical)、資料鏈結層(Data Link)、網路層(Network)
      • 單一網路:為實體層(Physical) 與 資料鏈結層(Data Link) 的組合，IEEE 802中定義的服務和協定便是在此兩層。
      • 網路層(Network):組合多個單一網路。
    • 用網路:由上往下念，包含應用層(Application)、展示層(Presentation)、會議層(Session)、傳輸層(Transport)
      • 應用層(Application):如何使用資料。
      • 展示層(Presentation):資料如何編碼。
      • 會議層(Session):誰與誰在互傳資料(身分識別)。
      • 傳輸層(Transport):如何傳輸資料。
    • 網路封裝(Network Encapsulation):將封包封裝在另一層協議的頭部(Header)資訊中，以便在不同的網路間安全傳輸。
  • 每一層的 Payload(Data Unit) 與 Header 的組合都稱作封包(Protocol Data Unit，PDU)
  • Header中包含許多資訊，其中最重要的兩個資訊為傳送來源(Source)與傳送目的(Destination)
• 封包(Protocol Data Unit，PDU) 的傳輸方式以接收對象(Recipients)的數量來做分類:
  • 單播(Unicast):只針對一個指定的 對象(Host IP) 發送，收件者僅此一人。
  • 群播(Multicast):針對多個對象(Host IP)組成的單一群組發送，接收對象為該群組內的所有人。
  • 廣播(Broadcast):同時發送給所在網路(Network IP)的所有對象(Host IP)，接收對象為該網路內的所有人。
  • 任播(Anycast):發送到一組共用單一IP Address的節點(Host)中的任何一個節點(Host)，通常會透過演算法送給距離發送者(路由器)最近的節點(Host)。
    • 當一個封包目標是一個Anycast位址時，網路的路由基礎設施會確定哪個節點距離發送者最近，然後將封包傳送到該節點。這可以降低延遲，提高網路效率。
    • Anycast位址不能用作封包的來源位址，只能用於接收資料，
• 名詞說明:
  • 網路(Network):一個網路可由多個網段所組成。
  • 網段(Network Segment):一條網路線為一個網段。
  • 域(Domain):數位訊號能傳到的範圍。

實體層(Physical)

• 實體層(Physical) 重點在傳輸媒介(Media)、訊號類別(Signal)及傳輸模式(Transmission)。
  • 傳輸媒介(Media):
    • Cables:屬於實體的傳輸媒介，光纖(Optical Fiber)、同軸電纜(Coaxial cable)、雙絞線(Twisted pair) 等都是屬於此類。
      • 雙絞線(Twisted pair):透過將兩條線絞在一起來防止訊號干擾，分為兩種類型，一種是線外有金屬網以遮蔽電磁干擾的遮蔽雙絞線(STP)，另一種則是無遮蔽雙絞線(UTP)，都是使用RJ-45接頭來做為介面。
    • Wireless:屬於非實體的傳輸媒介，在不同頻譜上有不同的無線技術。
  • 訊號類別(Signal):分為類比訊號(Analog)與數位訊號(Digital)。
    • 類比訊號(Analog):為連續性的弦波訊號，可多筆同時傳輸，但易受雜訊影響。
    • 數位訊號(Digital):非連續性的方波訊號號，多筆傳輸會產生訊號碰撞。(只要數位訊號到的了的地方就有可能發生訊號碰撞)
    • 
  • 傳輸模式(Transmission):分為基頻(Baseband)與寬頻(Broadband)。
    • 基頻(Baseband):單個訊號且使用整個通道來傳輸，通常為傳輸數位訊號。
    • 寬頻(Broadband):具有不同頻率的多個訊號在通道中傳輸，能夠傳輸較大量的資料，通常為傳輸類比訊號。(ex:xDSL)
• 結構化佈線(Structured Cabling):由美國國家標準協會(American National Standards Institute，ANSI) 所制定的標準(ANSI/TIA-568)，定義了商業建築以及校園環境中建築物之間的結構化佈線系統標準。
• 中繼器(Repeater):為了避免網路線上的訊號衰減，會透過 中繼器(Repeater) 連接不同網段(網路線)，將來自其中一方的封包訊號重新原汁原味的傳向其他網段(網路線)。透過 中繼器(Repeater) 連接的 網段(網路線) 屬於同一個碰撞域(Signal Collision Domain)也就是都屬於同一個網路的範圍內。
  • 

無線技術(Wireless Technologies)

• 無線射頻辨識(Radio-frequency identification，RFID):依頻帶可分為低頻(LF)、高頻(HF)、超高頻(UHF)及微波(Microwave)。
• 近場通訊(Near-field communication，NFC):由 無線射頻辨識(RFID) 演變而來。
• 藍芽(Bluetooth):用來讓固定與行動裝置，在短距離間交換資料，以形成個人區域網路（PAN）的無線通訊技術標準。
• Zigbee:低速短距離傳輸的無線網路協定。
  • 
  • Zigbee的Node有三種角色，協調器(Coordinator)、路由器(Router)、終端(End device)
  • 協調器(Coordinator):每個Zigbee網路中只會有一個
  • 路由器(Router)
  • 終端(End device)
• Wi-Fi:無線區域網路技術
  • 連接到Wi-Fi站點的標準步驟流程:
    1. 探測請求(Probe Request):
       • 當設備尋找可用的無線網路時，它會發送探測請求。這個請求包含了設備尋找所有可用接入點的信號。
    2. 探測響應(Probe Response):
       • 當接入點(AP)收到探測請求後，會回送探測響應，其中包含了接入點的信息，如SSID（網路名稱）、支援的傳輸速率和其他網路參數。
    3. 認證請求(Authentication Request):
       • 設備選定要連接的網路後，會向該接入點發送認證請求。這是一個基礎的安全檢查，用於確認設備被允許連接到該網路。
    4. 認證響應(Authentication Response):
       • 接入點回應認證請求，若認證成功，則允許進一步的通信。如果認證失敗，通常會終止連接嘗試。
    5. 關聯請求(Association Request):
       • 一旦認證成功，設備會向接入點發送關聯請求。這一步驟是請求分配網路資源（如IP地址）並正式加入網路。
    6. 關聯響應(Association Response):
       • 接入點對關聯請求作出回應，若關聯成功，則設備現在可以在網路上發送和接收資料。
    7. 四向交握(4-Way Handshake):
       • 這是WPA或WPA2安全協議中特有的步驟。這一過程確保了客戶端和接入點共享一個安全的加密金鑰，用於加密所有後續通信。四向交握涉及交換加密金鑰，確保雙方都未被篡改。
       • 
• Li-Fi:光照上網技術
• 無線電話(Cordless Phones):數位增強無線通訊(Digital Enhanced Cordless Telecommunications，DECT)
• 蜂巢式網路(Cellular Networks):使用於行動通信的無線通信技術
  • 4G:第四代行動通訊技術，主要基於LTE和WiMAX技術，具有高速資料傳輸、低延遲、增強的頻譜效率、高速移動性等特性。
  • 5G:第五代行動通訊技術，提供比4G更高的速度、更低的延遲、更大的連接數量與更廣泛的頻段覆蓋。
• 衛星(Satellite):
  • 例如：Starlink
  • 自由空間光通訊(Free-space optical communication，FSO):一種光通訊技術，可以在衛星間進行高速資料傳輸。
  • 使用轉發器(Transponders) 或 收發器(Transceivers) 來接收和重新傳輸信號。
  • 大多數數據通訊衛星都部署在近地軌道(LEO)，因為其高度較低，延遲較短。對地靜止軌道(GEO) 則產生最長的延遲。
• 直接序列展頻技術(Direct Sequence Spread Spectrum，DSSS):
  • 通過將數據信號與一個稱為「碼片序列」（Chipping Sequence）的高速碼相結合，透過XOR運算將數據信號「展頻」。從而將信號的頻譜寬度擴展到比原始數據信號更寬的範圍的一種無線通訊技術。
  • 目的是增加信號的抗干擾能力和隱蔽性，同時也提高了通信的安全性，因為無線信號在更寬的頻帶上傳播，使其更難被偵測和攔截。

資料鏈結層(Data Link):共用傳輸媒介的規則

• 資料鏈結層(Data Link):重點在傳輸媒介的存取控制(Media Access Control，MAC)與邏輯連結控制(Logical Link Control，LLC)。
• 橋接器(Bridge):
  • 
  • Data-Link層的設備，同樣是連接不同 網段(網路線) 的設備，但在收到來自其中一方的封包訊號時，會先作解包的動作來確認該封包的收發雙方，之後再決定是否要將封包轉傳及轉傳至那個網段，此目的是為了能夠控制及改善流量。
  • 透過 橋接器(Bridge) 連接的 網段(網路線) 屬於同一個廣播域(Network Boardcast Domain)，而不同的各自網段則屬於不同的碰撞域(Signal Collision Domain)。廣播域(Network Boardcast Domain) 的範圍也就是該所屬網路的範圍。
  • 橋接器(Bridge) 不理解IP子網，所以不要求兩側主機具有相同的子網路遮罩(Subnet mask)。
• 交換機(Switch):
  • Data-Link層的設備，用於連接多個設備，如電腦、印表機等，以形成網路。
  • 能夠根據MAC地址進行封包的轉發，從而有效地將資料直接傳送到目標設備
• 幀(Frames):
  • 資料鏈結層(Data Link)的資料傳輸單元，它包含控制信息和用戶資料。

傳輸媒介的存取控制(Media Access Control，MAC)

• 使用網路路線的規矩，大致可分成三種制度，先搶先贏制、輪流使用制及詢問制。
  • 先搶先贏制: 在進行傳輸前必須對傳輸媒介進行檢測，當確認其空閒時，才會進行傳送。
    • 載波檢測多重存取／碰撞檢測(CSMA/CD，802.3)
    • 載波檢測多重存取／碰撞避免(CSMA/CA，802.11)
  • 輪流使用制:使用令牌傳遞(Token Passing)方法，透過Token在各個節點之間傳遞，收到Token的節點便被授權可以進行傳輸。
    • 權杖匯流排(Token-Bus，802.4)
    • 權杖環(Token-Ring，802.5)
    • 上述兩種方法目前已較少見。
  • 輪詢（Polling）:定時發出詢問，詢問其他周邊節點是否需要傳輸，有則進行傳輸。
    • 點協調功能(Point coordination function，PCF)
• 每個 網路介面卡(NIC) 在製造時都會被賦予一個全球唯一的MAC地址。這個地址用來確保網絡上每個設備的唯一性，並使得設備能夠在本地網絡中被正確識別和定位。
• MAC地址為由六組由兩個十六進制數字構成的組合，例如:
  • 00:1A:2B:3C:4D:5E
  • 前三組（00:1A:2B）通常是製造商的唯一識別碼，稱為組織唯一標識符（OUI）。
  • 後三組（3C:4D:5E）是由製造商指定的，用於確保其生產的每個網絡設備都有唯一的地址。
• 媒體訪問控制安全(Media Access Control Security，MACSec):
  • 一種基於網絡層，用來保護區域網路(LAN)上資料鏈結層(Data Link)安全的協議。可以提供資料完整性、真實性、並防止資料被竄改或偽造。
  • 通常應用於交換機(Switch)和路由器(Router)等網路設備之間，通過加密和完整性檢查來保護網路流量，防止攻擊者竊聽或操縱在實體或資料鏈結層傳輸的資料。特別用於端到端的安全通信，確保資料在從來源到目的地的傳輸過程中的保密性和完整性。

邏輯連結控制(Logical Link Control，LLC)

• Logical Link是一種虛擬的Link，當網路上有多個節點(Node)共用網路線時，由於連接各個節點間的Link會重疊在同一條網路線上，因此便需要有對應的機制來控制Logical Link的資料傳輸。
  • 多工機制(Multiplexing Mechanisms):在單一通道上傳輸多路訊號或資料流的機制。
    • 分時多工(TDM):兩個以上的訊號同時在一條通訊線路上傳輸，其表現為同一通訊頻道的子頻道。傳輸時將時間域切分成許多時間長度固定的小段後並進行周期迴圈，每個時段只用來傳輸一個子頻道。
    • 分頻多工(FDM):將多個基頻訊號調變到不同頻率的載波上再進行疊加形成一個複合訊號後傳輸。
    • 分碼複用(CDM):不同來源利用編碼技術將原始資料加工後利用同一通道傳輸，接收端則透過編碼區分要接收的訊號並進行解碼取得資料。
    • 空間多工(SDM):光纖通訊使用的一種多工機制，以空間將傳輸通道做切分。
  • 流量控制機制(Flow Control Mechanisms):管理兩個節點之間的資料傳輸速率。
    • Stop-and-Wait:一次只能傳一個封包
    • 滑動視窗(Sliding Window):一次傳送一批封包
    • 回退N重傳(Go-Back-N):接收點丟棄從第一個沒有收到的封包開始的所有封包並送出NACK，發送點收到後從NACK中指明的封包開始重新發送。
    • 選擇重傳(Selective Repeat):當在一定時間內沒有收到某個封包的ACK時，發送點只重新發送那個沒有ACK的封包。
  • 錯誤管理機制(Error Management Mechanisms)
    • 自動重傳請求(Automatic Repeat-reQuest，ARQ):丟棄已經接收的含有錯誤的封包後向發送點請求重新發送封包。依流量控制機制再分為兩種協議類型。
      • 停止並等待ARQ協議（stop-and-wait）
      • 連續ARQ協議（Continuous ARQ）
        • 回退N重傳(Go-Back-N)
        • 選擇重傳(Selective Repeat)
    • 前向錯誤更正(Forward Error Correction，FEC):通過連同資料傳送額外的資訊進行錯誤恢復。

資料鏈結層(Data Link)常見攻擊手法

• ARP Attacks/ARP Poisoning/ARP Spoofing:
  • 針對乙太網路位址解析協定(Address Resolution Protocol，ARP) 的攻擊技術，可讓攻擊者取得區域網路上的資料封包甚至可篡改封包，且可讓網路上特定電腦或所有電腦無法正常連線。
    • 乙太網路位址解析協定(Address Resolution Protocol，ARP):
      • 一種需要在區域網路 (LAN) 中運行的基於廣播的協議，可將 IP 位址轉換為 MAC（媒體存取控制）位址。
    • 反向位址解析協議(Reverse Address Resolution ProtocolR，RARP):
      • 用於將網路硬體位址（如以太網MAC位址）轉換為IP位址的一種網路協議。
      • 已被更現代的協議如DHCP（動態主機配置協議）所取代。
• MAC欺騙(MAC Spoofing):
  • 攻擊者變更其MAC Address，偽裝成其他電腦或網路設備，藉以進行其他攻擊，如偽裝成防火牆白名單內的設備，或是擷取原本要傳至其他設備的資料等等。

其他補充

• 整合服務數位網路(Integrated Services Digital Network，ISDN):
  • 一種用於在一條數位電話線上同時傳輸語音、影像、資料和其他網絡服務的通信標準，改善數位通訊的品質和速度
  • 於20世紀80年代和90年代普及，特別是在企業和專業通信應用中。ISDN 提供了比傳統模擬電話線更高的資料傳輸速率。

網路層(Network)

• 網路層(Network) 重點在定址(Addressing)、路由交換方式(Routing)及控制(Controlling)。
• 常見攻擊:淚滴攻擊(Teardrop)、藍精靈攻擊(Smurf)、死亡之Ping(Ping of Death，POD)、流氓路由器(Rogue Router)
  • 流氓路由器(Rogue Router):攻擊者在網絡中未經授權地安裝或配置一台路由器，或者劫持已有路由器的配置，使得攻擊者能夠控制網絡中的數據路由。這種攻擊可能導致數據流量被重新導向到惡意站點，從而使攻擊者可以監聽、捕獲或篡改傳輸中的資料。

定址(Addressing)

• 給予 節點(Node) 一個唯一識別用的身分，也就是我們俗稱的IP Address(IPv4、IPv6)。
  • IPv4:為一個32bit的Address，記述上每8bit用句點(.)來分隔 (2⁸.2⁸.2⁸.2⁸)。其中包含有網路ID(Network ID)與設備ID(Host ID)，可用子網路遮罩(Subnet Mask)與AND邏輯閘來解析網路ID。
    • IP Address : 11000000.10101000.00000001.10011000(192.168.1.152)
    • SubnetMask:11111111.11111111.11111111.00000000(255.255.255.0)。
    • Network ID:11000000.10101000.00000001.00000000(192.168.1.0)
    • CIDR:192.168.1.0/24
    • 群組:192.168.1.255代表的是192.168.1.0網路上的所有電腦(Host)。
    • 子網路遮罩(Subnet Mask):
      • ClassA:2⁸ 255.0.0.0
      • ClassB:2¹⁶ 255.255.0.0
      • ClassC:2²⁴ 255.255.255.0
    • RFC 1918 Addresses:
      • 在網際網路上不被路由的私有IP地址範圍，被設計用於在本地網路（LAN）中使用。
      • 10.0.0.0 到 10.255.255.255
      • 172.16.0.0 到 172.31.255.255
      • 192.168.0.0 到 192.168.255.255
    • 迴路位址(Loopback Address)(127.0.0.1(IPv4)/::1(IPv6)):
      • 用於網路軟體或系統的測試和配置的一個特殊IP位址。
      • 這個位址指向計算機自身，允許網路軟體和設備驗證或設置而不需離開該設備。
      • 使用迴路地址進行通信不會涉及任何實際的網路介面，所有的數據包都在本地處理，不會在網路中傳播。
  • IPv6:為一個128bit的Address，記述上每16bit用冒號(:)來分隔 (2¹⁶:2¹⁶:2¹⁶:2¹⁶:2¹⁶:2¹⁶:2¹⁶:2¹⁶)，連續為0則可省略。
    • 表示法：2001:0db8:86a3:08d3:1319:8a2e:0370:7344。
    • IPv6在某些條件下可以省略：
      • 每組數字前面的0可省略，省略後前面仍是0可繼續省略，下面幾組IPv6都相等:
        • 2001:0db8:02de:0000:0000:0000:0000:0e13:
        • 2001:db8:2de:0000:0000:0000:0000:e13
        • 2001:db8:2de:000:000:000:000:e13
        • 2001:db8:2de:00:00:00:00:e13
        • 2001:db8:2de:0:0:0:0:e13
      • 可以用雙冒號「::」表示一組0或多組連續的0，但只能出現一次，下面幾組IPv6都相等:
        • Ex.1
          • 2001:db8:2de:0:0:0:0:e13
          • 2001:db8:2de::e13
        • Ex.2
          • 2001:0db8:0000:0000:0000:0000:1428:57ab
          • 2001:0db8:0000:0000:0000::1428:57ab
          • 2001:0db8:0:0:0:0:1428:57ab
          • 2001:0db8:0::0:1428:57ab
          • 2001:0db8::1428:57ab
      • 2001::25de::cade是非法的，因為雙冒號出現兩次，則可能是以下情形而無法推斷:
        • 2001:0000:0000:0000:0000:25de:0000:cade
        • 2001:0000:0000:0000:25de:0000:0000:cade
        • 2001:0000:0000:25de:0000:0000:0000:cade
        • 2001:0000:25de:0000:0000:0000:0000:cade
      • 如最後32位元是IPv4位址則可以用10進制數表示，例如以下幾組IPv6都相等
        • ::ffff:192.168.89.9
        • ::ffff:c0a8:5909
    • 位元遮罩（Prefix Length）:
      • FE80::/10中，/10為位元遮罩，表示位址的前10位是用於網路前綴，這決定了位址的類型。這10位固定不變，用於標識位址屬於哪一類。
      • 'FE80::' 為 '1111 1110 1000 0000::'，/10的位元遮罩表示 '1111 1110 10' 將固定不變。
    • 鏈路本地位址(Link-Local Address):
      • 主要用於網路配置的初始階段，或在沒有路由器的網路中進行節點間的通信。僅能用在單一網路內的通信，不可透過路由器在不同網路間傳送。
      • 鏈路本地地址使用前綴FE80::/10，其後的54位通常設置為0，最後的64位則通常是根據網路接口的MAC地址，使用EUI-64格式來配置。
  • IPv4支援單播(Unicast)、群播(Multicast)、廣播(Broadcast)。
  • IPv6支援單播(Unicast)、群播(Multicast)、任播(Anycast)。

路由交換方式(Routing)

• 路由交換方式(Routing):指的是資料傳輸路徑(Path)選擇的決策，也就是從路由表(Routing Table)的眾多路徑中選擇其中一條來傳輸資料的決定。
• 路由器(Router):
  • 用來連接不同網路(Network ID)，負責做出路由決策並轉送封包的設備。
  • 在處理來自一個子網的廣播封包時，通常會忽略或丟棄不屬於其本地處理範圍的廣播地址封包，因為廣播封包不應該被路由。
  • 
• 路由協定(Routing Protocol):封包轉送方式的網路協定，會依據網路的大小適用不同的協定，內部路由通常會用適合小型或中型網路的協定，例如適用小型網路的路由資訊協定，或是適用中型網路的開放式最短路徑優先協定(OSPF)。外部路由則會使用大型的網路協定，例如ISP使用的邊界閘道器協定。
  • 路由資訊協定(Routing Information Protocol，RIP):
    • 一種採用距離向量(Distance Vector)演算法的協定。
      • 距離向量(Distance Vector):
        • 通過維護到各個目的地的距離（通常是跳數）和方向來運作。
        • 路由器通過與鄰居交換這些距離和方向信息，計算出到達每個目的地的最佳路徑。
  • 開放式最短路徑優先(Open Shortest Path First，OSPF)協定:
    • 為Link State演算法類型的協定。
  • 邊界閘道器協定(Border Gateway Protocol，BGP):
    • 大多數網際網路服務供應商(Internet Service Provider，ISP)必須使用BGP來與其他ISP建立路由連接。
• 動態路由(Dynamic Routing):
  • 允許路由器自動適應網絡拓撲的變化。不同於靜態路由，動態路由使用各種協議來發現網絡的其他部分，如BGP或OSPF(開放式最短路徑優先)，並根據網絡條件如連接狀態和流量負荷自動調整路由。這使得網絡能夠在連接中斷或其他變更時快速恢復和重新分配路由，從而提高了網絡的可靠性和效率。
  • 外部閘道協議(Exterior Gateway Protocol，EGP):是舊的、已經不再廣泛使用的路由協議，用於服務供應商之間的路由。BGP是目前最常用的EGP類型。
  • 邊界閘道器協定(Border Gateway Protocol，BGP):是用於自治系統(AS)間網際網路路由決策的標準協議。它允許不同的自治系統（AS）交換路由和可達性資訊，使網際網路中的資料可以找到跨網絡的路徑
  • 自治系統(Autonomous System，AS):是一組由單一技術政策管理的IP網絡和路由器集合，由一個或多個路由協議和共同的度量來達成內部路由決策。
  • 內部閘道協議(Interior Gateway Protocol，IGP):是在單一自治系統內使用的路由協議，如RIP、OSPF和IS-IS。它們用於自治系統內部的路由決策。
  • 額外知識:
    • SS7(Signaling System No. 7):是一套全球電信網路中使用的協議，用於執行呼叫建立、路由和控制。它支援語音和數據網路中的信令和控制交換，不直接涉及網路路由。
• 路由迴圈(Routing loops):
  • 當封包在網路中的兩個或多個路由器之間無限制地循環時就會發生的一種問題。
  • 通常是由於路由表配置錯誤、路由協議失效或是網路設計問題所導致。
  • 會導致網路擁堵、性能下降，甚至整個網路系統的崩潰。
• 路由中毒(Route Poisoning):
  • 一種網路管理技術，目的是為了防止路由迴圈的發生以提高網路的穩定性和效能。當一個路由器偵測到某個路徑不再可用時，路由器會將路由表中該路徑的度量值設置為一個非常高的數字，藉以告知其他路由器此路徑已不可用。

控制(Controlling)

• 網際網路控制訊息協定(Internet Control Message Protocol，ICMP): 通常用來診斷網路通訊錯誤。
• Time To Live(TTL):
  • 指一個封包在經過一個路由器時，可傳遞的最長距離，每過一個 路由器(Router) 或 節點(Node) 便會減1，當其數值為0時，路由器便會取消該封包轉發。
  • 此機制是為了避免在送出訊息封包時，因不正確的路由表等原因造成的無限循環使封包無法送達進而耗盡網路資源。
  • 由於各家設備的系統設定不同，因此可從TTL數值推測出目標系統。

傳輸層(Transport)

• 傳輸層(Transport) 重點在傳輸模式，也就是TCP/連接導向式通訊(Connection-oriented)與UDP/無連接式通訊(Connectionless)。
• 常見攻擊:SYN洪水攻擊(SYN Flooding)、聖誕樹攻擊(Christmas tree attack)、重播攻擊(Replay Attack)

傳輸層安全性協定(Secure Sockets Layer/Transport Layer Security，SSL/TLS)

• SSL和TLS是加密協議，用來確保網際網路通信的安全和資料的完整性。
• SSL是較早的協議，而TLS是其更新版本，兩者常用於保護網絡通信和確保敏感資料在網絡間傳輸時的私密性和安全性。
• 主要操作於傳輸層，它封裝了底層的傳輸協議，如TCP，提供封包的加密服務。雖然在OSI模型中被定位於傳輸層，但實際上也影響到了應用層的安全。

密碼套件 (Cipher suite)

• 用來表示在TLS/SSL協定中使用的演算法(Cipher)組合。
  • SSL已經不再使用，現在主流為TLS1.2/TLS1.3
• Cipher suite的表現方法:
• TLS_<Key Exchange>_<Signature>_WITH_<Bulk Encryption>_<Message_Authentication>_<Elliptic Curve>
  • Key Exchange:RSA、DH、ECDH、ECDHE、PSK
    • RSA由於金鑰更替時間間隔太長，已被認為用來做金鑰交換的安全性不足。
    • 預共享金鑰(Pre-Shared Key，PSK):為家庭或小型公司網路設計和使用的Wi-Fi保護機制，可以是ASCII的密碼、密碼片語或Hex字串。
  • Signature:RSA、DSA、ECDSA
  • Bulk Encryption:RC4、Triple DE5、AES、IDEA、DES
    • 現在主流是使用AES加密。
  • Message_Authentication:MD5、SHA
    • MD5安全性不足已不使用。
    • SHA必需使用SHA256以上才會被認為安全性足夠(不被視為弱點)。
  • Elliptic Curve:橢圓曲線，有用到EC的演算法才會有這塊。
• Cipher suite 範例:

  TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

  • 使用 橢圓曲線(EC) 的 金鑰協議(DH) 作金鑰交換，且用的是 臨時性(E) 的session key。
  • 採用 RSA演算法 的 數位簽章 做身分驗證以確定資料來源的真實性。
  • 加密用的演算法是 AES256bits 的 GCM演算樣式 來確保資料的機密性。
  • 使用 SHA384 演算法算出的 Hash值 來驗證資料完整性。

傳輸控制協定(Transmission Control Protocol，TCP)

• 為連接導向式通訊(Connection-oriented)，此種傳輸模式保證封包送達。
• TCP Header 包含了控制和管理TCP連接所需的資訊。TCP頭部的結構設計使得TCP能夠提供可靠、有序和錯誤檢測的資料傳輸。
  • Header由以下字段組成，總長度最少為20byte，最大可以擴展到60byte。(20~60byte)
• TCP三向交握(Three-way Handshaking):保證封包送達
  • 同步->連結->確認資料->切斷連接
  • 傳輸前:
    1. A向B提出同步請求(SYN by A)，B收到請求後回覆確認同時也提出同步請求(ACK by B,SYN by B)。
    2. A收到B回傳的訊息(ACK by B,SYN by B)，確認A提出的同步請求已被B接受之後，A會接著確認接受到B的同步請求並送出回覆(ACK by A)。
    3. 當B收到A的確認回覆後便正式建立傳輸連結。
  • 傳輸中:
    • 傳輸中雙方每收到一個封包便會在其回覆的燈號上計數(ACK=1,ACK=2,ACK=3…)，以此確認封包是否有丟失的狀況。
  • 傳輸後
    • 完成傳輸後便送出FIN以切斷連線。
  • 其他FLAG:
    • RST(重置):終止一個TCP連接。當遇到錯誤需要快速重置連接時使用。
• TCPCrypt:
  • 為TCP流量提供自動加密功能。與SSL/TLS不同，TCPCrypt無需任何配置即可工作，並且在不存在中間機構或是在不信任中間機構的情況下仍然都能提供加密保護。
  • 主要透過透明地加密TCP連接來增強數據的隱私性和安全性，並旨在保護不使用傳統HTTPS的通信。

使用者資料包協定(User Datagram Protocol，UDP)

• 為無連接式通訊(Connectionless)，此種傳輸模式效能較好，但無法保證封包送達，會有封包丟失的可能性。
• Datagrams:
  • 在封包交換網路中的最小傳輸資料單元，允許數據在網路中的節點之間進行傳輸而無需先建立一個穩定的通信連接。
  • 由於缺乏連接，Datagrams的傳輸不保證可靠性。Datagrams可能會丟失、重複或順序錯亂
• UDP 514Port:Syslog用

TCP/UDP埠

• 分為常用埠(Well-Known Ports)、註冊埠(Registered Port)、臨時埠(Dynamic, private or ephemeral ports)。
  • 常用埠(Well-Known Ports):0到1023號埠，為眾所周知的連接埠或系統連接埠，由提供廣泛使用的網路服務類型的系統程序所使用，如80 port(HTTP)、443 port(HTTPS)。
  • 註冊埠(Registered Port):1024到49151號埠，由網際網路號碼分配局(Internet Assigned Numbers Authority，IANA)根據請求實體的申請分配用於特定服務。
  • 臨時埠(Dynamic, private or ephemeral ports):49152到65535號埠，為無法向IANA註冊的動態或私有連接埠，用於私人或自訂服務、臨時目的以及臨時連接埠的自動分配。

重播攻擊(Replay Attack)

• 又稱為重放攻擊，是一種攻擊者截取有效的數據傳輸並重放或重新傳輸它們以獲得未經授權的訪問或執行未經授權的操作的網絡攻擊。
• 攻擊者利用網絡嗅探工具監聽網絡流量來截取目標之間的通信，一旦攻擊者截取到含有認證或授權令牌的訊息，他們就可以將這些訊息保存下來，並在不適當的時候向系統重新傳輸這些訊息以獲得未經授權的訪問或執行未經授權的操作。
• 防範措施:
  • 時間戳：在通信協議中使用時間戳，確保每個訊息都是在特定時間內有效，超過這個時間窗口，系統將拒絕該訊息。
  • 序列號：在訊息中加入唯一序列號，系統對於每個序列號只接受一次有效訊息，重復的訊息將被視為無效。
  • 加密和雜湊：使用加密和Hash技術來確保訊息的完整性和真實性，使攻擊者難以修改或偽造原始訊息。
  • 多因素認證：實施多因素認證方法，即使攻擊者截取到了認證訊息，沒有第二因素（如短信驗證碼、生物特徵等）也難以成功進行重播。

SYN-ACK 欺騙(SYN-ACK Spoofing)

• 攻擊者試圖建立一個未經授權的連接，以便攔截或篡改數據，屬於中間人攻擊。
• 攻擊者監控網絡流量，尋找初始化的 SYN 請求。攻擊者在觀察到客戶端發送 SYN 封包後，比服務器更快地向客戶端發送偽造的 SYN-ACK 封包。如果客戶端接受了這個偽造的 SYN-ACK，並回應了 ACK，那麼攻擊者就可以與客戶端建立起一個偽造的連接，進行數據攔截或修改。
• 攻擊的目的和影響:
  • 數據攔截：一旦建立了偽造的連接，攻擊者可以攔截、閱讀甚至修改從客戶端到服務器的數據。
  • 會話劫持：攻擊者可以利用這種攻擊劫持正在進行的會話，進一步攻擊內部網絡。
  • DDOS：透過洪泛網絡與偽造的請求，攻擊者可能導致服務無法正常提供。
• 防禦措施:
  • 封包過濾：使用防火牆和入侵檢測系統來過濾不合常規的 IP 封包。
  • 加密連接：使用 SSL/TLS 等安全協議來保護數據傳輸，確保連接的真實性和安全性。
  • 監控和響應：持續監控網絡活動，對異常行為迅速響應，並調整安全策略應對新的威脅。

其他

• TCP連接掃描(TCP Connect Scan):
  • 用於識別開放的TCP端口的最基本的掃描形式，掃描器嘗試建立到目標端口的完整TCP連接，它實際上完成了TCP的三向交握過程。
  • 如果連接成功建立，則表示端口是開放的。
  • 這種掃描方法相對容易被偵測，因為它在目標系統上留下了明顯的的記錄。
• TCP SYN掃描(TCP SYN Scan):
  • 也稱為半開放掃描，是一種利用TCP的三向交握過程的快速且隱蔽的端口掃描方法。
  • 如果目標端口開放，在目標端口回應一個SYN-ACK封包後，掃描器隨即發送RST（重置）封包以終止連接。
  • 由於這種方法不建立完整的TCP連接，因此通常不會在目標系統的日誌中留下記錄。
• UDP掃描(UDP Scan):
  • 用於識別開放的UDP端口。由於UDP是無連接的協議，這種掃描通常比TCP掃描更困難和時間消耗更多。
  • 掃描器向目標端口發送UDP封包，如果收到ICMP端口不可達錯誤，則該端口被認為是關閉的。如果沒有回應，則可能是開放的或封包被防火牆過濾。
• ICMP掃描(ICMP Scan):
  • 也稱為ping掃描，是一種利用ICMP（網際網路控制訊息協議）封包來檢測目標機器是否活躍的方法。
  • 掃描器發送ICMP Echo請求（ping）到目標機器，如果收到ICMP Echo回應，則表示目標機器是活躍的。
  • 這種掃描主要用於發現網絡中的活躍設備，而不是識別開放的端口。
• 服務品質(Quality of Service，QoS):
  • 用於網路管理中控制網絡流量和確保關鍵應用程序的性能的一種技術，確保網絡中不同應用和服務的性能和可靠性。
  • 允許網路管理員按照業務優先級對網路流量進行排序和處理，以確保高優先級的應用程序（如語音和影像通信）能在網路擁堵時仍然運行流暢。

會議層(Session)

• 會議(Session):指的是節點與節點(P2P)進行通訊的一段期間，例如網站使用者從登入網站到登出網站的這段期間，在此期間中可能會有多次傳輸封包的工作，但不需要每次重新建立工作的傳輸連接(connection)時都要重做身分驗證。
• 對話控制(Dialogue Control):會議層提供三種不同的對話控制模式，全雙工(Full-Duplex)、半雙工(Duplex)與單工(Simplex)模式，從TCP/IP的角度則是交由應用層(Application)來處理。
  • 全雙工(Full-Duplex):指的是雙向且雙方可同時傳送封包而不會互相影響。
  • 半雙工(Duplex):指的是雙向但不可同時傳送封包，其中一方在傳輸結束時告知對方已完成傳送，此時另一方才能進行傳輸。在廣泛的HTTP協定中，通常是採用此模式運作。
  • 單工(Simplex):只允許單向傳送，廣播便是屬於此類。
• 相關的服務(Services) 有身分驗證(Authentication)、檢查授權(Authorization)與會話恢復(Session Restoration)。
  • 會話恢復(Session Restoration):關鍵在 檢查點(Checkpointing)/同步點(Synchronization Points) 與 恢復(Recovery)/重新同步(Resynchronization)。當應用程式出現錯誤或訊息傳輸中斷時，允許從檢查點/同步點重新恢復程式運作或進行傳輸。
• 相關的Protocols:
  • 通行碼鑑別協定(Password Authentication Protocol，PAP):一種使用未加密的ASCII密碼的認證協定。
  • 遠端程序呼叫(Remote Procedure Call，RPC):電腦程式呼叫遠端位址(通常位於開放網路)上的程式執行，為一種Client-Server的模式。
  • 網路基本輸入輸出系統(Network Basic Input/Output System，NetBIOS):透過NetBIOS可以允許不同電腦上運行的不同程式，在區域網路中互相連線及分享資料。就嚴格的定義上來看，其實算是一種應用程式介面(API)。
• 相關的安全威脅與攻擊手法:
  • 會話劫持(Session Hijacking)：攻擊者冒充合法通信一方，以誤導資訊或獲取未經授權的訪問權限。
  • 會話旁路攻擊(Session Sidejacking)：攻擊者在同一網絡上嗅探封包，以竊取會話cookie資訊並冒充授權用戶。
  • 會話固定(Session Fixation)：攻擊者利用重用的會話ID來欺騙用戶的瀏覽器，進行身份驗證，並獲得相應的訪問權限。

展示層(Presentation)

• 展示(Presentation):指的是訊息如何表現，重點在編碼(Encoding)、壓縮(Compressioon)及加密(Encryption)的方式。
  • 常見編碼(Encoding)格式:
    • 美國標準資訊交換碼(ASCII)
    • 萬國碼(Unicode)
    • BASE64
  • 常見壓縮(Compressioon)方式:
    • Lempel-Ziv coding(LZ77)編碼法的Content-Encoding: gzip
    • Lempel-Ziv-Welch(LZW)演算法的Content-Encoding: compress
  • 常見加密(Encryption)方式:
    • HTTPS:利用SSL/TLS來加密封包以在不安全的網路(經由HTTP進行的通訊)上建立一個安全通道，用以保護交換資料的機密性與完整性。
    • 進階加密標準(AES)

應用層(Application)

• 閘道器(Gateway):
  • 連接兩個使用不同協議的網絡的設備，可以進行複雜的轉換任務，不僅僅是地址或協議的轉換，還包括資料格式的轉換。
  • 通常用於複雜的網路連接場景，如企業的網路與網際網路之間的連接。
• Application Gateway:
  • 用於進行複雜的流量管理、負載平衡、安全防護（如Web應用防火牆）、TLS終止等高級功能的閘道器(Gateway)。
  • 專門處理進出特定應用程式的流量，並提供對這些流量的深度檢查(Deep Packet Inspection, DPI)和管理，如HTTP/HTTPS流量的智能路由和控制，以確保流量符合特定的安全政策，如檢查、過濾、監控和記錄通過的數據。
• 應用層(Application):重點在訊息與指令(Command)。
  • 網域名稱系統(Domain Name System，DNS):將域名和IP位址相互對映(IP-Name)，使人更方便地訪問網際網路。相關的攻擊手法為DNS Spoofing/DNS Poisoning
    • 
    • DNS Server間互相傳輸使用TCP/UDP 53埠，封包不能丟失的工作會使用TCP 53。
      • TCP 53 port:用來做Zone Transfer Request，以取得Master的Zone Files。
      • UDP 53 port:用來做DNS Query。
    • DNS解析器(DNS Resolver):用於將網域轉換為IP位址。
    • 次要DNS Server(Slave/Secondary) 會向 主要DNS Server(Master/Primary) 請求同步(Zone Transfer Request)，用以取得Master的Zone Files。只有Master DNS Server可以對Zone Files進行修改。
    • 次要DNS Server(Slave/Secondary) 之間可以進行複製動作，也就是允許互相Copy、覆蓋、寫入。
    • Zone Files:為DNS儲存體(Repo/DB)，當中不只有存放IP-Name的對照表，所有的網路Resource皆可能放入，若被竊取便會造成嚴重危害。
    • 迭代查詢(Iterative Queries):(我不知道，你可以去問他)
      • 在進行查詢時，如果收到查詢請求DNS服務器不直接知道答案，它不會代表客戶端去查找答案，而是引導至另一個能夠解析該查詢的DNS服務器。然後，客戶端會向這個新的DNS服務器發送查詢請求，這一過程可能會重複多次，直到找到答案。
    • 遞迴查詢(Recursive Queries):(我不知道，等我幫你查一下)
      • 在進行查詢時，如果收到查詢請求DNS服務器不直接知道答案，它將代替客戶端查詢各級DNS服務器，直到獲得最終的解析結果後返回給客戶端。
    • 域名系統安全擴展(DNSSEC):為了防止了DNS污染和中間人攻擊等安全問題，DNSSEC會在DNS Response中添加數位簽章，用於驗證Response的真實性和完整性。
    • DNSCrypt:
      • 用於在Client端和DNS伺服器之間加密DNS查詢，保護這些查詢免受中間人攻擊的影響，確保DNS交互過程中的數據不被篡改和截取。
      • 透過加密通道確保了DNS請求和回應的完整性和機密性，以防止DNS欺騙和竊聽，是一種提高DNS互動安全性的方法。
  • 超文本傳輸協定(HyperText Transfer Protocol，HTTP):規定了用來在網路上的不同設備間傳輸資訊的相關指令以及指令格式，但不包含如何傳遞指令。
    • 常用的指令:
      • POST(提交並請求處理資料)
      • GET(讀取資料)
      • DELETE(刪除資料)
      • PUT(提交並更新資料)
    • HTTP 狀態碼(Status Code):
      • 200:代表請求已成功被伺服器接收、理解、並接受。
      • 3xx:重新導向
        • 301:永久重新導向
        • 302:臨時重新導向
      • 4xx:Client端錯誤
        • 400:Bad Request
        • 404:Not Found
      • 5xx:Server端錯誤
        • 502:Bad Gateway
  • 安全殼層協議(Secure Shell，SSH)):
    • 安全殼層協議(SSH)是一種用於在不安全的網絡中提供安全的遠端登錄和其他安全網絡服務的協議。
    • SSH通過對所有傳輸的數據進行加密，來保護數據在網絡中的傳輸過程免受竊聽和攔截。
    • SSH在提供加密和身份驗證的同時，也影響到了傳輸層。SSH直接運行於TCP之上，負責建立一個安全的通道。
    • SCP(Secure Copy Protocol):
      • 一種基於SSH協議的文件傳輸協議，用於在本地和遠端主機之間安全地傳輸文件。
      • 利用SSH的安全特性來保護在傳輸過程中的數據，包括在文件傳輸時提供加密，防止數據被竊取或竄改和用戶身份驗證。
  • FTP/TFTP:
    • 檔案傳輸協定(File Transfer Protocol，FTP):
      • 用來在網路的用戶端(Client)與伺服器(Server) 間傳輸檔案。
      • 使用20埠來傳輸資料
      • 使用21埠來進行控制
      • 無加密機制，作為彌補的解決方案有FTPS(用SSL/TLS的FTP)、SFTP(用SSH的FTP)。
    • 小型檔案傳輸協定(Trivial File Transfer Protocol，TFTP):
      • 使用UDP 69埠進行傳輸
      • 無驗證或加密機制
  • SMTP/POP/IMAP:
    • 簡單郵件傳送協定(Simple Mail Transfer Protocol，SMTP):
      • 可用來傳送和接收電子郵件的資訊，但實務上SMTP通常僅用來傳送郵件。
    • 郵局協議(Post Office Protocol，POP):
      • 用戶端(Client) 用來從郵件伺服器擷取/接收電子郵件。
      • 用戶端(Client) 與 伺服器(Server)不會同步，在用戶端刪除的郵件不會影響到伺服器上的相同郵件。
    • 網際網路資訊訪問協定(Internet Message Access Protocol，IMAP):
      • 用戶端(Client) 用來從郵件伺服器擷取/接收電子郵件。
      • 用戶端(Client) 與 伺服器(Server)互相同步，在用戶端刪除郵件會同步刪除伺服器上的相同郵件。
  • DHCP/BOOTP:
    • 動態主機組態協定(Dynamic Host Configuration Protocol，DHCP):
      • 用來自動分配IP位址(動態IP分配)給使用者
      • 在內部網路中，管理員可對所有電腦作中央管理。
    • Bootstrap Protocol(BOOTP):為DHCP的前身，不支援動態IP分配，且會會要求Boot File以用來開機。
  • Cookies:
    • 網頁應用程式中用於會話管理的一個非常普遍的方法。
    • 通過在用戶的瀏覽器上儲存資料，伺服器可以追蹤用戶的狀態和活動。這是保持用戶登入狀態的常用方法。
  • URL重寫(URL rewriting):
    • 將會話識別碼（Session ID）加入到URL中來追蹤會話的一種會話管理技術。
    • 特別在當瀏覽器不支援或禁用Cookies時使用。
  • 遠端桌面協議(Remote Desktop Protocol，RDP):
    • 由微軟開發的一種協議，用於實現遠程桌面連接。允許用戶通過網絡從一個地點遠程訪問和控制另一台計算機的桌面環境。
    • RDP是一種多通道協議，允許多種數據和服務通過建立的連接進行傳輸，包括影像、音訊、應用程序資料、文件共享等。
    • 預設使用TCP/UDP 3389 port
  • 匯聚協議(Converged Protocol):
    • 能夠在同一個網路上支持多種通信形式（如語音、影像、資料）的協議。
    • 目的是整合不同類型的網路服務和應用，以便在單一網路基礎設施上提供綜合的通信解決方案並促進資源共享，提高效率，降低成本。
    • 網際網路小型計算機系統介面(Internet Small Computer Systems Interface，iSCSI):
      • 一種基於IP的儲存網路協議(Network Storage Protocol)，用於將遠程儲存設備連接到網路系統中，使它們如同本地儲存一樣被訪問。
      • 這種技術允許長距離傳輸資料並提供區塊儲存管理，且成本低於傳統的光纖通道。
    • 網際網路語音協議(Voice over Internet Protocol，VoIP):
      • VoIP允許通過網際網路進行語音通訊，而不是傳統的電話線路。這種技術可以降低通信成本，提高資源利用效率。
      • 使用SIPS & SRTP以確保通信過程的安全和隱私
      • SIPS(Secure Session Initiation Protocol over TLS):
        • SIP的安全版本，通過使用TLS來增強通信訊號的初始化過程安全性。
        • TLS提供加密的資料傳輸，確保資料在傳輸過程中的機密性和完整性。
        • 廣泛用於控制多媒體通信會話，如語音和視頻通話以及即時通訊。
      • SRTP(Secure Real-time Transport Protocol):
        • RTP的擴展，用於提供即時的聲音和影像串流的安全傳輸。
        • 提供對聲音和影像串流的加密，使用強加密算法（如 AES）來保護資料免受未經授權的存取。
        • 使用訊息認證碼(MAC)來確保資料完整性和來源認證。
        • 具有重放攻擊保護機制，可以檢測和拒絕重複的封包。
    • IBoE(InfiniBand over Ethernet):
      • 一種將InfiniBand協議層映射到乙太網基礎架構上的網路技術，讓InfiniBand協議封包可在乙太網基礎設施上運行。
      • 結合了InfiniBand的高性能計算特性與乙太網的普及性和成本效益，以應用在資料中心和高性能計算（HPC）環境。
      • InfiniBand:一種高速、低延遲的網路技術，提供了優異的資料傳輸速度和可擴展性，主要用於伺服器和儲存系統之間的連接。
    • CXL(Compute Express Link):
      • 一種用於連接處理器與加速器、記憶體擴展和其他類型設備的高速互連技術(高速、高頻寬)。它旨在提高資料中心的性能和效率。
      • 主要應用於需要處理大量資料的高性能計算環境，如AI和機器學習、大數據分析、以及任何依賴快速資料存取和處理的應用。也適用於那些需要大量記憶體資源和高速資料傳輸的雲計算和虛擬化平台。
      • 整合了三種互補的協議，這些協議共同工作以支持各種高效能計算需求:
        • CXL(.io):基於現有的PCI Express（PCIe）標準，主要用於基本的設備發現、配置和管理，以及支持與I/O設備的通訊。
        • CXL.cache:允許處理器和加速器之間共享快取記憶體，這有助於加快資料處理速度並提高計算效率。
        • CXL.memory:支持設備間的記憶體共享和透明的記憶體擴展，從而改善大規模多核處理器系統的記憶體資源利用率和性能。
    • 即時串流傳輸協議(Real-Time Streaming Protocol，RTSP):
      • 一種用於控制在 IP 網絡上的聲音和影像資料的串流傳輸的應用層協議，提供了一個框架來控制多媒體會話，使得客戶端可以在即時通訊環境中，對串流媒體伺服器上的媒體文件進行播放、暫停和停止等操作。
      • 此協議不涉及媒體本身的傳輸，它僅負責控制訊號(播放、暫停和停止)。
    • 媒體閘道控制協議(Media Gateway Control Protocol，MGCP):
      • 是一種訊號和會話管理協議，用於控制語音閘道的連接和媒體串流。
      • 主要用於實現語音和視訊通信服務中的 IP 網路和傳統電信網路之間的互操作性。

應用層常見攻擊手法

• 注入攻擊(Injection):
  • 注入攻擊涵蓋了多種類型，最常見的是 SQL Injection，攻擊者通過注入未經處理的User Input到應用程序中，從而操控後端資料庫。
  • 這可能包括讀取未授權的資料、修改資料、執行管理任務等。類似的注入攻擊還包括命令行注入、LDAP注入等。
• 跨站腳本攻擊(Cross-Site Scripting，XSS):
  • 攻擊者將惡意腳本注入到其他用戶會看到的網頁中，當其他用戶瀏覽這些網頁時，嵌入其中的惡意腳本將在用戶的瀏覽器中執行，從而實現資料竊取、會話劫持等攻擊。
• 跨站請求偽造(Cross-Site Request Forgery，CSRF):
  • 攻擊者利用用戶在網站中已經驗證的會話來執行未經授權的命令。
  • 攻擊者通過嵌入惡意鏈接（例如在電子郵件、訊息或第三方網頁中）誘使已經登入某服務的用戶點擊。當用戶點擊該鏈接時，如果他們尚未從該服務登出，攻擊者的請求將帶著用戶的身份驗證cookies被發送到服務，從而執行攻擊者預設的操作。
• DNS欺騙(DNS spoofing)/DNS緩存中毒(DNS Poisoning):
  • 透過將錯誤的DNS資料引入DNS解析器(DNS Resolver)的緩存(Cache)，讓DNS Server返回錯誤的結果，使攻擊者得以偽造身分資訊。例如返回錯誤的IP Address，使網頁被導向至釣魚網站。

物理分段(Physical segmentation)

• 將網路分成多個獨立的物理部分的過程，用以提高安全性、提升網路性能並簡化管理。
• 常見的網路管理方式有:In-Band、Out-of-Band、Air-gapped
• 物理分段的目的:
  • 安全隔離：通過物理方式將網路劃分成不同的部分，可以隔離敏感或重要的系統，減少潛在的攻擊面。這種分隔確保了即使某部分網路受到威脅，其他部分也能保持安全。
  • 性能優化：分段有助於減少網路上的廣播流量，並可以為關鍵應用分配專用資源，從而提高整體的網路性能。
  • 故障隔離：在物理分段的環境中，問題可以限制在特定的區域，從而減少故障對整個網路的影響。
• 物理分段的實施方式:
  • 使用獨立的網路設備：通過安裝多台交換機和路由器，網路可以被分成獨立的物理段。這些設備不共享硬件資源，因此它們之間的互連是通過網路接口進行的。
  • 專用的線路和介質：使用不同的線路或傳輸介質（如光纖、銅線）來連接網路中的不同部分，可以進一步強化分段。
  • 地理分隔：將網路的不同部分設置在不同的地理位置，也是實現物理分段的一種方式，這有助於防範自然災害和地理集中的風險。
• 物理分段的挑戰:
  • 成本問題：實施物理分段可能需要額外的硬件和設施，從而增加成本。
  • 管理複雜性：管理分散的物理網絡可能更為複雜，需要更多的時間和技術知識來維護。
  • 靈活性受限：物理分段可能導致網絡靈活性降低，對於需要快速適應變化的環境，這可能成為一個限制因素。

In-Band

• 通過正常的網絡通道對網絡設備進行管理的過程。這意味著使用與設備承載業務流量相同的網絡路徑和接口來進行管理。
• 通常透過網絡本身實現，利用標準網絡協議和端口，例如SSH（安全殼層）或HTTP（超文本傳輸協議）來訪問設備。
• 優點：
  • 方便和高效，因為它允許管理者使用常規網絡連接進行遠程訪問和控制。
• 缺點：
  • 在網絡故障或設備崩潰的情況下可能無法使用。
  • 增加了網絡的安全風險，因為攻擊者可能通過網絡途徑獲取訪問權限。

Out-of-Band

• 通過專用的管理通道對網絡設備進行管理的過程
• 這個通道與設備的主要資料通道是分開的，因此即使主網絡出現故障，管理通道仍然可用。
• Out-of-Band 管理通常透過專用的硬件，如控制台服務器、管理端口或專用撥號連接實現。
• 優點：
  • 提供了一種在主網絡失效時仍能訪問和管理設備的方法。這對於故障排除和恢復操作至關重要，尤其在設備或網絡出現嚴重問題時。
• 缺點：
  • 可能需要額外的硬件和配置，增加了成本和複雜性。
  • 可能不如In-Band 管理方便，因為需要物理接近或通過專用線路訪問。

Air-gapped

• 將計算機或網絡從其他網絡物理上隔離的安全措施，特別是從網際網路和其他不安全的網絡環境隔離。
• 通過確保計算機或網絡不與外部網絡有任何物理或無線連接來實現。
• Air-gapped 系統通常用於需要高度安全的環境，如軍事設施、金融機構、核電站和其他敏感資訊處理場所。
• Air-gapped 的特點:
  • 物理隔離：Air-gapped 系統與外界的連接完全被切斷，不僅包括網絡連接，還包括其他可能的連接方式，如藍牙、Wi-Fi等無線通信。
  • 資料傳輸限制：對於這類系統，資料傳輸通常需要物理介質，例如通過USB驅動器或其他可移動存儲設備手動進行。
  • 增強的安全性：由於與外部網絡的隔絕，Air-gapped 系統在理論上對網絡攻擊和網絡間諜活動具有很高的抵抗力。
• Air-gapped 的應用:
  • 敏感資料處理：處理高度機密或敏感資料的組織可能會使用氣隙隔離的系統來減少資料泄露或竊取的風險。
  • 關鍵基礎設施保護：關鍵基礎設施，如能源控制系統和通信網絡，可能會使用氣隙隔離來防止外部攻擊。
• Air-gapped 的挑戰:
  • 不便的資料交換：由於缺乏網絡連接，資料交換變得更加困難和耗時，需要通過物理方式手動進行。
  • 內部威脅：雖然Air-gapped 可以有效防止外部網絡攻擊，但它對內部威脅，如惡意內部人員或物理安全漏洞，則較為脆弱。
  • 高成本和運維挑戰：建立和維護Air-gapped 系統可能需要額外的財務和物理資源。

內容分發網絡(Content distribution networks，CDN)

• 內容分發網絡是一組分散在多個地理位置的伺服器，用於更有效地向用戶提供網頁、影像、圖像和其他類型的網路內容。
• 通過將內容臨時儲存在靠近最終用戶的節點上，CDN能夠減少網站的加載時間，提高使用者體驗。
• 安全設計原則
  • 增強資料安全性:CDN可對數據進行加密傳輸，確保數據在傳輸過程中不被截取或篡改。此外，通過分散存放內容到全球多個節點，CDN能夠吸收和分散惡意流量，保護原始伺服器免受攻擊。(DDoS攻擊防護)
  • 內容保護和版權管理:CDN提供的資料完整性驗證機制可以確保內容未被篡改，同時支持版權保護技術，如數位版權管理（DRM）。
  • 安全配置和更新：通過集中管理，CDN允許快速統一地更新安全策略和規則，包括TLS/SSL證書的更新，保障資料傳輸安全。
  • 訪問控制和身份驗證：CDN可以配置規則來控制誰可以訪問哪些內容，包括地理位置限制和IP白名單，進一步加強安全性。
  • 快取和本地安全：為了防止快取污染攻擊，CDN應確保只有來自信任源的內容被快取，並定期驗證快取內容的有效性。

邏輯分段(Logical segmentation)

• 邏輯分段是一種重要的安全措施，用於將網路劃分為多個隔離的區段，以提高安全性、簡化管理並提升效能。
• 常見的邏輯分段技術:虛擬局域網(Virtual local area networks，VLANs)、虛擬私人網路(Virtual private networks，VPNs)、虛擬路由與轉發(Virtual routing and forwarding)、虛擬域(virtual domain)

虛擬區域網路(Virtual local area networks，VLANs)

• 虛擬區域網路是在同一個物理網路上進行邏輯分割的技術。通過VLAN，在同一物理網路的不同組的用戶和設備可以被分配到不同的網段中，彼此之間不直接通信，除非通過路由器進行明確配置。
• 每個VLAN內的設備就像在同一區域網路內一樣相互通訊，但與其他VLAN內的設備隔離。
• 特點:
  • 安全性：能夠實現網路資源的隔離來限制廣播域，透過減少潛在的攻擊面有助於減少內部威脅和防止資料洩漏。
  • 管理簡化：通過將網路劃分為管理上的小單元，簡化了網路的配置和監控以方便網路管理，提高了網路的靈活性和可擴展性。
  • 改善性能：降低了廣播流量，提高了網路的整體效能。
  • 成本效益：無需進行昂貴的物理網路重構就能達到網路隔離的效果。

虛擬私人網路(Virtual private networks，VPNs)

• 一種用於在公共網路上建立安全通道的技術，使得遠程用戶能夠安全地連接到內部網路。
• VPN通過加密技術來保護數據的隱私和完整性。
• 特點:
  • 安全通訊：在網際網路上提供端到端加密，確保數據在網際網路上的傳輸過程中保護數據傳輸免受竊聽。
  • 遠程訪問：使遠程工作者能夠安全地訪問公司的內部資源。
    • 基於HTML5的VPN:易於部署和使用，適合多變的設備和環境，且不需要安裝專門的軟體，特別適合臨時或從未預配的設備訪問敏感應用和資料。
  • 網路延展性：為企業提供靈活的網路擴展選項。
  • 用戶身份隱藏：隱藏用戶的實際IP地址，提供匿名性。

虛擬路由與轉發(Virtual routing and forwarding，VRF)

• 虛擬路由與轉發是一種在同一路由器上創建多個路由表的技術，用於實現網路的邏輯分割。
• 每個VRF實例都能夠獨立管理自己的路由，不同的VRF實例間的路由資訊是隔離的。
• 特點:
  • 路由隔離:確保不同網路分段的路由資訊彼此獨立，提高網路的安全性。
  • 靈活的流量管理:可以根據需要在不同的VRF間進行路由控制。

虛擬域(Virtual domain)

• 虛擬域在網路設備中用於創建邏輯上分割的獨立域，每個域都有自己的安全政策和管理設置。
• 通常用於大型組織或服務提供商，他們需要在相同的物理設備上運行多個獨立的網路環境。
• 特點：
  • 安全性和隔離：每個虛擬域都獨立運行，互不影響，提高了安全性和錯誤隔離能力。
  • 定制化管理：允許針對不同虛擬域設定特定的安全策略和訪問控制。

邊緣網路(Edge Networks)

• 邊緣網路是靠近用戶設備（例如行動設備和本地網路設備）的網絡邊界，用於處理、存儲和傳輸資料，以減少延遲和網絡擁塞，提高處理速度。
• 這部分的重要子項包括入口（Ingress）、出口（Egress）和對等互連（Peering）：
  • 入口(Ingress):
    • 指的是資料進入一個網路或系統的過程。在邊緣網路中，入口流量管理是指向邊緣設備或服務傳輸資料的過程。例如，使用者的行動設備向邊緣伺服器上傳資料時，這些資料流被稱為入口流量。
  • 出口(Egress):
    • 指的是資料離開一個網路或系統的過程。在邊緣網路中，管理出口流量尤其重要，因為這關係到資料的出口(Egress)和可能的資料洩露。
  • 對等互連(Peering):
    • 對等互連是兩個獨立網路進行直接連接的過程，這使得互連的網絡可以直接交換流量，而無需通過第三方網路。
    • 在邊緣網路中，對等互連可以提高資料傳輸速度並減少延遲。

防火牆(Firewall)

• 只要有過濾封包功能的便可稱作防火牆(Firewall)，有硬體形式與軟體形式。
• 防火牆的功能從最初的僅對網路層(Network)進行封包過濾(Packet Filtering)開始，到現在變的包山包海啥都有：

  • 網路層(Network):

    • 封包過濾(Packet Filtering):
      • TCP Wrapper:透過存取控制表(Access Control List，ACL)來進行過濾。
      • 無狀態防火牆(Stateless Firewall):僅利用資料封包的來源、目的地和其他參數來確定資料是否存在威脅。

  • 傳輸層(Transport):

    • 狀態檢查(Stateful Inspection):
      • 狀態防火牆(Stateful Firewall):檢查資料封包中的所有內容、資料特性及通訊通道。並持續追蹤穿過防火牆的各種網路連線（例如TCP與UDP連線）的狀態。如有任何異常之處，則可過濾出可疑資料。

  • 會議層(Session):

    • 代理伺服器(Proxy):
      • SOCKS:用於客戶端與外網伺服器之間通訊的中間傳遞。當要訪問外部的伺服器時，客戶端便與SOCKS代理伺服器連接，由SOCKS代理伺服器控制客戶端訪問外網的資格。
      • 電路級閘道防火牆(Circuit-Level Gateway Firewall):在TCP三次握手過程中進行監控並驗證TCP連接的合法性，確保所有開啟的連接都是合法且可信的，然後在建立起的連接中進行數據轉發。不會深入到封包內容。

  • 應用層(Application):

    • 代理伺服器(Proxy):
      • 應用閘道器(Application Gateway):又稱應用層閘道(Application-level Gateway ，ALG)，是一種加強防火牆(Firewall)功能的安全組件，合法的應用程式資料可以通過安全檢查，否則會因不符合過濾標準而限制流量。
    • 狀態協定分析(Stateful Protocol Analysis)/深度封包檢測(Deep Packet Inspection):
      • 結合了入侵檢測系統(IDS)、入侵預防系統(IPS) 的技術來改善防火牆的狀態檢查(Stateful Inspection)功能。
      • 網頁應用程式防火牆(Web Application Firewall，WAF):用於過濾、監視和阻斷通過網頁服務的HTTP流量。藉以防止利用網頁應用程式已知漏洞的攻擊，例如SQL 注入、跨網站指令碼(XSS)、檔案包含和不正確的系統組態。

  • 最新的將多種技術整合在一起的叫做次世代防火牆(Next-Generation Firewall)。

• 防火牆(Firewall)將網路切分為三個區域：
  • 外部區域(External)/外部網路(Internet)
  • 內部區域(Internal)/內部網路(Intranet)
  • DMZ區:
    • 基於物理和網絡邊界的概念，用於在內部網絡和外部網絡之間提供一個緩衝區。
• 分佈式防火牆(Distributed Firewalls):
  • 分佈式防火牆是分布在網路各處的防火牆系統，它們可以更精細地控制流入和流出的網路流量。
  • 這種防火牆集成於網路的各個端點，包括虛擬機、容器和服務器。
  • 特點：
    • 細粒度的控制：能夠對網路中的細微部分進行流量監控和控制，提供更為精確的安全保護。
    • 彈性和擴展性：隨著網路的擴展，分佈式防火牆可以靈活配置，保護新的網路節點。

IEEE 802 Standards

• IEEE 802 為IEEE標準中關於區域網路(Local Area Network，LAN) 和 都會網路(Metropolitan Area Network，MAN) 的一系列標準，其定義的服務和協定限定在OSI模型的最低兩層(即實體層和資料連結層)。IEEE 802標準中最廣泛使用的有乙太網路(Ethernet)、權杖環(Token-Ring，802.5)、無線區域網路(Wireless Local Area Network，WLAN)等。

IEEE 802.3(Ethernet)

• 命名說明:802.3ba 40GBBASE-SR4/LR4
  • 為IEEE 802.3ba標準
  • 傳輸速率為40GB/s
  • 在基頻通道傳輸
  • 使用具有4個獨立傳輸通道的短距離光纖模組或具有4個獨立傳輸通道的長距離光纖模組
• 光纖通道乙太網路(FCoE):
  • 一種匯聚網路技術，允許光纖通道（FC）流量在現有的高速乙太網基礎設施上運行。
  • 這使得資料中心能夠減少網路設備和管理的複雜性，同時保持對高性能儲存網路的支持。

IEEE 802.11(Wireless Local Area Network，WLAN)

• WLAN的頻率可分為2.4G與5G/6G
  • 2.4G:
    • 傳輸速率較慢
    • 傳輸距離較長
    • 頻道之間存在著相當大的重疊，設備距離太近可能會造成干擾。
  • 5G/6G:
    • 傳輸速率較快
    • 傳輸距離較短
    • 有多個20 MHz頻道，頻道之間各自獨立不互相干擾。
    • 6G頻率範圍更廣，且具有無干擾和連續性良好的特性。

Wi-Fi存取保護(Wi-Fi Protected Access，WPA)

• 由Wi-Fi聯盟制訂與發佈，用來保護無線網路(Wireless)存取安全的技術標準。
  • 無線加密協定(Wireless Encryption Protocol，WEP):
    • 第一代的無線安全控制。
    • 尚未有身分驗證的機制。
    • 加密機制採用RC4演算法(機密性)。
    • 完整性保護機制採用CRC32函數的Hash(完整性)。
  • Wi-Fi存取保護(Wi-Fi Protected Access，WPA):
    • 第二代的無線安全控制，由於WEP的演算法(RC4)遭到破解，因此將當時仍在制定中的802.11i草案緊急拿出來先作為替代方案。
    • 此時加入了身分驗證(Authentication)機制:
      • 個人版採用預共享金鑰模式(Pre-Shared Key，PSK)
      • 企業版採用802.1X認證標準
    • 加密機制的演算法升級為以RC4為基礎的臨時金鑰完整性協定(Temporal Key Integrity Protocol，TKIP)。
    • 完整性保護機制也由CRC32替換為MAC前身的訊息完整性查核(Message Integrity Check，MIC)。
  • Wi-Fi Protected Access 2(WPA2):
    • 第三代的無線安全控制，在WPA推出一年後，Wi-Fi推出的802.11i的正式版。
    • 身分驗證(Authentication)機制:
      • 個人版繼續使用預共享金鑰模式(Pre-Shared Key，PSK)
      • 企業版繼續使用802.1X認證標準
    • 加密機制的演算法升級為CTR模式的AES-128 bit演算法
    • 完整性保護機制由MIC升級為密碼塊鏈接訊息驗證代碼(Cipher Block Chaining Message Authentication Code，CBC-MAC)。
  • Wi-Fi Protected Access 3(WPA3):
    • 最新的無線安全控制。
    • 身分驗證(Authentication)機制:
      • 個人版升級為採用對等實體同步驗證(Simultaneous Authentication of Equals，SAE)標準
        • SAE:基於以密碼(Password)為基礎的身分驗證與密碼認證金鑰協商(Password-Authenticated Key Agreement，PAKE)的方法，使雙方在沒有事先共享密鑰的情況下，得以通過一個安全的過程相互驗證對方的身份。
      • 企業版維持使用802.1X認證標準
    • 加密機制的演算法升級為伽羅瓦/計數器(Galois/Counter Mode，GCM)模式的AES演算法:
      • 個人版維持使用AES-128bit
      • 企業版則支援使用AES-192bit以上的演算法
    • 完整性保護機制升級為伽羅瓦消息認證碼(Galois Message Authentication Code，GMAC)。

SSID (Service Set Identifier)

• 無線網路的名稱，當設置一個無線路由器或接入點時會指定一個SSID，這個名稱將被無線網路的用戶看到，用來識別和連接到特定的無線網路。
• SSID廣播(SSID Broadcast):
  • 為無線路由器或接入點發送的信標訊框（beacon frame），這些訊框包含了SSID，使得無線網路對搜索該網路的設備可見。
  • 為了防止未經授權的用戶輕易看到和嘗試連接到網路，可以採取禁用SSID廣播的安全措施來隱藏網路。

Wireless Attacks

• Wi-Fi Attacks:
  • War Driving
  • War Charlking
  • Evil Twin
• Bluetooth Attacks:
  • Bluesnarfing
  • Bluejacking
  • Bluebugging
  • Car Whisperer
  • Denial of Service
  • Fuzzing Attacks
  • Pairing Eavesdropping
  • Secure Simple Pairing Attacks
• 反TEMPEST的控制區(Control Zone against TEMPEST):
  • TEMPEST指的是透過洩露的輻射來監視資訊系統，包括非故意的無線電或電氣信號、聲音和振動。
  • 法拉第籠(Faraday Cage)/法拉第屏蔽罩(Faraday Shield):
    • 由金屬或者良導體形成的籠子。
    • 由於金屬的靜電等勢性，可以有效遮蔽內外電場的電磁干擾。
  • 白噪音(White noise):是一種功率譜密度為常數的隨機訊號

IPsec

• IPsec(IP Security):
  • 對IP提供安全服務，滿足完整性與機密性的需求。
  • Features
    • 資料完整性保護
    • Anti-replay保護:避免駭客注入或篡改傳輸中的網路封包。
    • 資料來源驗證
    • 資料機密性保護。
  • Modes:
    • Tunnel Mode為P2P的防護模式，只確保節點與節點間傳輸的安全。
    • Transport Mode為E2E的防護模式，確保端到端的資料從取出發送到收到使用之間的安全。
  • Protocols:
    • 認證頭(Authentication Header，AH):確保封包的完整性，但沒有做加密保護(給看不給改)。
    • 封裝安全載荷(Encapsulating Security Payload，ESP):除了確保封包的完整性外還有提供加密保護以滿足封包的機密性(不給看也不給改)。
    • 網際網路金鑰交換(Internet Key Exchange，IKE):會建立一組密碼學相關的安全參數用來進行安全通訊，這組安全參數便稱為(Security Association，SA)。
• 網路位址轉譯穿透（Network Address Translation-Traversal，NAT-T）:
  • 一種用於在使用網路位址轉譯（NAT）的環境中支持IPsec VPN正常運作的網路技術。
  • 通常用於私有網路和公共網路間的位址映射，可以使多個設備共享一個公共IP位址。
  • 在建立IPsec VPN連接時，NAT-T機制首先會通過在網際網路金鑰交換(Internet Key Exchange，IKE)的過程中包含特定的NAT檢測負載來檢測路徑上是否存在NAT設備後判斷是否使用NAT-T。
  • 由於NAT會修改經過的封包，包括IP Header和可能的 port，這會對IPsec的端到端安全性造成問題，因此須使用NAT-T來保證IPsec流量能夠安全且順利地穿越NAT設備。
  • 網路位址轉譯(Network Address Translation，NAT):
    • 一種用於在私有網路和公共網路（如網際網路）之間轉換IP位址的網路技術。
    • 其主要目的是通過讓多個設備共享一個公共IP位址來節省IP位址並增強網路安全。
    • 在NAT的作用下，內部網路中的機器對外部世界表現為一個單一的IP位址。NAT設備負責將從網際網路接收到的封包的目標位址轉換為內部網路的有效位址，並將從內部網路發出的封包的來源位址轉換為公共IP位址。
  • 連接埠位址轉換(Port Address Translation，PAT ):
    • NAT的一種形式，廣泛用於IP位址和連接埠信息的轉換使多個設備可以共享一個公共IP位址進行互聯網訪問。
    • PAT乃是在NAT的基礎上進一步發展，不僅IP位址，還包括連接埠都能轉換，從而使多個內部私有IP位址能夠共享一個或少數幾個公共IP位址。

服務阻斷(Denial-of-Service，DOS)攻擊

• 透過利用不同手段來使得系統服務中斷的攻擊。
  • 死亡之Ping(Ping of Death，POD):網路層(Network)
    • 透過傳送錯誤的Ping封包使系統記憶體溢位(Buffer overflow)，造成系統崩潰(System crash)的攻擊手法。
  • 洪泛(Flooding):傳輸層(Transport)
    • 一種通過大量流量淹沒受害者資源的技術手法統稱。
  • SYN洪水攻擊(SYN Flooding):傳輸層(Transport)
    • 利用TCP的三向交握機制，攻擊者對目標系統發送出大量的SYN，並在收到目標系統的ACK與SYN後不繼續傳送ACK回應至目標系統，使目標系統持續等待，藉以耗盡目標的可連線數量，使正常用戶無法使用目標系統的服務。
  • CAM表洪水攻擊(CAM Table Flooding):
    • CAM表(Content Addressable Memory table)用於儲存網路上每個設備的MAC地址與對應的通訊埠號，使得Switch能夠有效地將封包轉發到正確的目的地。
    • 攻擊者向Switch發送大量擁有不同偽造MAC地址的封包，目的是填滿Switch的CAM表，使Switch無法儲存更多新的MAC地址進而無法確定新封包應該被發送到哪個通訊埠，因此會將接收到的所有封包廣播到所有通訊埠造成網路性能下降。
  • 藍精靈攻擊(Smurf):網路層(Network)
    • 透過利用網路上的大量節點向目標發送ICMP封包的泛洪(Flood)攻擊，耗盡目標的網路資源，使得正常用戶無法使用目標系統的服務，為一種分散式服務阻斷(DDOS)攻擊。
  • Fraggle:傳輸層(Transport)
    • 針對UDP的Flood攻擊，透過發送假的UDP Boardcast封包至目標網路，讓目標網路上的節點產生回應或是送出ICMP封包，使目標網路的流量被大量占用產生堵塞。
  • 淚滴攻擊(Teardrop):網路層(Network)
    • 透過傳送大量的錯誤IP封包使目標系統無法正常重組解析，進而使系統崩潰(System crash)的攻擊手法。
  • 區域網拒絕服務攻擊(Local Area Network Denial，LAND):
    • 攻擊者透過傳送特殊的TCP SYN封包，使目標系統對自身IP持續自問自答，藉此耗盡系統資源的攻擊手法。
  • 放大&反射:
    • 放大(Amplification):是一種增加攻擊流量的方法。攻擊者發出小量的請求，但這些請求會觸發對一個或多個第三方服務器的大量回應，這些回應隨後被發送到受害者，從而使用少量的初始流量產生大量的網絡流量。
    • 反射(Reflection):攻擊者將請求發送到第三方服務器，並偽造來源IP地址，使得回應被發送到受害者。反射攻擊的目的是隱藏攻擊者的真實位置並將響應流量指向受害者。攻擊者不直接發送大量封包給受害者，而是利用第三方服務器作為中間人來反射流量。
    • 放大和反射可以結合使用，在所謂的放大反射攻擊中，攻擊者利用第三方服務器的反射效果，並通過放大來增加反射流量的大小，進而放大攻擊效果。
  • 聖誕樹攻擊(Christmas tree attack):傳輸層(Transport)
    • 主要針對TCP/IP協議的攻擊。
    • 發送將TCP header中的多個flag（如URG、ACK、PSH、RST、SYN和FIN）設置為開啟狀態的異常封包，使接收系統試圖處理這些異常封包時耗盡系統資源，形成DDOS攻擊。

弱點掃描(Vulnerability Assessment，VA) & 滲透測試(Penetration Testing，PT)

• 弱點掃描(Vulnerability Assessment，VA):
  • 透過一些自動化工具，利用已知的攻擊手法與軟體或系統漏洞來進行自動化檢測，查看目標系統在網路、伺服器等環境架構上以及系統軟體方面是否有這些已知的錯誤配置或程式漏洞存在。
• 滲透測試(Penetration Testing，PT):
  • 模擬駭客的攻擊，從尋找弱點開始，並將找到的弱點實際拿來利用進行攻擊，進而深入了解該漏洞的可再現性與可利用性，最後產出報告作為安全評鑑使用。
    • 尋找弱點:
      • 資訊收集(Information Gathering):收集有關目標組織的盡可能多的資訊。
        • 透過開源情報(Open Source Intelligence，OSINT)來收集資訊。
          • 開源情報(OSINT):是指從公開可用的來源收集和分析信息的過程。這種情報收集方法利用的資料來源包括網際網路、媒體、公共資料庫、專業和學術出版物、以及所有公眾可以自由存取的資料。
        • 透過被動測試(Passive testing)來收集資訊。
          • 被動測試:不與系統產生互動，而是通過監測網路流量或分析已公開的訊息來獲得資訊。這種方法保持低調且不易被發現，適合作為初步的探索步驟。
      • 掃描和偵察(Scanning and Reconnaissance):識別網絡和系統的活躍主機、服務、開放端口等。
        • 可能產出:活躍主機列表、開放端口、網絡拓撲圖、使用的協議、防火牆和其他安全設備的存在。
      • 指紋和列舉(Fingerprinting and Enumeration):更詳細地識別和確定系統和服務的精確版本和配置
        • 可能產出:操作系統版本和配置、應用軟體版本、安全配置和漏洞、用戶帳號和策略信息、網絡服務詳細配置。
    • 深入了解:
      • 脆弱性評估(Vulnerability Assessment)
      • 利用研究和驗證(Exploit Research and Verification)
    • 產出報告(Reporting)
      • 執行摘要(Executive summary)
      • 建議(Recommendations)
    • 
  • 開源安全測試方法手冊(Open Source Security Testing Methodology Manual，OSSTMM):
    • 作為安全測試和評估的權威指南，是指導渗透測試活動的渗透測試方法之一。
    • 不是一套固定的規則，而是一系列的指導方針、原則和測試方法，旨在幫助測試人員對組織的安全狀況進行全面的評估。
  • 入侵與攻擊突破模擬(Breach and Attack Simulation，BAS):
    • 一種先進的安全測試技術，旨在自動模擬各種網絡入侵和攻擊手段。
    • 允許組織以持續且自動化的方式來評估其安全措施的有效性(驗證防禦策略的實際效果)，從而揭示潛在的弱點和漏洞(協助改進安全架構和響應程序)。
    • 特點:持續的安全測試、自動化模擬攻擊、詳細的報告和分析
  • 測試的風險(Risk):
    • 法律風險
    • 把目標系統真的打掛
    • 造成組織業務中斷
  • 測試的類型(Types):
    • 黑箱測試(Black-box)
    • 白箱測試(White-box)
    • 灰箱測試(Gray-box)
  • 測試的目標範圍(Area):
    • 即目標資產(Assets)
      • 內部網路(Network - Internal)
      • 外部網路(Network - External)
      • 網路周邊設備(Network - Perimeter Devices)
      • 網路應用程式(Web Application)
      • 資料庫(Database)
      • 無線網路(Wireless Network)
      • 行動裝置(Mobile Device)
      • 雲端(Cloud)
      • 社交工程(Social Enginerring)
  • 盲測(Blind Testing):
    • 指渗透測試的測試人員不知道正在測試的系統的具體細節，僅知道目標的最基本資訊，例如公司的公開網址或名稱。他們沒有內部網絡的詳細資訊或系統的特定配置資料。
    • 目的是模擬一個外部攻擊者的視角，看他們能在多大程度上識別和利用系統漏洞。
  • 雙盲測試 (Double-blind Testing):
    • 一種比盲測更嚴格的測試方法，測試人員在沒有任何內部知識的情況下進行測試，而組織的IT部門或安全團隊也不知道這次測試的進行。
    • 這可以提供對組織安全措施的真實考驗，因為它們在不知道測試正在進行的情況下會自然反應。這種方法可以揭示出組織在真實世界攻擊面對時的防禦能力和應急反應的實際效果。
    • 測試行動順序:
      • 針對目標進行被動測試（被動資訊收集）
      • 使用誘餌掩蓋連接埠掃描以隱藏您的 IP 位址（主動掃描連接埠）
      • 列舉主機上的服務以發現潛在的攻擊向量（主動枚舉）
      • 透過發送被動有效負載來利用漏洞（主動利用）
  • 紅隊、藍隊和紫隊練習(Red, Blue, and/or Purple Team Exercises):通過模擬攻擊和防禦來提高組織的安全防護。
    • 紅隊(Red Team):
      • 紅隊通常由專業的安全測試人員組成，他們的任務是模擬外部攻擊者的行為和策略，嘗試穿透組織的安全防護。
      • 目的是評估組織對抗實際駭客攻擊的能力，發現可能被忽視的漏洞和弱點。
    • 藍隊(Blue Team):
      • 通常由組織內部的資訊安全人員組成，負責防禦紅隊的模擬攻擊。
      • 目的是強化組織的防禦機制，透過應對紅隊的攻擊來檢驗和改進現有的安全措施和響應程序。
    • 紫隊(Purple Team):
      • 紫隊不是一個獨立的隊伍，而是負責協調、仲裁紅隊和藍隊之間的協作。
      • 目的是通過紫隊的協調讓紅隊和藍隊共享知識和經驗，幫助提升組織的整體安全態勢，優化防禦策略和應對能力。

分析測試輸出並產出報告(Analyze test output and generate report)

• 識別和理解測試中發現的安全風險、漏洞或配置錯誤。並提供這些發現的詳細描述，以及對組織的潛在影響和建議的補救措施的報告。
• 數據整理：整理測試過程中收集的數據，包括錯誤報告、系統日誌、漏洞掃描結果等。
• 風險分析：根據測試結果，進行風險評估，確定每一個識別的問題的嚴重程度和優先級。
• 撰寫報告：根據分析結果，撰寫詳細的安全測試報告。報告通常包括測試範圍、測試方法、發現的問題、風險評估、以及建議的補救措施。
  • 補救(Remediation):
    • 在發現安全漏洞或測試中識別的問題後所採取的修正措施。包括修補軟體、更新系統設置、強化網路防禦或重新設計系統架構。
    • 目的是減少或消除安全風險，確保系統和資料的安全性。
  • 異常處理(Exception handling):
    • 說明在系統或應用程序運行過程中，如何處理未預期的錯誤或異常情況。
    • 識別和處理因安全弱點引發的錯誤，以及制定應對策略以防止這些異常影響系統的正常運行和資料的安全。
  • 道德披露(Ethical disclosure):
    • 指在測試過程中發現重大安全問題時，按照道德和法律標準進行披露的過程。
    • 需與內部團隊（如法律、合規或高級管理層）協商，確定何時、如何以及對誰公開披露安全漏洞。
    • 道德披露的目的是確保資訊的透明度，同時保護用戶和公眾的利益，避免不當披露導致的潛在風險。
• 報告審核：報告完成後，通常會進行內部審核，以確保所有的資訊都是準確和完整的。

Threat Hunting Security Comparison

• 威脅狩獵(Threat hunting):主動去尋找沒有被發現的威脅
  • 進階持續威脅(Advanced Persistent Threat，APT)：通常指大型駭客集團或國家支持的駭客團體所進行的⾧期入侵。
  • 零日漏洞(Zero-Day Vulnerability)：還未有解方的弱點，很難或無法被檢測或預防，通常做法為通報原廠，如期限內未解決則公開
• 威脅情報源(Threat feeds):
  • 指持續提供有關已知威脅、漏洞、惡意軟件和其他與安全相關的資訊的服務。
  • 這些資訊來自於各種來源，包括私有安全公司、開源社群、政府機構等。

破壞與攻擊模擬(Breach and Attack Simulation，BAS)

• 一種使用自動化工具來模擬真實世界中的攻擊情境，以評估組織的防禦能力的網絡安全測試技術。
• 可以持續地、無干擾地對網路安全控制措施進行測試，幫助組織發現潛在的安全漏洞和弱點。
• 自動化攻擊執行：
  • 自動執行各種攻擊場景，如惡意軟體感染、釣魚攻擊、權限提升等。
• 即時安全評估：
  • 提供即時反饋，幫助安全團隊了解當前的安全態勢。
• 風險和漏洞識別：
  • 識別並報告可能被攻擊者利用的安全漏洞。
• 效果測試：
  • 測試現有安全控制的效果，包括防火牆、入侵檢測系統、防毒軟體等。

ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge)

• 由美國國家安全機構（NSA）支持的麻省理工學院林肯實驗室（MITRE）開發的一個框架。
• 用來全面描述攻擊者在對目標進行網路侵入時可能使用的戰術、技術和程序。
• 戰術(Tactics):
  • 表示對手在攻擊中要達到的短期目標，例如「初始訪問」、「執行」、「權限提升」等。
  • 這些戰術反映了攻擊的各個階段。
• 技術(Techniques):
  • 每種戰術下都有多種技術，這些技術描述了對手達到其戰術目標的具體方法。
  • 例如，在「初始訪問」戰術下，技術可能包括「釣魚」、「利用公共漏洞」等。
• 程序(Procedures):
  • 攻擊者在具體實施技術時使用的更詳細的步驟、工具和實踐。
  • 這是技術的實際應用，並通常與特定的威脅行為者或惡意軟體樣本相關聯。

常見攻擊手法與名詞

• DHCP欺騙(DHCP Spoofing):
  • 攻擊者透過將自己偽裝成Defult Gateway或DNS Server來欺騙DHCP Server，成功後便可進行其他動作，例如DOS攻擊。
• Virtual LAN Hopping:
  • 為一種利用Virtual LAN(VLAN)的安全漏洞，使攻擊主機可以訪問通常無法訪問的其他VLAN。
  • 有兩種主要手段:
    • 交換機欺騙(Switch Spoofing)
    • 雙重標記(Double Tagging)
• 內容可定址記憶體表溢出攻擊(CAM Table Overflows):
  • 內容可定址記憶體(Content Addressable Memory，CAM):是一種特殊類型的電腦記憶體，用於某些超高速搜尋應用程式，也稱為關聯記憶體或關聯儲存。經常用於網路裝置中，以加速轉發資訊庫和路由表操作。
  • 為針對網絡交換機執行的惡意行為，當CAM Table Overflows時，Switch Hub可能會以通過向所有的Port發送Frame來保持可用性，使中間人得以進行惡意Sniffing。
• 生成樹協定攻擊(Spanning Tree Protocol Attacks，STP Attacks):
  • 生成樹協定(Spanning Tree Protocol，STP):作用在Data Link層的通訊協定。用以防止交換機(Switch)冗餘鏈路產生的迴圈，用於確保乙太網路中無迴圈的邏輯拓撲結構，從而避免廣播風暴大量占用交換機的資源。
  • 此攻擊會令交換機(Switch)無法正常運作，進而造成網路癱瘓、資料被竊取以及中間人攻擊(Man-in-the-middle Attack，MITM)。
• CDP/LLDP偵查(CDP/LLDP Reconnaissance):
  • 思科發現協定(Cisco Discovery Protocol，CDP):CISCO設備的Data Link層Protocol。
  • 鏈路層發現協定(Link Layer Discovery Protocol，LLDP):Data Link層Protocol，為一種能夠使網路中的裝置互相發現並通告狀態、相互資訊的協定。
• 隱秘通道(Covert Channel):
  • 隱秘通道是一種通信方式，為在正常的系統功能之下隱藏的資料傳輸途徑，可以被用來非授權地傳輸資訊。
  • 這種通道可能是故意設計來傳遞機密資訊的，也可能是攻擊者用於資料洩露或信號傳遞的方法。
  • 松弛空間(Slack Space):
    • 在電腦文件系統中，松弛空間是指文件所占用的存儲塊（如磁盤上的一個扇區）中未被文件實際資料填滿的部分。
    • 攻擊者有時會利用這些松弛空間來隱藏惡意代碼或資料。
    • 這部分空間通常不會被操作系統檢查或監控，因此就成為了一個隱蔽的資料傳輸通道(Covert Channel)。
  • 多層協議(Multilayer protocols):
    • 在多個不同層級上操作的協議會使得秘密通道可能更容易設置和隱藏。
    • 因為數據可以在不同層級之間以非預期的方式進行傳輸，這可能會繞過一些基於單一層級的監控或過濾系統而形成隱秘通道。
  • 隱秘時間通道(Covert Timing Channel):
    • 利用系統操作的時間特徵來傳送訊息，使攻擊者可以在沒有直接資料交換的情況下傳遞訊息。
    • 這種方法常被用於繞過常規的安全檢查，因為它不涉及數據本身的明顯變化，而是通過觀察系統性能和行為模式來進行。
    • 例如，通過控制處理請求的時間間隔或操作的執行時間，攻擊者可以向其他系統或網絡用戶傳達信息。
• 信號通道(Signaling Channel):
  • 信號通道是用於傳遞控制訊息或信號的通道，這些信號可能用於控制惡意軟體或協調分散的系統攻擊活動。
• MAC地址複製(MAC Cloning):
  • 複製一個被允許或合法的MAC地址嘗試繞過端口安全(Port security)控制。
  • 端口安全(Port security):
    • 通過限制特定端口上可以識別的MAC地址來保護網絡的一種安全措施。
• 立足點(Foothold):
  • 指攻擊者在成功滲透網絡或系統後建立的一個穩固位置。從這個位置，攻擊者可以進一步探索網絡、擴展其控制範圍或執行惡意活動。
  • 立足點通常是攻擊者在攻擊生命周期中的第一個目標，它為未來的活動提供了一個基礎。
• 主引導記錄(Master Boot Record):
  • 存儲在硬碟的最開始部分的一段小程序，包含了啟動操作系統所需要的資訊。主要作用是在電腦開機時由BIOS加載和執行，以便從硬碟啟動操作系統。
  • 也包含了磁盤分割表，該表記錄了硬碟的分割資訊。攻擊者有時會破壞或修改MBR，以便在系統啟動時加載惡意代碼。

監控與管理(Monitoring and Management)

• 對網路活動進行全面的監視和管理，以保障網路的安全性、穩定性和效率。
• 網路可視性(Network Observability):
  • 指的是對網路內部操作和性能的深入洞察，這包括實時監控網路流量、設備狀態、和應用性能。
  • 通過提升網路可視性，管理者可以快速偵測並回應網路異常或攻擊行為，及時調整安全策略和配置。
• 流量流動(Traffic Flow):
  • 對經過網路的封包進行追蹤和分析，以確定封包的來源和目的地。
  • 有效的流量流動分析有助於識別非法數據傳輸和潛在的安全威脅，如DDoS攻擊或未經授權的數據訪問。
• 流量塑形(Traffic Shaping):
  • 一種網路管理技術，用於控制網路服務的質量，通過調節頻寬分配來優化或保證性能。
  • 流量塑形可以用來阻止惡意流量擴散，保護關鍵業務應用的性能不受影響。
• 容量管理(Capacity Management):
  • 指監控網路和系統資源的使用情況，確保足夠的資源來滿足業務需求和應對未來的擴展。
  • 有效的容量管理能確保網路在面臨突發事件或攻擊時，有足夠的處理能力和頻寬來應對，從而維護業務連續性和網路穩定性。
• 故障檢測和處理(Fault Detection and Handling):
  • 識別和回應網路或系統中出現的技術故障，包括硬體故障、軟體錯誤或配置問題。
  • 快速有效地檢測和處理故障是確保網路安全的關鍵，特別是在故障可能被惡意利用時。
• 網絡時間協議(Network Time Protocol，NTP):
  • 一種用來同步網路中各個計算機的時鐘的協議。
  • NTP使用分層、分散式和容錯機制來確保時間的精確同步。

相關工具

• Nmap網路檢測工具:
  • 開源的網路檢測和安全審計工具。它被廣泛用於網路發現和安全掃描。
  • 能夠識別網路上的設備，包括哪些主機是活動的、每個主機提供哪些服務（應用程式名和版本）、什麼操作系統（包括版本）和運作的硬體類型，以及許多其他功能。
• 開源弱點檢測管理平台(Open Vulnerability Assessment System，OpenVAS):
  • 開源的漏洞評估系統，用於掃描網路和檢測安全漏洞。包含了多個組件，用於數據收集、分析和報告。
  • 可以對網路進行全面掃描，以發現和評估已知的漏洞，提供強大的漏洞檢測引擎及大量的安全測試庫。
• 微軟基線安全分析器(Microsoft Baseline Security Analyzer，MBSA):
  • 由微軟提供的安全工具，旨在通過檢查錯誤配置和缺失的安全更新，以幫助小型和中型企業判斷其Windows系統的安全狀態。
  • 可以分析Windows作業系統、Windows組件、IE、SQL Server和Office等應用程式的安全配置。
• Nessus弱點掃描器:
  • 一種廣泛使用的付費漏洞掃描程式，由Tenable Network Security開發。
  • 用於檢測和評估個人電腦、網路設備和應用程式中的安全漏洞，具有強大的掃描能力和廣泛的安全檢查數據庫。
• 心跳傳感器(Heartbeat Sensor)
  • 一種監控工具，用於檢查網絡中的系統或服務是否仍然活躍和運行。
  • 通常用於高可用性和容錯系統中，以確保關鍵系統和應用程序的持續運行。
  • 如果在預定時間內未收到心跳響應，則表明該設備或服務可能出現問題或故障。

(D3)機房(Data Center)

• 機房(資料中心) 的安全控制是從實體安全的角度，對資料中心進行層層防護以做到有效的縱深防禦。
• 資料中心應位於建築物的核心:
  • 較低樓層容易遭受洪水和物理侵入
  • 位於頂層容易受到風吹和屋頂損壞
• 念書重點:可分成三大面向，站點管理(Site Management)、周邊安全(Perimeter Security)及設施安全(Facility Security)。
  • 站點管理(Site Management):
    • 資安意識訓練
    • 機房選址(Site Selection):考量TEMPS各面向
      • 科技(Technological)
      • 經濟/環境(Economic/Environment):
        • 在環境部分需注意自然災害與人為問題:
          • 自然災害:建立防範自然災害（如地震、洪水、颱風等）的措施。
          • 人為問題:防範人為事故或攻擊，如恐怖活動或破壞行為。
      • 市場/行銷(Market/Marketing)
      • 政治(Political)
      • 社會(Social)
    • 透過環境設計預防犯罪(Crime Prevention Through Environmental Design，CPTED):透過環境的設計來做到犯罪防制，經由適當的環境設計可增加罪犯被發現與被逮捕的可能性，進而對有心人士達到嚇阻的作用使其不敢輕易動手。
  • 周邊安全(Perimeter Security):
    • 閘門
    • 圍牆
    • 警衛
    • 照明
    • 監視器
    • 警報器
    • 訪客管理
    • 周邊入侵偵測(Perimeter Intrusion Detection)
    • 緊急事件回應
  • 設施安全(Facility Security):
    • 門:
      • Mantraps:由兩扇門組成的密閉空間
      • Turnstiles:旋轉柵門
    • 牆
    • 窗戶(人身安全相關)
    • 空調(電源相關)
    • 佈線(電源相關)
    • 電源(電源相關)
    • 管道
    • 消防(人身安全相關)
    • 訪問濫用(Access abuse):
      • 偽造身分(Masquerading)
        • 嗅探(Sniffing):根據NIST SP 800-116 R1文件，Sniffing是使用隱藏的讀卡機在合法讀卡機和智慧卡執行交易時接收來自合法讀卡機和智慧卡的RF訊號，以取得偽造個人身份驗證(PIV)卡的資訊來複製(clone)卡片。屬於電子竊聽的一種形式，通過監聽網絡流量來收集資訊，距離比Skimming的距離更遠。
        • 磁卡複製(Skimming):根據NIST SP 800-116 R1文件，Skimming是使用隱藏的讀卡器從非接觸式智能卡秘密獲取資料來複製(clone)卡片。
        • 偽造(Counterfeiting):創建可以執行一種或多種身份驗證機制的假身份證，而無需複製合法卡
        • 社交工程學(Social engineering):可以欺騙持卡人洩露卡片資料或將卡片交給攻擊者。
      • 內部人員帶熟人進入(Piggybacking)
      • 尾隨(Tailgating)

周邊入侵偵測(Perimeter Intrusion Detection)

• 紅外探測器(Infrared Sensors)
• 微波(Microwave)
• Coaxial Strain-Sensitive Cable
• 時域反射儀系統(Time Domain Reflectometry System，TDR System)
• 影像內容與行為路徑分析(Video Content Analysis and Motion Path Analysis)

暖通空調(Heating, Ventilation and Air Conditioning，HVAC）

• 對電腦設備最大的問題就是溫度

濕度管理

• 資料中心濕度應保持在 40% 至 60% 之間。低於此範圍的值會增加靜電風險，而高於此範圍的值可能會產生濕氣，從而損壞設備。

安全玻璃

• 強化玻璃(Tempered Glass):
  • 強度較高不易破裂，破碎時玻璃會碎裂成許多小顆粒和非常微小的銳利碎片。
• 膠合玻璃(Laminated Glass):
  • 由兩片玻璃與兩片玻璃間的特殊聚合物夾層所組成，破碎時玻璃會被中間的聚合物夾層黏住，避免整塊玻璃碎成可以傷人的碎片。
• 防彈玻璃(Bullet-Proof Glass):
  • 對小型武器的射擊或棍棒等器具的打擊提供一定程度保護能力的玻璃。

佈線(Wiring)

• 可參考美國國家標準協會(American National Standards Institute，ANSI) 所制定的結構化佈線(Structured Cabling)標準(ANSI/TIA-568)
• 配線間(Wiring closet) 可能遇到的攻擊手法:
  • 竊聽(Eavesdropping):
    • 在未經同意的情況下，通過電子技術(物理或電子接入)或傳統手段(在旁偷聽或用竊聽器、收音器等方式)，竊聽他人的對話或通信內容以獲取資訊的行為。
  • 電子竊聽(Wiretapping):
    • 特指在未經同意的情況下，通過電子技術手段(物理或電子接入)連接到電信設備或網絡，以秘密地監聽或錄製電話通話、網際網路通信或其他形式的電子通信內容以獲取資訊的行為。
    • 在法律規範下，透過合法授權的政府竊聽(Wiretapping)行為稱作合法監察(Lawful interception)。
  • 截取封包(Sniffing):透過封包分析工具(Sniffer)截取傳輸中的訊息封包進行封包分析(Packet analysis)。
  • 中間人攻擊(Man-in-the-middle，MITM):當雙方進行通訊時，第三方在未經授權的情況下介入或參與通訊的行為統稱。

電源供應(Power Supplies)

• 需注意電力的冗餘(Redundant)與備份(Backup):
  • 冗餘(Redundant):設置冗餘電力系統，如雙電源供應或備用發電機，以保證主電源中斷時系統仍能運行。
    • 雙電源供應(Dual power supplies):
      • 兩套獨立的電源供應裝置，如果一套失效，另一套可以立即接手，無需手動切換。
    • 備用發電機(Backup generators):
      • 主電源失效時，備用發電機可以提供長期電力。
      • 啟動和切換到發電機可能需要一定時間。
  • 備份(Backup):使用不間斷電源（UPS）系統來保護關鍵設備免受短暫電力中斷的影響。
• Fault:短時間的供電中斷。
• Blackout:長時間的供電中斷。
• Sag or Dip:短時間的電壓過低。
• Brownout:長時間的電壓過低。
• Spike:短時間的電壓過高。
• Surge:長時間的電壓過高。

消防(FIRE)

• 預防(Prevention):
  • 起火的條件為適合的溫度、充足的氧氣與可然的物品(燃料)。預防起火就是避免這三個條件湊再一起。
• 偵測(Detection):
  • 定溫度偵測系統(Fixed Temperature Detection System):偵測環境溫度是否超過設定的標準溫度。
  • 溫差型火災偵測系統(Rate of Rise Detection System):偵測環境溫度是否有異常變化。
  • 火焰偵測系統(Flame Actuated System):利用光學、輻射等感測技術來捕捉所在環境是否有火焰產生。
  • 煙霧探測器(Smoke Actuated System):偵測物體燃燒時釋放的煙霧粒子。
• 處理(Suppression):滅火的方式
  • 滅火器(Fire Extinguisher):
    • A類(Class A):
      • A for 灰燼(Ash)
      • 含碳可燃固體之火警，如木、草、紙張、塑膠、橡膠。
    • B類(Class B):
      • B for 油桶(Barrel)
      • 可燃液體之火警，如汽油、柴油、油、機油。
    • C類(Class C):
      • C for 電流(Current)
      • 通電物體之火警。
    • D類(Class D):
      • D for 炸藥(Dynamite)
      • 可燃固體金屬之火警，如鎂。
    • K類(Class K):
      • K for 廚房(Kitchen)
      • 廚房發生之火警。
  • 灑水器(Water Suppression System)
    • 乾管系統(Dry System):
      • 需要用時才注水，反應較慢。
    • 濕管系統(Wet System):
      • 平時就注水，反應較快但容易生鏽。
    • 預作用系統(preaction System):
      • 結合乾管系統與濕管系統的特點的雙重觸發機制。
      • 平時無水，在檢測到煙霧或溫度升高時水才會進入管路但灑水器不作動，當溫度到達高溫時觸發灑水。
  • 氣體滅火系統(Gas Discharge System)
    • 二氧化碳(CO2)
    • 海龍(Halon):以化學活性打斷燃燒鍵結，以達滅火之目的。(目前已禁用)
    • FM-200:用以取代對環境有危害的海龍(Halon)。

其他 Other

資訊技術基礎設施庫(nformation Technology Infrastructure Library，ITIL)

• 一套廣泛認可的資訊技術（IT）服務管理（ITSM）最佳實踐框架。
• ITIL提供了一系列有關規劃、提供和支持IT服務的指導原則和實踐，目的是幫助組織實現高效和有效的IT服務管理。
  • 改善服務質量
  • 增強客戶滿意度
  • 提高運營效率
  • 促進創新和改進
• ITIL的框架分為幾個主要部分，每部分聚焦於IT服務生命周期的不同階段：
  • 服務策略（Service Strategy）：聚焦於定義IT服務的市場需求、財務管理、風險管理和策略規劃。
  • 服務設計（Service Design）：涉及新服務和現有服務的設計，以滿足組織的戰略目標和客戶的需求，包括服務目錄管理、服務級別管理和風險管理。
  • 服務過渡（Service Transition）：聚焦於將服務從開發階段轉移到運營階段的過程，包括變更管理、釋出和部署管理。
  • 服務運營（Service Operation）：涉及日常管理和運營IT服務，以確保服務的有效和高效運行，包括事件管理、問題管理和請求履行。
  • 持續服務改進（Continual Service Improvement, CSI）：聚焦於持續改進IT服務和過程，以提高效率、有效性和靈活性。

位址空間組態隨機載入(Address Space Layout Randomization，ASLR)

• 一種防範記憶體損壞漏洞被利用的電腦安全技術，用於防止惡意程式碼執行特定的攻擊，例如緩衝區溢出攻擊。
• ASLR通過隨機決定執行檔案、數據、堆棧和其他進程元素的地址空間位置，來增加攻擊者成功實施攻擊的難度。
• ASLR的工作原理:
  • 在程序啟動時，ASLR隨機選擇地址空間中的位置來載入執行檔案、庫檔、堆棧和堆。這意味著每次應用程序啟動時，其在內存中的佈局都會不同。
  • 隨機化使得攻擊者難以預測目標的內存地址，因為即使攻擊者能夠利用軟件的漏洞，由於不確定確切的載入地址，也難以執行任意代碼。
• ASLR的優點:
  • 提高安全性：ASLR增加了攻擊者利用內存相關漏洞（如緩衝區溢出）的難度，因為攻擊者不能輕易找到執行攻擊的正確內存位置。
  • 降低風險：即使系統存在漏洞，ASLR也能降低被成功攻擊的風險，因為攻擊者無法確定有效載荷將執行的準確位置。
  • 與其他防禦策略配合：ASLR通常與其他安全機制（如執行預防（DEP）、堆棧保護等）結合使用，以提供更全面的安全防護。

基礎設施即程式碼(Infrastructure as Code，IaC)

• 一種通過使用高級別的描述性編碼語言來自動化和管理IT基礎設施的IT管理技術。
• 這種做法允許開發和運維團隊在部署和管理伺服器、資料庫、網路等IT基礎設施時，使用程式碼而非手動過程。
• 主要優勢包括提高部署的速度和一致性，降低錯誤率，以及使基礎設施的配置、監控和維護更加透明和可追蹤。
• 常見的IaC工具包括Terraform、Ansible、Chef和Puppet等。

真實用戶監測(Real User Monitoring，RUM)

• 一種網絡分析解決方案，用於監控和分析終端用戶在與網站或應用程序互動時的體驗。
• 通過收集和分析來自真實用戶的瀏覽器或應用程序中的數據，提供有關應用程序性能和用戶行為的見解。
  • 在網站或應用程序中嵌入小段代碼（如JavaScript）來實現。

OFDM（正交頻分復用，Orthogonal Frequency-Division Multiplexing）

• 一種寬帶無線數據傳輸技術，通過將單一的數據流分割成多個較小的數據流，並且將它們同時在不同的頻率上傳輸，來提高數據的傳輸速率和效率。
• OFDM對於抵抗頻率選擇性衰落和多徑干擾效應特別有效。
• OFDM的關鍵特性包括：
  • 高頻譜效率：通過正交性確保不同的子載波之間不會互相干擾，從而提高頻譜使用效率。
  • 抵抗多徑效應：OFDM系統透過使用快速傅立葉變換（FFT）來簡化子載波的生成，並通過添加循環前綴來對付多徑效應。
  • 適用於高速數據傳輸：適合寬帶數據傳輸，如無線局域網標準（如Wi-Fi中的IEEE 802.11a/g/n/ac）和數字電視廣播。
  • 頻道適應性：可以對不同的子載波進行獨立調整，以適應頻道條件的變化。

Metasploit

• 一款廣泛使用的開源滲透測試框架，由Rapid7公司維護。
• 提供了一個用於開發、測試和執行漏洞利用代碼的平台，使得安全研究人員和滲透測試人員能夠發現並驗證系統漏洞、提高安全意識和強化系統防禦。
• 主要特點:
  • 模組化結構：Metasploit框架具有高度模組化的結構，包括各種漏洞利用（exploits）、攻擊負載（payloads）、監聽器（listeners）和權限提升（privilege escalation）模組。
  • 廣泛的漏洞庫：擁有大量的已知漏洞利用腳本，可以針對多種操作系統和應用程序進行測試。
  • 圖形化和命令行界面：提供圖形化用戶界面（Metasploit Pro）和命令行界面（msfconsole），適合不同技術水平的用戶。
  • 後門控制：能夠植入後門，獲取對目標系統的遠程控制。
  • 集成開發環境：包括用於編寫和測試漏洞利用代碼的集成開發環境。
• 主要應用:
  • 漏洞掃描和分析：自動掃描網絡和系統以發現已知漏洞。
  • 漏洞利用：利用已知漏洞攻擊系統，以評估系統的脆弱性。
  • 後門植入和系統控制：通過利用成功後在目標系統上建立後門，實現遠程控制。
  • 安全研究和教育：作為研究安全漏洞和進行資訊安全教育的工具。

通信協助執法法(Communication Assistance for Law Enforcement Act，CALEA)

• 是一項於1994年在美國通過的聯邦法律，目的是增強執法機關監聽和攔截通信的能力。
• 這項法律要求電信運營商和製造商修改設施和設備，以保證它們能夠支援執法機關進行電子監控。

網格計算系統(Grid Computing System)

• 為一種分散式計算架構，它將來自不同地理位置的多台計算機的資源（如處理能力、存儲空間和資料）集成起來，形成一個強大的處理網絡，使得參與的計算機可以共享和協作處理復雜的任務，這些任務可能超出單一計算機的處理能力。
• 主要特點:
  • 資源共享：網格計算系統允許多個參與者共享他們的計算資源，包括處理器、磁盤空間和其他相關資源。
  • 異構性：網格通常包含多種類型的計算機和作業系統，這些計算機通過互聯網或其他數據通訊網絡連接。
  • 可擴展性：網格計算系統可以容易地擴展到包括更多計算機和資源，以增加其總體計算能力。
  • 靈活性：系統可以動態地添加或移除資源，並根據需要分配這些資源以優化性能。
• 挑戰與限制
  • 安全性問題：由於涉及廣泛的資源共享和跨域通信，網格計算面臨著資料安全和隱私保護的重大挑戰。
  • 管理複雜性：協調和管理一個大規模的網格計算系統需要複雜的軟件工具和協議，以確保所有資源的有效利用和穩定運行。
  • 互操作性：異構的系統和技術標準可能導致互操作性問題，需要進行額外的配置和調整以確保兼容性。

電子郵件安全標準

• PEM(Privacy Enhanced Mail):
  • 早期的一種電子郵件安全標準，提供加密和數字簽章來保護郵件通信。
  • 已經被後來的標準如S/MIME所取代。
• DKIM(DomainKeys Identified Mail):
  • 用於對發送的電子郵件進行簽名，以證明郵件來源的合法性和內容的完整性的一種電子郵件驗證方法。
  • 主要用於對抗郵件偽造，但不提供加密功能。
• S/MIME(Secure/Multipurpose Internet Mail Extensions):
  • 用於在電子郵件通信中提供加密和數字簽名的一種電子郵件安全標準。
  • 它支援訊息簽章（提供消息完整性、發送者身份認證和不可否認性）和訊息加密（提供保密性）。
  • 郵件格式使用 P7S 格式來加密電子郵件。如果收件者沒有支援 S/MIME 的郵件閱讀器，則該郵件將顯示名為smime.p7s的附件。

Microsoft BitLocker

• Microsoft 開發的一款磁碟加密功能，主要用於提高 Windows 系統的資料安全性。(內建於Windows Vista及之後作業系統)
• 可以加密硬碟上的所有資料，從而保護資料免受未經授權的存取，特別是在設備丟失或被盜的情況下。
• 全盤加密：
  • 可以加密整個硬碟，包括系統碟和資料碟，甚至可以加密可移動儲存設備如USB隨身碟。
• 多種身份驗證模式：
  • 支援多種啟動時身份驗證方式，包括 TPM（受信任平台模組）、PIN碼、啟動密鑰（儲存於USB裝置上），或者這些方法的組合。
• TPM 的應用：
  • 在配備TPM的電腦上會使用 TPM 來保護加密鑰匙和其他敏感資料。
• 易於管理：
  • 企業可以通過集中的策略設定來管理 BitLocker 加密，這使得部署和維護變得相對簡單。
• 數據恢復：
  • 在設置 BitLocker 時，會生成一個恢復鑰匙，可以在忘記 PIN 碼、損壞 TPM 或更換硬件時用來解鎖驅動器。這個恢復鑰匙可以安全地儲存或打印出來。

Exam-Outline-2024

Domain 1: 安全與風險管理 (Security and Risk Management)

• 1.1 理解、遵守並推廣專業道德 (2-4 items)
  • 1.1.1 ISC2 專業道德守則(ISC2 Code of Professional Ethics)
  • 1.1.2 組織道德規範(Organizational code of ethics)
• 1.2 理解並應用安全概念
  • 1.2.1 保密性、完整性與可用性、真實性和不可否認性(資訊安全的五大支柱)
• 1.3 評估、應用並維護安全治理原則
  • 1.3.1 將安全功能與商業策略、目標、使命和目的對齊
  • 1.3.2 組織流程，例如：
    • 收購(acquisitions)
    • 剝離(divestitures)
    • 治理委員會(governance committees)
  • 1.3.3 組織角色與責任
  • 1.3.4 安全控制框架，例如：
    • 國際標準化組織（ISO）
    • 國家標準與技術研究院（NIST）
    • 資訊及相關技術控制目標（COBIT）
    • Sherwood Applied Business Security Architecture (SABSA)
    • 支付卡行業（PCI）
    • 聯邦風險和授權管理計劃（FedRAMP）
  • 1.3.5 適當注意與盡職調查 (Due care/due diligence)
• 1.4 理解法律、監管及符合性問題，涉及全面的資訊安全
  • 1.4.1 網絡犯罪(Cybercrimes)與數據洩露(Data breaches)
  • 1.4.2 授權(Licensing)和知識產權要求(Intellectual Property requirements)
  • 1.4.3 進出口(Import/export)控制
  • 1.4.4 跨境數據流 (Transborder data flow)
  • 1.4.5 隱私問題，例如：
    • 通用數據保護條例（GDPR）
    • 加州消費者隱私法(California Consumer Privacy Act，CCPA)
    • 中華人民共和國個人信息保護法(Personal Information Protection Law)
    • 個人資訊保護法案(Protection of Personal Information Act)
  • 1.4.6 合約(Contractual)、法律(Legal)、行業標準(Industry standards)和監管要求(Regulatory requirements)
• 1.5 理解調查類型的要求，如:
  • 行政(administrative)
  • 刑事(criminal)
  • 民事(civil)
  • 監管(regulatory)
  • 行業標準(industry standards)
• 1.6 開發(Develop)、記錄(document)、實施安全政策(implement security policy)、標準(standards)、程序(procedures)和指南(guidelines)
• 1.7 識別、分析、評估、優先排序並實施業務持續性（BC）要求
  • 1.7.1 業務衝擊分析 (BIA)
  • 1.7.2 外部依賴(External dependencies)
• 1.8 貢獻並執行人員安全政策和程序
  • 1.8.1 候選人篩選和招聘(Candidate screening and hiring)
  • 1.8.2 雇傭協議(Employment agreements)和政策驅動(policy driven)的要求
  • 1.8.3 入職(Onboarding)、調動(transfers)和離職(termination)過程
  • 1.8.4 供應商、顧問和承包商協議和控制(Vendor, consultant, and contractor agreements and controls)
• 1.9 理解並應用風險管理概念
  • 1.9.1 威脅和脆弱性識別(Threat and vulnerability identification)
  • 1.9.2 風險分析、評估和範圍(Risk analysis, assessment, and scope)
  • 1.9.3 風險反應和處理(Risk response and treatment)，例如:
    • 網絡安全保險(cybersecurity insurance)
  • 1.9.4 適用類型的控制(Applicable types of controls)，例如:
    • 預防(preventive)
    • 檢測(detection)
    • 糾正(corrective)
  • 1.9.5 安全控制評鑑(Control assessments)，例如:
    • 安全和隱私(security and privacy)
  • 1.9.6 持續監控和測量(Continuous monitoring and measurement)
  • 1.9.7 報告(Reporting)，例如:
    • 內部(internal)
    • 外部(external)
  • 1.9.8 持續改進，例如:
    • 風險成熟度模型(risk maturity modeling)
  • 1.9.9 風險框架，例如:
    • 國際標準化組織（ISO）
    • 國家標準與技術研究院（NIST）
    • 資訊及相關技術控制目標（COBIT）
    • Sherwood Applied Business Security Architecture (SABSA)
    • 支付卡行業（PCI））
• 1.10 理解並應用威脅模型概念與方法(Understand and apply threat modeling concepts and methodologies)
• 1.11 應用供應鏈風險管理 (SCRM) 概念
  • 1.11.1 與從供應商和提供者購買產品和服務相關的風險，例如:
    • 產品篡改(product tampering)
    • 假冒(counterfeits)
    • 植入物(implants)
  • 1.11.2 風險緩解措施，例如:
    • 第三方評估與監控(third-party assessment and monitoring)
    • 最低安全要求(minimum security requirements)
    • 服務水平要求(service level requirements)
    • 硅根信任(silicon root of trust)
    • 物理不可複製功能(physically unclonable function)
    • 軟件物料清單(software bill of materials，BOM)
• 1.12 建立並維護安全意識、教育和培訓計劃
  • 1.12.1 提升意識和培訓的方法和技術，例如:
    • 社交工程(social engineering)
    • 網絡釣魚(phishing)
    • 安全冠軍(security champions)
    • 遊戲化(gamification)
  • 1.12.2 定期內容審查以包括新興技術和趨勢，例如:
    • 加密貨幣(cryptocurrency)
    • 人工智慧 (AI)
    • 區塊鏈(blockchain)
  • 1.12.3 評估計劃效果(Program effectiveness evaluation)

Domain 2: 資產安全 (Asset Security)

• 2.1 識別並分類資訊和資產(Identify and classify information and assets)
  • 2.1.1 數據分類(Data classification)
  • 2.1.2 資產分類(Asset classification)
• 2.2 建立資訊和資產處理要求(Establish information and asset handling requirements)
• 2.3 安全提供資訊和資產(Provision information and assets securely)
  • 2.3.1 資訊和資產所有權(Information and asset ownership)
  • 2.3.2 資產清單(Asset inventory)
    • 有形資產(Tangible)
    • 無形資產(Intangible)
  • 2.3.3 資產管理(Asset management)
• 2.4 管理數據生命周期(Manage data lifecycle)
  • 2.4.1 數據角色(Data roles)
    • 擁有者(Owners)
    • 控制者(Controllers)
    • 監管者(Custodians)
    • 處理者(Processors)
    • 使用者/對象(Users/Subjects)
  • 2.4.2 數據收集(Data collection)
  • 2.4.3 數據位置(Data location)
  • 2.4.4 數據維護(Data maintenance)
  • 2.4.5 數據保存(Data retention)
  • 2.4.6 數據殘留(Data remanence)
  • 2.4.7 數據銷毀(Data destruction)
• 2.5 確保適當的資產保留(Ensure appropriate asset retention)
  • 壽命終結(End of Life, EOL)
  • 支持終結(End of Support)
• 2.6 確定數據安全控制和合規要求(Determine data security controls and compliance requirements)
  • 2.6.1 數據狀態(Data states)
    • 使用中(In use)
    • 傳輸中(In transit)
    • 靜止中(At rest)
  • 2.6.2 範圍定義和定制(Scoping and tailoring)
  • 2.6.3 標準選擇(Standards selection)
  • 2.6.4 數據保護方法(Data protection methods)
    • 數位權利管理(Digital Rights Management, DRM)
    • 數據丟失預防(Data loss prevention, DLP)
    • 雲訪問安全代理(Cloud access security broker, CASB)

Domain 3: Security Architecture and Engineering (安全架構與工程)

• 3.1 運用安全設計原則研究、實施及管理工程流程(Research, implement, and manage engineering processes using secure design principles)
  • 3.1.1 威脅建模(Threat modeling)
  • 3.1.2 最小權限原則(Least privilege)
  • 3.1.3 深層防禦(Defense in depth)
  • 3.1.4 安全預設(Secure defaults)
  • 3.1.5 安全失敗(Fail securely)
  • 3.1.6 職責分離(Segregation of Duties, SoD)
  • 3.1.7 保持簡單和小型化(Keep it simple and small)
  • 3.1.8 零信任或信任但驗證(Zero trust or trust but verify)
  • 3.1.9 設計時考慮隱私(Privacy by design)
  • 3.1.10 共享責任(Shared responsibility)
• 3.2 理解安全模型的基本概念(Understand the fundamental concepts of security models)
  • 3.2.1 例如Biba、星形模型、Bell-LaPadula等安全模型(Security models like Biba, Star Model, Bell-LaPadula)
• 3.3 根據系統安全要求選擇控制措施(Select controls based upon systems security requirements)
• 3.4 理解資訊系統的安全能力(Understand security capabilities of Information Systems)
  • 3.4.1 記憶體保護(Memory protection)
  • 3.4.2 可信平台模組(Trusted Platform Module, TPM)
  • 3.4.3 加密/解密(Encryption/decryption)
• 3.5 評估和減輕安全架構、設計和解決方案元素的漏洞(Assess and mitigate the vulnerabilities of security architectures, designs, and solution elements)
  • 3.5.1 基於客戶端的系統(Client-based systems)
  • 3.5.2 基於伺服器的系統(Server-based systems)
  • 3.5.3 數據庫系統(Database systems)
  • 3.5.4 密碼系統(Cryptographic systems)
  • 3.5.5 操作技術/工業控制系統(Operational Technology/industrial control systems, ICS)
  • 3.5.6 基於雲的系統(Cloud-based systems)
  • 3.5.7 分散式系統(Distributed systems)
  • 3.5.8 物聯網(Internet of Things, IoT)
  • 3.5.9 微服務(Microservices)
  • 3.5.10 容器化(Containerization)
  • 3.5.11 無伺服器架構(Serverless)
  • 3.5.12 嵌入式系統(Embedded systems)
  • 3.5.13 高性能計算系統(High-Performance Computing systems)
  • 3.5.14 邊緣計算系統(Edge computing systems)
  • 3.5.15 虛擬化系統(Virtualized systems)
• 3.6 選擇和確定加密解決方案(Select and determine cryptographic solutions)
  • 3.6.1 加密生命週期(Cryptographic life cycle)
    • 鑰匙(Keys)
    • 演算法選擇(Algorithm selection)
  • 3.6.2 加密方法(Cryptographic methods)**
    • 對稱加密(Symmetric)
    • 非對稱加密(Asymmetric)
    • 橢圓曲線加密(Elliptic curves)
    • 量子加密(Quantum)
  • 3.6.3 公開鑰匙基礎建設(Public key infrastructure, PKI)
    • 量子鑰匙分配(Quantum key distribution)
  • 3.6.4 鑰匙管理實踐(Key management practices)
    • 輪替(Rotation)
  • 3.6.5 數位簽章和數位證書(Digital signatures and digital certificates)
    • 不可否認性(Non-repudiation)
    • 完整性(Integrity)
• 3.7 了解密碼分析攻擊方法(Understand methods of cryptanalytic attacks)
  • 3.7.1 暴力破解(Brute force)
  • 3.7.2 僅密文攻擊(Ciphertext only)
  • 3.7.3 已知明文攻擊(Known plaintext)
  • 3.7.4 頻率分析(Frequency analysis)
  • 3.7.5 選擇密文攻擊(Chosen ciphertext)
  • 3.7.6 實施攻擊(Implementation attacks)
  • 3.7.7 旁道攻擊(Side-channel)
  • 3.7.8 故障注入(Fault injection)
  • 3.7.9 時序攻擊(Timing)
  • 3.7.10 中間人攻擊(Man-in-the-middle, MITM)
  • 3.7.11 傳遞哈希攻擊(Pass the hash)
  • 3.7.12 克服巴士攻擊(Kerberos exploitation)
  • 3.7.13 勒索軟件(Ransomware)
• 3.8 應用安全原則於場地和設施設計(Apply security principles to site and facility design)
• 3.9 設計場地和設施安全控制(Design site and facility security controls)
  • 3.9.1 配線櫃/中間分配架(Wiring closets/intermediate distribution frame)
  • 3.9.2 伺服器房間/數據中心(Server rooms/data centers)
  • 3.9.3 媒體存儲設施(Media storage facilities)
  • 3.9.4 證據存儲(Evidence storage)
  • 3.9.5 限制區和工作區安全(Restricted and work area security)
  • 3.9.6 公用設施與暖通空調系統(Utilities and Heating, Ventilation, and Air Conditioning, HVAC)
  • 3.9.7 環境問題(Environmental issues)
    • 自然災害(Natural disasters)
    • 人為問題(Man-made)
  • 3.9.8 火災預防、檢測與壓制(Fire prevention, detection, and suppression)
  • 3.9.9 電力(Power)
    • 冗餘(Redundant)
    • 備份(Backup)
• 3.10 管理資訊系統生命周期(Manage the information system lifecycle)
  • 3.10.1 利害關係人的需求和要求(Stakeholders needs and requirements)
  • 3.10.2 需求分析(Requirements analysis)
  • 3.10.3 架構設計(Architectural design)
  • 3.10.4 開發/實施(Development/implementation)
  • 3.10.5 整合(Integration)
  • 3.10.6 驗證和確認(Verification and validation)
  • 3.10.7 過渡/部署(Transition/deployment)
  • 3.10.8 運營和維護/持續性(Operations and maintenance/sustainment)
  • 3.10.9 退役/處置(Retirement/disposal)

Domain 4: Communication and Network Security (通信與網絡安全)

• 4.1 在網絡架構中應用安全設計原則(Apply secure design principles in network architectures)
  • 4.1.1 開放系統互連(OSI)與傳輸控制協定/網際網路協定(TCP/IP)模型(Open System Interconnection (OSI) and Transmission Control Protocol/Internet Protocol (TCP/IP) models)
  • 4.1.2 網際網路協定(IP)版本4與6 (IPv6)(Internet Protocol (IP) version 4 and 6 (IPv6))
    • 單播(Unicast)、廣播(broadcast)、多播(multicast)、任播(anycast)
  • 4.1.3 安全協議(Secure protocols)
    • 網際網路協議安全(Internet Protocol Security, IPSec)
    • 安全殼層協議(Secure Shell, SSH)
    • 安全套接字層/傳輸層安全(Secure Sockets Layer/Transport Layer Security, SSL/TLS)
  • 4.1.4 多層協議的影響(Implications of multilayer protocols)
  • 4.1.5 匯聚協議(Converged protocols)
    • 網際網路小型計算機系統介面(Internet Small Computer Systems Interface, iSCSI)
    • 網際網路語音協議(Voice over Internet Protocol, VoIP)
    • 以太網上的InfiniBand(InfiniBand over Ethernet)
    • 計算表達連接(Compute Express Link)
  • 4.1.6 傳輸架構(Transport architecture)
    • 拓撲、數據/控制/管理平面、直通/存儲轉發(Topology, data/control/management plane, cut-through/store-and-forward)
  • 4.1.7 性能指標(Performance metrics)
    • 頻寬、延遲、抖動、吞吐量、信噪比(Bandwidth, latency, jitter, throughput, signal-to-noise ratio)
  • 4.1.8 流量流向(Traffic flows)
    • 南北流、東西流(North-south, east-west)
  • 4.1.9 物理分段(Physical segmentation)
    • 帶內、帶外、氣隙隔離(In-band, out-of-band, air-gapped)
  • 4.1.10 邏輯分段(Logical segmentation)
    • 虛擬局域網(Virtual local area networks, VLANs)
    • 虛擬私人網路(Virtual private networks, VPNs)
    • 虛擬路由與轉發(Virtual routing and forwarding)
    • 虛擬域(virtual domain)
  • 4.1.11 微分段(Micro-segmentation)
    • 網絡覆蓋/封裝；分散式防火牆、路由器、入侵檢測系統/入侵防禦系統、零信任(Network overlays/encapsulation; distributed firewalls, routers, intrusion detection system (IDS)/intrusion prevention system (IPS), zero trust)
  • 4.1.12 邊緣網絡(Edge networks)
    • 進口/出口、對等互連(Ingress/egress, peering)
  • 4.1.13 無線網絡(Wireless networks)
    • 藍牙、Wi-Fi、Zigbee、衛星(Bluetooth, Wi-Fi, Zigbee, satellite)
  • 4.1.14 蜂窩/移動網絡(Cellular/mobile networks)
    • 4G、5G(4G, 5G)
  • 4.1.15 內容分發網絡(Content distribution networks, CDN)
  • 4.1.16 軟件定義網絡(Software defined networks, SDN)
    • 應用程式介面、軟體定義廣域網絡、網絡功能虛擬化(Application programming interface (API), Software-Defined Wide-Area Network, network functions virtualization)
  • 4.1.17 虛擬私有雲(Virtual Private Cloud, VPC)
  • 4.1.18 監控與管理(Monitoring and management)
    • 網絡可觀察性、流量流動/塑形、容量管理、故障檢測與處理(Network observability, traffic flow/shaping, capacity management, fault detection and handling)
• 4.2 保護網絡組件(Secure network components)
  • 4.2.1 基礎設施的操作(Operation of infrastructure)
    • 冗餘電源、保固、支援(Redundant power, warranty, support)
  • 4.2.2 傳輸媒介(Transmission media)
    • 媒體的物理安全、信號傳播品質(Physical security of media, signal propagation quality)
  • 4.2.3 網絡訪問控制系統(Network Access Control, NAC systems)
    • 物理與虛擬解決方案(Physical, and virtual solutions)
  • 4.2.4 端點安全(Endpoint security)
    • 主機基礎(Host-based)
• 4.3 根據設計實施安全通信通道(Implement secure communication channels according to design)
  • 4.3.1 語音、視頻和協作(Voice, video, and collaboration)
    • 會議、Zoom會議室(Conferencing, Zoom rooms)
  • 4.3.2 遠程訪問(Remote access)
    • 網絡管理功能(Network administrative functions)
  • 4.3.3 數據通信(Data communications)
    • 回程網絡、衛星(Backhaul networks, satellite)
  • 4.3.4 第三方連接(Third-party connectivity)
    • 電信提供商、硬件支持(Telecom providers, hardware support)

Domain 5: Identity and Access Management (身份與訪問管理)

• 5.1 控制對資產的物理和邏輯訪問(Control physical and logical access to assets)
  • 5.1.1 資訊(Information)
  • 5.1.2 系統(Systems)
  • 5.1.3 設備(Devices)
  • 5.1.4 設施(Facilities)
  • 5.1.5 應用程序(Applications)
  • 5.1.6 服務(Services)
• 5.2 設計身份識別和認證策略(Design identification and authentication strategy)
  • 5.2.1 群組和角色(Groups and Roles)
  • 5.2.2 認證、授權和記帳(Authentication, Authorization and Accounting, AAA)
    • 多因素認證，無密碼認證(Multi-factor authentication, password-less authentication)
  • 5.2.3 會話管理(Session management)
  • 5.2.4 註冊、證明和確立身份(Registration, proofing, and establishment of identity)
  • 5.2.5 聯合身份管理(Federated Identity Management, FIM)
  • 5.2.6 憑證管理系統(Credential management systems)
    • 密碼保險庫(Password vault)
  • 5.2.7 單一登錄(Single sign-on, SSO)
  • 5.2.8 及時(Just-In-Time)
• 5.3 與第三方服務的聯合身份(Federated identity with a third-party service)
  • 5.3.1 本地(On-premise)
  • 5.3.2 雲端(Cloud)
  • 5.3.3 混合(Hybrid)
• 5.4 實施和管理授權機制(Implement and manage authorization mechanisms)
  • 5.4.1 基於角色的訪問控制(Role-based access control, RBAC)
  • 5.4.2 基於規則的訪問控制(Rule-based access control)
  • 5.4.3 強制訪問控制(Mandatory access control, MAC)
  • 5.4.4 自由裁量訪問控制(Discretionary access control, DAC)
  • 5.4.5 基於屬性的訪問控制(Attribute-based access control, ABAC)
  • 5.4.6 基於風險的訪問控制(Risk-based access control)
  • 5.4.7 訪問政策實施(Access policy enforcement)
    • 政策決策點，政策實施點(Policy decision point, policy enforcement point)
• 5.5 管理身份和訪問提供的生命週期(Manage the identity and access provisioning lifecycle)
  • 5.5.1 帳戶訪問審查(Account access review)
  • 5.5.2 提供和取消提供(Provisioning and deprovisioning)
    • 上/下船和轉移(On/off boarding and transfers)
  • 5.5.3 角色定義和轉換(Role definition and transition)
  • 5.5.4 特權提升(Privilege escalation)
    • 使用sudo，審計其使用(Use of sudo, auditing its use)
  • 5.5.5 服務帳戶管理(Service accounts management)
• 5.6 實施認證系統(Implement authentication systems)

Domain 6: Security Assessment and Testing (安全評估與測試)

• 6.1 設計與驗證評估、測試和審計策略(Design and validate assessment, test, and audit strategies)
  • 6.1.1 內部，例如在組織控制範圍內(Internal (e.g., within organization control))
  • 6.1.2 外部，例如在組織控制範圍之外(External (e.g., outside organization control))
  • 6.1.3 第三方，例如在企業控制範圍之外(Third-party (e.g., outside of enterprise control))
  • 6.1.4 位置，例如本地、雲端、混合(Location (e.g., on-premise, cloud, hybrid))
• 6.2 進行安全控制測試(Conduct security controls testing)
  • 6.2.1 弱點評估(Vulnerability assessment)
  • 6.2.2 滲透測試，例如紅隊、藍隊和/或紫隊練習(Penetration testing (e.g., red, blue, and/or purple team exercises))
  • 6.2.3 日誌審查(Log reviews)
  • 6.2.4 合成交易/基準測試(Synthetic transactions/benchmarks)
  • 6.2.5 代碼審查和測試(Code review and testing)
  • 6.2.6 濫用情境測試(Misuse case testing)
  • 6.2.7 覆蓋率分析(Coverage analysis)
  • 6.2.8 介面測試，例如用戶介面、網絡介面、API(Interface testing (e.g., user interface, network interface, API))
  • 6.2.9 侵犯攻擊模擬(Breach attack simulations)
  • 6.2.10 合規性檢查(Compliance checks)
• 6.3 收集安全程序數據，例如技術和行政數據(Collect security process data (e.g., technical, and administrative))
  • 6.3.1 帳戶管理(Account management)
  • 6.3.2 管理審查和批准(Management review and approval)
  • 6.3.3 關鍵績效和風險指標(Key performance and risk indicators)
  • 6.3.4 備份驗證數據(Backup verification data)
  • 6.3.5 訓練和意識(Training and awareness)
  • 6.3.6 災難恢復和業務持續性(Disaster recovery (DR) and Business Continuity (BC))
• 6.4 分析測試輸出並生成報告(Analyze test output and generate report)
  • 6.4.1 補救(Remediation)
  • 6.4.2 異常處理(Exception handling)
  • 6.4.3 道德披露(Ethical disclosure)
• 6.5 進行或促進安全審計(Conduct or facilitate security audits)
  • 6.5.1 內部，例如在組織控制範圍內(Internal (e.g., within organization control))
  • 6.5.2 外部，例如在組織控制範圍之外(External (e.g., outside organization control))
  • 6.5.3 第三方，例如在企業控制範圍之外(Third-party (e.g., outside of enterprise control))
  • 6.5.4 位置，例如本地、雲端、混合(Location (e.g., on-premise, cloud, hybrid))

Domain 7: Security Operations (安全操作)

• 7.1 了解並遵守調查(Understand and comply with investigations)
  • 7.1.1 證據收集與處理(Evidence collection and handling)
  • 7.1.2 報告與文件化(Reporting and documentation)
  • 7.1.3 調查技巧(Investigative techniques)
  • 7.1.4 數字取證工具、策略與程序(Digital forensics tools, tactics, and procedures)
  • 7.1.5 文物，例如數據、電腦、網絡、移動設備(Artifacts (e.g., data, computer, network, mobile device))
• 7.2 進行記錄與監控活動(Conduct logging and monitoring activities)
  • 7.2.1 入侵檢測與防禦系統(Intrusion detection and prevention system, IDPS)
  • 7.2.2 安全資訊與事件管理(Security information and event management, SIEM)
  • 7.2.3 安全編排、自動化與響應(Security orchestration, automation and response, SOAR)
  • 7.2.4 持續監控與調整(Continuous monitoring and tuning)
  • 7.2.5 出口監控(Egress monitoring)
  • 7.2.6 日誌管理(Log management)
  • 7.2.7 威脅情報，例如威脅源、威脅狩獵(Threat intelligence (e.g., threat feeds, threat hunting))
• 7.3 進行配置管理(Perform configuration management (CM))
• 7.4 應用基礎安全操作概念(Apply foundational security operations concepts)
  • 7.4.1 需要知道/最小特權(Need-to-know/least privilege)
  • 7.4.2 職責分離與責任(Segregation of Duties (SoD) and responsibilities)
  • 7.4.3 特權帳戶管理(Privileged account management)
  • 7.4.4 工作輪換(Job rotation)
  • 7.4.5 服務水平協議(Service-level agreements, SLA)
• 7.5 應用資源保護(Apply resource protection)
  • 7.5.1 媒體管理(Media management)
  • 7.5.2 媒體保護技術(Media protection techniques)
  • 7.5.3 靜態數據/傳輸中的數據(Data at rest/data in transit)
• 7.6 進行事件管理(Conduct incident management)
  • 7.6.1 檢測(Detection)
  • 7.6.2 回應(Response)
  • 7.6.3 緩解(Mitigation)
  • 7.6.4 報告(Reporting)
  • 7.6.5 恢復(Recovery)
  • 7.6.6 補救(Remediation)
  • 7.6.7 經驗教訓(Lessons learned)
• 7.7 操作和維護檢測及預防措施(Operate and maintain detection and preventative measures)
  • 7.7.1 防火牆(Firewalls)
  • 7.7.2 入侵檢測系統和入侵預防系統(Intrusion detection systems (IDS) and intrusion prevention systems (IPS))
  • 7.7.3 白名單/黑名單(Whitelisting/blacklisting)
  • 7.7.4 第三方提供的安全服務(Third-party provided security services)
  • 7.7.5 沙盒(Sandboxing)
  • 7.7.6 誘餌系統/誘餌網路(Honeypots/honeynets)
  • 7.7.7 反惡意軟體(Anti-malware)
  • 7.7.8 基於機器學習和人工智能的工具(Machine learning and artificial intelligence (AI) based tools)
• 7.8 實施和支持補丁和漏洞管理(Implement and support patch and vulnerability management)
• 7.9 了解並參與變更管理過程(Understand and participate in change management processes)
  • 7.10 實施恢復策略(Implement recovery strategies)
  • 7.10.1 備份存儲策略(Backup storage strategies)
    • 雲存儲、現場、離場(Cloud storage, onsite, offsite)
  • 7.10.2 恢復站點策略(Recovery site strategies)
    • 冷備份與熱備份、資源容量協議(Cold vs. hot, resource capacity agreements)
  • 7.10.3 多個處理站點(Multiple processing sites)
  • 7.10.4 系統韌性、高可用性、服務品質和容錯(System resilience, high availability (HA), Quality of Service (QoS), and fault tolerance)
• 7.11 實施災難恢復流程(Implement disaster recovery (DR) processes)
  • 7.11.1 回應(Response)
  • 7.11.2 人員(Personnel)
  • 7.11.3 通訊(Communications)
    • 方法(Methods)
  • 7.11.4 評估(Assessment)
  • 7.11.5 恢復(Restoration)
  • 7.11.6 培訓和意識(Training and awareness)
  • 7.11.7 經驗教訓(Lessons learned)
• 7.12 測試災難恢復計劃(Test disaster recovery plan (DRP))
  • 7.12.1 閱讀/桌面演練(Read-through/tabletop)
  • 7.12.2 走查(Walkthrough)
  • 7.12.3 模擬(Simulation)
  • 7.12.4 平行(Parallel)
  • 7.12.5 完全中斷(Full interruption)
  • 7.12.6 溝通(Communications)
    • 利害關係人、測試狀態、監管者(Stakeholders, test status, regulators)
• 7.13 參與業務連續性規劃和演練(Participate in Business Continuity (BC) planning and exercises)
• 7.14 實施和管理實體安全(Implement and manage physical security)
  • 7.14.1 邊界安全控制(Perimeter security controls)
  • 7.14.2 內部安全控制(Internal security controls)
• 7.15 處理人員安全和保安問題(Address personnel safety and security concerns)
  • 7.15.1 旅行(Travel)
  • 7.15.2 安全培訓和意識(Security training and awareness)
    • 內部威脅、社交媒體影響、雙因素認證疲勞(Insider threat, social media impacts, two-factor authentication (2FA) fatigue)
  • 7.15.3 緊急管理(Emergency management)
  • 7.15.4 脅迫(Duress)

Domain 8: Software Development Security (軟體開發安全)

• 8.1 了解並整合軟件開發生命周期中的安全(Understand and integrate security in the Software Development Life Cycle, SDLC)
  • 8.1.1 開發方法論(Development methodologies)
    • 敏捷、瀑布、DevOps、DevSecOps、擴展敏捷框架(Agile, Waterfall, DevOps, DevSecOps, Scaled Agile Framework)
  • 8.1.2 成熟度模型(Maturity models)
    • 能力成熟度模型、軟件保障成熟度模型(Capability Maturity Model, CMM, Software Assurance Maturity Model, SAMM)
  • 8.1.3 運營和維護(Operation and maintenance)
  • 8.1.4 變更管理(Change management)
  • 8.1.5 整合產品團隊(Integrated Product Team)
• 8.2 識別並應用軟件開發生態系統中的安全控制(Identify and apply security controls in software development ecosystems)
  • 8.2.1 程式語言(Programming languages)
  • 8.2.2 庫(Libraries)
  • 8.2.3 工具集(Tool sets)
  • 8.2.4 集成開發環境(Integrated Development Environment, IDE)
  • 8.2.5 運行時(Runtime)
  • 8.2.6 持續集成和持續交付(Continuous Integration and Continuous Delivery, CI/CD)
  • 8.2.7 軟體配置管理(Software Configuration Management)
  • 8.2.8 源碼倉庫(Code repositories)
  • 8.2.9 應用安全測試(Application security testing)
    • 靜態、動態、軟體組成分析、互動式應用安全測試(Static, dynamic, software composition analysis, Interactive Application Security Test, IAST)
• 8.3 評估軟件安全的有效性(Assess the effectiveness of software security)
  • 8.3.1 變更的審計和記錄(Auditing and logging of changes)
  • 8.3.2 風險分析和緩解(Risk analysis and mitigation)
• 8.4 評估獲得軟件的安全影響(Assess security impact of acquired software)
  • 8.4.1 商業現成軟件(Commercial off-the-shelf, COTS)
  • 8.4.2 開源(Open source)
  • 8.4.3 第三方(Third-party)
  • 8.4.4 管理服務(Managed services)
    • 企業應用(Enterprise applications)
  • 8.4.5 雲服務(Cloud services)
    • 軟件即服務、基礎設施即服務、平台即服務(SaaS, IaaS, PaaS)
• 8.5 定義並應用安全編碼指南和標準(Define and apply secure coding guidelines and standards)
  • 8.5.1 源代碼層面的安全弱點和漏洞(Security weaknesses and vulnerabilities at the source-code level)
  • 8.5.2 應用程式編程介面的安全性(Security of application programming interfaces, API)
  • 8.5.3 安全編碼實踐(Secure coding practices)
  • 8.5.4 軟體定義安全(Software-defined security)