CCSP - HackMD

###### tags: `CCSP` `雲端安全` `ISC2` `證照` # CCSP **Author:陳詰昌 Email: power.shell@gmail.com** CCSP Exam Weight * Domain 1: Cloud Comcept,Architecture and Design 17% * Domain 2: Cloud Data Security 19% * Domain 3: Cloud Platform and Infrastructure Security 17% * Domain 4: Cloud Application Security 17% * Domain 5: Cloud Security Operations 17% * Domain 6: Legal, Risk and Compliance 13% ## Domain 1: Cloud Comcept,Architecture and Design ### 1.1 雲計算的概念 * 定義:雲端運算是一種模型，可以方便、隨需網路存取設定的計算資源內共用資源池，以最小管理負擔來快速的提供或釋出資源。這種模型由五種必要特性、三種服務模式及四種部署模型。 #### 角色: * 服務消費者(CSC) * 服務(Carrier):通常為ISP * 服務提供者(Provider) * 服務稽核者(Auditor) * 服務代理商(Broker) #### 特性: (ISO 17788) * 隨需自助服務on-demand self-service * 寬頻存取 broad network access * 多租戶 multi-tenancy * 快速彈性 rapid elasticity * 資源池 resource pooling * 可量測服務 measured service #### Block technology * 虛擬化 virtualiztion * 將處理程序、記憶體及功能從執行電腦上抽象化 * 依靠hypervisor達成 * bare metal:直接在硬體上執行 * 在作業系統上執行 * 可能發生問題:guest escape ![VM](https://hackmd.io/_uploads/ByNkojq1n.png) * 儲存 storage * 網路 networking * 資料庫 database * 偕同(orchestration) * conatiner ### 1.2 雲參考架構 #### Cloud Computing Activities #### Cloud Service Capabilities (不要記) * application capability type * platform capability type * infrastructure capability type #### Cloud Service Categories * IaaS:CSP提供設備、硬體、網路，消費者自己建立VM、OS、APP、資料 * PaaS:CSP提供設備、硬體、網路、VM及OS，消費者自己建立APP及資料；消費者若要開發軟體或使用DB engine最好用，可以在不同平台測試。 * SaaS:CSP提供設備、硬體、網路、VM、OS及APP，消費者自己建立資料 #### Cloud Depolyment Models * Public:公有雲，多用戶共用CSP資源，成本最低、控制項最少 * Private:私有雲，單一用戶使用CSP資源(有限)。政府情治機關常用此方案。 * Community:社群雲，特定群體共享CSP資源。類似私有雲，但由社群成員分擔費用。 * Hybrid:混合雲，混合以上2種以上模式；當消費者公有雲，而其私有雲容量超過時，稱為cloud bursting。 #### Cloud Shared Considerations * interoperability * portability * reversibility * Availability * Security * privacy * performance * Governance * maintenance and versioning * SLA * auditability * regulatory #### Impact of Related Technologies * Machine learning * AI * Blockchain * IoT * Conatiner * Quantum Computing ### 1.3 雲端安全概念 #### 加密與金鑰管理 * 明文 * 祕聞 * 加密 * 解密 * 金鑰 * work factor * key space * IV * 對稱式加密 * 非對稱式加密 * 金鑰管理最佳實踐(勿將金鑰儲存在加密資料的系統上) * 以安全方式產生金鑰 * 金鑰外洩，資料可能外洩 * 金鑰備份或複製可能增加風險 * 金鑰託管 * 雲端金鑰管理 * 提供商:管理金鑰生成、分配及儲存 * 消費者:消費者產生及分配金鑰，儲存在使用者或集中存放，有時稱為BYOK(bring your own key) * 第三方:CASB(Cloud Access Security Broker)介於消費者與提供商之間來處理這功能。 #### 存取控制 (IAM、IAAA、IdM) * Identification * identity assertion: 唯一identifier * 不須保持機密 * Authentication * 保持機密性 * password * Authorization * 基於認證授予權限給主體 * Accountability * 主體處理哪一筆交易 * 不可否認 * 供裝: 替新用戶創建憑證及帳號 * 管理: 資產所有者必須定期審視存取資源權限 * 升遷、停職或離職 * 去供裝: 移除存取權限 #### 資料與媒體消毒 #### 網路安全 * 網路隔離(segmentation and isolation):物理上或邏輯上隔離 * 主要服務提供商都用虛擬方式達到此目的 #### 虛擬化安全 * hypervisor * vare metal * from the OS * 容器安全 * 容器執行架構 * 容器內溝通 * 容器間溝通 * 容器內應用程式 * 存取控制 * 容器間協同 * 弱點掃描 * 版本控制 #### 常見威脅 * 資料被某人管理與儲存 * 雲端與消費者間通訊攔截 * 服務提供商中斷 * 公有雲架構，另一租戶能夠存取到我的資料嗎? * 雲服務提供商濫用我的信任 ### 1.4 雲安全設計原則 #### 雲端資料安全生命週期 #### 雲端DRP及BCP #### 成本效益分析 * 好處: * 支出: #### 功能性安全要求 * portability:由正式環境轉移到雲端或不同雲端或回到地端 * interoperability: * 傳統系統功能在雲端 * 雲端系統與其他雲提供商共同工作 * vendor lock-in * 缺少可攜性 * 缺少戶操作性 * 不佳契約語言 * vendor lockout * what happens if my cloud provider goes out of business #### 不同雲分類的安全考量 ### 1.5 雲服務提供商評估 #### 標準Criteria * ISO 27017 * PCI DSS #### 產品標準 * CC * FIPS 140-2 #### 評估 * 非自有財產難以評估 * 其他客戶不想讓自身機密暴露 * 只能仰賴外部第三方稽核報告 ## Domain 2: Cloud Data Security ### 2.1 雲資料概念 #### 雲資料生命週期 * Create: 第一次被蒐集或創造 * Store: 創建同時儲存 * Use: 操作資料 * Share: 傳送資料至其他系統 * Archive: 移出正式環境進到長期儲存 * Destory: 以安全方式刪除資料 #### 資料分散dispersion * 資料儲存在單一處，這地方將會無比重要且可能發生單點錯誤 * 資料分散即將資料集或檔案瓜分後分散至不同資產上或位置上 * RAID、雲端 * bit-splitting: 資料分散包含加密 * 可以用來 * 韌性:單一資料遺失，可以由其他地方回復 * 安全:單點外洩，沒有具價值資料可以取得 ### 2.2 雲資料儲存架構設計及執行 #### 儲存形式 * object storage * file storage * raw-disk/block * ephemeral * content distribution network(CDN) #### 對應威脅 * 非授權存取 * 雲服務提供商個人 * 第三方 * 資料傳送中攔截 * 雲獨有 * 其他租戶 * 執法部門扣留 * 可用性喪失 * 提供商錯誤 * 連線錯誤 ### 2.3 雲安源技術及策略設計及應用 #### 加密與金鑰管理 #### 雜湊 * Hash非加密 * one-way function，將明文轉換為固定長度，稱為hash value或digest * 可用來檢查資料完整性 * 常見有MD5、SHA，現在多採用sha256、sha3 * 好的Hash function具備以下特徵 * 明確性: 特定明文總是產生對應digest * 抗碰撞: 任兩個明文不會對應到同一個digest * 雪崩效應: 改變單一字元就會改變整個digest * 嚴格單向: 數學上無法由digest回推明文 #### Tokenization * 儲存機敏資料不使用加密 * 避免維持龐大加密資料的花費/難度/風險 * 依據許多標準與法規另一種可接受加密方式 * #### DLP * 出口檢查以確保敏感資料在允許方式下輸出 * 有硬體或軟體模式，佈署在物理或邏輯環境下某位置 * 三元件 * 發現 * 監控 * 執行 * 通常需要主機或區域內安裝AGENT * Cloud DLP選項可能是受限 #### 混碼 obfuscation與遮罩 masking * 修改資料使其無法馬上被識別 * 遮罩是混碼常見方法 * 目的是為減少未授權存取敏感資料的可能風險 #### 資料去識別:將個資上可識別部分去除 * 法規上要求 * 易於管理匿名資料集 ### 2.4 執行資料發現 #### 結構化資料 * 用來查詢 #### 非結構化資料 * Metadata * labels * content及 context analytics ### 2.5 執行資料分類 * 對照Mapping:用來追蹤資料元件在資料庫間 * 標籤labeling * 手動: 可能人為錯誤或缺乏統一標準 * 自動: 可能分類錯誤(misclassification) * 敏感資料 * 依據機敏或價值進行排序 * 不要超過4層 * BIA可以用於分析分類 ### 2.6 資訊產權管理(IRM)設計及執行 * IRM、DRM或ERM * 外加一層存取控制用來保護智財 * 必有以下特徵 * 永久性 * 集中式控制(改變屬性) * 時間因素(保護或存取期限) * 需要agent * 目標 * 適合工具 ### 2.7 資料保留、刪除及存檔政策的規劃與執行 #### 資料保留政策 * 基於法規與契約 * 通常不儲存超過必要程度 #### 資料刪除程序及機制 * 資料破壞 * 刪除 * 消磁 * 複寫 * 物理破壞 * 加密刪除 #### 資料存檔程序及機制 * 從正式環境移除，移到長期儲存區 * 考量點 * 頻率(完整、差異、增量) * 安全(傳輸中或儲存中) * 萃取 #### 法規規定 * 調查主體或民法行動在法律概念上，必須避免對證據造成的更動 * 除非法規或程序有另外規定 ### 2.8 資料事件的可稽核性、可追蹤性及可當責性 #### 定義事件及身分屬性的要求 * 任何IT環境的可被量測的活動 * 事件來源: 任何設備、APP、系統、執行序可被記錄下來的 #### 資料事件的記錄、儲存及分析 * 日誌主要目的是針對入侵者 * 最佳實踐 * 不要將日誌存在系統上 * 保護日誌檔優先於日誌來源的系統 * 使用SIEM考量點 * 自動化解決方案 * aggregation * normalization * secure centralized storage * analysis * reporting * alerts * 保存日誌檔特定長的時間 #### 證物監管鏈及不可否認性 * 監管鏈: 記錄從蒐集到法庭過程中所有詳細紀錄 * 不可否認: 不能否認其行為 * 強認證、非對稱加密、數位簽章及數位憑證 ## Domain 3: Cloud Platform and Infrastructure Security ### 3.1 清晰的雲架構元件 #### 物理環境 * 大型設備 * 通常地理位置上隔離 * 強大物理上縱深防禦 * 高比例由IT設備紀錄足跡 * 備援設備及HVAC * 少數人員 ![](https://hackmd.io/_uploads/ry-gy_2yh.png) #### 網路通訊 #### 計算 #### 虛擬化 #### 儲存 * tape * SSD * HDD * disk array #### 管理平面 * 雲提供商如何連結資料中心及維持雲端客戶可以使用資源 * 必須嚴格被保護 * 類似於管理介面，雲端客戶透過雲端進行管理功能 ### 3.2 設計安全資料中心 #### 邏輯設計 * 租戶分區 * 應用程式隔離 * 記憶體隔離 * 存取控制 #### 實體設計 * 位置 * 天然災害 * 天候 * 社會動盪 * 購入或自建 * 購入: 減少花費/啟動時間 * 自建: 設計專門做為雲資料中心的設備 #### 環境設計 * HCAC * 需要備援 * 多供應商管道連結 * 環境議題 * 不太熱:機器過熱 * 不太冷:人不舒服 * 不太濕: 細菌孳生 * 不太乾: 可能產生靜電 ### 3.3 分析與雲基礎架構相關風險 #### 名詞定義 * 風險 * 威脅 * 弱點 * 控制 * 風險偏好 #### 風險評鑑與分析 * 量化 * 目標 * 時間 * 花費 * 公式: ALE=SLE*ARO * 質化 * 主觀 * 快速 * 便宜 #### 雲漏洞、威脅與攻擊 * 非針對雲端 * 外部攻擊 * 機密性 * 可用性 * 內部威脅(惡意/疏失) * 系統錯誤 * 天然災害 * 針對雲端 * 租戶與租戶間外洩 * 治理控制的喪失 * 非針對雲端，但快速增加 * 遠端存取風險 * 監控 * 攔截 * 欺騙 #### 虛擬化風險 * guest escape: 同一實體機上某一虛擬機租戶可以存取到另一租戶虛擬機 * host escape: 某一虛擬機租戶可以存取到同一資料中心其他實體機 #### 應對策略 * 無嚴格邊界 * 縱深防禦 * 持續監控(雲監控適用於監控傳統與虛擬設備) ### 3.4 設計與計畫安全控制 #### 實體與環境保護 * 縱深防禦 * 存取控制 * 實體控制 * mantrap * turnstile * 環境保護(地端) #### 系統與通訊保護 * 系統保護 * 強化(hardening) * 移除非必要功能或帳號 * 入侵保護及防毒 * DLP/DRM * 存取控制 * 通訊保護 * 加密 * VPN #### 虛擬系統保護 * 對hypervisor組態或管理上嚴格存取控制 * 持續監控/維護 * 廠商指引 #### 雲架構的識別、認證、授權 * 參考 #### 稽核機制 * log蒐集 * 封包擷取 ### 3.5 災難復原與營運持續 #### 雲端環境風險 * 雲服務提供商資產可能未在不同位置(不同司法管轄) * Vendor lockout * 政治上議題 * 從一雲服務提供商到另一雲商的錯誤可能產生互操作性/可攜性議題 #### 營運要求(RTO、RPO、RSL(Recovery Service Level)) * MAD(max allowable downtime):MTD * RTO(recovery time objective) * RPO(recovery point objective) #### 營運持續/災難復原策略 * 熱備援/暖備援/冷備援 * 傳統資料中心: 可能使用雲端作為備援/異地正式環境 * 好處 * 不需要預先選擇地點 * 彈性 * 便宜 * 以使用雲端:可將另一雲提供商作為備援 * 假如是mirror/hot site可能會非常貴 * 潛在互操作性/可攜性議題 #### 計畫創建、執行及測試 * 建立 * 涉及利害關係人 * 高層的支持 * 執行 * 應變 * 個人 * 溝通 * 評鑑 * 復原 * 教育訓練 * 經驗學習 * 測試 * 讀一遍/桌面演練 * 平行演練 * 另一地點，不需要中斷正式環境 * 全中斷演練 * 像正式災難發生 * 風險高，可能造成真災難 ## Domain 4: cloud application security ### 4.1 提倡應用程式安全的培訓 #### 雲端開發基礎 * 雲端應用程式可能針對雲環境開發或從傳統IT環境移植 * 應用程式打算在雲端服務必須以虛擬環境來設計 * 優先考量雲端搬遷，客戶組織應決定什麼APP或功能需要上雲，"lift and shift"現行APP或設計取得新APP #### 常見弱點 * 應用程式由傳統IT環境移植到雲端不一定可行及安全 * 互操作性 * 非為多租戶環境設計 * 非為遠端存取設計 * 有些安全屬性無法移植到雲端 * 喪失對硬體或架構所有權 * 治理的喪失 * 開發者不熟悉雲端風險 ### 4.2 SSDLC流程 #### 業務要求 * 功能要求 * 需要APP做什麼 * 非功能要求 * 我還要這個APP是什麼? #### 階段與方法 * 階段 * 需求定義 * 設計 * 開發 * 確認/測試 * 維護及營運 * 退役 * 方法 * 瀑布式 * 傳統由上而下開發 * 非遞迴方法 * 確保符合契約及時間內交付 * 螺旋式 * 遞迴方式、階段式 * cleanroom * 零錯誤方法、貴、詳細 * 敏捷 * 軟體開發設計 * 鼓勵定期更新與疊代 * 較不重文件而重需求 * DevSecOps * 不同部門參與、包含維運、開發、品保、測試及安全 * CI/CD * 一種程式開發方法，將現存程式庫發給程式設計師，程式設計師修改後，送出至集中程式庫(repository)，更動蒐集並檢查後，發布為新版軟體 * CI/CD要定期做 * 適合虛擬或雲端環境 ### 4.3 套用SSDLC #### 開發時避免常見漏洞 * 開發時就要考量漏洞，而非開發完成後再加入 #### 雲特定風險 #### 品質保證 * 測試 #### 威脅建模 * STRIDE (Spoofing、Tampering、Repudiation、Information Disclosure 、Denial of Service、 Escalation) #### 軟體組態管理與版控 * 工具與流程自動化地管理、監控與確認軟體組態 * Puppet、Chef、Ansible ### 4.4 套用雲端軟體保證及驗證 #### 功能測試 * use case testing * misuse case testing * fuzz testing #### 安全測試方法 * 靜態應用安全測試(SAST) * review code * 慢且貴 * 需要程式背景知識 * 白箱 * 動態應用安全測試(DAST) * 程式執行時 * 黑箱 ### 4.5 使用安全驗證軟體隨著移動設備和應用程序使用的增加，API 變得越來越流行，並允許用戶通過 Internet 訪問系統和數據，但是它們的使用存在潛在的安全問題，這些問題可以通過第三方監控服務、安全採購流程和合同的最低安全要求來解決。此外，當組織使用第三方軟件時，他們可能會使用專有或開源軟件。專有軟件昂貴並且需要許可，但它允許有限的訪問並依賴於供應商來發現和解決漏洞。開源軟件更便宜並且允許定制源代碼，但它容易受到敵對實體的攻擊並且需要版本控制。組織可以使用經過驗證的開源軟件來確保安全性。 #### API * analogy * Web API * 安全議題 * 假如API存使用者憑證，任一人存取使用者設備/APP可以存取系統/資料 * #### 供應鏈管理 * 硬體或軟體在交付前進行滲透，讓攻擊者存取終端使用者環境 * 最低安全需求在採購合約內 * * SLA確保服務符合客戶需求 * 安全與效能 * 大量用在管理服務，如雲端運算 #### 第三方軟體管理 * proprietary * 源碼不提供給客戶檢視 * 安全基於有限存取及專家設計/執行為基礎之上 * 依賴廠商發現及解決漏洞 * 比開源軟體貴 * 需要授權 * 缺乏彈性 #### 驗證開源軟體 * 開源 * 開放給大家檢視 * 攻擊者易識別漏洞 * 允許客製化 * 版本控制困難 * 比套裝軟體便宜 ### 4.6 理解雲應用架構的細節雲應用架構是開發基於雲的應用程序的基礎。了解此體系結構的細節以及可用於保護它們的補充安全組件非常重要。這些組件包括 Web 應用程序防火牆 (WAF)、數據庫活動監控 (DAM)、可擴展標記語言 (XML) 防火牆、應用程序編程接口 (API) 網關、密碼學、沙盒、應用程序虛擬化和編排。 Web 應用程序防火牆用於監視 HTTP 流量，而 DAM 用作數據庫的防火牆。 XML 防火牆用於掃描 XML 流量，API 網關充當用戶、應用程序和服務之間的中介。密碼學有助於保護應用程序，但不應用於處理加密數據。沙盒可用於描述硬件或軟件實現，應用程序虛擬化和編排可用於將應用程序分割成各種功能，以抽象的方式提供給開發人員。許多雲供應商向開發人員提供這些功能。 #### 補充安全元素 * WAF:於應用程式層監控Http流量 * DAM(Database activity monitor) * 資料庫出入請求監控的解決方案 * XML FW: 用來掃描XML流量 * API Gateway * 扮演使用者/應用程式及服務/資料間中介解決方案 * 認證、路由及監控/限制活動 #### 加密 * 加密對應用程式或資料安全有幫助 * 應用程式不可能解開加密資料除非有key * 以未加密方式存放資料可能遭到攻擊 * 應用程式與服務間通訊應該加密，特別是傳送憑證或認證 #### 沙盒 * 硬體: 測試環境、模擬操作環境、從生產氣隙 * 軟體: 虛擬化/模擬底層機器，例如應用程式漏洞不能影響系統 #### 應用程式虛擬化與協同 * 將應用程式切為不同功能，提供這些功能給開發者/架構師 * 必免不同APP糾纏(減少相依性) * function as a service或microservices ### 4.7 設計適當身分識別及管理 #### 聯盟式認證及身分提供者 * 聯盟可以視為單一簽入後可以跨多個組織系統 * 某一組織使用者可以使用憑證去存取其他組織系統/資料 * 常見標準: OpenID、OAuth、SAML #### 單一簽入 * 允許使用者出示憑證一次，可以存取多個系統 * 強化使用者經驗及增進安全 * 使用者更可能使用強密碼 * 使用者減少寫下密碼 * 單點錯誤或單點外洩 #### 多因子認證 * 用來驗證主體的元素 * 三因子 * something you know * something you have * something you are * 多因子驗證智少有2個不同因子來驗證主體 * 生物特徵、CER、 #### CASB雲端存取安全中介 * 雲端使用者及雲提供商間的中介 * 系統或軟體或公司 * 提供不同服務 * 上傳前加密 * 金鑰管理 * 金鑰代管 ## Domain 5:雲端安全營運 ### 5.1 營運及建立雲端實體及邏輯架構 * 雲安全運營對於雲環境的安全至關重要。 * 根據雲提供商創建的安全基線去構建和實施雲環境中物理和邏輯基礎設施非常重要。 * 此安全基線應符合行業最佳實踐和供應商指南。 * 此外，對用於訪問雲的設備的訪問應該受到限制，並且 BIOS 應該受密碼保護。 * 此外，網絡和存儲控制器應具有強大的管理訪問控制，並且應應用虛擬硬件特定的安全配置。此外，在客戶系統上安裝操作系統時，它應該是一個內置安全性的操作系統。 * 硬體特定安全組態要求、虛擬化及TPM設定、儲存控制器及網路控制器 * 虛擬管理工具安裝與設定 #### 硬體特定安全組態需求 * BISO * 虛擬化及TPM設定 * 儲存控制器 * 網路控制器 * 雲端供應商 ### 5.2 雲端環境運營實體及邏輯架構 #### 設定本地及遠端存取的存取控制 * 提供者 * Secure keyboard Video Mouse (KVM) * 消費者 * console-based access mechanisms * 使用瀏覽器取代終端服務 * Windows Powershell或 AWS Management Console * Remote Desktop Protocol(RDP) * 終端服務 * 使用加密對抗攔截 * 強存取控制 #### 安全網路設定 * VLAN * 邏輯區隔網路 * TLS * 使用非對稱加密來創建對稱session key * DHCP * 集中式服務來指派IP到各主機 * 不安全協定 * 風險: 偽冒主機 * DNS * 將IP轉為URL * 風險: DNS poisoning/redirects * VPN * 客戶確保使用者透過安全方式連結 #### 透過應用程式基準強化作業系統 * 移除非必要應用程式/功能/函式庫 * 移除帳號/憑證 * 安裝 DRM/DLP/IDS/IPS/反惡意程式 * 依據信來源、客製環境基準安裝/設定、監督 #### 獨立單獨主機可用性 * 雲端代表 * 在雲機房內獨立硬體設備(提供商) * 獨立存取雲的設備(客戶) * 在雲端獨立運作的虛擬機 * 促進設備的可用性(實體或虛擬) * 韌性 * 取代性 * 適當強化 * 備份資料 #### 叢集主機可用性 * 雲端資料中心的硬體設備 * 分散資源排程(DRS):用來處理客戶請求的雲端元件選擇 * 動態最佳化(DO):live migration * 儲存叢集:叢集儲存比單體儲存具有韌性 * 維護模式: 離線用來保護設備上客戶資料/功能的程序 * 高可用性:透過redundancy/resiliency確保客戶可以存取雲端資產 #### 虛擬機客用作業系統(Guest Operating System)的可用性 * PaaS * 適當組態 * 適當維護 * 適當安全(D.4) ### 5.3 管理雲端環境中實體及邏輯架構 #### 遠端存取控制 * 5.2 #### 作業系統基準合規監控及 * 定期監控OS確保符合組態基準 * Sampling * Hashing #### 補丁管理 * 軟體的更新與修改 * 效能(主動)及安全(被動)因素 * 廠商發動 * 更新排程可能變動 * 優先順序 * 完整備份優先於補丁 * 必須準備回滾到上次正常狀態 #### 效能及能力監控 * 網路 * 足夠頻寬處理客戶流量 * 計算 * 處理能力足以符合客戶需求 * 儲存 * 足夠能力可以儲存客戶所有資料 * 反應時間 * 在不同需求之假定限制下可以應變(SLA、事故等) #### 硬體監控 * 供應商需監控每一設備以確保功能運作正常及最佳化 * 磁碟 * CPU * 風扇轉速 * 溫度 #### 主機設定及作業系統備份還原功能 * 已知良好OS版本必須隨時維持 * 金牌映像檔，更新也是整體組態管理的一部分 * 嚴格版本控制 * 定期回復練習 * 不變性雲端設定: guest OS不能改變，只有golden image可以改，並推送至環境 #### 網路安全控制 * 防火牆 * 用來偵監過濾網路間流量 * 通常在網路邊界 * 硬體/軟體 * WAF:監控http流量 * 與IDS/IPS相似，可以使用定義、行為或規則來進行過濾 * stateful inspection * honeypot * 模擬正式環境用來混淆攻擊找 * 軟體或硬體 * 通常放在網路邊界 * 沒有正式資料 * 用來取得攻擊者資訊 * 弱點評鑑 * 偵測已知弱點 * 通常自動化 * 假如使用已定義方法，無法偵測到零日漏洞 * 包含漏洞的優先順序 * 網路安全群組 * 1.3 #### 管理平面 * 1.1、3.1、4.6、5.2 ### 5.4 實施運營控制及標準 #### 變更管理 * 所有步驟都要記錄、紀錄、紀錄 * 設定部會保持不變，變更需要由正式、安全程序 * 變更管理委員會(CMB)或邊更控制委員會(CCB)或相似組織 * 由不同利害關係人所組成 * IT、安全、人資、高階管理、財會 * 典型程序: 請求、審視、核可/不核可、測試、實施、長期維護及營運、銷毀 #### 持續管理 * 5.2 #### 資安管理 #### 持續改善服務管理 #### 事故管理 * 5.7 #### 問題管理 * 5.7 #### 版本管理 * 5.3 #### 佈署管理 * 5.3 #### 組態管理 * 5.3 #### 服務水平管理 * 6.5 #### 可用性管理 * 5.2 #### 能力管理 * 1.1、4.6、5.3 ### 5.5 支持數位鑑識 #### 鑑識資料蒐集方法 * Chain of custody: 由蒐集開始到法庭過程都要留下紀錄 * 5大規則 * 真實: 顯示所主張的內容嗎? * 完整: 所有相關證據 * 可靠: 使用相同方法，可以得到相同結果 * 可信: 來源可信 * 可接受: 法院可接受 * 報告對象 * 法庭 * 投資者 * 執法機關 * 承銷商 * 公眾 * 監理機關 * 記錄下任何事，包含調查的時間及花費 * 內部使用的證據，一般由IT或資安個人所蒐集 * 用於法律行動之證據必須由受過訓練有經驗、證照的人員為之 * 證據來源 * 網路設備日誌 * 安全設備日誌 * 端點 * 人員 * 不使用正本以副本進行分析 * 使用正本時應避免更改 * 防寫器 * hash證明完整性 * 證物監管鏈事必要 * 建議請專家處理 * 與IT相關調查包含資料本身及系統 * 硬體及資料必須要謹慎處理 * 遵守證物監管鏈 #### 證據管理 #### 蒐集、取得及保存數位證據 ### 5.6 管理相關方的溝通 #### 集中式聯絡資訊 #### 事件處理/災難應變重要性 * 最佳實踐 * 單一發言人 * 專業溝通者 * 量身訂製訊息 * 及時但不急促 ### 5.7 管理安全營運 #### SOC * 監控環境、偵測及接收有關惡意活動報告及處理安全議題的集中化團隊 * 24/7 * 受過訓練專業人員 #### 安全控制的監控 #### 日誌獲取與分析 #### 事件管理 #### ## Domain 6: 法規、風險及合規 ### 6.1 雲法規需求及特有風險 * jurisdiction:司法管轄 * legislation: 法律，立法部門制定法律授權 * regulation: 法規，行政部門簽發法律授權 * liability: 法律責任，暴險 #### 與國際法規相衝突 * 雲提供商可能位在不同司法管轄地，具有不同法律框架 * 雲端使用者有位在不同地區雲時，遵守喇個地方的法律? #### 針對雲計算評估法規風險 * 多租戶: 取得一租戶資料時，可能也取得其他租戶資料 * 有些風險無法轉移 * 法律 * 移到雲端創造更多外洩可能 * 法律責任依舊在雲客戶身上 * 法律及司法管轄改變 * 立法部門鮮少了解技術 #### 法律框架及指引 * 民法:私人間衝突 * 刑法:國家對違規者 * 行政法: 主管機關創造並執行法規 #### eDiscovery #### 數位鑑識要求 ### 6.2 隱私議題 #### 合同及法規隱私資料 * 合同:法律上雙方共同承認，由法院民事或雙方執行 * 支付卡業的持卡人資料 * 規管:由立法機關或主管機關決定，並由主管機關或執法機關執行 * 健康保險資料HIPAA #### 標準隱私需求 * US * HIPAA * GLBA * FERPA * EU GDPR * 原則 * 目的限制 * 資料最小化 * 正確性 * 儲存限制 * 完整性及機密性 * 遺忘權 * 角色 * 資料主體 * 資料控制者 * 資料處理者 * 跨境限制 ### 6.3 稽核流程、方法及要求 #### 內稽及外稽控制 #### 稽核需求衝擊 #### 稽核報告種類 #### 稽核範圍宣告限制 #### 差距分析 #### 稽核計畫 #### ISMS #### 政策 #### 高監管產業特殊合規要求 ### 6.4 雲對企業風險管理的影響 #### 評鑑提供商風險管理計畫 #### 資料擁有者/控制者及資料管理者/處理者差異 #### 法規透明要求 #### 風險處置 #### 不同風險框架 #### 風險管理量測 #### 風險環境評鑑 ### 6.5 外包及雲合約設計 #### 商業需求 * SLA(Service Level Agreement)服務等級協定: 通常用於管理供裝安排(如雲服務)，設定目標確保供應商及客戶都獲得契約價值 * 經常重複性活動 * 每一SLA元件需要特定數值 * 與獎金激勵綁定 * 避免被供應商綁架(lock-in and lock-out) * lock-in:轉換成本高，不得不繼續用 * lock-out:相反，轉換過去要相當成本 * MSA(Master Service Agreement)主服務協定:框架合同 * SOW(Statement of Work)工作說明簡要:供應商要提供給客戶的活動，定義專案有關的活動、交付成果以及時程。 #### 供應商管理 * 有套方法確保供應商符合SLA * 方法及排定期程應該在契約被詳細列出 #### 合約管理 * 稽核權 * 量測 * 定義 * 終止 * 訴訟 * 保證 * 合規 * 雲端/資料存取 * 資安風險保險 #### 供應鏈管理 * 硬體/軟體在交付前應先進行滲透測試，允許攻擊者存取終端用戶環境 * 第三方監控服務是一種保證產品依照安全方式交付並避免責任 * 最小安全需求應該應該維採購合約的一部分 * SLA 用於確保服務合於客戶需求 * 效率與安全 * 常用於管理服務，如雲計算

Read more

個資法與資安實務

CISM Certified Information Security Manager (ISACA)

開源資訊

EC-Council CCSE (Certified Cloud Security Engineer)