CISSP -prosessioide

Toivon, että tämä ydinkonseptien ja prosessien yhdistäminen hyödyttää niitä, jotka ovat kiinnostuneita liittymään CISSP-tutkimusryhmän ja yhteisön jäseniksi.

Tämä asiakirja on tarkoitettu täydentämään, ei korvaamaan virallisesti julkaistuja opinto-oppaita ja kirjoja. Olen saattanut lisätä useita määritelmiä samalle prosessille tai menettelylle, koska eri resurssit, kuten viralliset CBK-, Sybex-, NIST-julkaisut, SANS-paperit tai AIO Shon Harris -kirjat, vaihtelevat. Jos kohtaat ristiriitoja, tutustu uusimpiin virallisiin kirjoihin CISSP CBK, AIO ja Sybex. CISSP-ehdokkaana sinun tulee ymmärtää täysin CISSP-konseptit, menetelmät ja niiden toteutukset organisaatiossa.

Älä kokeile mitään pikakuvaketta kirjojen lukemiseen ja tiedon hankkimiseen. Tätä pikaopastusta tulisi käyttää nopeana yhteenvetona tietoturvakonsepteista. On tärkeää, että luet ensin viralliset CISSP-kirjat ja käytät sitten näitä muistiinpanoja saadaksesi yhteenvedon oppimastasi. Toivotan sinulle onnea CISSP-kokeeseen.

CISSP

Prosessiopas

V.20

Kirjoittaja: Fadi Sodah (alias madunix)

CISSP CISA CFR ICATE

LinkedIn

Asiantuntijavaihto

Otsikko. CISSP Process GuideVersion. 20 Vapauta. 2018

CISSP on [lSC)2, Inc:n rekisteröity sertifiointimerkki. - Vastuuvapauslauseke: Fadi Sodah ei ole sidoksissa (ISC]2:een tai ole sen tukema)

Corporate Governance:

Corporate Governance on joukko velvollisuuksia ja käytäntöjä, joita hallitus ja toimiva johto harjoittavat ja joiden tavoitteena on antaa strateginen suunta, varmistaa tavoitteiden saavuttaminen, varmistaa riskien asianmukainen hallinta ja varmistaa, että yrityksen resursseja käytetään vastuullisesti.

• Toimitusketjujen auditointi

• Hallitus ja hallintorakenne ja prosessi

• Yritysvastuu ja vaatimustenmukaisuus

• Taloudellinen avoimuus ja tietojen paljastaminen

• Omistusrakenne ja määräysvallan käyttö

Hallinto, riskit ja vaatimustenmukaisuus (GRC):

Prosessi, jolla organisaatio hallitsee tietoresurssejaan. Tämä prosessi sisältää yleensä kaikki näkökohdat siitä, miten päätökset tehdään organisaation puolesta, kuten käytännöt, roolit ja menettelyt, joita organisaatio käyttää näiden päätösten tekemiseen. Se on suunniteltu varmistamaan, että liiketoiminta keskittyy ydintoimintoihin, selventää, kenellä organisaatiossa on valta tehdä päätöksiä, määrittää vastuun toimista ja vastuun tuloksista sekä käsittelee sitä, kuinka odotettua suorituskykyä arvioidaan.

IT-hallinnon painopistealueet:

• Strateginen linjaus

• Arvon toimitus

• Resurssien hallinta

• Riskienhallinta

• Suorituskyvyn hallinta

Hallinto vs. johtaminen:

• Valvonta vs. toteutus

• Valtuutuksen myöntäminen vs. toimintojen valtuuttaminen

• Käytännön toteuttaminen vs. täytäntöönpano

• Vastuullisuus vs. vastuu

• Strateginen suunnittelu vs. projektisuunnittelu

• Resurssien allokointi vs. resurssien käyttö

Huomaa:

Hallinto: (Mitä meidän on saatava aikaan). Hallinto keskittyy tyypillisesti sisäisten vaatimusten, kuten yrityksen toimintaperiaatteiden, liiketoiminnan tavoitteiden ja strategian, yhdenmukaistamiseen. Hallinto: (Miten)

Turvallisuuskäytäntö:

• Määritä laajuus

• Tunnista kaikki resurssit

• Määritä suojaustaso

• Määritä henkilökohtainen vastuu

• Kehitä noudattamatta jättämisen seurauksia

Seuraavien Infosec-standardien merkitys:

Yleisten, hyväksi havaittujen käytäntöjen luominen ja käyttäminen on tärkeä osa onnistunutta tietoturvaohjelmaa. Standardit eivät tue ainoastaan ​​ennakoivaa hallintaa ja tehokasta riskienhallintaa, vaan standardin hyväksyminen ja johdonmukainen noudattaminen voi tuoda lisäetuja mille tahansa organisaatiolle.

• LUOTTAA & LUOTTAMINEN. Kun organisaatiot saavat sertifikaatteja, jotka osoittavat vaatimustenmukaisuuden, ne luovat luottamusta työntekijöiden ja kolmansien osapuolten keskuudessa, joiden kanssa ne ovat vuorovaikutuksessa.

• PAREMMAT TULOKSET. Kun puhut samaa ammattikieltä, tulokset ovat tuottavampia, tehokkaampia ja yhtenäisempiä. Esimerkiksi toimittajien arvioinnit voivat olla sujuvampia ja nopeampia, kun käytössä on muodollinen infosec-ohjelma.

• KILPAILUETUU. Muodollisen infosec-ohjelman kehittäminen ja sertifioinnin saaminen lisää asiakkaiden ja sidosryhmien luottamusta siihen, kuinka infosec-riskejä hallitaan ja miten heidän oma riskinottohalunsa mukautuvat.

• YRITYSVASTUU. Infosec-sertifioinnin omistaminen voi auttaa organisaatioita osoittamaan asianmukaista huolellisuutta ja huolellisuutta, jotka ovat pakollisia vaatimuksia yrityksen toimihenkilöille ja välttämättömiä yrityksen laiminlyönnin vähentämiseksi.

Huomaa

:

Tietoturvastandardit tarjoavat parhaita käytäntöjä ja jakavat asiantuntijatietoja. Näiden standardien avulla organisaatiot voivat ottaa käyttöön, räätälöidä ja toteuttaa arvokkaan infosec-ohjelman ilman, että heidän tarvitsee palkata kokopäiväisiä asiantuntijoita, keksiä pyörää uudelleen ja oppia yrityksen ja erehdyksen avulla, mikä on kallista, aikaa vievää ja vaarallista.

Standardien käyttöönoton ja ylläpidon haasteet:

• Aika: Tietoturvastandardien käyttöönotto ja ylläpito ei ole kertaluonteinen projekti. Pikemminkin se on prosessi, joka vaatii omistautunutta, pätevää henkilöstöä, ylimmän johdon tukea sekä jatkuvaa seurantaa ja parantamista. Onnistunut yritys vaatii sisäänoston koko organisaatiolta.

• Kustannukset: Standardien toteuttaminen voi olla kallista ja ylläpito on yhtä kallista. Esimerkiksi ISO 27001:n tapauksessa standardivaatimusten täyttämiseen tarvittavan ajan ja vaivan lisäksi organisaatioiden on budjetoitava vuosittaiset auditointimaksut, jotka voivat olla huomattavia.

• Sisäänosto: Ylimmän johdon sisäänosto ja ohjelman omistaminen C-tasolla ovat kriittisiä tekijöitä, jotta organisaatio voi ottaa tietoturvaohjelman käyttöön tehokkaasti. Tietoturvatiimin on jaettava mittareita, raportoitava ohjelman tehokkuudesta ja osoitettava sen arvo ja strateginen yhteensopivuus organisaation liiketoimintatavoitteiden kanssa ylimmän johdon tuen ylläpitämiseksi.

• Muutosten hallinta: Yleensä kaikki arvostavat tiedon turvaamisen arvoa, kunnes se vaatii muutosta. Standardeja toteuttavat turvallisuustiimit haastetaan löytämään herkkä tasapaino turvallisuuden ja mukavuuden välillä.

• Jatkuva parantaminen: Standardeilla on elinkaarensa. Kun standardia päivitetään, on kaikkien vaatimustenmukaisten organisaatioiden vastuulla olla tietoisia päivityksistä ja ottaa ne käyttöön tiettyihin päivämääriin mennessä tai mahdollisimman pian, jos aikajanaa ei ole määrätty. Joissakin tapauksissa standardi saattaa vanhentua, ja uusi standardi on tutkittava ja esitettävä ylimmälle johdolle hyväksymistä varten.

Tärkeimmät suojausvaatimukset ja niiden osat:

•

Verkon suojaus

•• Luottamuksellisuus

•• Rehellisyys

•• Aitous

•• Saatavuus

•

Identiteettien hallinta

•• Todennus

•• Valtuutus

•• Vastuullisuus

•• Peruuttaminen

•

Tietosuoja

•• Tietosuoja

•• Nimettömyys

•• Pseudonimiteetti

•• Linkittävyys

•

Luota

•• Laitteen luottamus

•• Entity Trust

•• Data Trust

• Joustavuus

•• Kestävyys hyökkäyksiä vastaan

•• Kestävyys epäonnistumisia vastaan

Vaaditaan vastuullisuuden vuoksi:

• Tunnistus

• Todennus

• Auditointi

CIA:

• Luottamuksellisuus

Riski: Yksityisyyden menettämisen vaara. Luvaton paljastaminen.

Ohjaus: Salaus. Todennus. Kulunvalvonta.

• Rehellisyys

Riski: Luvattomasta lähteestä peräisin olevia muokkaamia tietoja

Ohjaus: kulunvalvonta, kryptografia sekä hajautus & Viestitiivistelmät

• Saatavuus

Riski: resurssien ja amp; tiedot valtuutetuille käyttäjille

Ohjaus: Varmuuskopiot, korkea saatavuus, vikasietoisuus, yhteiskäyttö

ACID-malli:

• Atomuus -Onko tapahtuman kaikki osat joko sitoutuneet tai kaikki peruutettu - tee kaikki tai älä ollenkaan

• Johdonmukaisuus - Ilmenee, kun tietokanta muutetaan yhdestä kelvollisesta tilasta toiseen kelvolliseen tilaan. Tapahtuma on sallittu vain, jos se noudattaa käyttäjän määrittämiä eheysrajoituksia.

• Eristäminen – Onko prosessi, joka takaa, että tapahtuman tulokset eivät näy muille tapahtumille, kunnes tapahtuma on valmis.

• Kestävyys – varmistaa, että suoritetun tapahtuman tulokset ovat pysyviä ja selviävät tulevista järjestelmä- ja mediavioista. eli kun ne on tehty, niitä ei voi kumota.

Saatavuus muita käsitteitä:

• Käytettävyys

• Esteettömyys

• Ajantasaisuus

• Luotettavuus

Luottamuksellisuus, muut käsitteet:

• Herkkyys

• Harkinnanvaraisuus

• Kriittisyys

• Piilottaminen

• Salassapito

• Tietosuoja

• Eristäytyminen

• Eristys

Jotkin tekniikat CIA:n varmistamiseksi ovat seuraavat:

• Prosessin eristäminen

• Ohjelmistorajoitus

• Rajoja rajoituksineen

• Vähiten etuoikeuksia koskeva käytäntö

DAD-kolmio:

• Tietojen paljastaminen — paljasta tietoja ja viestintää, jotka on tarkoitettu yksityisiksi ja suojatuiksi.

• Muutos — Muokkaa tietoja luvattomasti ja aiheuta virheitä tai vikoja.

• Kielto — Aiheuttaa järjestelmien epäonnistumisen tai huonon toiminnan ja estää valtuutettuja käyttäjiä pääsemästä tarvitsemaansa dataan.

CIA-AP:

• Luottamuksellisuus: Mahdollisuus rajoittaa tietojen käyttö ja paljastaminen vain valtuutetuille asiakkaille.

• Eheys: Kyky säilyttää tietoresurssien rakenne ja sisältö.

• Saatavuus: Kyky taata valtuutettujen asiakkaiden jatkuva pääsy tietoihin ja resursseihin.

• Aitous: Kyky varmistaa, että asiakkaat tai objektit ovat aitoja.

• Tietosuoja: Kyky suojata kaikkia käyttäjien henkilökohtaisia ​​tietoja koskevia tietoja.

Pääsynhallinnan tarkistus:

Seuraavassa on katsaus pääsynhallinnan peruskäsitteisiin.

••Tunnistaminen:

• Kohteet, jotka antavat tunnistetietoja

• Käyttäjätunnus, käyttäjätunnus, tilinumero

••Todennus:

• Tunnistustietojen tarkistaminen

• Tunnuslause, PIN-arvo, peukalonjälki, älykortti, kertakäyttöinen salasana

••Valtuutus:

• Kohteen identiteetin käyttäminen muiden kriteerien kanssa määrittämään toiminnot, joita kohde voi suorittaa esineille

• "Tiedän kuka olet, mitä nyt annan sinun tehdä?"

••Vastuullisuus:

• Tarkastuslokeja ja seurantaa objektien toimintojen seuraamiseksi

Valtuutuksen hyväksymismenettely:

• Virallistettu

• Suoran johtajan, tietojen omistajan tai tietoturva-ammattilaisen hyväksyntä

• Käyttöoikeudet noudattavat vähiten etuoikeuksien periaatetta

• Tasapainota tietoturva ja käyttöoikeus

• Vältä myöntämästä liikaa etuoikeuksia — eturistiriidat

• Poista käyttöoikeus, kun sitä ei enää tarvita

Due Diligence vs. Due Care:

• Due Diligence - "Tutkiminen" - Riskien tutkiminen ja ymmärtäminen

• Due Diligence – "Tekee" kaikki tarvittavat tehtävät asianmukaisen huolellisuuden ylläpitämiseksi

• Asianmukainen huolellisuus - "Tekeminen" - käytäntöjen ja menettelytapojen kehittäminen riskien käsittelemiseksi

• Asianmukainen huolellisuus on toimia vastuullisesti

Lepotilassa olevat tiedot:

Termi lepotilassa oleva data tarkoittaa tietoja, jotka ovat ulkoisissa tai lisätallennuslaitteissa, kuten kiintolevyasemissa (HDD), solid-state-asemissa (SSD), optisissa levyissä (CD/DVD) tai jopa magneettinauhalla. . Haasteena tietojen suojaamisessa näissä valtioissa on, että se on haavoittuva, ei vain uhkatoimijoille, jotka yrittävät tavoittaa niitä järjestelmien ja verkkojen kautta, vaan myös kaikille, jotka voivat päästä fyysisesti käsiksi laitteeseen. Tietosuojastrategiat sisältävät suojatun pääsyn hallinnan, tehtävien eriyttämisen ja arkaluonteisten tietojen tuntemistarpeen mekanismien toteuttamisen.

Data liikkeessä:

Liikkuva data on dataa, joka liikkuu laskentasolmujen välillä tietoverkon, kuten Internetin, yli. Tämä on mahdollisesti vaarallisin aika tiedoillemme, kun ne poistuvat suojeltujen alueidemme rajoista ja uskaltavat villiin länteen eli Internetiin. Esimerkkejä liikkeessä olevista tiedoista ovat sähköposti, FTP ja viestit. Liikkuvan tiedon tietosuojastrategiat sisältävät seuraavat: Suojatut kirjautumis- ja istuntomenettelyt tiedostonsiirtopalveluille. Salatut arkaluontoiset tiedot. Valvontatoimia sisällön sieppaamiseksi ja analysoimiseksi sen varmistamiseksi, että luottamuksellisia tai yksityisyyteen liittyviä tietoja ei välitetä kolmansille osapuolille tai tallenneta julkisesti saatavilla oleviin tiedostopalvelinpaikkoihin. Käytä tavallisia, kestäviä salausprotokollia. Käytä oikein määritettyä ja ajan tasalla olevaa SSL/TLS:ää.

Käytössä olevat tiedot:

Käytössä olevat tiedot viittaavat tällä hetkellä käytössä oleviin tietoihin. Henkilökunta käyttää sitä, kuten kannettavissa tietokoneissa tai kannettavissa laitteissa, ja tiedot, joita tulostetaan tai kopioidaan USB-tikulle. Tämä on päätepisteissä saatavilla oleva data. Käytössä olevien tietojen tietoturvavalvonta sisältää portin suojauksen ja koko levyn salauksen. Selkeän näytön ja selkeän työpöydän käytännöt ovat myös käyttökelpoisia käyttäjän säätimissä olevia tietoja vastaan.

Turvallisuus:

Turvallisuus on jatkuva prosessi, ei yksikertainen projekti. Turvallisuuden elinkaari eli turvapyörä on jatkuva prosessi, joka koostuu useista peräkkäisistä vaiheista (vaiheista). Sana kierto ilmaisee tällaisen prosessin jatkuvan ja loputtoman luonteen. ISO 27001 määrittelee tietoturvan hallintajärjestelmän ISMS syklin PCDA:ksi: Plan-Do-Check-Act.

Esimerkkejä CIA Triadin testauksesta:

• Suojaustoiminnot: Varmista, että ohjelmisto toimii vaatimusten mukaisesti, mukaan lukien suojaus.

• Fuzz-testaus (tai sumea): Anna laaja valikoima alueen ulkopuolella olevia

• Dynaaminen validointi: Käytä koodissa muuttuvia tietoja ohjelmiston eheyden varmistamiseksi.

• Riskipohjainen testaus: Priorisoi testattavat ominaisuudet niiden mahdollisen riskin ja epäonnistumisen vaikutuksen perusteella.

• Läpäisytestaus: Toimi hyökkääjänä, etsi heikkouksia ja yritä hyväksikäyttöä.

• Todennustestaus: Varmista, että tietoliikenne verkossa, kuten Internetissä, on suojattu suojatuilla tunnistusmenetelmillä.

• Regressiotestaus Varmista, että uudemmat korjaukset, päivitykset ja korjaukset toimivat vanhemman koodin kanssa.

Suojausvalvontaan liittyviä näkökohtia ovat mm.

• Vastuuvelvollisuus (voidaan asettaa vastuuseen)

• Tarkastettavuus (voidaanko testata?)

• Luotettu lähde (lähde tunnetaan)

• Riippumattomuus (itsemääräävä)

• Sovelletaan johdonmukaisesti

• Kustannustehokas

• Luotettava

• Riippumattomuus muista turvatarkastuksista (ei päällekkäisyyttä)

• Helppokäyttöinen

• Automaatio

• Kestävä

• Suojattu

• Suojaa resurssien luottamuksellisuutta, eheyttä ja saatavuutta

• Voidaan "peruuttaa" ongelman sattuessa

• Ei aiheuta lisäongelmia käytön aikana

• Ei jätä jäännöstietoja toiminnastaan

Infrastruktuurin turvaaminen:

Sisäisen tietotekniikan (IT) infrastruktuurin on oltava suojattu, ennen kuin voit laajentaa IT:n turvallisesti pilveen...

Infrastruktuurin turvaaminen

• Hallinnointikehys

• Riskienhallinta

• Suojausohjelma

• Tietosuoja

• Järjestelmän ja tietojen hallinta

• Turvallisuustietoisuuskoulutus

• Käyttäjien hallinta

• Valvonta ja täytäntöönpano

• Vastaus onnettomuuteen

Yritysvaikutusten arviointi (BIA):

Systemaattinen prosessi, jolla määritetään ja arvioidaan kriittisten liiketoimintojen keskeytymisen mahdolliset vaikutukset hyväksikäytön, katastrofin, onnettomuuden tai hätätilanteen seurauksena.

Tärkeimmät tiedot BIA:n määrittämiseksi:

• SLO • RPO • MTD • RTO • WRT • MTBF • MTTR • MOR

Yritysvaikutusten arviointi:

• Tunnista prioriteetit

• Tunnista riski

• Todennäköisyysarviointi

• Vaikutusten arviointi

• Resurssien priorisointi

Huomaa:

Riskiä ei voi koskaan pienentää nollaan (ei ole olemassa sellaista asiaa kuin "ei riskiä" tai "täydellinen turvallisuus")

Yritysvaikutusten analyysi:

• Tunnista kriittiset toiminnot

• Tunnista kriittiset resurssit

• Laske resurssien MTD

• Tunnista uhat

• Laske riskit

• Tunnista varmuuskopiointiratkaisut

Yritysvaikutusten analyysi:

• Valitse henkilöt haastateltavaksi tietojen keräämistä varten

• Luo tiedonkeruutekniikoita

• Tunnista kriittiset liiketoimintatoiminnot

• Tunnista resurssit, joista nämä toiminnot riippuvat

• Laske kuinka kauan nämä toiminnot voivat selviytyä ilman näitä resursseja

• Tunnista haavoittuvuudet ja uhat

• Laske riski jokaiselle eri liiketoimintatoiminnolle

• Dokumentoi havainnot ja raportoi ne johdolle

Avaintehokkuusindikaattorin KPI perustuu:

• BIA

• Pyrkimys toteuttaa

• Luotettavuus

• Herkkyys

Huomaa:

SLA-sopimukset ovat usein KPI:n osajoukko

Turvaohjelmien tiedot:

• KPI tarkastelee historiallista suorituskykyä taaksepäin

• KRI katsoo eteenpäin, näyttää, kuinka paljon riskejä on olemassa, joka voi vaarantaa organisaation tulevaisuuden turvallisuuden.

Liiketoiminnan jatkuvuuden suunnittelu (BCP):

• Projektin käynnistäminen

• Liiketoimintavaikutusten analyysi

• Toipumisstrategia

• Suunnittele suunnittelu ja kehitys

• Toteutus

• Testaus

• Jatkuva huolto

BCP (NIST 800-34):

• Suunnittelupolitiikan kehittäminen;

• BIA

• Tunnista ennaltaehkäisevät tarkastukset

• Luo valmiusstrategioita

• Kehitä valmiussuunnitelmia

• Testaa

• Huolto

MIKSI - Liiketoiminnan jatkuvuuden suunnittelu (BCP):

• Anna välitön ja asianmukainen vastaus hätätilanteisiin

• Suojele ihmishenkiä ja varmista turvallisuus

• Vähennä vaikutusta liiketoimintaan

• Jatka tärkeitä liiketoimintatoimintoja

• Työskentele ulkopuolisten toimittajien ja kumppaneiden kanssa palautumisjakson aikana

• Vähennä hämmennystä kriisin aikana

• Varmista yrityksen elinkelpoisuus

• Päästä "käyttöön" nopeasti katastrofin jälkeen

DRP vs. BCP:

• BCP - Korjaava ohjaus

• DRP – palautuksen hallinta

• Sekä BCP että DRP - kuuluvat kompensoivan ohjauksen luokkaan

• BCP – ei ole ennaltaehkäisevä valvonta, sillä se EI voi estää katastrofia

• BCP – auttaa organisaation toiminnan jatkumisessa katastrofin sattuessa

• BCP - kriittisten toimintojen ylläpitäminen normaalin toiminnan häiriön aikana

• DRP - palautuu normaaliin toimintaan häiriön jälkeen

Liiketoiminnan jatkuvuuden suunnittelu (BCP):

• Jatkuvuuspolitiikka

• Yritysvaikutusten arviointi (BIA)

• Tunnista ennaltaehkäisevät kontrollit

• Kehitä elvytysstrategioita

• BCP:n kehittäminen

• Harjoitus/harjoitus/testi

• Säilytä BCP

DR-tiimi:

• Pelastustiimi: Vastaa katastrofin välittömästä toiminnasta – työntekijöiden evakuointi, palvelinhuoneen kaatuminen jne.

• Palautustiimi: Vastaa vaihtoehtoisen laitoksen käynnistämisestä ja käynnistämisestä sekä tärkeimpien palvelujen palauttamisesta ensin.

• Pelastustiimi: Vastaa toiminnan palauttamisesta alkuperäiseen tai pysyvään tilaan (kunnostaminen) – (saa meidät takaisin normaalivaiheeseen)

Liiketoiminnan jatkuvuuden suunnittelun (BCP) asiakirjat:

• Suunnittelutavoitteiden jatkuvuus

• Ilmoitus tärkeydestä ja prioriteeteista

• Selvitys organisaation vastuista

• Ilmoitus kiireellisyydestä ja ajoituksesta

• Riskinarviointi, Riskien hyväksyminen ja Riskien vähentäminen -asiakirja

• Vital Records -ohjelma

• Hätätoimia koskevat ohjeet

• Dokumentaatio suunnitelman ylläpitoa ja testausta varten

DRP/BCP-asiakirjasuunnitelman tulee olla:

• Luotu yritykselle, jonka yksittäiset toiminnalliset johtajat vastaavat osastokohtaisista suunnitelmista

• Suunnitelman kopioita tulee säilyttää useissa paikoissa

• Sekä sähköiset että paperikopiot tulee säilyttää

• Suunnitelma tulisi jakaa niille, joilla on tiedon tarve

• Useimmat työnantajat näkevät vain pienen osan suunnitelmasta

Liiketoiminnan jatkuvuuden suunnittelu (BCP):

• Hankkeen laajuus ja suunnittelu

•• Liiketoiminnan organisaatioanalyysi

•• BCP-joukkueen valinta

•• Resurssivaatimukset

•• Laki- ja säädösvaatimukset

• Yritysvaikutusten arviointi

•• Tunnista prioriteetit

•• Riskien tunnistaminen

•• Todennäköisyysarviointi

•• Vaikutusten arviointi

•• Resurssien priorisointi

• Jatkuvuuden suunnittelu

•• Strategian kehittäminen

•• Määräykset ja prosessit

•• Suunnitelman hyväksyminen

•• Suunnitelman toteutus

•• Koulutus

• Hyväksyntä ja täytäntöönpano

•• Ylimmän johdon hyväksyntä (APROVAL)

•• Suunnitelman tietoisuuden lisääminen koko yrityksen tasolla (TIEDOTUS)

•• Suunnitelman ylläpito, mukaan lukien päivittäminen tarvittaessa (HUOLTO)

•• Toteutus

Daster Recovery Plan (DRP) -suunnitelman kehittäminen:

• Suunnitelman laajuus ja tavoitteet

• Yritysten elvytysorganisaatio (BRO) ja vastuualueet (palautustiimi)

• Suunnitelman pääkomponentit - muoto ja rakenne

• Suunnitelman toteuttamisskenaario

• Eskalointi, ilmoitukset ja suunnitelman aktivointi

• Vital Records ja Off-Site Storage Program

• Henkilöstönvalvontaohjelma

• Tietojen menetyksen rajoitukset

• Suunnitelman hallinta

Disaster Recovery Plan (DRP) -menettelyt:

• Reagoi katastrofiin ennalta määritetyllä katastrofitasolla

• Arvioi vauriot ja toiminnan jatkamiseen tarvittava aika

• Suorita pelastus ja korjaus

Palautusstrategioiden osatekijät:

• Liiketoiminnan elvytysstrategia

•• Keskity liiketoiminnan elpymiseen

• Toimitilat & tarjonnan hyödyntämisstrategia

•• Keskity tilan entisöintiin ja ota käyttöön vaihtoehtoiset palautuspaikat

• Käyttäjien palautusstrategia

•• Keskity ihmisiin ja majoitustiloihin

• Tekninen palautusstrategia

•• Keskity IT-palvelujen elpymiseen

• Tietojen palautusstrategia

•• Keskity tietovarojen hyödyntämiseen

Onnistuneen elvytyssuunnitelman kahdeksan R:tä:

• Suunnittelun syy

• Tunnistus

• Reaktio

• Palautuminen

• Restaurointi

• Palaa normaaliin

• Lepää ja rentoudu

• Arvioi ja dokumentoi uudelleen

Katastrofipalautusohjelma:

• Kriittinen sovellusarviointi

• Varmuuskopiointimenettelyt

• Palautusmenettelyt

• Käyttöönottomenettelyt

• Testimenettelyt

• Suunnittele ylläpito

Tapahtuman jälkeinen tarkistus:

Tarkoitus on, kuinka voimme kehittyä; testin tai katastrofin jälkeen:

• Keskity parantamiseen

• Mitä olisi pitänyt tapahtua?

• Mitä pitäisi tapahtua seuraavaksi?

• Ei kenen vika se oli; tämä ei ole tuottavaa

Jatkuvuuden suunnittelu:

Koskee tavallisesti itse tehtävää/yritystä; Koskee kykyä jatkaa kriittisiä toimintoja ja prosesseja hätätilanteen aikana ja sen jälkeen.

Valmiussuunnittelu:

Koskee tietojärjestelmiä ja tarjoaa vaiheet, jotka ovat tarpeen nimetyn tietojärjestelmän tai sen osan toiminnan palauttamiseksi olemassa olevassa tai uudessa paikassa hätätilanteessa.

Liiketoiminnan jatkuvuussuunnitelma (BCP):

BCP keskittyy ylläpitämään organisaation tehtävää/liiketoimintaprosessia häiriön aikana ja sen jälkeen. Sitä voidaan käyttää pitkäaikaiseen toipumiseen yhdessä COOP-suunnitelman kanssa, jolloin lisätoimintoja voidaan käyttää resurssien tai ajan salliessa.

Occupant Emergency Plan (OEP):

Siinä hahmotellaan ensiapumenettelyt tilan asukkaille, jos henkilökunnan, ympäristön tai omaisuuden terveyttä ja turvallisuutta uhkaa tai vaarantuu.

Cyber ​​Incident Response Planning (CIRP):

Se on eräänlainen suunnitelma, joka yleensä keskittyy tietoturvahäiriön tai -tapahtuman havaitsemiseen, reagoimiseen ja palauttamiseen. Siinä määritellään menettelyt organisaation tietojärjestelmään (tietojärjestelmiin) kohdistuviin kyberhyökkäuksiin puuttumiseksi.

Tietojärjestelmän valmiussuunnitelma (ISCP):

Se sisältää vakiintuneet menettelyt järjestelmän arvioimiseksi ja palauttamiseksi järjestelmähäiriön jälkeen. Tarjoaa järjestelmän palauttamiseen tarvittavat keskeiset tiedot, mukaan lukien roolit ja vastuut, varastotiedot, arviointimenettelyt, yksityiskohtaiset palautusmenettelyt ja järjestelmän testaus.

Toiminnan jatkuvuussuunnitelma (COOP):

Se keskittyy palauttamaan organisaation tehtävän kannalta olennainen toiminto vaihtoehtoisessa toimipaikassa ja suorittamaan kyseiset toiminnot jopa 30 päivää ennen normaaliin toimintaan palaamista.

Disaster Recovery Plan (DRP):

Koskee suuria fyysisiä palvelun häiriöitä, jotka estävät pääsyn ensisijaiseen laitoksen infrastruktuuriin pitkäksi aikaa. Tietojärjestelmäkeskeinen suunnitelma, joka on suunniteltu palauttamaan kohdejärjestelmän, sovelluksen tai tietokonelaitteiston infrastruktuurin toimivuus vaihtoehtoisessa paikassa hätätilanteen jälkeen. Käsittelee vain siirtoa vaativia tietojärjestelmähäiriöitä.

Organisaatioon kohdistuvat riskit löytyvät seuraavista:

• Taloudellinen

• Maineellinen

• Sääntely

Riskianalyysi:

• Ympäristön riskien analysointi

• Kustannus-hyötyraportin luominen suojatoimista

• Uhkien arviointi

Riskitekijät:

• Uhkaukset

• Omaisuus

• Lieventävät tekijät

Riskianalyysin metodologia:

• CRAMM (CCTA-riskianalyysi- ja hallintamenetelmä)

• FMEA (vikatilat ja vaikutusanalyysimenetelmät)

• FRAP (Facilitated Risk Analysis Process)

• OCTAVE (toiminnallisesti kriittisen uhan, omaisuuden ja haavoittuvuuden arviointi)

• PUSH

• Virtaava puuanalyysi

• SOMAP (turvavastaavien johtamis- ja analyysiprojekti)

• VAR (riskissä oleva arvo)

RMF CSIAAM: (NIST 800-37)

Riskinhallintakehys (RMF) kattaa laajan joukon toimia tietojärjestelmään kohdistuvien riskien tunnistamiseksi, hallitsemiseksi ja vähentämiseksi järjestelmän kehityksen elinkaaren aikana. Yksi toiminnoista on ISCP:n kehittäminen. Riskienhallinnan viitekehyksen käyttöönotto voi estää tai vähentää uhkien todennäköisyyttä ja rajoittaa riskien seurauksia. RMF sisältää:

• Luokittele tietojärjestelmä ja tiedot

• Valitse perussuojauksen ensimmäinen sarja

• Ota turvatarkastukset käyttöön ja kuvaile, kuinka valvontaa käytetään

• Arvioi suojaustoiminnot

• Valtuuta järjestelmät käynnistettäväksi

• Valvo turvatoimia

Riskienhallintaprosessi: (FARM)

• Kehysvaara

• Riskien arviointi

• Riskeihin vastaaminen

• Riskien seuranta

Riskienhallintakäytäntöasiakirja:

• Politiikan tavoitteet ja riskienhallinnan perusteet

• Tietoriskien hallinnan laajuus ja peruskirja

• Linkit riskienhallintapolitiikan ja organisaatioiden strategisten ja yritysten liiketoimintasuunnitelmien välillä – politiikkaa koskevien kysymysten laajuus ja valikoima

• Ohjeita siitä, mitä pidetään hyväksyttävinä riskitasoina

• Riskienhallintavastuut

• Käytettävissä oleva tukiasiantuntija auttaa riskinhallinnasta vastaavia

• Erilaisten riskienhallintaan liittyvien toimintojen, kuten muutoksenhallinnan, tarvittava dokumentaatio

• Suunnitelma riskienhallintapolitiikan noudattamisen tarkistamiseksi

• Tapahtuma- ja tapahtumavakavuustasot

• Riskien raportointi- ja eskalointimenettelyt, muoto ja taajuus

Riskienhallinnan elinkaari:

• Jatkuva seuranta

• Arviointi

• Riskien arviointi ja raportointi.

Riskien hallinta:

• Riskinarviointi – Tunnista omaisuus, uhkien haavoittuvuudet

• Riskianalyysi – Mahdollisen riskin arvo

• Riskien vähentäminen — Riskeihin vastaaminen

• Riskien seuranta – Riski on ikuinen

Riskien hallintaan kuuluu:

• Uhkaukset

• Haavoittuvuudet

• Vastatoimenpiteet

Riskien arvioinnin menetelmät:

• Valmistaudu arviointiin.

• Suorita arviointi:

•• Tunnista uhkalähteet ja tapahtumat.

•• Tunnista haavoittuvuudet ja altistavat olosuhteet.

•• Määritä tapahtuman todennäköisyys.

•• Määritä iskun suuruus.

•• Määritä riski.

• Kommunikoi tuloksista.

• Säilytä arviointi.

Riskiarvioinnin valmistelu:

• Arvioinnin tarkoitus

• Arvioinnin laajuus

• Arviointiin liittyvät oletukset ja rajoitteet

• Tietolähteet, joita käytetään arvioinnin syötteinä

• Riskimalli ja analyyttiset lähestymistavat

Riskiarvio (NIST 800-30):

• Järjestelmä / Asst. Karakterisointi

• Uhkien tunnistaminen

• Haavoittuvuuden tunnistaminen

• Kontrollianalyysi

• Todennäköisyyden määritys

• Vaikutusanalyysi

• Riskin määrittäminen

• Ohjaussuositukset

• Tulosdokumentaatio

Kolmannen osapuolen riskienhallinnan tärkeimmät haasteet:

• Monimutkaisempi kolmannen osapuolen verkkojen & se on hallintoa

• Säännösten noudattamisen epäonnistumisen riski

• Lisäkustannukset kolmansien osapuolten valvonnasta

• Puolueiden välisen yhteistyön puute

• Tieto-/tietovuotojen vaara

Kolmannen osapuolen riskinhallintakehyksen keskeiset osat:

Seuraavat ovat kolmannen osapuolen riskienhallintakehyksen (TPRM) keskeiset osat:

• Suunnittelu & prosessin määritelmä

• Segmentointi & Seulonta

• Pätevyys

• Tietoturva & Käyttöoikeudet

• Työnkulut

• Riskien vähentäminen

• Jatkuva valvonta

• Raportit & Kojelauta

• Keskitetty tietovarasto

• Varoitus & Ilmoitus

Vahinkojen arviointi:

• Katastrofin syyn selvittäminen on ensimmäinen vaihe vahinkojen arvioinnissa

• Kuinka kauan kriittisten toimintojen palauttaminen verkkoon kestää

• Välittömästi vaihdettavien resurssien tunnistaminen

• julistaa katastrofi

Vahinkojen arviointi:

•Määritä katastrofin syy.

•Määritä lisävaurioiden mahdollisuus.

•Tunnista, mihin liiketoimintaan liittyvät toiminnot ja alueet vaikuttavat.

•Tunnista kriittisten resurssien toiminnallisuustaso.

•Tunnista resurssit, jotka on vaihdettava välittömästi.

•Arvioi, kuinka kauan kriittisten toimintojen palauttaminen verkkoon kestää.

•Jos toiminnan palauttaminen kestää pidempään kuin aiemmin arvioidut MTD-arvot, tulee katastrofi julistaa ja BCP tulee ryhtyä toimiin.

Huomaa:

• Jokaisen elvytyssuunnitelman ensimmäinen toimenpide on vahinkojen arviointi, jota seuraa välittömästi vahinkojen lieventäminen.

• Vahinkojen arvioinnin viimeinen vaihe on katastrofin julistaminen.

• Päätös katastrofipalautussuunnitelman aktivoimisesta tehdään vahinkojen arvioinnin ja arvioinnin jälkeen.

Määritysten hallinta:

• Suunnittele

• Hyväksy lähtötaso

• Toteuta

• Ohjausmuutokset

• Näyttö

• Raportti

• Toistettavissa

Määritysten hallinta:

• Määrityksen tunnistus

• Kokoonpanon hallinta

• Määrityksen tilan kirjanpito

• Kokoonpanon tarkastus

Vaihda hallintaa:

• Toteuta muutokset valvotusti ja järjestelmällisesti.

• Muutokset ovat aina hallinnassa

• Virallinen testaus

• Käänteinen/palautus

• Käyttäjille tiedotetaan muutoksista ennen kuin ne tapahtuvat tuottavuuden menettämisen estämiseksi.

• Muutosten vaikutuksia analysoidaan systemaattisesti.

• Ominaisuuksien, toimivuuden ja suorituskyvyn muutosten negatiivinen vaikutus

• CAB (muutosten hyväksymislautakunta) tarkistaa ja hyväksyy muutokset.

Muutoshallinta:

• Pyydä muutosta

• Muutoksen hyväksyminen

• Muutoksen dokumentointi

• Testattu ja esitelty

• Toteutus

• Ilmoita muutoksesta johdolle

Muutoshallinta:

• Pyyntö

• Tarkista

• Hyväksy

• Aikataulu

• Asiakirja

Muutoshallinta:

• Pyyntö

• Arvioi

• Testaa

• Peruutus

• Hyväksy

• Asiakirja

• Määritä muutosikkuna

• Toteuta

• Vahvista

• Sulje

Pach Management:

• Korjauksen tietolähteet

• Priorisointi

• Ajoitus

• Testaus

• Asennus

• Arviointi

• Tarkastus

• Johdonmukaisuus

• Vaatimustenmukaisuus

Pach Management:

• Arvioi

• Testaa

• Hyväksy

• Ota käyttöön

• Vahvista

Pach Management:

• Varasto

• Jakaa resurssit

• Jatka päivityksiä

• Testaa

• Muuta hyväksyntää

• Käyttöönottosuunnitelma

• Palautussuunnitelma

• Ota käyttöön ja tarkista päivitykset käytäntövaatimusten mukaisesti

• Asiakirja

Ongelmanhallinta:

• Tapahtumailmoitus

• Perussyyanalyysi

• Ratkaisun määrittäminen

• Muutospyyntö

• Ota ratkaisu käyttöön

• Valvo/raportoi

Informaatiojärjestelmien suojaustekniikan (ISSE) prosessi:

• Tutustu tietosuojatarpeisiin; selvittää järjestelmän tarkoitus.

• Tunnista tieto, joka tarvitsee suojaa.

• Määritä järjestelmän suojausvaatimukset; Määritä vaatimukset suojaustarpeiden perusteella.

• Suunnittele järjestelmäturva-arkkitehtuuri; Suunnittele järjestelmäarkkitehtuuri turvallisuusvaatimusten mukaisesti.

• Yksityiskohtaisen suojaussuunnittelun kehittäminen; Perustuu tietoturva-arkkitehtuuriin, suunnittele järjestelmän suojaustoiminnot ja ominaisuudet.

• Ota käyttöön järjestelmän suojaus; Toteuta suunnitellut suojaustoiminnot ja -ominaisuudet järjestelmään.

• Arvioi turvallisuuden tehokkuutta; Arvioi ISSE-toiminnan tehokkuutta.

Enterprise Security Architecture (ESA):

• Esittää pitkän aikavälin strategisen näkemyksen järjestelmästä

• Yhdistää suojaustoiminnot

• Hyödyntää olemassa olevia teknologiainvestointeja

Järjestelmäkehityksen elinkaari:

• Aloittaminen (ottaa huomioon sovelluksen/tietojen arvon, herkkyyden, säädöstenmukaisuuden, luokituksen jne.).

• Määritä toiminnalliset vaatimukset (dokumentoi käyttäjien ja tietoturvatarpeet).

• Suunnittelutiedot (järjestelmäarkkitehtuuri/ohjelmisto suunniteltu).

• Kehitys/käyttöönotto/testaus (lähdekoodi ja testitapaukset luotu, laatu/luotettavuus huomioitu).

• Dokumentaation/Ohjelman ohjaimet (tietojen muokkaamiseen, lokiin, versioon, ohjaukseen, eheystarkistuksiin jne. liittyvät säätimet).

• Sertifiointi/akkreditointi (tietojen/koodin riippumaton testaus, jolla varmistetaan vaatimusten täyttyminen, tietojen validointi, rajojen tarkistus, desinfiointi, johdon valtuutus käyttöönottoon).

• Tuotanto/käyttöönotto (järjestelmät ovat käynnissä).

SDLC:

• Hankkeen käynnistäminen ja suunnittelu

• Toiminnallisten vaatimusten määritelmä

• Järjestelmän suunnittelun tiedot

• Kehitys ja toteutus

• Dokumentaatio ja yleiset ohjelman hallintalaitteet

• Testauksen ja arvioinnin valvonta (sertifiointi ja akkreditointi)

• Siirtyminen tuotantoon (toteutus)

SDLC:

• Pyydä/kerää tietoja

•• Turvallisuusriskien arviointi

•• Tietosuojariskin arviointi

•• Riskitason hyväksyntä

•• Tiedotus-, toiminta- ja käyttäytymisvaatimukset

• Suunnittelu

•• Hyökkäyspinta-analyysi + uhkamallinnus

• Kehitä

•• Automaattiset CASE-työkalut + staattinen analyysi

• Testaus/validointi

•• Dynaaminen analyysi + sumea + manuaalinen testaus

•• Yksikkö-, integrointi-, hyväksymistestaus ja regressiotestaus

• Vapautus/huolto

•• Lopullinen turvatarkastus

Huomaa:

Sumetestausta käytetään kuvaamaan tunnettujen huonojen tai satunnaistettujen syötteiden käyttöä tahattomien tulosten määrittämiseksi.

SDLC 10 vaihetta: (Järjestelmän elinkaari)

• Aloitus – Projektin tarpeen tunnistaminen

• Järjestelmäkonseptien kehittäminen – Hankkeen laajuuden ja rajat määrittäminen

• Suunnittelu- Projektinhallintasuunnitelman luominen

• Vaatimusanalyysi – Käyttäjävaatimusten määrittäminen

• Suunnittelu – Järjestelmän suunnitteluasiakirjan luominen, joka kuvaa, kuinka projekti toteutetaan

• Kehitys- Suunnittelun muuntaminen toimivaksi järjestelmäksi

• Integrointi ja testaus – sen varmistaminen, että järjestelmä täyttää vaatimukset

• Käyttöönotto – Järjestelmän käyttöönotto tuotantoympäristössä

• Käyttö ja ylläpito – järjestelmän valvonta ja hallinta tuotannossa

• Dispositio – Tietojen siirtäminen uuteen järjestelmään ja järjestelmän sammuttaminen

Huomaa:

Järjestelmän elinkaari (SLC) ulottuu SDLC:tä pidemmälle ja sisältää kaksi:

• Käyttö- ja ylläpitotuki (asennuksen jälkeen).

• Versiot ja järjestelmän vaihto.

Kehitysmenetelmät:

• Rakenna ja korjaa

Arkkitehtuurisuunnittelu puuttuu. Ongelmat korjataan sitä mukaa kun niitä ilmenee. Siitä puuttuu muodollinen palautesykli. Reaktiivinen proaktiivisen sijaan.

• Vesiputous

Lineaarinen peräkkäinen elinkaari. Jokainen vaihe on valmis ennen jatkamista.

Sieltä puuttuu muodollinen tapa tehdä muutoksia jakson aikana. Projekti valmistuu ennen palautteen keräämistä ja aloittamista uudelleen.

• V-muotoinen

Perustuu vesiputousmalliin. Jokainen vaihe on valmis ennen jatkamista.

Mahdollistaa vahvistuksen ja validoinnin jokaisen vaiheen jälkeen. Ei sisällä riskianalyysivaihetta.

• Prototyypit

Nopea prototyypitys käyttää nopeaa näytettä nykyisen projektin testaamiseen. Evoluutioteorian prototyyppien suunnittelussa käytetään asteittaisia ​​parannuksia. Toiminnalliset prototyypit tarjoavat asteittaisia ​​parannuksia, mutta ne on tarkoitettu käytettäviksi tuotannossa.

• Inkrementaalinen

Käyttää useita syklejä kehittämiseen, kuten useita vesiputouksia. Koko prosessi voi käynnistyä uudelleen milloin tahansa eri vaiheena. Helppo ottaa käyttöön uusia vaatimuksia. Toimittaa asteittain ohjelmistopäivityksiä.

• Spiraali

Jatkuva lähestymistapa kehitykseen. Suorittaa riskianalyysin kehityksen aikana.

Tulevaisuuden tiedot ja vaatimukset ohjataan riskianalyysiin. Mahdollistaa testauksen varhaisessa kehitysvaiheessa.

• Nopea sovelluskehitys

Käyttää nopeaa prototyyppiä. Suunniteltu nopeaa kehitystä varten. Analyysi ja suunnittelu näkyvät nopeasti. Testaus ja vaatimukset käydään usein uudelleen läpi.

• Ketterä

Sateenvarjotermi useille menetelmille. Korostaa tehokkuutta ja iteratiivista kehitystä.

Käyttäjän tila kuvaa, mitä käyttäjä tekee ja miksi. Prototyypit suodatetaan yksittäisiin ominaisuuksiin.

Järjestelmäkehityksen elinkaari:

• Käyttöönotto: Käynnistysvaiheessa järjestelmän tarve ilmaistaan ​​ja järjestelmän tarkoitus dokumentoidaan.

• Kehitys/hankinta: Tämän vaiheen aikana järjestelmä suunnitellaan, ostetaan, ohjelmoidaan, kehitetään tai muulla tavoin rakennetaan.

• Toteutus/arviointi: Järjestelmän hyväksyntätestauksen jälkeen järjestelmä asennetaan tai kenttään.

• Käyttö/huolto: Tämän vaiheen aikana järjestelmä suorittaa työnsä. Järjestelmää muutetaan lähes aina lisäämällä laitteistoja ja ohjelmistoja sekä lukuisilla muilla tapahtumilla.

• Hävitys: Tämän vaiheen aikana suoritetuilla toimenpiteillä varmistetaan järjestelmän säännöllinen sulkeminen, järjestelmän tärkeiden tietojen turvaaminen ja järjestelmän käsittelemien tietojen siirtäminen uuteen järjestelmään tai niiden säilyttäminen soveltuvien arkistointisäännösten ja käytäntöjen mukaisesti.

Järjestelmäkehityksen elinkaari:

• Käsitteellinen määritelmä

• Toiminnallisten vaatimusten määrittäminen

• Ohjausspesifikaatioiden kehittäminen

• Suunnittelun tarkistus

• Koodin tarkistuksen esittely

• Järjestelmätestin tarkistus

• Ylläpito ja muutosten hallinta

Epävarma

Käännöskäytännöt:

• Kommentit lähdekoodissa

• Virheiden käsittelyn puute

• Liian monisanainen virheenkäsittely

• Koodatut tunnistetiedot

• Kilpailuolosuhteet

• Toimintojen/suojaamattomien sovellusliittymien luvaton käyttö

• Piilotetut elementit

• Arkaluonteisia tietoja DOM:ssa

• Koodiallekirjoituksen puute

Dynaamisen koodin analyysi:

• Etsii ongelmia koodissa koodin suorittamisen aikana.

• Kuten staattinen analyysi, se voi olla erittäin hyödyllinen laatu- ja tietoturvavirheiden syyn selvittämisessä.

• Ohjelmistokehitysympäristössä työskentelevä kehittäjä tai testaaja voi suorittaa sen manuaalisesti sarjana testausvaiheita.

• Debuggerit ovat hyvä työkalu koodin analysointiin sen ajon aikana.

• Dynaaminen analyysi voidaan myös skriptaa ja valvoa automaattisten testaustyökalujen avulla.

SDLC:n turvallisuusnäkökohdat:

• Valmistele turvallisuussuunnitelma

• Initiaatio

•• Kysely & ymmärtää käytännöt, standardit ja ohjeet

•• Tunnista tietovarat (aineellinen ja aineeton)

•• Määritä tietojen luokittelu & suojaustaso (turvaluokitus)

•• Määritä käyttäytymissäännöt & turvallisuus

•• Tee alustava riskiarviointi

• Kehitys/hankinta

•• Määritä suojausvaatimukset

•• Suorita riskinarviointi

•• Suorita kustannus-hyötyanalyysi

•• Sisällytä tietoturvavaatimukset spesifikaatioihin

•• Turvallisuussuunnittelu (perustuu riskeihin ja kustannus-hyötyanalyysiin)

•• Hanki järjestelmä ja siihen liittyvät suojaustoiminnot

•• Kehitä turvatesti

• Toteutus

•• Asenna/Ota ohjaimet käyttöön

•• Turvatestaus

•• Suorita suojaussertifiointi & Kohdejärjestelmän akkreditointi.

• Käyttö/huolto

•• Turvallisuustoiminnot ja -hallinta

•• Toiminnanvarmistus

•• Tarkastukset ja jatkuva seuranta

•• Määritysten hallinta & suorittaa muutoksen hallinnan

• Hävittäminen

•• Tietojen siirto tai tuhoaminen

•• Median puhdistaminen

•• Hävitä laitteisto

Positiivinen/negatiivinen testi:

• Positiivinen testi - Toimi odotetusti (tulostus tietyn syötteen mukaan - menee suunnitelman mukaan)

• Negatiivinen testi – jopa odottamattomat syötteet käsitellään sulavasti työkaluilla, kuten poikkeuskäsittelijät

Kattavuuden testaus:

Analysointia varten sinun tulee olla tietoinen seuraavista kattavuustestaustyypeistä:

• Black box -testaus: Testaajalla ei ole aiempaa tietoa testattavasta ympäristöstä.

• Valkoinen laatikko Testaus: Testaajalla on kaikki tiedot ennen testausta.

• Dynaaminen testaus: Testattavaa järjestelmää valvotaan testin aikana.

• Staattinen testaus: Testattavaa järjestelmää ei valvota testin aikana.

• Manuaalinen testaus: Testaus suoritetaan manuaalisesti käsin.

• Automaattinen testaus: Skripti suorittaa joukon toimintoja.

• Rakennetestaus: Tämä voi sisältää lausunnon, päätöksen, ehdon, silmukan ja tietovirran kattavuuden.

• Toiminnallinen testaus: Tämä sisältää normaalit ja anti-normaalit testit järjestelmän tai ohjelmiston reaktiosta. Normaalin vastainen testaus käy läpi odottamattomia syötteitä ja menetelmiä toiminnallisuuden, vakauden ja kestävyyden vahvistamiseksi.

• Negatiivinen testaus: Tämä testi käyttää tarkoituksella järjestelmää tai ohjelmistoa virheellisten tai haitallisten tietojen kanssa ja varmistaa, että järjestelmä reagoi asianmukaisesti.

Koodivaraston suojaus:

• Järjestelmän suojaus

• Käyttöturvallisuus

• Ohjelmiston suojaus

• Suojattu viestintä

• Tiedostojärjestelmä ja varmuuskopiot

• Työntekijän pääsy

• Turvallisuuden ylläpitäminen

• Luottokorttien turvallisuus

Kaikkien prosessien elinkaari:

• Suunnittele ja järjestä

• Toteuta

• Käytä ja huoltaa

• Valvo ja arvioi

Regressio- ja hyväksymistestaukset sisältävät:

• Testaa korjatut virheet välittömästi.

• Varo korjausten sivuvaikutuksia.

• Kirjoita regressiotesti jokaiselle korjatulle virheelle.

• Jos kaksi tai useampi testi on samanlainen, määritä kumpi on vähemmän tehokas ja poista se.

• Tunnista testit, jotka ohjelma läpäisee jatkuvasti, ja arkistoi ne.

• Keskity toiminnallisiin ongelmiin, älä suunnitteluun liittyviin.

• Tee muutoksia (pieniä ja suuria) tietoihin ja etsi mahdolliset virheet.

• Seuraa muutosten vaikutuksia ohjelmamuistiin.

ROMI vs. synteettinen:

• RUM kerää tietoja käyttäjien todellisesta toiminnasta, mikä tekee siitä realistisimman kuvan käyttäjien käyttäytymisestä.

• Synteettinen valvonta arvioi käyttäjän aktiivisuutta, mutta ei ole yhtä tarkka kuin RUM

Ohjelmiston hankinta:

• Suunnittelu

• Sopimusten tekeminen

• Valvonta

• Hyväksyminen

• Jatka

Ohjelmistovaatimukset:

• Informaatiomalli

• Toimiva malli

• Käyttäytymismalli

Ohjelmiston suojausmekanismit:

• Suojausytimet

• Suorittimen käyttöoikeustilat

• Puskurin ylivuodon suojaustoiminnot

• Epätäydellisen parametrin tarkistuksen ja täytäntöönpanon säätimet

• Muistin suojaus

• Suojatut kanavasäätimet

• Kryptografia

• Salasanasuojaustekniikat

API-muodot:

• REST (Representational State Transfer) - on ohjelmistoarkkitehtuurityyli, joka koostuu ohjeista ja parhaista käytännöistä skaalautuvien verkkopalvelujen luomiseen.

• SOAP (Simple Object Access Protocol) - on protokollamääritelmä strukturoidun tiedon vaihtamiseen verkkopalveluiden toteutuksessa tietokoneverkoissa.

Sovellusliittymän suojaus:

• Käytä API:ille samoja suojausohjaimia kuin missä tahansa yrityksen verkkosovelluksessa.

• Käytä Hash-pohjaista viestin todennuskoodia (HMAC).

• Käytä salausta siirtäessäsi staattisia avaimia.

• Käytä puitteita tai olemassa olevaa kirjastoa sovellusliittymien tietoturvaratkaisujen toteuttamiseen.

• Ota käyttöön salasanan salaus yksittäisen avaimeen perustuvan todennuksen sijaan.

Oikeuslääketiede:

Oikeuslääketieteellisen tutkinnan on osoitettava, että tietojenkäsittelymenettelyt ja suoritetut toimet eivät muuttaneet alkuperäisiä tietoja koko säilytysketjussa. Tämä voi sisältää:

• Huoltoketjun ylläpidosta vastuussa olevien henkilöiden nimet ja yhteystiedot kirjataan

• Tapahtuman ajankohdan tiedot

• Tietojen siirtämisen tarkoitus

• Todisteiden tunnistaminen tallentamalla sarjanumerot ja muut tiedot

• Todisteiden sulkeminen todistenauhalla

• Tallennuspaikan dokumentointi

• Tietojen liikkumisen dokumentointi

Oikeuslääketieteellisen analyysin ainutlaatuiset käsitteet:

• Valtuutus tietojen keräämiseen

• Oikeudellinen puolustettavuus

• Luottamuksellisuus

• Todisteiden säilyttäminen ja todisteiden turvallisuus

• Lainvalvontaviranomaisten osallistuminen

Oikeuslääketieteellinen prosessi:

• Tunnistus

• Säilytys

• Kokoelma

• Tutkimus

• Analyysi

• Esittely

• Päätös

Yleinen tietokonerikosteknisen tutkimuksen malli:

• Esikäsittely

• Hankinta ja säilyttäminen

• Analyysi

• Esittely

• Jälkikäsittely

E-löytöprosessi:

• Tietohallinto

• Tunnistus

• Säilytys

• Kokoelma

• Käsittely

• Tarkista

• Analyysi

• Tuotanto

• Esittely

CSIRT:

Organisaatiot muodostavat usein kyberturvallisuushäiriöiden vastausryhmän (CSIRT), joka auttaa tunnistamaan ja hallitsemaan tietoturvahäiriöitä. CSIRT:n muodostavat henkilöt on koulutettu asianmukaisiin keräys- ja säilytystekniikoihin turvavälikohtausten tutkimista varten. National Institute of Standards and Technology -erikoisjulkaisu (NIST SP) 800-61r2 tunnistaa seuraavat mallit tällaisen ryhmän järjestämiseksi.

• Keskustiimi Yksi tiimi käsittelee tapaukset koko organisaation puolesta.

• Hajautettu tiimi Suuremmille tai maantieteellisesti hajallaan oleville organisaatioille saattaa olla tarkoituksenmukaisempaa käyttää yksittäisiä CSIRT-ryhmiä organisaation eri segmenteille tai eri maantieteellisille sijainneille.

• Koordinointitiimi Kattava keskustiimi voidaan lisätä antamaan ohjausta ja koordinointia hajautettujen ryhmien kesken.

CSIRT-työkalut:

CSIRT:llä on useita työkaluja, joiden avulla se voi auttaa käsittelemään tietoturvahäiriöitä. Työkalupaketin pitäminen ajan tasalla edistää CSIRT:n optimaalista toimintaa. Seuraavassa taulukossa on muutamia yleisiä esimerkkejä.

• Sleuth Kit (TSK) / Cross-platform

• Kotelo / Windows

• Forensic Toolkit (FTK) / Windows

• Forensics Explorer / Windows

• SANS Investigative Forensic Toolkit (SIFT) / Ubuntu (Linux)

• Digital Forensics Framework (DFF) /Cross-platform

• Computer Online Forensic Evidence Extractor (COFEE) / Windows

• WindowsSCOPE / Windows

• HashMyFiles / Windows

• Volatiliteetti / Windows, Linux

• TestDisk / Cross-platform

• Wireshark / Cross-platform

Tietojen luokitusjärjestelmä:

• Tunnista huoltaja

• Määritä arviointikriteerit

• Luokittele ja merkitse jokainen resurssi

• Dokumentoi kaikki poikkeukset

• Valitse suojaustoiminnot

• Määritä menettelyt luokituksen poistamiseksi

• Luo yritystietoisuusohjelma

Tietojen luokitus:

• Laajuus (arvo, ikä)

• Luokituksen valvonta

• Takuu

• Merkintä ja etiketöinti

Luokittele tiedot:

• Määritä luokituskriteerit

• Luokittele tiedot

• Määritä säätimet

• Julkistaa tietoisuutta luokituksen valvonnasta

Luokitusohjelma:

• Määritä luokitustaso

• Tunnista omistaja

• Määritä suojaustaso

• Luo menettelyn luokituksen poistamiseksi

Tietojen luokitusmenettelyt:

• Määritä luokitustasot.

• Määritä kriteerit, jotka määrittävät tietojen luokittelun.

• Tunnista tietojen omistajat, jotka ovat vastuussa tietojen luokituksesta.

• Tunnista tietojen säilyttäjä, joka on vastuussa tietojen ja sekuntien ylläpidosta. taso.

• Ilmoita kullekin luokkatasolle vaadittavat turvatarkastukset ja suojamekanismit

• Dokumentoi kaikki poikkeukset aiemmista luokitusongelmista.

• Ilmoita menetelmät, joilla tietojen säilytysoikeus voidaan siirtää eri omistajalle.

• Luo menettely, jolla voit tarkistaa luokituksen ja omistajuuden säännöllisesti.

• Ilmoita muutoksista tietojen säilyttäjälle.

• Ilmoita menettelyt tietojen luokituksen poistamiseksi.

• Integroi nämä asiat turvallisuustietoisuusohjelmaan.

Tiedonkeruun rajoitukset:

• Tietojen kerääminen vain laillisia ja oikeudenmukaisia ​​keinoja varten.

• Tiedonkeruu kohteen tietäen ja hyväksynnällä.

• Älä käytä henkilötietoja muihin tarkoituksiin.

• Henkilötietojen keräämisen tulee olla tarkoituksenmukaista.

• Kerätyt tiedot ovat tarkkoja ja ajan tasalla.

• Älä paljasta henkilötietoja muille osapuolille ilman kohteen lupaa.

• Suojaa henkilötiedot tahattomalta tai tahattomalta pääsyltä, käytöltä, paljastamiselta,

tuhoaminen ja muuttaminen.

Huomaa:

Seuraavassa on joitakin tärkeitä tietosuojaan liittyviä käytäntöjä ja sääntöjä

maailma, joka tarjoaa henkilötietoihin liittyviä kehyksiä ja rajoituksia.

• Yleinen tietosuoja-asetus (Euroopan unioni)

• Tietosuojadirektiivi (EU)

• Data Protection Act 1998 (Iso-Britannia)

• Data Protection Act, 2012 (Ghana)

• Tietosuoja (yksityisyyden) lait Venäjällä

• Personal Data Protection Act 2012 (Singapore)

• Privacy Act (Kanada)

Tavoite

Tapahtumien käsittelystä ja toiminnan suunnittelusta:

• Tunnistaa kompromissit mahdollisimman nopeasti ja tehokkaasti.

• Reagoi tapahtumiin mahdollisimman nopeasti.

• Tunnistaa syyn mahdollisimman tehokkaasti.

Vapaustapaukseen vastaamisen tarkoitus:

• Palauta normaali palvelu

• Minimoi vaikutukset liiketoimintaan

• Varmista, että palvelun laatu ja saatavuus säilyvät

Toimintatapaus:

• Triage (arvioi tapahtuman vakavuuden ja varmistaa)

• Tutkinta (ota yhteyttä lainvalvontaviranomaisiin)

• Suojaus (rajoita vahinkoa)

• Analyysi

• Seuranta

Toimintatapaus:

• Valmistelu

• Tunnistus -- Tunnistus

• Reagointi -- Suojaus

• Lieventäminen

• Raportointi – Raportoi vanhemmalle johdolle

• Palautus -- Muutosten hallinta & Kokoonpano. Hallinto

• Korjaus -- RCA & Patch M. & Ota hallintalaitteet käyttöön

• Oppitunnit – Asiakirjojen ja tiedon siirto

Toimintatapaus:

• Valmistelu

• Tunnistus

• Suojaus

• Hävittäminen

• Palautuminen

• Tapahtuman jälkeinen tarkistus/Oppitunti

Tapahtumien käsittelyvaiheet: NIST 800-61

• Valmistelevat ihmiset

• Tunnistus Tunnista

• Suojasäiliöt

• Hävittäminen päättyy

• Recovery Real

• Opittua elämää

Tapahtumien vastausprosessi: PIC-ERL:

• Valmistelu

• Tunnistus

•• Havaitseminen/analyysi

•• Kokoelma

• Suojaus

• Hävittäminen

• Palautuminen

• Tapahtuman jälkeinen

•• Opittua

••• Perussyyanalyysi

•• Raportointi ja dokumentointi

Huomaa:

Aukkoanalyysi sisältää organisaation nykyisen aseman/suorituskyvyn tarkastelun tarkastuksen perusteella tiettyä standardia vasten.

Tapahtumien reagointiprosessi:

• Suunnittele ja tunnista tapahtuma.

• Aloita tapausten käsittelyprotokollat.

• Tallenna tapahtuma.

• Arvioi ja analysoi tapahtuma.

• Sisällytä tapahtuman vaikutukset.

• Vähennä ja poista tapahtuman kielteisiä vaikutuksia.

• Eskaloi ongelmat sopivalle tiimin jäsenelle, jos mahdollista.

• Toivu tapahtumasta.

• Tarkista ja ilmoita tapahtuman yksityiskohdat.

• Laadi opittua raporttia.

Tapahtumien torjuntasuunnitelmat:

Käytettävä IR-suunnitelma on riittävän dynaaminen käsittelemään monia tapauksia, mutta riittävän yksinkertainen ollakseen hyödyllinen. Jotkut suunnitelman ominaisuudet ovat:

• Lyhyesti Tapahtuman aikana on vähän aikaa lukea ja ymmärtää suuria asiakirjoja ja löytää korostettuja osia, jotka voivat olla merkityksellisiä.

• Selkeät tapahtumat ovat monimutkaisia ​​ja usein niitä ei ymmärretä hyvin alussa.

• Kiinteät Jäykät ja ohjeelliset häiriötilanteiden torjuntasuunnitelmat voivat epäonnistua, kun avainhenkilöt ovat poissa.

• Eläminen Tämä ei ole vain suunnitelma, joka tarkistetaan ja (mahdollisesti) päivitetään kerran vuodessa.

Tapahtumien torjuntasuunnitelmien mallit:

•• Vaatimustenmukaisuuslähtöinen

• Suunniteltu arvioimaan vastaus jälkikäteen.

• Heijastaa tarkastuksen ja vaatimustenmukaisuuden lähestymistapaa (HIPAA, GLBA, PCI-DSS).

• Turvainsinöörit ja analyytikot eivät viittaa heihin tapahtuman aikana, paitsi mahdollisesti jälkikäteen tehdyissä raporteissa.

•• Teknisesti ohjattu

• Kehittää pelikirjoja, jotka kertovat data-analyysitekniikoista ja ovat usein raskaita ja tarkoituksellisesti epämääräisiä vastuullisuuden suhteen.

• Tietoturva- tai verkkoinsinöörien kehittämä, mutta se voi olla turhauttavaa arvioitaessa vastauksia hallitukselle tai johtajille tehtyihin raportteihin.

•• Koordinoitu (vaatimustenmukaisuuteen perustuva + teknisesti ohjattu)

• Tarjoaa puitteet toimille, joissa ne ovat moniselitteisempiä: tiimien ja roolien välillä. Koordinoitu suunnitelma kuvaa kommunikaatiota ja auktoriteettia niin, että ne eivät tule kyseenalaiseksi tapahtuman aikana, mutta mahdollistaa myös tiimin asiantuntemuksen soveltamisen ilman suunnitelman mikrojohtamista.

Tapahtumien tutkintamenetelmät:

• Analyysi ja kuvantaminen

• Dead box forensics

• Haihtuva tiedonkeruu

• Palvelimen käsittely

• Päätepisteen kuvantaminen

• Reaaliaikainen järjestelmän käsittely (haihtuvien tietojen kerääminen)

• Kirjoitusesto

• Hallittu rikostekninen käynnistys (haihtuvien tietojen huomioon ottaminen)

Näkyvyyshaasteet:

• Omaisuuden löytäminen ja seuranta

• Loppukäyttäjien laitteiden näkeminen ja suojaaminen verkon ulkopuolella

• Haavoittuvuuksien etsiminen sovelluskoodista, jonka organisaatio rakentaa itse

• IoT-laitteiden heikkouksien tunnistaminen, jotka voivat johtaa kompromisseihin

• kriittisten infrastruktuurijärjestelmien arviointi häiritsemättä toimintaa

Tietoturvallisuuden jatkuva valvonta:

• Määritä

• Perustaa

• Toteuta

• Analysoi

• Vastaa

• Tarkista

• Päivitys

• Toista

Kaappauksen suojausvaatimus:

• Uhkamallinnus

• Tietojen luokitus

• Riskinarvioinnit

Uhkien mallinnus:

• Arvioinnin laajuus

• Järjestelmän mallinnus

• Tunnista uhka

• Tunnista haavoittuvuus

• Kokeen uhkahistoria

• Vaikutus

• Vastaus

Uhkamallinnus: (STRIDE):

• Huijaus: Hyökkääjä olettaa kohteen henkilöllisyyden

• Peukalointi: Hyökkääjä muuttaa tietoja tai viestejä

• Kieltäminen: Tapahtuman laiton kieltäminen

• Tietojen paljastaminen: Tietoja hankitaan ilman lupaa

• Palvelunesto: Hyökkääjän ylikuormitusjärjestelmä estää laillisen pääsyn

• Käyttöoikeuksien korotus: Hyökkääjä saa etuoikeustason sallitun yläpuolelle

Uhka

PELKU:

Microsoft DREAD -luokitusmalli perustuu perinteiseen riskimalliin: Risk = Todennäköisyys x

Vaikutus. Oletetaan esimerkiksi, että arvioit tietyn uhan ja määritit sille 10 pisteen arvon

kukin seuraavista kysymyksistä kuvan mukaisesti.

• Helppokäyttöisyys:

• Löydettävyys – Kuinka helposti hyökkääjä voi löytää tämän uhan? (8, suhteellisen helppoa)

• Toistettavuus – Kuinka helppoa on toistaa hyökkäys toimimaan? (10, erittäin helppoa)

• Hyödynnettävyys – Kuinka paljon aikaa, vaivaa ja asiantuntemusta tarvitaan uhan hyödyntämiseen? (7, suhteellisen helppoa)

• Vaikutus:

• Käyttäjät, joihin vaikutus vaikuttaa – kuinka suuri osa käyttäjistä vaikuttaa? (10, vaikuttaa kaikkiin käyttäjiin)

• Vahinko – kuinka suuri vahinko olisi onnistuneessa hyökkäyksessä? (9, erittäin korkea)

Uhkien mallintaminen:

• Arvioinnin laajuus

• Järjestelmän mallinnus

• Tunnista uhat

• Tunnista haavoittuvuudet

• Uhkahistorian tutkiminen

• Liiketoimintaan kohdistuvien vaikutusten arviointi

• Turvallisuusuhkien reagointisuunnitelman kehittäminen

Uhkien mallinnustyökalut:

• Microsoft - Uhkien mallinnustyökalu

• MyAppSecurity – Uhkien mallinnus

• IriusRisk Threat -mallinnustyökalu

• Skandinavian - securiCAD

• Turvakompassi – SD-elementit

Uhkien mallinnusprosessi:

• Määritä yleiset turvallisuustavoitteet ja laajuus

• • Tunne omaisuutesi/tietosi (ei vain fyysinen).

• • Kerää tietoja, kuten olemassa olevaa dokumentaatiota, käytäntöä, viitekehystä, ohjetta, tietokantaa, käyttäjien tarinoita, virheitä. Tarkista kerättyjen tietojen tarkkuus.

• • Kerää turvallisuusvaatimukset, jotka on jo määritetty sinulle vaatimustenmukaisuuden, viranomaisten määräysten ja alan standardien kautta.

Tunnista, kuinka voit käsitellä turvallisuutta ja toteuttaa tietoturvavaatimuksia sääntelyn/tietosuojan näkökulmasta.

• Hajoaa

• • Tunne organisaatiosi yhteysmallit. Varmista, että mitään elementtejä ei ole unohdettu tunnistamalla alikomponentit, riippuvuudet ja vuorovaikutuspisteet.

• • Tunnista omaisuus, josta hyökkääjä saattaa olla kiinnostunut, kenen tulisi päästää kullekin alueelle ja miten pääsyä valvotaan.

• • Jaa sovellus/järjestelmä käsitteellisiin aloituspisteisiin, osiin ja rajoihin, joissa hyökkääjä voi olla vuorovaikutuksessa sen kanssa.

• • Merkitse kaikki epäluotetut tiedot.

• • Kaavio siitä, kuinka tiedot kulkevat sovelluksen/järjestelmän läpi datavuokaavioiden (DFD) avulla. DFD edustaa tietojen liikkumista prosessien, tallennustilan ja ulkoisten järjestelmien/palvelujen välillä.

• Tunnista ja luokittele uhat

• • Luettele kaikki mahdolliset uhkaluokat, kuten tiedustelu, sosiaalinen suunnittelu, järjestelmien hakkerointi, verkkopohjaiset uhat, haittaohjelmat, kaappaukset ja toisena henkilönä esiintyminen, palvelunesto Mobiilipohjaiset uhat, pilvipohjaiset uhat jne.

• • Olemassa olevat uhat tulee tunnistaa ennen kuin kunkin uhan torjuntakeinoja luetellaan, mutta näiden uhkien järjestys määrittää, mitkä hallintakeinot otetaan käyttöön. Uhkien luokittelu on avainasemassa, koska uhan todennäköisyys tai vaikutus voi olla niin alhainen, että valvonnan suorittaminen ei ole kustannusten arvoista.

• • Ajattele kuin hyökkääjä. On kauheaa kaatua, mutta pahempaa on saada väärää tietoa ja olla tietämättä siitä. Tutki sovelluksesi ja tunnista, missä uhkia esiintyy, kuten palautuskoodien, virheiden, käyttöoikeustason, tietojen jakamisen ja kaiken syötteen tarkistaminen, jos mahdollista.

• • Varmista, että tietoturvavaatimukset toteutuvat testitapauksissa.

• • Käytä perussyyanalyysiä.

• • Käytä menetelmiä, kuten STRIDE (huijaus, peukalointi, kieltäminen, tietojen paljastaminen, palvelunesto ja oikeuksien eskalointi), jotta voit tunnistaa ja luokitella uhkia.

• • Jos käytät kolmannen osapuolen komponentteja, kirjastot ja palvelut harkitsevat ja sisällyttävät omat uhkamallinsa.

• Vastaa jokaiseen uhkaan

• • Noudata suojaussuunnittelumalleja tietyntyyppisten uhkien torjumiseksi.

• • Tarjoa vastatoimia jokaiselle uhalle, johon sinun on puututtava.

• • Ota käyttöön jatkuva seuranta tunnistaaksesi, milloin uusia tietoturvaongelmia ilmaantuu ajan myötä.

• • Testaa lieventämistä, jos uhista, joita ei ole vähennetty, tulee virhevaraston tietoturvavirheitä.

Cyber ​​Kill Chain:

• Tiedustelu

• Aseistus

• Toimitus

• hyväksikäyttö

• Asennus

• Komento ja ohjaus

• Tavoitteisiin liittyvät toimet

Kyberturvallisuuden toiminnan elinkaari:

• LÖYDÄ: Tunnista ja kartoita jokainen omaisuus missä tahansa ympäristössä. Täältä voit

perusta nykyinen ja haluttu toimintatila.

• ARVIOINTI: jokaisen muutoksen yhteydessä arvioi nykyinen tila automaattisesti perustilaan verrattuna

ympäristö, mukaan lukien virheelliset määritykset, haavoittuvuudet ja muut turvallisuuden kunnon indikaattorit, kuten vanhentuneet virustorjunta tai korkean riskin käyttäjät.

• ANALYSOI: Lisää kontekstia omaisuuden altistumiseen priorisoidaksesi korjaukset omaisuuden liiketoiminnan kriittisyyden ja haavoittuvuuden vakavuuden perusteella.

• KORJAA: Priorisoi, mitkä valotukset korjataan ensin, jos ollenkaan, ja valitse sopiva

korjaustekniikka, olipa kyseessä väliaikainen suojaus tai täydellinen korjaus.

Tietojen suodattaminen:

• Peitetut kanavat

• Tiedostonjakopalvelut

TOCTOU:

Eräänlainen kilpailuehto, jota kutsutaan tarkistusajasta käyttöaikaan, koska ongelma ilmenee, kun jaetut tiedot muuttuvat alun perin tarkistamisen ja käytön välillä. Kilpailuolosuhteet ovat usein epädeterministiset, mikä tarkoittaa, että et voi ennustaa tulosta, koska se perustuu ajoitukseen. Kilpailuolosuhteita on usein vaikea korjata, koska virheenkorjausohjelman suorittaminen lisää ajoitusviiveitä, jotka muuttavat tulosta. Estä kilpailuolosuhteet estämällä useita samanaikaisia ​​pyyntöjä (lukitus) tai synkronointimekanismin avulla.

Tallennustila vs. ajoituskanavat:

Piiteltuja kanavia voidaan myös ajatella kahdessa eri kategoriassa: tallennus ja ajoitus. Piilotettu tallennuskanava sisältää yhden prosessin kirjoittamisen tallennuspaikkaan ja toisen prosessin lukemisen tästä paikasta. Piilotettu ajoituskanava sisältää yhden prosessia muuttavan järjestelmäresurssin, jotta vasteajan muutokset voivat signaloida tietoa vastaanottajaprosessille. Joissakin salaisten kanavien käytössä yhdistyvät sekä tallennus- että ajoitusnäkökohdat.

Esimerkkejä salaisista kanavista ovat seuraavat:

• Tietojen lähettäminen harvoin käytetyn portin kautta, jota palomuuri ei estä.

• Tietojen piilottaminen TCP/IP-pakettien otsikoissa allekirjoituksen analyysin välttämiseksi tunkeutumisen kautta

tunnistusjärjestelmät.

• Tietojen jakaminen useiksi paketeiksi lähetettäviksi eri aikoina välttämiseksi

allekirjoitusanalyysi.

• Tietojen lähettäminen jaetun resurssin kautta, jota ei tavallisesti käytetä viestintäkanavana

(eli tiedostojärjestelmän metatiedot).

• Lähettää salattuja tietoja, joita ei voida tarkastaa, kun ne poistuvat verkosta.

Steganografia:

Samalla tavalla kuin piilokanavaa, yksi tekniikka tietojen piilottamiseen suodattamista varten on steganografia. Steganografiaa käyttämällä hyökkääjä saattaa pystyä välttämään tunkeutumisen havaitsemisen ja tietojen menetyksen vastatoimia, jos he piilottavat tietoja kuvista tai videoista. Nykyaikaiset työkalut piilottavat digitaalisen tiedon niin hyvin, että ihmissilmä ei pysty erottamaan niitä; samoin tietokoneohjelmat, joita ei ole varustettu steganografiseen analyysiin, voivat myös epäonnistua havaitsemaan piilotettua tietoa.

Tietojärjestelmien tarkastaja:

• Tarkastaa tietoturvatoimia vaatimustenmukaisuuden varalta; Vahvistaa turvallisuustavoitteiden, käytäntöjen, menettelyjen, standardien, määräysten ja niihin liittyvien vaatimusten noudattamisen.

• Tarkistaa, johdetaanko ja hoidetaanko tietoturvatoimintaa valtion turvallisuustavoitteiden saavuttamisen varmistamiseksi.

• Antaa riippumatonta palautetta ylimmälle johdolle.

Tarkistuskäytöt:

• Tallennusarvostelu

• Valvonnan riittävyys

• Käytännön noudattaminen

• Tunnista haitallinen toiminta

• Todisteet vainosta

• Ongelmaraportointi ja -analyysi

Tarkastus:

Systemaattinen prosessi, jolla pätevä, riippumaton henkilö hankkii ja arvioi objektiivisesti todisteita taloudellista kokonaisuutta tai tapahtumaa koskevista väitteistä muodostaakseen mielipiteen ja raportoidakseen, missä määrin väite on tietyn joukon mukaisia. standardit. Tarkastus: Arvioi turvatarkastukset - Raportoi niiden tehokkuudesta - Suosittele parannuksia

Tarkastussuunnitelma:

• Määritä tarkastuksen tavoitteet

• Määritä tarkastuksen laajuus

• Suorita tarkastus

• Tarkenna tarkastusprosessia

Tarkistusprosessi:

• Määritä tavoitteet

• Ota mukaan oikea liiketoimintayksikön johtaja

• Määritä laajuus

• Valitse tarkastustiimi

• Suunnittele auditoinnit

• Suorita tarkastus

• Dokumentoi tulos

• Kerro tuloksesta

Tarkastusraportti:

• Tarkoitus

• Soveltamisala

• Tarkastuksen havaitsemat tai paljastamat tulokset

• Ongelmat, tapahtumat ja olosuhteet

• Standardit, kriteerit ja lähtökohdat

• Syitä, syitä, vaikutuksia ja seurauksia

• Suositellut ratkaisut ja suojatoimenpiteet

IT-tietoturvatarkastuksen tarkoituksena on löytää

• Virheelliset säätimet

• Riittämättömät hallintalaitteet

• Kohdestandardien/ohjeiden noudattamatta jättäminen

Ohjelmiston määrittämä kaikki (SDx):

Virtualisoinnin laajennus, joka erottaa sovelluksen tai toiminnon sen taustalla olevista laitteistoista, erottaa ohjaus- ja datatasot ja lisää ohjelmoitavuutta. Ohjelmistomääritellystä verkosta (SDN) alkaen SDx kattaa nyt muun muassa ohjelmiston määrittämän tallennustilan (SDS), ohjelmiston määrittämän tietojenkäsittelyn, ohjelmiston määrittämän suojauksen ja ohjelmiston määrittämät tietokeskukset (SDDC).

Ohjelmiston määrittämä

Verkkoyhteys (SDN):

• Sovellus

• Ohjaus

• Infrastruktuuri

Ohjelmiston määrittämä

Verkkoyhteys (SDN):

• Verkon ylläpitäjät voivat säätää verkkoliikennettä lennossa.

• Niiden avulla voit havaita paremmin verkkoliikenteen poikkeavuuksia.

• Ne lisäävät verkoston monimutkaisuutta, mikä vaatii erityistaitoja.

Viestintäominaisuudet Asynkroninen:

• Ei ajastuskomponenttia

• Ympäröi jokaisen tavun käsittelybiteillä

• Pariteettibittiä käytetään virheenhallintaan

• Jokainen tavu vaatii kolme ohjebittiä (aloitus, lopetus, pariteetti)

Viestintäominaisuudet Synkroninen:

• Ajoituskomponentti tiedonsiirron synkronointia varten

• Tehokas virheentarkistus, yleensä syklisen redundanssitarkistuksen (CRC) avulla

• Käytetään nopeisiin ja suuriin lähetyksiin

• Minimaalinen yleiskustannukset asynkroniseen tiedonsiirtoon verrattuna

Verkkolaitteisto:

• Modeemit (muuntaa digitaaliset signaalit analogisiksi / analogiset signaalit digitaalisiksi)

• Keskittimet (toimivat fyysisessä kerroksessa, lähettävät signaaleja uudelleen)

• Toistimet (toimivat fyysisessä kerroksessa, vahvistavat signaaleja uudelleen)

• Sillat (toimivat kerroksessa 2, suodattavat liikennettä)

• Kytkimet (toimivat kerroksessa 2, välittävät lähetyksiä ja kehyksiä)

• Reitittimet (lähettää paketit edelleen)

Content-Distribution Network (CDN) edut:

• Skaalaus tarpeen mukaan

• Kustannustehokkuus

• Sisällön paikka

• Tietoturvan parannus

• Suodata DDOS-hyökkäykset pois

IPSec-paketin pääprotokollat:

• Authentication Header (AH) Tarjoaa tietojen eheyden, tietojen alkuperän todennuksen ja suojan toistohyökkäyksiä vastaan

• Encapsulating Security Payload (ESP) tarjoaa luottamuksellisuuden, tietojen alkuperän todennuksen ja tietojen eheyden

• ISAKMP (Internet Security Association and Key Management Protocol) tarjoaa puitteet suojausyhdistyksen luomiselle ja avainten vaihdolle

• Internet Key Exchange (IKE) Tarjoaa todennettua avainmateriaalia käytettäväksi ISAKMP:n kanssa

Point-to-Point Tunneling Protocol (PPTP):

• Toimii asiakas/palvelin-mallissa

• Laajentaa ja suojaa PPP-yhteyksiä

• Toimii tietolinkkikerroksessa

• Lähettää vain IP-verkkojen kautta

Layer 2 Tunneling Protocol (L2TP):

• L2F:n ja PPTP:n hybridi

• Laajentaa ja suojaa PPP-yhteyksiä

• Toimii tietolinkkikerroksessa

• Lähettää useiden verkkotyyppien kautta, ei vain IP:n kautta

• Yhdistetty IPSec-suojaukseen

IPSec:

• Käsittelee useita VPN-yhteyksiä samanaikaisesti

• Tarjoaa suojatun todennuksen ja salauksen

• Tukee vain IP-verkkoja

• Keskittyy LAN-LAN-viestintään käyttäjien välisen tiedonsiirron sijaan

• Toimii verkkokerroksessa ja tarjoaa suojauksen IP:n lisäksi

Transport Layer Security (TLS):

• Toimii istuntokerroksessa ja suojaa pääasiassa verkko- ja sähköpostiliikennettä

• Saatavilla on yksityiskohtainen kulunvalvonta ja konfigurointi

• Helppo käyttöönotto, koska TLS on jo upotettu verkkoselaimiin

• Voi suojata vain pienen määrän protokollatyyppejä

Monikerrosprotokollan haitat:

• Peitetut kanavat ovat sallittuja

• Suodattimet voidaan ohittaa

• Loogisesti määrätyt verkkosegmenttien rajat voidaan ylittää

Monikerrosprotokollien edut:

• Voidaan käyttää monenlaisia ​​protokollia

• Salaus

• Joustavuus ja joustavuus

MPLS-ominaisuus:

• Liikennesuunnittelu

• Parempi reitittimen suorituskyky

• Sisäänrakennettu tunnelointi

Kaksi pääasiallista MPLS-reititysprotokollaa:

• Label Distribution Protocol (LDP) - Ei liikennesuunnittelua

• Resurssien varausprotokolla liikennesuunnittelulla (RSVP-TE)

Label Switched Path (LSP) MPLS-reitittimen roolit/positiot ovat:

• Label Edge Router (LER) tai "Ingress Node" - Reititin, joka ensin kapseloi paketin MPLS LSP:n sisään; Myös reititin, joka tekee alkuperäisen polun valinnan.

• Label Switching Router (LSR) tai "Transit Node" – reititin, joka suorittaa MPLS-vaihdon vain LSP:n keskellä.

• Egress Node – LSP:n lopussa oleva viimeinen reititin, joka poistaa etiketin.

Generic Routing Encapsulation (GRE) -tunneli

Ciscon kehittämä tunnelointiprotokolla, joka voi kapseloida laajan valikoiman verkkokerroksen protokollia virtuaalisten point-to-point-linkkien sisään Internet-protokollaverkon kautta.

Neljä tasoa on nimetty seuraavasti:

• Taso I: Peruspalvelinkeskuksen infrastruktuuri

• Taso II: Ylimääräiset sivustoinfrastruktuurin kapasiteettikomponentit

• Taso III: Samanaikaisesti ylläpidettävä sivustoinfrastruktuuri

• Taso IV: Vikasietoinen sivustoinfrastruktuuri

Yleiset kriteerit:

• PP -mitä asiakas tarvitsee

• ST-mitä myyjä tarjoaa

• TOE – Varsinainen tuote

• EAL-luokitus, joka tarjoaa arvioinnin ja varmuuden

Huomaa:

EAL mittaa, kuinka perusteellisesti suojausominaisuudet tuotteen myyjä väittää olevan testattu ja tarkistettu ja kuka on suorittanut. EAL ei tarjoa todellista mittaria siitä, kuinka hyvin kyseiset suojausominaisuudet toimivat tuotantoympäristössä, ovatko kyseiset ominaisuudet parempia kuin kilpailevien tuotteiden tarjoamat ominaisuudet vai onko tuote "hyvä".

EAL: FSM2S2F

• EAL1 – Toiminnallisesti testattu (alhaisin arvosana)

• EAL2 – Rakenteellisesti testattu

• EAL3 – Metodisesti testattu ja tarkastettu

• EAL4 – Metodisesti suunniteltu, testattu ja tarkistettu (keskiluokkainen luokitus)

• EAL5 – Puolimuodollisesti suunniteltu ja testattu

• EAL6 – Puolimuodollisesti varmennettu, suunniteltu ja testattu

• EAL7 – Muodollisesti vahvistettu, suunniteltu ja testattu (korkein luokitus)

Ennen kuin valitset Security Monitoring Toolin tyypin:

• Sen pitäisi kerätä tietoa useista lähteistä.

• Sen pitäisi pystyä toimimaan yhdessä muiden järjestelmien, kuten help deskin tai muutoksenhallintaohjelman, kanssa.

• Sen tulee noudattaa kaikkia asiaankuuluvia lakeja ja alan määräyksiä.

• Sen pitäisi tarjota skaalautuvaa raportointia, jotta saat sekä korkean että matalan tason näkökulman tietoturvaasi

Suojaustietojen ja tapahtumien hallinta (SIEM):

• Korrelaatio

• Vaatimustenmukaisuus

• Varoitus

Tehtävät voidaan suorittaa automaattisesti puolestasi työkaluilla, kuten SIEM:illä:

• Suodata tarpeettomat tai päällekkäiset tiedot

• Yhdistä lähteitä

• Synkronoi eri lähteisiin kirjatut tapahtumat

• Normalisoi tietomuodot

• Tallenna tiedot turvallisesti

• Tiedonkeruu, analyysi ja korrelaatio

SIEM on Cloud... edut ovat:

• Ei pääomakustannuksia

• Ei tarvitse investoida paikan päällä oleviin koneisiin

• Ei tarvitse investoida laitteiston tekniseen tukeen

• Ei asennuskuluja

• Vain hienosäätö

• Pilvipalvelun tarjoajan automaattisesti julkaisemat päivitykset

Suojaustila:

• Erillinen suojaustila (kaikki käyttäjät voivat käyttää kaikkia tietoja).

• Järjestelmän korkean turvallisuuden tila (tarveperusteella kaikki käyttäjät voivat käyttää rajoitettuja tietoja).

• Osittainen suojaustila (katso, että kaikki käyttäjät voivat käyttää rajoitettuja tietoja muodollisen käyttöluvan mukaisesti).

• Monitasoinen suojaustila (tarveperusteella kaikki käyttäjät voivat käyttää rajoitettuja tietoja muodollisen käyttöluvan ja -selvityksen mukaisesti).

Estä SQL-injektio (SQLi):

• Suorita syötteen vahvistus

• Rajoita tilin käyttöoikeuksia

• Käytä tallennettuja toimenpiteitä

SQL-injektiohyökkäyksessä hyökkääjä voi:

• Kerää ja murtaa salasanatiivisteitä

• Poista ja muokkaa asiakastietueita

• Lukea ja kirjoittaa järjestelmätiedostoja

Injektiohyökkäykset:

SQL-injektiohyökkäys koostuu SQL-kyselyn lisäämisestä tai "lisäämisestä" syötteen kautta

• HTML-injektio on eräänlainen lisäysongelma, joka ilmenee, kun käyttäjä pystyy hallitsemaan syöttöpistettä ja syöttämään mielivaltaista HTML-koodia haavoittuvaiselle verkkosivulle.

• Komentoinjektio on hyökkäys, jossa tavoitteena on mielivaltaisten komentojen suorittaminen isäntäkäyttöjärjestelmässä haavoittuvan sovelluksen kautta.

• Koodilisäyksen avulla hyökkääjä voi lisätä oman koodinsa, jonka sovellus sitten suorittaa.

Verkkosovellusten uhkat:

• Evästemyrkytys

• Suojaamaton tallennustila

• Tietovuoto

• Hakemiston läpikäynti

• Parametrien/muodon peukalointi

• DOS-hyökkäys

• Puskurin ylivuoto

• Lokin peukalointi

• SQL-injektio

• Sivustojen välinen (XSS)

• Sivustojen välinen pyyntöväärennös

• Suojauksen määritysvirhe

• Rikkinäinen istunnon hallinta

• DMZ-hyökkäys

• Istuntokaappaus

• Verkkoyhteyshyökkäykset

Yhteiskuntatekniikka:

Kaikkien käyttäjien on tärkeää ymmärtää sosiaalinen suunnittelu ja taktiikkansa. Lisäksi, kun ymmärrät taustalla olevat periaatteet, on helpompi välttää niiden huijaaminen. Seuraavissa osissa esitellään nämä periaatteet.

• Valtuutettu

• Uhkailu

• Konsensus / sosiaalinen todiste

• Niukkuus

• Kiireellisyys

• Tuttuus/tykkäys

• Luottamus

Langattoman ja RF-haavoittuvuudet:

• Evil Twin

• Karmahyökkäys

• Hyökkäys alempaan versioon

• Dauth. Hyökkäys

• Fragmentaatiohyökkäys

• Valtuustietojen kerääminen

• WPS-toteutuksen heikkous

• Bluejacking

• Bluesnarfing

• RFID-kloonaus

• Häiriö

• Toistuva

HAITTAOHJELMAN perusanalyysi:

• Haittaohjelmien arviointi

• Merkkijonoanalyysi

• Riippuvuusanalyysi

• Tiedostojen kohtaaminen, joissa on pyyhitty loogista dataa

• Sandbox-analyysi

• Online-haittaohjelmien tarkistus/hiekkalaatikko

TCB:n perustoiminto:

• Prosessin aktivointi

• Suoritustoimialueen vaihto

• Muistin suojaus

• I/O-toiminta

Muistinhallinta:

• Muutto

• Suojaus

• Jakaminen

• Looginen organisaatio

• Fyysinen organisaatio

Muistin suojaus:

• DEP (Data Execution Prevention)

• ASLR (Address Space Layout Randomization)

• ACL (käyttöoikeusluettelo)

Muistin suojaus:

• Segmentointi

• Haku

• Suojaava avain

Storage Area Network (SAN) -tietoturvaongelmat

SAN-verkot ovat nopeita verkkoja, jotka yhdistävät erilaisia ​​tallennustekniikoita, mukaan lukien nauhat, levyryhmät ja optiset asemat, ja tarjoavat verkkoon liitetyn tallennustilan näyttävän paikalliselta. Nämä laitteet voivat yleensä tukea levyn peilausta, tietojen jakamista palvelimien välillä verkkojen välillä ja varmuuskopiointi-/palautustoimintoja.

• Storage Area Network -pääsyn valvonta

Todennus / Valtuutus / Salaus / Saatavuus

• Fibre Channel Storage Area Network -hyökkäykset

Istunnon kaappaus / LUN-naamiohyökkäykset / MITM (Man In The Middle Attack) / nimipalvelimen saastuminen / WWN-huijaus / vyöhykehyppely / vaihtohyökkäys

• Internet Small Computer System Interface -hyökkäykset

Mies-in-the-middle Attack / Internet Simple Name Server Domain Hopping /

Todennushyökkäys.

Hyökkäät (lieventäminen):

• Salakuuntelu (salaus)

• Cyber-squatting (turvaa verkkotunnuksesi rekisteröinti)

• Roskaposti (sähköpostin suodatus)

• Kyynel (paikkaus)

• Päällekkäinen fragmentti (ei salli fragmenttien päällekirjoittamista)

• Lähteen reitityshyökkäys (estä lähteen kautta reititetyt paketit)

• SYN flood Attack (toimittajan tuki verkkopinon suojaamisessa)

• Huijaus (korjaus, palomuurit, vahvat todennusmekanismit)

• Istuntokaappaus (salaus, säännöllinen uudelleentodennus)

Hyökkäysvaihe:

• Käyttöoikeuden saaminen

• Käyttöoikeuksien laajentaminen

• Järjestelmän selaus

• Asenna lisätyökaluja

• Lisälöytö

WLAN-hyökkäykset:

• Luottamuksellisuushyökkäykset

•• Liikenneanalyysi

•• Salakuuntelu

•• Mies keskellä hyökkäystä

•• Evil Twin AP

• Kulunvalvontahyökkäykset

•• Sota-ajo

•• Rogue Access Point

•• MAC-osoitteiden huijaus

•• Luvaton käyttö

• Rehellisyyshyökkäykset

•• Istuntokaappaus

•• Toista hyökkäys

•• Kehyksen ruiskutushyökkäys

• Käytettävyyshyökkäykset

•• Palvelunestohyökkäys

•• Radiotaajuinen (RF) häirintä

•• Beacon Flood

•• Associate/Authentication Flood

•• Todennuksen poistaminen & Irtisanoutuminen

•• Queensland DoS / Virtual carrier-sense -hyökkäys

•• Väärä SSID

•• AP-varkaus

• Authentication Attack

•• Sanakirja & Isku brutaalilla voimalla

WLAN-verkkojen suojaaminen:

• Vaihda oletus-SSID.

• Ota käyttöön WPA2 ja 802.1X tarjotaksesi keskitetyn käyttäjätodennuksen

• Käytä erillisiä VLAN-verkkoja

• Ota käyttöön langaton tunkeutumisen havainnointijärjestelmä (WIDS).

• Aseta tukiasema fyysisesti rakennuksen keskelle.

• Aseta tukiasema loogisesti DMZ:hen, jossa on palomuuri DMZ:n ja sisäisen verkon välillä.

• Ota käyttöön VPN langattomille laitteille. Tämä lisää siirrettäville tiedoille toisen suojakerroksen.

• Määritä tukiasema sallimaan vain tunnetut MAC-osoitteet verkkoon.

• Suorita WLAN-verkon läpäisytestit.

DNS-infrastruktuuriin kohdistuvat uhat:

• Jalanjälki

• Palvelunestohyökkäys

• Tietojen muokkaaminen

• Uudelleenohjaus

• Huijaus

Hyökkäät DNS-palvelimia vastaan:

• Alueen siirto: Tiedonkeruun pikakuvake

• Vyöhykemyrkytys: Rikkoo ensisijainen palvelin ja muuta vyöhyketiedosto korruptoituneeksi toimialueeksi

• Välimuistin myrkytys: Lähetä vääriä vastauksia välimuistipalvelimille, kunnes ne tallentavat ne

• Reflection DoS: Lähetä vääriä pyyntöjä palvelinketjuun, joka tekee rekursiivisia kyselyitä

Vähennä XSS:ää:

• Tietojen validointi

• Tietojen puhdistaminen

• Evästeiden suojaus

• Output Escaping

Kiinteistöjen hyökkäykset:

• Positilaisuus

• Aidan hyppääminen

• Dumpster-sukellus

• Lukitus

• Lukitse ohitus

• Poistumisanturi

• Merkkien kloonaus

Mies keskellä:

• ARP-huijaus

• ICMP-uudelleenohjaus

• DHCP-huijaus

• NBNS-huijaus

• Istuntokaappaus

• DNS-myrkytys

CPU-prosessien eristäminen:

• Esineiden kapselointi

• Jaettujen resurssien aikamultipleksointi

• Nimeämiserot

• Virtuaalinen muistikartoitus

Turvamekanismit:

• I/O-toiminnot

• Prosessin aktivointi

• Toimialueen vaihto

• Muistin suojaus

• Laitteiston hallinta

Verkkosivuston hakkerointi: (Deface-verkkosivustot)

• SQL-injektio

• XSS / CSRF

• Tiedostojen etäkäyttö

• Paikallisten tiedostojen sisällyttäminen

• DDOS

• Haavoittuvuuden hyödyntäminen

• Hakemiston läpikäynti

• Komentoinjektio

Hätätoimia koskevat ohjeet sisältävät:

• Välittömät vastaukset

• Luettelo henkilöistä, joille on ilmoitettava tapahtumasta

• Toissijaiset vastausmenettelyt, jotka ensiaputoimien tulee suorittaa

ISC2 - Eettiset säännöt:

• Suojaa yhteiskuntaa, kansainyhteisön infrastruktuuria

• Toimi kunniallisesti, rehellisesti, oikeudenmukaisesti, vastuullisesti ja laillisesti

• Tarjoa ahkeraa ja asiantuntevaa palvelua periaatteille

• Edistää ja suojella ammattia

Taustatarkistukset:

• Luottohistoria

• Rikoshistoria

• Ajotietueet

• Huumeiden ja aineiden testaus

• Aikaisempi työsuhde

• Koulutuksen, lisenssien ja sertifioinnin vahvistaminen

• Sosiaaliturvatunnuksen vahvistaminen ja vahvistaminen

• Epäiltyjen terrorismin valvontalista

Haavoittuvuuden hallinta:

• Varasto

• Uhka

• Aasit

• Priorisoi

• Ohitus

• Ota käyttöön

• Vahvista

• Näyttö

Haavoittuvuuden arviointi:

• Kerää

• Kauppa

• Järjestä

• Analyysi

• Raportti

Haavoittuvuuden tarkistamista koskeva harkinta:

• Aika suorittaa tarkistus

• Käytetyt protokollat

• Verkkotopologia

• Kaistanleveyden rajoitukset

• Kyselyn hillitseminen

• Herkät järjestelmät/epäperinteiset omaisuudet

Haavoittuvuuden arviointi ja kynätestaus:

• Soveltamisala

• Tiedonkeruu

• Haavoittuvuuden havaitseminen

• Tietojen analysointi ja suunnittelu

• Läpäisytestaus

• Etuoikeuksien eskaloituminen

• Tulosanalyysi

• Raportointi

• Siivous

Huomaa:

Haavoittuvuusarvioita tulee tehdä säännöllisesti uusien haavoittuvuuksien tunnistamiseksi. VA-skannereilla ei yleensä ole enempää kuin lukuoikeus.

Päivystystesti:

• Discovery - Hanki jalanjälki ja tiedot kohteesta.

• Luettelo - Suorita porttien skannaukset ja resurssien tunnistaminen.

• Haavoittuvuuskartoitus – Tunnista järjestelmien ja resurssien haavoittuvuudet.

• Hyödyntäminen - Yritä saada luvaton pääsy haavoittuvuuksia hyväkseen.

• Raportti – Raportoi tulokset johdolle ehdotettujen vastatoimien kanssa

Tärkeimmät osat, jotka standardi määrittelee läpäisytestauksen perustaksi:

• Sitouttamista edeltävät vuorovaikutukset

• Tiedustelutietojen kerääminen

• Uhkamallinnus

• Haavoittuvuusanalyysi

• hyväksikäyttö

• Jälkikäyttö

• Raportointi

Päivystystesti:

• Tavoite

• Tunnistus

• Löytö

• hyväksikäyttö

• Brute-Force

• Social Engineering

• Ohjauksen ottaminen

• Kääntyvä

• Todisteet

• Raportointi

• Korjaus

Lentautumistestaus:

• Ulkoinen testaus

• Sisäinen testaus

• Sokkotestaus – PT-tiimistä rajoitetusti tietoa

• Kaksoissokkotestaus – Ei tietoa sisäiselle turvallisuustiimille

• Kohdennettu testaus – Sekä sisäinen että PT-tiimi tietoinen.

Lentautumistestaus:

• Tiedustelu

• Skannaus

• Käyttöoikeuden saaminen

• Käyttöoikeuden ylläpitäminen

• Jälkien peittäminen

Lentautumistestaus:

• Perustutkinnan suorittaminen järjestelmän toiminnan määrittämiseksi

• Verkkoetsintätarkistaa avoimet portit

• Verkon haavoittuvuustarkistukset korjaamattomien haavoittuvuuksien tunnistamiseksi

• Verkkosovellusten haavoittuvuustarkistukset verkkosovellusten virheiden tunnistamiseksi

• Hyödyntämistyökalujen käyttäminen järjestelmän suojauksen automaattiseen kumoamiseen

• Manuaalinen luotaus ja hyökkäysyritykset

Päivystystestauksen keskeiset osat:

• Uhka-emulointi

• Attack Surface

• Hyökkäysvektorit

• Hyökkäysskenaariot

• Metodologia

Lentautumistestaustekniikat:

• Vartiointi/soitto

• Salakuuntelu

• Verkon haistaminen

• Fyysinen turvatestaus

• Social engineering

Päivystystestauksen sitoutumissäännöt:

• Tunnistaa ja hienosäätää asianmukaiset testausmenetelmät ja -tekniikat asianmukaisten laitteiden ja/tai palveluiden hyödyntämisessä

• Laajuus määrittelee sitoutumisen alun ja lopun, mutta sitoutumisen säännöt määrittelevät kaiken siltä väliltä

Sitoutumisen säännöt (ROE) kynätestissä:

• Johdanto

• Logistiikka

• Viestintä

• Kohteet

• Toteutus

• Raportointi

• Allekirjoitukset

Päivystystestien tyypit:

• Verkkoläpäisytesti

• Sovelluksen tunkeutumistesti

• Laitteiden / Internet Of Things (IoT) -läpäisytesti

• Enterprise Penetration Test

• Punainen joukkue

• Reverse Engineering / Zero-day Research

Lentautumistestaus:

• Testin onnistuminen edellyttää yhden tai useamman tavoitteen

• Laajuus perustuu hyökkäysskenaarioihin

• Työ on "aikalaatikossa".

• Löytää sekä teknisiä että loogisia haavoittuvuuksia

• Raporttien tulee olla ytimekkäitä

• Suositukset ovat strategisia

• Parantaa sisäisen turvallisuuden toimintaprosesseja

Tehokkaimmissa kynätestausraporteissa on muutamia yhteisiä elementtejä:

• Valmistelut:

•• Tunnista penetraatiotestin tavoitteet ja tarkoitus.

•• Mieti, kuinka parhaiten puhut yleisölle, jolle kirjoitat.

•• Varmista, että voit sijoittaa kaikki asiaankuuluvat tapahtumat ajan kontekstiin.

• Sisältö:

•• Tarkenna testeissäsi käyttämääsi testimenetelmää.

•• Yksityiskohtaisesti kunkin testin tulokset ja tunnistaa tietyt omaisuudet ja haavoittuvuudet

että tunnuksesi

• Anna analyysisi ja tulkintasi tuloksista.

• Ehdota korjaustekniikoita.

• Muotoilu:

•• Muotoile raporttisi noudattamaan kaikkia soveltuvia viranomaisia

säännökset ja standardit.

•• Kirjoita selkeällä, käytännöllisellä kielellä. Vältä teknistä jargonia.

•• Paranna luettavuutta muotoilemalla raporttisi ryhmillä ja osioilla.

• Tarkistaminen:

•• Oikolue asiakirjasi ennen sen lähettämistä.

•• Pyydä toista asiantuntijaa antamaan toinen lausunto raportista ennen

lähettää sen.

Luettelo:

• Käyttäjänimien purkaminen sähköpostitunnuksilla ja oletussalasanoilla

• Käyttäjänimien purkaminen SNMP:n avulla

• Tietojen poimiminen DNS-vyöhykkeen siirron, Finger OS:n ja porttien avulla

Skannaustyypit:

• DISCOVERY SCANNING: Löytöskannaus voidaan suorittaa hyvin yksinkertaisilla menetelmillä, esimerkiksi lähettämällä ping-paketti (ping-skannaus) jokaiseen aliverkon osoitteeseen. Kehittyneemmät menetelmät löytävät myös vastaavan laitteen käyttöjärjestelmän ja palvelut.

• VAATIMUSTENMUKAISUUDEN TARKISTAMINEN: Yhteensopivuustarkistus voidaan suorittaa joko verkosta tai laitteesta (esimerkiksi turvatarkistuksena). Jos se suoritetaan verkossa, se sisältää yleensä laitteen avoimien porttien ja palveluiden testauksen.

• HAAUKATTUVUUSTARKASTUS: Haavoittuvuuden tarkistus voi joko testata haavoittuvuuden olosuhteita tai yrittää haavoittuvuuden aktiivista hyödyntämistä. Haavoittuvuuden tarkistus voidaan suorittaa häiritsemättä tai hyväksymällä se tosiasia, että jopa tiettyjen haavoittuvuuksien testaus saattaa vaikuttaa kohteen käytettävyyteen tai suorituskykyyn.

Punainen

vs.

Sininen

:

Punaiset tiimit testaavat suojausohjelman tai -järjestelmän tehokkuutta toimimalla kuin hyökkääjät. Punaisia ​​joukkueita kutsutaan joskus tiikerijoukkueiksi. Siniset joukkueet ovat puolustajia ja voivat toimia punaisia ​​joukkueita tai oikeita hyökkääjiä vastaan.

•

Punainen joukkue

Punainen tiimi on sisäinen ryhmä, joka haastaa nimenomaisesti yrityksen strategian, tuotteet ja ennakkokäsitykset. Se kehystää ongelman vastustajan tai skeptikon näkökulmasta, löytääkseen aukkoja suunnitelmissa ja välttääkseen virheitä, punainen tiimi simuloi hakkereita.

•

Sininen tiimi

Sininen tiimi on sisäinen ryhmä, joka puolustaa yrityksen omaisuutta. Ihannetapauksessa tämä on ryhmä

verkkoturvallisuuden asiantuntijoista he puolustavat hakkerointitiimin juttuja.

Punaisen tiimin toiminta:

• Emuloi todellisen maailman uhkatoimijoiden taktiikoita

• Sinisen tiimin/onnettomuuksien hallintahenkilöstön koulutus

• Harjoittele aktiivisesti koko tapahtumavastaussilmukkaa

• Mittaa minimiaika havaitsemiseen ja vähimmäisaika palautumiseen

• Hyödyntämisen jälkeinen loukkaava data-analyysi

Erityyppiset hakkerit:

•Valkoinen hattu – Hakkeroi ohjelmistoja ensisijaisesti hyväntahtoisiin tarkoituksiin, kuten tietoturvatutkimukseen, löytääkseen tapoja parantaa ohjelmistojen turvallisuutta.

•Blackhat – Hakkerointi pääasiassa rikollisiin tarkoituksiin (kuten kiristys, varkaus ja kyberterrorismi).

•Harmaa hattu – ei sovi kahteen muuhun luokkaan. Ensisijaisesti voiton motivoimana, myymällä saamiaan tietoja esimerkiksi valtion virastoille.

Palomuuri:

• 1. sukupolvi: Pakettisuodatuspalomuurit.

• 2. sukupolvi: sovelluspalomuurit (välityspalvelin).

• 3. sukupolvi: tilaa täyden paketin palomuurit

• 4. sukupolvi: dynaaminen suodatus

• 5. sukupolvi: ytimen välityspalvelin

Palomuurilokit:

• Yhteydet sallittu tai kielletty

• IDS-toiminta

• Osoitekäännösten kirjausketju

• Käyttäjän toiminta

• Cut-through-välityspalvelintoiminta

• Kaistanleveyden käyttö

• Protokollan käyttö

PCI-tietoturvastandardin tavoitteet:

• Luo ja ylläpidä suojattua verkkoa

• Suojaa kortinhaltijan tiedot

• Ylläpidä haavoittuvuuden hallintaohjelmaa

• Ota käyttöön vahvoja kulunvalvontatoimenpiteitä

• Seuraa ja testaa verkkoja säännöllisesti

• Ylläpidä tietoturvakäytäntöä

Huomaa:

PCI DSS mahdollistaa kortinhaltijan lepotilassa olevien tietojen suojaamisen joko tokenoinnin tai salauksen avulla, mutta sellaisen käyttö on pakollista.

Mobiililaitteet ovat tietojen häviämisen tärkeimpiä vektoreita. alueet, joihin ammattilaisen tulisi keskittyä:

• Suojattu viestintä

• Haittaohjelmien torjunta

• Vahva todennus

• Salasanat

• Hallitse kolmannen osapuolen ohjelmistoja

• Erilliset suojatut mobiiliyhdyskäytävät

• Lukitus, auditoinnit

• Penetraatiotestit

• Mobiiliturvakäytäntö

Mobiiliuhkien perustyypit:

• Palvelunesto – Estä tai alenna palvelua käyttäjiltä. Langattoman viestinnän häirintä, verkkojen ylikuormittaminen valeliikenteellä, lunnasohjelmat, mobiililaitteiden tai mobiilipalvelujen varkaudet.

• Geolocation Käyttäjien fyysinen seuranta. Kohteen tarkkojen kolmiulotteisten koordinaattien saaminen passiivisesti tai aktiivisesti, mukaan lukien mahdollisesti nopeus ja suunta.

• Tietojen paljastaminen Tietojen tai palvelujen luvaton käyttö.

Siirrettävien tietojen sieppaus, käyttäjien, sovellusten tai yritysten tietojen vuotaminen tai suodattaminen, käyttäjän sijainnin seuranta, puhe- tai dataviestinnän salakuuntelu, puhelimen mikrofonin tai kameran salaaminen käyttäjän vakoilemiseksi.

• Huijaus Toisena esiintyminen. Sähköposti tai tekstiviesti, joka teeskentelee olevansa pomolta tai kollegalta (sosiaalinen suunnittelu); vilpillinen Wi-Fi-tukiasema tai matkapuhelintukiasema, joka jäljittelee laillista tukiasemaa.

• Peukalointi Tietojen, ohjelmistojen, laiteohjelmistojen tai laitteistojen muokkaaminen ilman lupaa. Siirrettävien tietojen muuttaminen, peukaloidun laitteiston tai ohjelmiston lisääminen toimitusketjuun, laillisten sovellusten pakkaaminen uudelleen haittaohjelmilla, verkon tai laitteen kokoonpanon muokkaaminen (esim. puhelimen jailbreaking tai rooting).

Kyberturvallisuuskehys:

• Tunnista – Kehitä organisaation ymmärrystä järjestelmiin, omaisuuteen, tietoihin ja ominaisuuksiin kohdistuvien kyberturvariskien hallitsemiseksi. Identify Function -toiminnon toiminnot ovat perusta Frameworkin tehokkaalle käytölle. Liiketoimintakontekstin, kriittisiä toimintoja tukevien resurssien ja niihin liittyvien kyberturvallisuusriskien ymmärtäminen antaa organisaatiolle mahdollisuuden keskittyä ja priorisoida toimiaan riskienhallintastrategiansa ja liiketoimintatarpeidensa mukaisesti. Esimerkkejä tämän toiminnon tulosluokista ovat Asset Management; Liiketoimintaympäristö; Hallinto; Riskin arviointi; ja riskienhallintastrategia.

• Suojaa – Kehitä ja ota käyttöön asianmukaiset suojatoimet kriittisen infrastruktuurin palveluiden toimittamisen varmistamiseksi. Suojaustoiminto tukee kykyä rajoittaa tai hillitä mahdollisen kyberturvallisuustapahtuman vaikutuksia. Esimerkkejä tämän toiminnon tuloskategorioista ovat: Kulunvalvonta; Tietoisuus ja koulutus; Tietoturva; Tietosuojaprosessit ja -menettelyt; Huolto; ja suojatekniikka.

• Havaitse – Kehitä ja toteuta asianmukaiset toiminnot kyberturvallisuustapahtuman tunnistamiseksi. Detect-toiminto mahdollistaa kyberturvallisuustapahtumien oikea-aikaisen havaitsemisen. Esimerkkejä tämän toiminnon tuloskategorioista ovat poikkeamat ja tapahtumat; Turvallisuus Jatkuva valvonta; ja tunnistusprosessit.

• Vastaa – Kehitä ja toteuta asianmukaisia ​​toimia havaittua kyberturvallisuustapahtumaa varten. Respond Function tukee mahdollisen kyberturvallisuustapahtuman vaikutusten hillitsemistä. Esimerkkejä tämän toiminnon tuloskategorioista ovat vastaussuunnittelu; Viestintä; Analyysi; Lieventäminen; ja parannukset.

• Toipuminen – Kehitä ja toteuta asianmukaisia ​​toimintoja kestävyyssuunnitelmien ylläpitämiseksi ja kyberturvallisuustapahtuman vuoksi heikenneiden ominaisuuksien tai palveluiden palauttamiseksi. Palautustoiminto tukee oikea-aikaista palautumista normaaliin toimintaan vähentääkseen kyberturvallisuustapahtuman vaikutuksia. Esimerkkejä tämän toiminnon tuloskategorioista ovat elvytyssuunnittelu; parannukset; ja Viestintä.

Hyökkäyksiä (1):

• Passiiviset hyökkäykset – vaikea havaita, koska hyökkääjä ei vaikuta protokollaan. Esimerkkejä ovat salakuuntelu, verkon nuuskiminen ja tietojen sieppaus sen kulkiessa, joita käytetään tietojen keräämiseen ennen aktiivista hyökkäystä.

• Aktiiviset hyökkäykset – Viestien muuttaminen, järjestelmätiedostojen muokkaaminen ja naamiointi ovat esimerkkejä, koska hyökkääjä todella tekee jotain.

• Salatekstihyökkäykset – Hyökkääjä saa salatekstin useista viesteistä, ja jokainen viesti salataan samalla salausalgoritmilla. Hyökkääjän tavoitteena on löytää avain. Yleisimmistä hyökkäyksistä on helppo saada salattu teksti, mutta vaikein hyökkäys onnistuu.

• Tunnettu selväkielinen hyökkäys – Hyökkääjällä on useiden viestien salateksti, mutta myös näiden viestien selkeä teksti. Tavoitteena on löytää avain käänteistekniikan ja kokeilu-/virheyritysten avulla

• Valittu selväkielinen hyökkäys – Hyökkääjällä ei ole vain pääsyn salatekstiin ja siihen liittyvään selkeään tekstiin useille viesteille, vaan hän myös valitsee salattavan selkeän tekstin. Tehokkaampi kuin tunnettu selväkielinen hyökkäys, koska hyökkääjä voi valita salattavaksi tiettyjä selkeitä tekstilohkoja, jotka saattavat antaa lisätietoja avaimesta.

• Chosen-Ciphertext Attack: Hyökkääjä voi valita eri salatekstejä purettavaksi, ja hänellä on pääsy purettuun selkeään tekstiin. Tämä on vaikeampi hyökkäys, ja hyökkääjän tulee hallita salausjärjestelmän sisältävää järjestelmää

• Mukautuvat hyökkäykset: Jokaisella hyökkäyksellä on johdannainen, jonka edessä on sana adaptiivinen. Tämä tarkoittaa, että hyökkääjä voi suorittaa yhden näistä hyökkäyksistä, ja seuraavaa hyökkäystä voidaan muokata riippuen siitä, mitä ensimmäisestä hyökkäyksestä on saatu. Tämä on käänteissuunnittelu- tai kryptausanalyysihyökkäysten prosessi.

• Syntymäpäivähyökkäys: kryptografinen hyökkäys, joka hyödyntää syntymäpäiväongelman takana olevaa matematiikkaa todennäköisyysteoriassa pakottaa törmäyksiä hajautusfunktioissa.

• Raakavoimahyökkäykset: yrittää jatkuvasti eri syötteitä saavuttaakseen ennalta määritellyn tavoitteen. Raaka voima määritellään "kaikkien mahdollisten yhdistelmän kokeilemiseksi, kunnes oikea löytyy".

• Puskurin ylivuoto: Pinon muodostaviin puskureihin laitetaan liikaa tietoa. Hakkerit käyttävät yleistä hyökkäysvektoria suorittaakseen haitallista koodia kohdejärjestelmässä.

• Sivustojen välinen komentosarja: viittaa hyökkäykseen, jossa verkkosivustosta löytyy haavoittuvuus, jonka avulla hyökkääjä voi pistää haitallista koodia verkkosovellukseen.

• Sanakirjahyökkäykset: Tuhansien sanojen tiedostoja verrataan käyttäjän salasanaan, kunnes vastaavuus löytyy.

• DNS-myrkytys: Hyökkääjä pakottaa DNS-palvelimen ratkaisemaan isäntänimen vääräksi IP-osoitteeksi

• Fraggle-hyökkäys: DDoS-hyökkäystyyppi tietokoneeseen, joka täyttää kohdejärjestelmän suurella määrällä UDP-kaikuliikennettä IP-lähetysosoitteisiin.

• Pharming: ohjaa uhrin näennäisesti lailliselle, mutta väärennetylle verkkosivustolle

• Tietojenkalastelu: manipuloinnin tyyppi, jolla pyritään hankkimaan henkilökohtaisia ​​tietoja, tunnistetietoja, luottokortin numeroa tai taloustietoja. Hyökkääjän viehe tai kala arkaluontoisten tietojen saamiseksi useilla eri tavoilla

• Mail Bombing: Tämä on hyökkäys, jota käytetään sähköpostipalvelimien ja -asiakkaiden valtaamiseen pyytämättömillä sähköpostiviesteillä. Tämän hyökkäyksen suojaamiseen voidaan käyttää sähköpostin suodatusta ja sähköpostipalvelimien sähköpostin välitystoimintojen oikeaa määritystä.

Hyökkäyksiä (2):

• Ping of Death: DoS-hyökkäystyyppi tietokoneeseen, jossa lähetetään väärin muotoiltuja tai ylisuuria ICMP-paketteja kohteeseen.

• Toistohyökkäys: verkkohyökkäyksen muoto, jossa kelvollinen tiedonsiirto toistetaan haitallisesti tai vilpillisesti luvattoman pääsyn saamiseksi.

• Toista hyökkäys: hyökkääjä kaappaa liikenteen laillisesta istunnosta ja toistaa sen uudelleen istunnon todentamiseksi

• Istuntokaappaus: Jos hyökkääjä osaa ennustaa oikein TCP-järjestysnumerot, joita molemmat järjestelmät käyttävät, hän voi luoda paketteja, jotka sisältävät kyseiset numerot ja huijata vastaanottavaa järjestelmää ajattelemaan, että paketit tulevat valtuutetulta lähettävältä järjestelmältä. Hän voi sitten ottaa TCP-yhteyden kahden järjestelmän välillä.

• Sivukanavahyökkäykset: Ei-tunkeilevat, ja niitä käytetään paljastamaan arkaluontoisia tietoja komponentin toiminnasta yrittämättä kuitenkaan vaarantaa minkään tyyppistä puutetta tai heikkoutta. Ei-invasiivinen hyökkäys on sellainen, jossa hyökkääjä tarkkailee, miten jokin toimii ja kuinka se reagoi eri tilanteisiin sen sijaan, että hän yrittäisi "tunkeutua" siihen tunkeilevammilla toimenpiteillä. sivukanavahyökkäykset ovat vikojen generointi, tehon eroanalyysi, sähkömagneettinen analyysi, ajoitus ja ohjelmistohyökkäykset.

• Smurffihyökkäys: DDoS-hyökkäystyyppi tietokoneeseen, joka täyttää kohdejärjestelmän väärennetyillä ICMP-lähetyspaketeilla.

• Sosiaalinen manipulointi: Hyökkääjä vakuuttaa virheellisesti henkilön siitä, että hänellä on tarvittavat oikeudet käyttää tiettyjä resursseja.

• Huijaus sisäänkirjautumisen yhteydessä: hyökkääjä voi käyttää ohjelmaa, joka näyttää käyttäjälle väärennetyn kirjautumisnäytön, joka usein huijaa käyttäjän yrittämään kirjautua sisään.

• SYN-tulva: DoS-hyökkäys, jossa hyökkääjä lähettää peräkkäin SYN-paketteja tavoitteenaan kuormittaa uhrijärjestelmä niin, että se ei reagoi lailliseen liikenteeseen.

• TOC/TOU-hyökkäys: Hyökkääjä manipuloi "kuntotarkistus"- ja "käyttö"-vaihetta ohjelmistossa salliakseen luvattoman toiminnan.

• Sotanumerot: sotasoitto lisää pitkän luettelon puhelinnumeroista sotasoitto-ohjelmaan toivoen löytävänsä modeemin luvatta pääsyä varten.

• Madonreikähyökkäys: Tämä tapahtuu, kun hyökkääjä kaappaa paketteja yhdessä paikassa verkossa ja tunneloi ne toiseen paikkaan verkossa, jotta toinen hyökkääjä voi käyttää kohdejärjestelmää vastaan.

• Palvelunestohyökkäys (Dos-hyökkäys): Hyökkääjä lähettää useita palvelupyyntöjä uhrin tietokoneelle, kunnes ne lopulta ylittävät järjestelmän, jolloin se jäätyy, käynnistyy uudelleen ja lopulta ei pysty suorittamaan tavallisia tehtäviä.

• Keski-Middle Attack: Tunkeilija osallistuu jatkuvaan kahden tietokoneen väliseen dialogiin, jotta hän voi siepata ja lukea edestakaisin välitettyjä viestejä. Näitä hyökkäyksiä voidaan torjua digitaalisilla allekirjoituksilla ja molemminpuolisilla todennustekniikoilla.

• Teardrop: Tämä hyökkäys lähettää väärin muotoiltuja pirstoutuneita paketteja uhrille. Uhrin järjestelmä ei yleensä pysty kokoamaan paketteja oikein ja jäätyy tämän seurauksena. Tämän hyökkäyksen vastakohtana on korjata järjestelmä ja käyttää sisääntulosuodatusta näiden pakettityyppien havaitsemiseen.

Langaton hyökkäys:

• Rogue AP

• Häiriöt

• Häiriö

• Evil Twin

• Sota-ajo

• War Chalking

• IV-hyökkäys

• WEP/WPA-hyökkäykset

Laitteiston suojattu määritys:

• Turvallinen rakenne

• Suojattu alkumääritys

• Isäntäkarkaisu - poista kaikki tarpeettomat

• Isäntäkorjaus

• Isännän lukitus

• Suojaa jatkuva konfigurointi, huolto

RFID-hyökkäykset:

• RFID-väärennökset

• RFID-haistelu

• Seuranta

• Palvelunesto

• Huijaus

• Kieltäminen

• Lisää hyökkäykset

• Toista hyökkäykset

• Fyysiset hyökkäykset

• Virukset

RFID-hyökkäykset:

• Salakuuntelu/Skimming

• Liikenneanalyysi

• Huijaus

• Palvelunestohyökkäys / hajautettu palvelunestohyökkäys

• RFID-lukijan eheys

• Henkilökohtainen tietosuoja

VLAN-hyökkäykset:

• MAC-tulvahyökkäys

• 802.1Q ja Inter-Switch Link Protocol (ISL) tagging Attack

• Kaksoiskapseloitu 802.1Q / sisäkkäinen VLAN Attack

• ARP

Hyökkäyksiä

• Multicast Brute Force Attack

• Spanning-Tree Attack

• Satunnainen kehysten stressihyökkäys

Kryptanalyyttisten hyökkäysten menetelmät:

• Vain salakirjoitus -hyökkäys (vain salakirjoitus)

• Tunnettu selkeä teksti (sekä tavallinen teksti että salateksti saatavilla)

• Valittu pelkkä teksti (Tunnettu algoritmi, mukautuva, jossa pelkkä teksti voidaan muuttaa)

• Valittu salateksti (Tunnettu algoritmi, mukautuva, jossa salatekstiä voidaan muuttaa)

Yleiset tietoturva-arkkitehtuurin haavoittuvuudet ja uhat:

• Huono muistin hallinta

• Peitetut kanavat (tallennus ja ajoitus)

• Riittämätön järjestelmän redundanssi

• Huono kulunvalvonta

• Laitteistovika

• Etuoikeuksien väärinkäyttö

• Puskurin ylivuoto

• Muistihyökkäykset

• DoS

• Käänteinen suunnittelu,

• Hakkerointi,

• Emanaatiot

• Osavaltion hyökkäykset (kilpailuolosuhteet)

Hunajaruukkua voidaan käyttää:

• Uhkatietojen kerääminen

• Hämmentävät hyökkääjät

• Hyökkääjien viivyttäminen

Päätepisteen suojaus:

• Sisäänrakennettu palomuuritoiminto.

• Tunkeutumisen havaitsemisjärjestelmä (IDS) / tunkeutumisen estojärjestelmä (IPS) -toiminto.

• Tietojen häviämisen esto (DLP) -toiminto.

• Sovellusten sallittujen / mustien luetteloiden toiminto.

• Täysi levyn salaus.

• Hallintarajapinnat kunkin päätepisteen tai päätepisteryhmien määrittämistä varten.

• Keskitetty sisäinen palvelin haittaohjelmien allekirjoituspäivitysten jakamiseen.

Huomaa:

Hakutyökalu on DLP-ratkaisun ensisijainen osa. Tätä voidaan käyttää olennaisten tietojen tunnistamiseen ja keräämiseen.

Yleiset virustyypit:

• Tiedoston tartuttajat – Saastuttaa ohjelma- tai objektitiedostot.

• Käynnistyssektorin tartuttajat – Liitä tai vaihda käynnistystietueet

• Järjestelmän tartuttajat – Liittää järjestelmätiedostoihin tai järjestelmän rakenteeseen

• Companion virus – Ei kosketa fyysisesti kohdetiedostoa

• Sähköpostivirus – Tietoinen sähköpostijärjestelmästä.

• Moniosainen – Toistaa useammalla kuin yhdellä tavalla

• Makrovirus – Käyttää sovelluksen makroohjelmointia. Saattaa datatiedostoja

• Script Virus – itsenäiset tiedostot, jotka tulkki voi suorittaa

• Script host – .vbs isäntänä komentosarjavirukselle.

RAID:

Jotkin RAID-suojausvaihtoehdoista ovat:

• RAID0 – raidallinen

• RAID 1 kestää yhden peilatun parin yhden aseman vian. Tarvittavien asemien määrä on kaksinkertainen tietojen tallentamiseen tarvittavaan määrään verrattuna.

• RAID2 – Hamming Code vaatii joko 14 tai 39 levyä

• RAID3 - Raidallinen sarja, jossa on omistettu pariteetti (tavutaso)

• RAID4 – raidallinen sarja, jossa on omistettu pariteetti (lohkotaso)

• RAID 5 -suojaus on myös saatavilla. Tietolohkot on raidoitettu vaakasuunnassa RAID 5 -ryhmän jäsenten poikki, ja jokainen jäsen omistaa joitain dataraitoja ja joitain pariteettiraitoja.

• RAID 6 suojaa tietoja jopa 2 aseman vioista per RAID-ryhmä.

• RAID1+0 - raidallinen joukko peilattuja levyjä

Teho:

• Sähkökatkos: Generaattori

• Katkos: (UPS) keskeytymätön virtalähde

• Ylijännite: Ylijännitesuoja

• Piikki: Ylijännitesuoja

• Melu: tehonkäsittelylaite

• Puhdas teho: Ratkaisua ei tarvita

Hashing:

• MDS Message-Digest Algorithm – 128-bittinen tiivistelmä

• SHA – 160-bittinen tiivistelmä

• HAVAL

• RIPEMD-160

• Syntymäpäivähyökkäykset mahdollisia

Symmetriset algoritmit:

• Data Encryption Standard (DES)

• 3DES (kolminkertainen DES)

• Blowfish

• Twofish

• International Data Encryption Algorithm (IDEA)

• RC4, RCS ja RCG

• Advanced Encryption Standard (AES)

• Suojattu ja nopea salausrutiini (TURVALLINEN)

• Käärme

• CAST

Epäsymmetriset algoritmit:

• RSA - kahden suuren alkuluvun tulo

• Diffie-Hellmann-algoritmi

• EI Gamal - erilliset lokit

• Elliptisen käyrän kryptografia (ECC)

Salaus:

• Käytä riittävän vahvaa salausta tietojen suojaamiseksi.

• Mutta mitä vahvempi salaus on, sitä kauemmin salauksen purkaminen kestää.

• Riippumatta käyttämästäsi salauksesta, sen ei pitäisi hidastaa useimpien käyttäjien suorituskykyä kohtuuttomasti.

Muita salauksen käyttötapoja ovat:

• Kiistämättömyys • Digital Rights Management (DRM) • Digitaalinen allekirjoitus • Tunnelointi

Varmenteen peruuttaminen:

• Sertifikaatit peruutetaan, kun:

•• Ne vanhenevat.

•• Yksityisen avaimen turvallisuus on kyseenalainen.

•CRL

•• Varmentajan ajoittain myöntämä luettelo peruutetuista varmenteiden sarjanumeroista.

•• Ilmoittaa peruuttamisen syyt.

•• CRL:ssä on digitaalinen allekirjoitus, joka estää huijaus- tai DoS-hyökkäykset.

•• Listalla on lyhyt käyttöikä.

•OCSP

•• Käyttää HTTP-pyyntöä peruutustilan hankkimiseen CA:lta.

•• Tarjoaa nopeamman vahvistuksen kuin CRL

Salaus:

• Tietosuoja

• Todennus

• Rehellisyys

• Kiistämättömyys

Turvallisuuskäsitteet:

• Tarve tietää (pääsy vain siihen, mitä tarvitaan tehtävän/työn suorittamiseen).

• Tehtävien erottaminen (yksi henkilö ei voi suorittaa kaikkia kriittisten prosessien vaiheita tai osallistua haitalliseen toimintaan ilman salaista yhteistyötä).

• Valvo erityisoikeuksia (järjestelmänhaltijoiden / järjestelmänvalvojien / tietokeskusten työntekijöiden tarkastuslokit varmistavat, että etuoikeutetut käyttäjät eivät voi kiertää suojauskäytäntöjä, heillä ei pitäisi olla pääsyä lokitoimintoihinsa, taustatutkimuksia).

• Työkierto (vähentää salaista yhteistyötä).

• Tiedon elinkaari: (tietojen luominen, käyttö, tuhoaminen, tiedon/tietojen omistaja auttaa suojaamaan tietoja luokittelemalla ja määrittämällä sen kriittisyyden ja herkkyyden).

Musta/valkoinen lista (BL/WL):

• Musta lista on selkeä kieltäminen.

• Sallittujen luettelo on implisiittinen kieltäminen.

• Musta lista = "Jos olet listalla, sinua EI päästetä sisään."

• The whitelist = "Jos ET ole luettelossa, sinua EI päästetä sisään."

Asiakaspohjaiset haavoittuvuudet, asiakasjärjestelmässä tulee olla:

• Lisenssi käynnissä

• Nykyinen virustentorjunta ja haittaohjelmien torjunta

• PIILOTTAA

• Vahva salaus

• Rajoitettuja tilejä ilman järjestelmänvalvojan oikeuksia

• Jatkuva seuranta

• Kovetetut mobiililaitteet

Palvelinpohjaiset haavoittuvuudet, palvelinjärjestelmän pitäisi:

• Määritä, miten etäkäyttö muodostetaan

• Tarkista, että kokoonpanon hallinta suoritetaan

• Hallitse tiedonkulkua

Menetelmät kytkimen kumoamiseksi:

• MAC-huijaus Aseta verkkokortin MAC-osoite samaksi arvoksi kuin toisen verkkokortin MAC-osoite

• MAC-tulva peittää kytkimen CAM-pöydän niin, että se peittyy keskitintilaan

• ARP-myrkytys Lisää vääriä tietoja kahden tai useamman päätepisteen ARP-välimuistiin.

Tärkeimmät elementit, jotka tallentavat tilatietoja verkkolaitteille:

• Reititystaulukot

• CAM-taulukot

• NAT-taulukot

• DNS-välimuisti

• ARP-välimuisti

Looginen suojaus:

• Fail Open/Soft (saatavuus säilyy, mutta tiedot eivät välttämättä ole turvallisia)

• Fail Secure/Closed (tiedot ovat turvallisia, mutta saatavuutta ei säilytetä) Fyysinen suojaus

• Fail Safe/Open (järjestelmät suljetaan / sisäänkäynnit avataan - ihmiset ovat turvassa)

• Epäonnistunut suojaus/suljettu (sisäänkäynnit on lukittu)

• Failover on vikasietoisuus (redundanssi) -konsepti. Jos sinulla on kaksi redundanttia verkkokorttia; ensisijainen ja varmuuskopio – ja ensisijainen epäonnistuu, varmuuskopiota käytetään.

Tietokantamallin tulee tarjota:

• Tapahtuman pysyvyys

• Viansieto/palautus

• Jakaminen

• Suojaustoiminnot

DBMS-järjestelmään kohdistuvia uhkia ovat:

• Aggregointi (tietojen yhdistäminen arkaluontoisten tietojen muodostamiseksi)

• Ohita hyökkäykset (välttäen pääsyn tietoihin)

• Tietokantanäkymien vaarantaminen (rajoitettujen näkymien muokkaaminen/käyttö)

• Samanaikaisuus (prosessit käynnissä samaan aikaan ilman asianmukaisia ​​lukituksia)

• Saastuminen (korruptio)

• Lukitus (estää käyttäjiltä pääsyn tietoihin samanaikaisesti)

• DoS (estää valtuutetun käytön)

• Väärä muutos (vahingossa/tahallinen)

• Päätelmä (rajoitetun tiedon päättäminen havainnolla)

• Tietojen sieppaus

• Palvelimen käyttö

• Polymorfismi

• Monimuotoilu

• TOC/TOU (haitallinen muuttuva data tiettynä ajankohtana)

• Web-tietoturvaongelmat

• Luvaton käyttö

Yhdistäminen vs. päättely:

Päätelmä (ymmärrä liiketoiminta, riskianalyysi, haastattele omistaja); yhdistämällä useita raportteja tai tietolähteitä onnistut arvaamaan tai keksimään uutta tietoa. Aggregointi (tietojen ja kenttien ymmärtäminen); summa voi edustaa korkeampaa turvatasoa kuin jokainen osa. Ole tietoinen näistä ehdoista:

• Monimuotoilu: Estää päättelyhyökkäykset

• Tietokantanäkymät: Rajoitetut rajapinnat, rajoittava käyttöliittymä

• Kontekstiriippuvainen pääsynhallinta: Sisällöstä riippuvainen ohjaus

• Melu ja häiriöt: Käsittelee päätelmähyökkäyksiä

• Solusuppressio: Tekniikka, jota käytetään päättelyä vastaan

Melu ja häiriöt: Tekniikka, jolla lisätään vääriä tietoja, jotta hyökkääjä ohjataan väärin tai hämmennettäisiin niin paljon, että varsinainen hyökkäys ei tuota tulosta.

Tokenit - "synkroninen" vs. "asynkroninen":

• Synkroniset dynaamiset salasanat Synkronisia dynaamisia salasanoja luovat laitteistotunnukset ovat aikaperusteisia ja synkronoidaan todennuspalvelimen kanssa. Ne luovat uuden salasanan säännöllisesti, esimerkiksi 60 sekunnin välein. Tämä edellyttää, että tunnuksella ja palvelimella on tarkka aika.

• Asynkroniset dynaamiset salasanatunnukset eivät käytä kelloa. Sen sijaan laitteistotunnus luo salasanoja algoritmin ja kasvavan laskurin perusteella. Käytettäessä kasvavaa laskuria se luo dynaamisen kertaluonteisen salasanan, joka pysyy samana, kunnes sitä käytetään todentamiseen. Jotkut tunnukset luovat kertaluonteisen salasanan, kun käyttäjä syöttää todentamispalvelimen antaman PIN-koodin tunnukseen.

Tokenin käyttö: (NIST 800-63)

• Yhden tunnuksen todennus

• Multi-token-todennus

Sähköisen todennuksen tunnistetyypit: (NIST 800-63)

• Ulkoa opetettu salainen merkki

• Esirekisteröity Knowledge Token

• Etsi salainen tunnus

• Out of Band Token

• Yksikerroksinen (SF) kertakäyttöinen salasana (OTP) -laite

• Yksitekijä (SF) kryptografinen laite

• Multi-factor (MF) Software Cryptographic Token

• Monitoiminen (MF) kertakäyttöinen salasana (OTP) -laite

• Monitekijäinen (MF) kryptografinen laite

Token-uhat:

• Jotain, mitä sinulla on, voi kadota, vaurioitua, varastaa omistajalta tai hyökkääjä kloonaa sen.

• Jotain, jonka tiedät, saatetaan paljastaa Hyökkääjälle. Hyökkääjä saattaa arvata salasanan/PIN-koodin.

• Jotain, mitä olet, voidaan kopioida.

Token-uhan lieventämisstrategiat:

• Useat tekijät vaikeuttavat onnistuneiden hyökkäysten toteuttamista.

• Fyysisiä turvamekanismeja voidaan käyttää suojaamaan varastettu merkki päällekkäisyydeltä.

• Salasanan monimutkaisuussääntöjen määrääminen voi vähentää onnistuneen arvaushyökkäyksen todennäköisyyttä.

• Järjestelmän ja verkon suojaustoimintoja voidaan käyttää estämään hyökkääjää pääsemästä järjestelmään tai asentamasta haittaohjelmia.

• Säännöllistä koulutusta voidaan suorittaa sen varmistamiseksi, että tilaaja ymmärtää, milloin ja miten hän ilmoittaa vaarantumisesta (tai epäilystä vaarantumisesta) tai muuten tunnistaa käyttäytymismalleja, jotka voivat viitata Hyökkääjän yrittämään vaarantaa tunnuksen.

• Out of band -tekniikkaa voidaan käyttää rekisteröityjen laitteiden (esim. matkapuhelimien) hallussapidon todistamiseen.

Token-uhka/hyökkäys: (NIST SP800-63)

• Varkaus – Käytä monivaiheisia tunnuksia, jotka on aktivoitava PIN-koodilla tai biometrisellä tunnisteella.

• Monistaminen – Käytä tunnuksia, joita on vaikea monistaa, kuten laitteiston salaustokeneja.

• Löytäminen - Käytä menetelmiä, joissa kehotteiden vastauksia ei voida helposti löytää.

• Salakuuntelu

•• Käytä tunnuksia dynaamisten todentajien kanssa, kun tiedät yhden autentikaattorin

ei auta seuraavan autentikaattorin johtamisessa.

•• Käytä tunnuksia, jotka luovat todentajia tunnuksen syöttöarvon perusteella.

•• Luo tunnukset erillisen kanavan kautta.

• Offline-krakkaus

•• Käytä merkkiä, jolla on korkea entropiatunnus

•• Käytä merkkiä, joka lukittuu useiden toistuvien epäonnistuneiden aktivointiyritysten jälkeen.

• Tietojenkalastelu tai pharming – Käytä tunnuksia dynaamisten todentajien kanssa, jos yhden todentajan tunteminen ei auta seuraavan todentajan johtamisessa.

• Sosiaalinen suunnittelu – Käytä tunnuksia dynaamisten todentajien kanssa, jos yhden todentajan tunteminen ei auta seuraavan todentajan johtamisessa.

• Online-arvaus - Käytä tunnuksia, jotka luovat korkean entropian todentajia.

Avaintilat ja siirtymät: (NIST 800-57)

• Aktivointia edeltävä tila: Avain on luotu, mutta sitä ei ole vielä valtuutettu käyttöön

• Aktiivinen tila: Avainta voidaan käyttää tietojen salaukseen suojaamiseen

• Deaktivoitu tila: avaimen salausjakso on umpeutunut, mutta avaimen on silti suoritettava salaustoimintoja

• Tuhoutunut tila: avain tuhoutuu täällä

• Vaarantunut tila: luvaton taho on vapauttanut tai määrittänyt avaimen

• Tuhoutunut vaarantunut tila: avain tuhoutuu kompromissin jälkeen tai kompromissi löytyy avaimen tuhoutumisen jälkeen

Avainhallinta:

• Turvallinen avainten luominen

• Avainten turvallinen säilytys

• Avainten turvallinen jakelu

• Avainten turvallinen tuhoaminen

Suojattu avainten hallinta:

• Avainten luominen: Miten, milloin ja millä laitteilla avaimet luodaan

• Avainten johtaminen Salausavainten muodostaminen muista avaimista ja muuttujista

• Key Establishment: Kahden osapuolen algoritminen laskenta avainmateriaalista

Suojattu avainten kääriminen ja lähettäminen laitteesta toiseen

• Avainten tallennus: Avainten turvallinen tallennus (usein salattu "avainten salausavaimilla") ja minkä tyyppisissä laitteissa

• Avaimen käyttöikä: Kuinka kauan avainta tulee käyttää ennen kuin se tuhoutuu (nollaus)

• Avaimen nollaus: avainmateriaalin turvallinen tuhoaminen

• Kirjanpito: Keskeisen materiaalin luomisen, jakelun ja tuhoamisen tunnistaminen, seuranta ja kirjanpito yksiköiden välillä

Avaintekijät hallintaan:

• Avainhallintatoimenpiteet: Määritä, kenellä on pääsy avaimiin ja miten ne on määritetty.

• Avainten palautus: Miten kadonneet avaimet palautetaan.

• Avainten tallennus: Suojattu arkisto avainten määritystietueille.

• Avainten poistaminen/tuhoaminen: Kuinka avaimet poistetaan käytöstä ja miten ne tuhotaan.

• Avainten vaihto: Kuinka avaimet vaihdetaan säännöllisin väliajoin.

• Avainten luominen: Kuinka avaimet luodaan niiden satunnaisuuden varmistamiseksi.

• Avaimen varkaus: Mitä tehdä, kun avaimet ovat vaarantuneet.

• Avainten käyttötiheys: Kuinka rajoittaa näppäinten käyttöaikaa ja avainten uudelleenkäytön tiheyttä.

• Avaimen escrow – Tarjoaa lainvalvontaviranomaisille ja muille viranomaisille valtuutetun pääsyn salattuihin tietoihin. Avaimet on ehkä säilytettävä eri paikoissa

Projektinhallinnan pikaopas:

• Työpaketti on WBS:n ALIN taso.

• WBS ei näytä työpakettien järjestystä tai niiden välisiä riippuvuuksia.

• WBS-sanakirja – WBS-komponentin yksityiskohtainen kuvaus

• Kustannushyöty: Tarkastellaan, kuinka paljon laadukkaat toiminnot maksavat

• Sidosryhmät ovat VAIN organisaation sisäisiä tai ulkoisia kiinnostuneita kokonaisuuksia.

• Projektin elinkaarilähestymistapa on hankkeen hallinto ja se kuvataan projektinhallintasuunnitelmassa.

• Riski ja epävarmuus ovat suurimmat projektin alussa.

• Projektiennusteiden analysointi (mukaan lukien aika ja kustannukset) on myös osa suorituskykyraportointia.

• Riskinottohalu on epävarmuuden aste, jonka yhteisö on valmis ottamaan palkkiota odottaessaan.

• Riskinsietokyky on riskin aste, määrä tai määrä, jonka organisaatio tai henkilö kestää.

• Riskikynnys tarkoittaa toimenpiteitä, jotka liittyvät epävarmuustasoon tai vaikutuksen tasoon, jolla sidosryhmällä voi olla erityistä etua.

• Positiivisia ja negatiivisia riskejä kutsutaan yleisesti mahdollisuuksiksi ja uhiksi.

• Projektiriski voi olla olemassa projektin käynnistyshetkellä.

• Hankinta SOW kuvaa mahdollisia myyjiä, jos he pystyvät tarjoamaan tuotteet, palvelut tai tulokset.

• PMO hallitsee menetelmiä, standardeja, yleisiä riskejä/mahdollisuuksia, mittareita ja projektien keskinäisiä riippuvuuksia yritystasolla. Supportive, Controlling ja Direction ovat organisaatioiden PMO-rakenteiden tyyppejä.

• YKSIPUOLINEN: tämä on erityinen sopimusluokka, jossa myyjän ei tarvitse nimenomaisesti hyväksyä tarjousta sopimuksen solmimiseksi. Tämä on yksipuolinen sopimus, ja paras esimerkki on ostotilaus (PO)

• Ylivoimaiset esteet, kuten maanjäristykset, tulvat, terroriteot jne., tulisi kattaa katastrofipalautusmenettelyissä riskinhallinnan sijaan.

Palvelun laatumittarit:

• Saatavuus

• Katkosten kesto

• Keskimääräinen virheiden välinen aika (MTBF)

• Kapasiteettimittari

• Suorituskykymittarit

• Luotettavuusprosenttimittari

• Tallennuslaitteen kapasiteettimittari

• Palvelimen kapasiteettimittari

• Ilmentymän käynnistysaikamittari

• Vastausaikamittari

• Valmistumisaikamittari

• Keskimääräinen siirtymisaika

• Keskimääräinen järjestelmän palautusaika

• Skaalautuvuuskomponenttimetriikka

• Tallennustilan skaalautuvuusmittari

• Palvelimen skaalautuvuusmittari

Identiteetti- ja käyttöoikeuksien hallinnan (IAM) elinkaari:

• Käyttöönotto: Asianmukaisten tiedostojen/kansioiden oikeuksien soveltaminen käyttäjille

• Tarkastus: olemassa olevien oikeuksien säännöllinen seuranta jatkuvan tarpeen vuoksi

• Peruuttaminen: Oikeuksien poistaminen, kun sitä ei enää tarvita tai taataan

IAM:n vaiheet:

• Varausten luominen ja purkaminen

• Keskitetyt hakemistopalvelut

• Etuoikeutettu käyttäjien hallinta

• Todennus ja käyttöoikeuksien hallinta

Identity Services -palveluiden keskeiset ongelmat:

• API:t: Vaikka IAM-toimittajat tarjoavat liittimiä yleisimpiin pilvipalveluihin, he eivät todennäköisesti tarjoa kaikkia tarvitsemiasi liittimiä.

• Valtuutuskartoitus: On monia tapoja määrittää valtuutussäännöt, kuten roolin ja määritteen mukaan.

• Tarkastus: Yrityksen sisäiset järjestelmät voidaan yhdistää lokienhallinta- ja SIEM-järjestelmiin vaatimustenmukaisuusraporttien tuottamiseksi ja turvatapahtumien valvontaan ja havaitsemiseen.

• Tietosuoja: Käyttäjät, käyttäjän määritteet ja muut tiedot työnnetään usein yritysverkon ulkopuolelle yhteen tai useampaan pilvitietovarastoon.

• Latenssi: Sääntömuutosten eteneminen sisäisestä IAM:ista pilvi IAM:iin voi kestää jonkin aikaa. Latenssista on keskusteltava sekä IAM-palveluntarjoajan että pilvipalveluntarjoajan kanssa.

• Etuoikeutettu käyttäjien hallinta: Tämä on ollut ongelma jo pitkään, ja pilvi lisää uusia ryppyjä. Historiallisesti etuoikeutetut käyttäjät olivat kaikki työntekijöitä, ja jos asiat meni päärynän muotoon, voit käsitellä sitä HR-tapahtumana. Pilvessä, joka hajoaa.

• Sovellusidentiteetti: Kun käyttäjä on kirjautunut sisään, saatat joutua vielä vahvistamaan hänen käyttämänsä sovelluksen – tai ehkä käyttäjiä ei ole ollenkaan, vain väliohjelmisto.

• Mobiili: mobiiliyhteydet pilvipalveluihin tapahtuvat normaalin rajojen ulkopuolella.

• Identiteettikaupan sijainti: Jos yritykset siirtävät sovelluksiaan ja tietojaan pilvipalveluihin, siirtävätkö ne myös olemassa olevia henkilöllisyyskauppoja?

Kattava ja tehokas tietoturvaprosessi voi tuottaa:

• Uhkien nopeampi havaitseminen ja korjaaminen.

• Parempi säädöstenmukaisuus.

• Petosten, varkauksien ja tietovuotojen vähentäminen.

• Turvallisuuden takaamiseen ja rikkomuksiin liittyvien seurausten käsittelemiseen tarvittavien ponnistelujen vähentäminen.

• Kyky havaita mahdolliset heikkoudet ennen kuin hyväksikäyttö tapahtuu.

Security Intelligence Collection -elinkaari:

• Suunnittelu ja suunta

• Kokoelma

• Käsittely

• Analyysi ja tuotanto

• Levitys ja integrointi

Pilvipalvelumallit:

• Software as a Service (SaaS)

•• Palveluntarjoajan sovellukset toimivat pilvessä

•• Asiakkaat käyttävät SaaS-palvelua ohuilla sovelluksilla (kuten selaimella).

• Platform as a Service (PaaS)

•• Asiakassovellukset, jotka on otettu käyttöön ja toimivat pilvessä

• Infrastruktuuri palveluna (IaaS)

•• Käsittely-, tallennus- ja verkkopalvelut

•• Asiakas hallitsee käyttöjärjestelmiä ja isäntäkokoonpanoja

Huomaa:

Olet vastuussa ja vastuussa – käytetystä pilvipalvelusta riippumatta.

Ulkoistaminen:

• Varmistetaan, että organisaatiolla on asianmukaiset valvontajärjestelmät ja prosessit käytössä ulkoistamisen helpottamiseksi.

• Varmistetaan, että ulkoistussopimuksessa on asianmukaiset tietoriskien hallintaa koskevat lausekkeet.

• Varmistetaan, että ulkoistettavan prosessin riskiarviointi suoritetaan.

• Sen varmistaminen, että asianmukainen due diligence -taso suoritetaan ennen sopimuksen allekirjoittamista.

• Ulkoistettujen palvelujen tietoriskin hallinta päivittäin

• Varmistetaan, että suhteeseen tehdyt olennaiset muutokset merkitään ja uudet riskiarvioinnit suoritetaan tarpeen mukaan.

• Varmistetaan, että asianmukaisia ​​prosesseja noudatetaan, kun suhteet päätetään.

Kolmansien osapuolten kanssa tehtyjä sopimuksia ovat:

• Sopimus siitä, että toimittaja noudattaa sovellettavia tietoturva- ja tietosuojalakeja ja -säädöksiä.

• Tietoturva ja yksityisyyden suoja.

• Tarkastusoikeus

• Ilmoitus tietomurron sattuessa.

• Missä tietoja käytetään, säilytetään ja/tai käsitellään. On tärkeää tietää tietyt sijainnit ja varmistaa, että toimittaja ilmoittaa ensisijaiselle entiteetille, jos sijaintia on lisättävä, muutettava tai poistettava.

• Tietojen palauttaminen tai tuhoaminen sopimuksen päättyessä.

• Työntekijöiden taustatarkistukset/työllisyyden todentaminen.

• Odotukset työntekijöiden koulutuksesta.

• Myyjän kyky tehdä töitä alihankintana.

• Toiminnan jatkuvuus/katastrofipalautussuunnitelmat. Millä aikavälillä toimittajan toiminnon tulee olla toiminnassa katastrofin sattuessa?

Kolmannen osapuolen sopimukset:

• NDA/NDC

• Säännöstenmukaisuus

• Tapahtumailmoitus

• SLA/SLC

Arvioi kolmas osapuoli:

• Arviointi paikan päällä

• Asiakirjojen vaihto ja tarkistus

• Prosessin/käytännön tarkistus

Suositut palvelut:

• IaaS: Amazon EC2, Windows Azure, Rackspace (varmuuskopio)

• PaaS: Google App Engine, Cloud Foundry,force.com

• SaaS: Office 365, Dropbox, salesforce.com, Google Apps

• Pilvihallinta: CloudStack, OpenStack

Pilvipalvelun suojauksen arviointi:

• Mikä on palvelimia käyttävän laitoksen turvallisuus?

• Onko asiakastiedot salattu? Jos on, mitä salausmenetelmää käytetään?

• Onko pilvipalveluntarjoajan sisäinen järjestelmä erotettu Internetiin päin olevista pilvipalvelimista?

• Onko palveluntarjoajalla tietoturvatarkastus, jonka he voivat jakaa kanssamme?

• Mitä suojatoimia he käyttävät verkkopalvelun käyttöliittymässä ja/tai API:ssa?

• Varmuuskopioivatko he tiedot säännöllisesti ja suorittavatko he testipalautuksia asianmukaisen katastrofipalautuksen varmistamiseksi?

• Mitä yleisiä tietosuoja- ja tietosuojakäytäntöjä on käytössä?

• Jaetaanko asiakastietoja kolmansille osapuolille?

Tietojen säilytyskäytäntö pilvessä:

• Asetus

• Tietojen kartoitus

• Tietojen luokitus

• Menettelyt

• Valvonta ja ylläpito

The Cloud Secure (SDLC):

• Määrittelevä

• Suunnittelu

• Kehitys

• Testaus

• Turvalliset toiminnot

• Hävittäminen

Pilvilaskenta vaikuttaa neljään hallinto- ja riskienhallinta-alueeseen:

• Hallinto sisältää politiikan, prosessin ja sisäisen valvonnan, jotka kattavat organisaation johtamisen.

• Yritysriskien hallinta sisältää organisaation kokonaisriskin hallinnan organisaation hallintotavan ja riskinsietokyvyn mukaisesti.

• Tietoriskien hallinta kattaa tietoon kohdistuvan riskin hallinnan, mukaan lukien tietotekniikan.

• Tietoturva on työkaluja ja käytäntöjä tietoihin kohdistuvien riskien hallitsemiseksi.

Pilvitietoturva – yleiset huolenaiheet:

• Hallinto ja yritysriskien hallinta

• Lakiasiat: sopimukset ja sähköinen haku

• Vaatimustenmukaisuus ja tarkastus

• Tiedonhallinta ja tietoturva

• Siirrettävyys ja yhteentoimivuus

• Perinteinen turvallisuus, liiketoiminnan jatkuvuus ja katastrofipalautus

• Palvelinkeskuksen toiminnot

• Tapauksiin reagointi, ilmoitukset ja korjaaminen

• Sovellusten suojaus

• Salaus ja avainten hallinta

• Identiteetti- ja käyttöoikeuksien hallinta

• Virtualisointi

• Suojaus palveluna

ENISA Cloud Security -asiakirja:

• HALLINNON MENETTÄMINEN; CSP ei sitoudu tarvittavaan tehtävään

• VENDOR LOCKIN, korkeat kustannukset siirtymisestä toiseen toimittajaan

• ERISTÄMISVIRHE: yksi vuokralainen vaikuttaa toiseen.

• VAATIMUSTENMUKAISUUSRISKIT: Tarkastus on mahdotonta tai näyttöä ei ole

• HALLINTALIITTYMÄN KOPROMISSI

• TIETOSUOJA; suojaa ei voida osoittaa

• TURVALLINEN TAI VAIHTOEHTOINEN TIETOJEN POISTAMINEN

• HAITTAINEN SISÄPIIRIT: eli pilvipalveluntarjoaja tai tilintarkastaja

Pilvitallennusturva:

• Salaus

• Todennus

• Valtuutus

Suojaus pilvipalveluissa:

• Tietojen erottelu

• Identiteettihallinta

• Saatavuushallinta

• Haavoittuvuuksien hallinta

• Kulunvalvonnan hallinta

Toimenpiteet pilven käyttöönoton välttämiseksi toimittajan lukkiutumisesta:

• Tee asianmukaista huolellisuutta

• Suunnittele lähtöä ajoissa

• Suunnittele sovelluksesi löyhästi kytkettäväksi

• Maksimoi tietojesi siirrettävyys

• Harkitse usean pilven strategiaa

• Ota käyttöön DevOps-työkalut ja -prosessit

Huomaa

: Huonosti laadittu sopimus voi johtaa toimittajan lukkiutumiseen

12 kriittistä pilviturvallisuuden ongelmaa:

• Tietomurrot

• Heikko identiteetin, valtuustietojen ja käyttöoikeuksien hallinta

• Suojaamattomat sovellusliittymät

• Järjestelmän ja sovellusten haavoittuvuudet

• Tilin kaappaus

• Haitalliset sisäpiiriläiset

• Edistyneet pysyvät uhkat (APT)

• Tietojen menetys

• Riittämätön due diligence

• Pilvipalveluiden väärinkäyttö ja ilkeä käyttö

• Palvelunesto

• Jaetut teknologiaongelmat

Pilviriski:

• Etuoikeutettu käyttöoikeus

• Säännösten noudattaminen

• Tietojen sijainti

• Tietojen erottelu

• Palautuminen

• Pitkäaikainen elinkelpoisuus

Palvelupalvelusopimus:

• Saatavuus (esim. 99,99 % työpäivinä, 99,9 % öisin/viikonloppuisin)

• Suorituskyky (esim. enimmäisvasteajat)

• Tietojen turvallisuus/yksityisyys (esim. kaikkien tallennettujen ja lähetettyjen tietojen salaus)

• Disaster Recovery -odotukset (esim. worse case -palautussitoumus)

• Tietojen sijainti (esim. paikallisen lainsäädännön mukainen)

• Pääsy tietoihin (esim. palveluntarjoajalta haettavat tiedot luettavassa muodossa)

• Tietojen siirrettävyys (esim. mahdollisuus siirtää tietoja toiselle palveluntarjoajalle)

• Prosessi ongelmien tunnistamiseksi ja ratkaisuodotukset (esim. puhelinkeskus)

• Muutostenhallintaprosessi (esim. muutokset – päivitykset tai uudet palvelut)

• Riitojen sovitteluprosessi (esim. eskalaatioprosessi, seuraukset)

• Poistumisstrategia palveluntarjoajan odotusten mukaisesti sujuvan siirtymisen varmistamiseksi

Huomaa:

Käyttöaika- ja saatavuusvaatimukset ovat keskeinen osa palvelutasosopimusta (SLA).

Pilvikäyttöön valmistautuminen:

• Framework for Cloud Governance

• Pilvikäytön suunnittelu

• Suojaustoiminnot pilvikäyttöä varten

• Turvallisuustietoisuuskoulutus pilven käyttäjille

• Aiottujen pilvipalveluntarjoajien (CSP:t) due diligence -tarkastuksen suorittaminen

CSP-sopimus:

• Vaaditut palvelut, palvelutasot, käytettävyys, redundanssi, palautuminen

• Luottamuksellisuus / salassapito / omistus / pääsy

• Takuu ilmoitusten noudattamisesta ja rikkomuksista määrätään seuraamuksia

• Rikkomuksen/tapahtuman havaitseminen, ilmoittaminen, reagointi ja korjaaminen

• CSP-liiketoiminnan järkevä johtaminen

• Valvonta, auditointi, tarkastukset, mittareiden ylläpito, raportit

Pilven keskeiset ominaisuudet:

• Resurssien yhdistäminen. Useita asiakkaita

• On-demand-itsepalvelu. Yksipuolinen varaus

• Laaja verkkoyhteys. Verkko ja asiakas

• Nopea joustavuus. Nopea provisiointi ja purkaminen

• Mitattu palvelu. Maksu per käyttö

Pilvitietojen elinkaari:

• Luo: Luominen on uuden digitaalisuuden sukupolvi

• Store: Tallennus tarkoittaa digitaalisten tietojen sitomista

• Käyttö: Tietoja tarkastellaan, käsitellään tai käytetään muuten

• Jaa: Tiedot asetetaan muiden saataville

• Arkisto: Tiedot poistuvat aktiivisesta käytöstä ja siirtyvät pitkäaikaiseen varastointiin

• Tuhoa: Tiedot tuhoutuvat pysyvästi

Identiteetti palveluna IDaaS:

Identity as a Service (IDaaS) on todennusinfrastruktuuri, joka on kolmannen osapuolen palveluntarjoajan rakentama, isännöimä ja hallinnoima. IDaaS voidaan ajatella kertakirjautumisena (SSO) pilvelle. Tämä voi tarjota etuja, kuten integroinnin pilvipalveluihin ja poistaa perinteisten paikallisten identiteettijärjestelmien ylläpidosta aiheutuvia ylimääräisiä kustannuksia, mutta se voi myös luoda riskejä, jotka johtuvat identiteettipalveluiden kolmannen osapuolen hallinnasta ja ulkopuolisesta identiteettiinfrastruktuurista. Pilvipalvelun tarjoajan kautta tehty IDaaS-ratkaisu sisältää yleensä seuraavat:

• Kertakirjautuminen

• Varausten luominen

• Salasanan hallinta

• Pääsyn hallinta

Pilvisovellusliittymän tietoturvaongelma:

Pilvisovellusliittymää käytetään periaatteessa sovellusten integrointiin pilvikokemuksen parantamiseksi ja pilvien välisen yhteensopivuuden varmistamiseksi. Ne luokitellaan laajasti kahteen luokkaan: prosessin sisäiset sovellusliittymät ja etäsovellusliittymät.

• Asianmukaisten turvatoimenpiteiden varmistaminen hypervisorin suojaamiseksi kaikenlaisilta turvallisuusuhkilta.

• Pilvipalveluntarjoajien käyttöönottamat tietoturvakäytännöt on arvioitava huolellisesti ennen niiden käyttöönottoa.

• Asiakkaan ja CSP:n väliset asianmukaiset SLA-sopimukset, jotka määrittelevät organisaation suojausvaatimukset, jotka on otettava huomioon.

• Käytössä olevia sovellusliittymiä on pidettävä huolta ja seulottava huolellisesti. Nykyisessä skenaariossa useimmat organisaatiot suosivat tietoturvatekniikoiden integrointia palvelumalleihinsa. Heidän tulee olla tietoisia näiden pilvipalvelujen käyttöön liittyvistä turvallisuusvaikutuksista. Luottaminen heikkoihin API-liittymiin voi vaarantaa tärkeiden organisaatiotietojen turvallisuuden.

Identity as a Service IDaaS:n edut:

• SSO-todennus

• Liitto

• Yksityiskohtainen valtuutushallinta

• Hallinto

• Integrointi sisäisiin hakemistopalveluihin

• Integrointi ulkoisiin palveluihin

SSO-tekniikat:

• Kerberos

• SEESAMI

• LDAP

• Microsoft Active Directory

OAuth Flow:

• Pyydä pyyntötunnus

• Hanki väliaikaiset kirjautumistiedot

• Vaihda käyttöoikeustunnukseen

Virtualisoinnin riskit:

• VM Sprawl

• Arkaluonteiset tiedot virtuaalikoneessa

• Offline- ja lepotilassa olevien virtuaalikoneiden suojaus

• Valmiiksi määritettyjen (Golden Image) VM / aktiivisten VM:ien suojaus

• Näkyvyyden puute virtuaaliverkkoihin ja niiden hallintaan

• Resurssien ehtyminen

• Hypervisor Security

• Hypervisorin luvaton käyttö

• Tilin tai palvelun kaappaus itsepalveluportaalin kautta

• Samalla palvelimella olevien eri luottamustasojen työmäärä

• Cloud Service Provider API:sta johtuva riski

Estä virtuaalikoneen infrastruktuurin haavoittuvuudet:

• Varmista, että korjaustiedostojen hallintajärjestelmä on käytössä.

• Tarjoa virtuaalikoneissa ja virtuaaliverkoissa tarvittava vähimmäiskäyttöoikeus.

• Kirjaa ja tarkista käyttäjien ja järjestelmän toimintoja virtuaaliympäristössä.

• Kiinnitä erityistä huomiota virtuaalisten verkkolaitteiden määrittämiseen.

• Ota johdonmukaisesti tilannekuvia tai virtuaaliympäristön tilaa.

• Tarkkaile virtuaalikoneiden määrää tarkasti, jotta vältät virtuaalikoneen hajaantumisen.

• Suojaa VM-pakoa vastaan

Todennus- ja valtuutusprotokollat:

• SAML:

•• Todennus ja valtuutus/yritys

•• Kertakirjautuminen yrityskäyttäjille

• SPML:

•• Account Provisioning/Account Management, SPML ja SAML

• XACML:

•• Valvontakäytännöt

• OAuth:

•• OpenID:hen integroitu resurssikäyttö

•• API-valtuutus sovellusten välillä

• OpenID:

•• Todennus ja valtuutus/kaupallinen/mobiilisovellus

•• Kertakirjautuminen kuluttajille

MDM-ratkaisuja ovat:

• Laitteen rekisteröinti ja todennus.

• Kaukosäätimellä lukitaan ja pyyhitään.

• Laitteiden paikantaminen GPS:n ja muiden tekniikoiden avulla.

• Käyttöjärjestelmän, sovellusten ja laiteohjelmistopäivitysten lähettäminen laitteille.

• Pääkäyttäjän pääsyn tai laitteen jailbreakingin estäminen.

• Salatun säilön rakentaminen laitteille, joissa säilytetään arkaluontoiset organisaatiotiedot.

• Tiettyjen ominaisuuksien ja palveluiden rajoittaminen kulunvalvontakäytäntöjen perusteella.

Uhat BYOD-ympäristöissä:

• Parametrien poisto

• Korjaamattomat ja suojaamattomat laitteet

• Jännittynyt infrastruktuuri

• Oikeuslääketieteelliset komplikaatiot

• Kadonneet tai varastetut laitteet

Yksityisyyden ja tietosuojan hallintatoimenpiteet:

• Tehtävien erottaminen

• Koulutus

• Todennus- ja valtuutusmenettelyt

• Haavoittuvuuden arvioinnit

• Varmuuskopiointi- ja palautusprosessit

• Kirjaaminen

• Tietojen säilyttämisen hallinta

• Turvallinen hävittäminen

Huomaa:

Lokitiedot tulee suojata vähintään samalla herkkyystasolla kuin järjestelmät, joista ne on kerätty.

Tietosuoja (Kuinka...):

• Fyysinen turvallisuus – Lukitut ovet, vartijat, kulunvalvonta

• Verkkosuojaus – todennus, valtuutus, tarkastus, palomuurit, IDS/IPS

• Järjestelmän suojaus - Paikkaus, AV, konfigurointiohjaimet, hyväksytyt sovellukset

• Sovellusturvallisuus – Suojattu koodaus, koodin tarkistus, suunnittelustandardit

• Käyttäjien suojaus - Käytännöt, koulutus, hallinta, valvonta, täytäntöönpano

• Järjestelmänvalvojan suojaus – Käytännöt, lisäkoulutus, tarjonta, seuranta, erikoistunut tarkastus, täytäntöönpano

Lokikirjaus:

Varmista, että kirjaat tietoturvatapahtumat, kun otat sovellusten kirjaamisen käyttöön. Järjestelmäoperaattorit ja

Tietoturva-asiantuntijat pitävät näistä tiedoista apua:

• Hyökkäysten ja muiden turvallisuuteen liittyvien tapahtumien havaitseminen

• Tietojen hankkiminen tapahtuman tutkintaa varten

• Turvallisuuden valvontajärjestelmien perustason luominen

• Kieltäytymisen seuranta ja siihen liittyvien säätöjen toteuttaminen

• Sääntörikkomusten valvonta

Lokien suojaus:

• Hallitse tiedon määrää

• Tapahtumasuodatus tai leikkaustaso määrittää lokin määrän

• Valvontatyökalut voivat pienentää lokin kokoa

• Määritä menettelyt etukäteen

• Kouluta henkilöstöä asiaankuuluvaan lokitarkastukseen

• Suojaa ja varmista luvaton käyttö

• Poista käytöstä tarkastus tai lokien poistaminen/poistaminen

• Suojaa valvontalokit luvattomilta muutoksilta

• Tallenna/arkistoi tarkastuslokit turvallisesti

Kehykset:

• Zachman Framework - ei erityistä tietoturva-arkkitehtuuria

• Sherwood Applied Business Security Architecture (SABSA) -kehys – jäljitettävyysketju

• IT-infrastruktuurikirjasto (ITIL) - palvelustrategia, palvelun suunnittelu, palvelusiirtymä, palvelutoiminta ja jatkuva palvelun parantaminen. Prosessit, jotka mahdollistavat IT-palvelujen hallinnan, jonka on kehittänyt Yhdistyneen kuningaskunnan hallituksen kauppatoimisto

• TOGAF: The Open Groupin kehittämä malli ja metodologia yritysarkkitehtuurien kehittämiseen

• Six Sigma: Liiketoiminnan johtamisstrategia, jota voidaan käyttää prosessien parantamiseen

• Capability Maturity Model Integration (CMMI): Carnegie Mellonin kehittämä organisaatiokehitys prosessien parantamiseksi

Käyttökykymalli (IRDMO):

• Alkuvaihe – arvaamaton, huonosti hallittu ja reaktiivinen

• Toistettavissa oleva vaihe – ominaista projekteille, toistettava

• Määritelty vaihe – ominaista koko organisaatiolle ja se on ennakoiva.

• Managed Stage - kvantitatiivisesti mitattu ja ohjattu

• Vaiheen optimointi – jatkuva parantaminen. (Budjetti)

Käyttökykymalli (IRDMO):

• Taso 1: Alkuvaiheessa – Ohjelmistokehitysprosessia luonnehditaan ad-hoc-prosessiksi. Menestys riippuu yksilöllisistä ponnisteluista ja sankaruudesta.

• Taso 2: Toistettavissa – Perusprojektinhallinnan (PM) prosessit on luotu suorituskyvyn, kustannusten ja aikataulun seuraamiseksi.

• Taso 3: Määritelty – Räätälöidyt ohjelmistosuunnittelu- ja kehitysprosessit dokumentoidaan ja niitä käytetään koko organisaatiossa.

• Taso 4: Hallittu – Yksityiskohtaisia ​​tuotteen ja prosessin parantamisen toimenpiteitä valvotaan määrällisesti.

• Taso 5: Optimointi – Jatkuva prosessin parantaminen on institutionalisoitu.

Muut maturiteettimallit:

• DevOps-kypsyysmalli: Toinen tapa ajatella organisaation kypsyyttä (ainakin ohjelmistokehityksen kannalta) on pohtia, kuinka tehokkaasti se integroi kehitys- ja toimintatiiminsä (DevOps). Tämä malli on huomionarvoinen siinä mielessä, että se keskittyy kehitys- ja liiketoimintaasioiden lisäksi kulttuuriin ja ihmisiin.

• Open Source Maturity Model (OSMM): Organisaatioille, jotka ottavat käyttöön avoimen lähdekoodin ohjelmistoja, OSMM:n avulla ne voivat mitata ja parantaa prosessiensa tehokkuutta. Tässä ei keskitytä vain avoimen lähdekoodin ohjelmistojen kehittämiseen (tai jopa vain käyttämiseen), vaan osana olemiseen

liikettä kehittämällä sitä, käyttämällä sitä ja osallistumalla aktiivisesti yhteisön toimintaan.

• Ohjelmistotuotteiden hallinnan kypsyysmalli: Tämä malli keskittyy ohjelmistotuotteiden kehittämiseen liittyviin liiketoimintakysymyksiin. Se käsittelee esimerkiksi sellaisia ​​kysymyksiä kuin markkinaolosuhteet, tuotelinjat ja portfoliot sekä kumppanuussopimukset.

DevOps:

DevOps ja pilvilaskenta toimivat yhdessä auttaakseen organisaatioita tuomaan uusia palveluita ja sovelluksia markkinoille nopeammin ja halvemmalla. DevOpsissa on kyse kehityksen virtaviivaistamisesta, kun taas pilvi tarjoaa on-demand-resursseja, automatisoitua provisiointia ja helppoa skaalausta sovellusten muutosten mukautumiseen. Monet DevOps-työkalut voidaan hankkia pyynnöstä pilvessä tai osana suurempaa pilvialustaa. Tukeakseen hybridipilvikäyttöönottoa (työkuormia, jotka voivat liikkua pilvien välillä) yritysten tulisi valita DevOps-alustoja, joissa on käyttöliittymä käyttämiensä pilvipalveluntarjoajien kanssa. DevOps edistää laadukkaiden ohjelmistojen kevyttä ja ketterää toimitusta, joka tuo lisäarvoa yrityksille ja asiakkaille.

DevOps-viite

:

• Suunnittele ja mittaa

• Kehitä ja testaa

• Vapauta ja ota käyttöön

• Valvo ja optimoi

DevOps-periaatteet:

• Kehitä ja testaa tuotannon kaltaisia ​​järjestelmiä

• Ota käyttöön toistettavien, luotettavien prosessien avulla

• Tarkkaile ja validoi toiminnan laatua

• Vahvista palautesilmukoita

DevOps-käytännöt:

• Julkaisusuunnittelu

• Jatkuva integrointi

• Jatkuva toimitus

• Jatkuva testaus

• Jatkuva seuranta ja palaute

Huomaa:

DevOps ja pilvilaskenta toimivat yhdessä auttaakseen organisaatioita tuomaan uusia palveluita ja sovelluksia markkinoille nopeammin ja halvemmalla. DevOpsissa on kyse kehityksen virtaviivaistamisesta, kun taas pilvi tarjoaa on-demand-resursseja, automatisoitua provisiointia ja helppoa skaalausta sovellusten muutoksiin mukautumiseksi. Monet DevOps-työkalut voidaan hankkia pyynnöstä pilvessä tai osana suurempaa pilvialustaa. Tukeakseen hybridipilvikäyttöönottoa (työkuormia, jotka voivat liikkua pilvien välillä) yritysten tulisi valita DevOps-alustoja, joissa on käyttöliittymä käyttämiensä pilvipalveluntarjoajien kanssa.

SOC:

SOC-raportit kattavat yleisimmin valvonnan suunnittelun ja tehokkuuden 12 kuukauden toimintajaksolta ja kattavat jatkuvasti vuodesta toiseen, jotta ne täyttävät käyttäjien vaatimukset taloudellisen raportoinnin tai hallinnon näkökulmasta. Joissakin tapauksissa a

SOC-raportti voi kattaa lyhyemmän ajanjakson, kuten kuusi kuukautta. SOC-raportti voi myös kattaa vain tarkastusten suunnittelun tiettynä ajankohtana uutta järjestelmää/palvelua tai järjestelmän/palvelun alkutarkastusta (auditointia) varten.

• SOC1: keskittyy varainhoidon valvontaan

• SOC2: keskittyy CIA:han ja yksityisyyteen – yksityinen

• SOC3: keskittyy CIA:han ja yksityisyyteen – julkinen

Huomaa:

ISO 27001 -sertifikaatti koskee tietoturvan hallintajärjestelmää (ISMS), joka on koko organisaation tietoturvaohjelma. SAS 70 ja SSAE 16 ovat auditointistandardeja palveluntarjoajille ja sisältävät jonkin verran turvatarkastuksia, mutta eivät yhtenäistä ohjelmaa (ja SAS 70 on vanhentunut); SOC-raportit kertovat, kuinka SSAE 16 -auditoinnit suoritetaan. SOC 1 on tarkoitettu taloudelliseen raportointiin; SOC 2, tyyppi 2, on tarkasteltava hallintalaitteiden toteutusta (ei suunnittelua); ja SOC 3 on vain todistus siitä, että tarkastus suoritettiin.

SOC:

• SOC 1 -raportin kattavuuden tulee kattaa tietojärjestelmät (sekä manuaaliset että automatisoidut) prosessit, joita käytetään tarkasteltavien palvelujen toimittamiseen. SOC 1 -raportointivaihtoehtoja on kahdenlaisia:

•• SOC 1 Tyyppi 1: Ohjauslaitteiden suunnitteluraportti. Tämä vaihtoehto arvioi ja raportoi tiettynä ajankohtana käyttöön otettujen ohjainten suunnittelusta.

•• SOC 1 Type 2: Sisältää kontrollien suunnittelun ja testauksen, jotta voidaan raportoida kontrollien toiminnallisesta tehokkuudesta tietyn ajanjakson (yleensä 12 kuukauden) aikana.

• SOC 2 -raportin tarkoitus on arvioida organisaation tietojärjestelmiä, jotka ovat tärkeitä turvallisuuden, saatavuuden, käsittelyn eheyden, luottamuksellisuuden ja/tai yksityisyyden kannalta.

•• SOC 2 Type 1: Raportit koskevat käytäntöjä ja menettelyjä, jotka otettiin käyttöön tiettynä ajankohtana.

•• SOC 2 Tyyppi 2: Raportit koskevat käytäntöjä ja menettelyjä vähintään ajanjakson ajan – järjestelmät on arvioitava (tavallisesti 6–12 kuukautta).

Tämä tekee yleensä SOC 2:n tyypin 2 raporteista kattavampia ja hyödyllisempiä kuin tyypin I raportit, kun otetaan huomioon mahdollisen palveluntarjoajan tunnistetiedot.

SOC 2 -kehys sisältää 5 avainosaa:

• Suojaus – Järjestelmä on suojattu luvattomalta fyysiseltä ja loogiselta käytöltä.

• Käytettävyys – Järjestelmä on käytettävissä ja käytettävissä sitoutuneen tai sovitun mukaisesti.

• Käsittelyn eheys – Järjestelmän käsittely on täydellistä, tarkkaa, oikea-aikaista ja valtuutettua.

• Luottamuksellisuus – Luottamukselliseksi määritellyt tiedot on suojattu sitoutuneena tai sovitulla tavalla.

• Tietosuoja – Henkilötietoja kerätään, käytetään, säilytetään, luovutetaan ja tuhotaan yhteisön tietosuojailmoituksen sitoumusten mukaisesti.

Tietoturvastrategiat:

• Strateginen suunnittelu – Pitkäaikainen (3–5 vuotta) ja sen tulee olla linjassa liiketoiminnan tavoitteiden kanssa.

• Taktinen suunnittelu – Lyhyen aikavälin (6-18 kuukautta) käytetään tiettyjen tavoitteiden saavuttamiseen. Voi koostua useista projekteista.

• Toiminta- ja projektisuunnittelu – Erityiset suunnitelmat, joissa on virstanpylväitä, päivämäärät ja vastuut, tarjoavat viestintää ja ohjeet projektin loppuun saattamiselle.

Kiinnitys, rajat ja eristäminen:

• Rajoitus – rajoittaa prosessin lukemiseen ja kirjoittamiseen tietyistä muistipaikoista.

• Rajat - ovat muistin rajoja, joita prosessi ei voi ylittää lukiessaan tai kirjoittaessaan.

• Eristäminen - on tila, jossa prosessi suoritetaan, kun se on rajoitettu muistirajojen käyttöön.

Merkintäkieli:

• GML: Generalized Markup Language – huipputason merkintäkieli

• SGML: Standardoitu yleinen merkintäkieli – johdettu GML:stä

• SPML: Palveluntarjonnan merkintäkieli – Mahdollistaa toimitustietojen vaihdon järjestelmien välillä. SPML: XML-pohjainen muoto käyttäjä- ja resurssitietojen vaihtamiseen ja provisioinnin hallintaan.

• SAML: Security Assertion Markup Language – standardi, joka mahdollistaa todennus- ja valtuutustietojen vaihdon suojausalueiden välillä.SAML voi altistaa järjestelmän huonolle tunnistamiselle tai valtuutukselle. SAML: tarjoaa XML-pohjaisen kehyksen turvallisuuteen liittyvien tietojen vaihtamiseen verkkojen kautta.

• XACML: Extensible Access Control Markup Language – käytetään ilmaisemaan tietoturvakäytäntöjä ja verkkopalveluiden ja sovellusten kautta tarjottuja käyttöoikeuksia

• XML: voi sisältää tunnisteita, jotka kuvaavat tietoja haluamallasi tavalla. Tietokannat useilta toimittajilta voivat tuoda ja viedä tietoja XML-muotoon ja XML-muodosta, mikä tekee XML:stä yleisen tiedonvaihdon kielen. XML on alttiina injektiohyökkäyksille. XML on yleinen muoto tiedon tallentamiseen.

Todisteiden elinkaari:

• Keräys ja tunnistus

• Varastointi, säilytys ja kuljetus

• Esittely tuomioistuimessa

• Todisteiden palauttaminen

Laitteen elinkaari:

• Vaatimusten määrittely

• Hankinta ja käyttöönotto

• Käyttö ja huolto

• Hävittäminen ja käytöstä poistaminen

Käytöstäpoisto:

Kun organisaatio päättää poistaa järjestelmän tai palvelun käytöstä tai kun niiden käyttöikä on lopussa, nämä palvelut on poistettava käytöstä jättämättä tietoja, muita järjestelmiä tai henkilöstöä vaaraan. Järjestelmät ja palvelut on lopetettava asianmukaisesti jäljellä oleville järjestelmille aiheutuvan riskin poistamiseksi. Käytöstäpoistoprosessissa muunnoksen kanssa on joitain vaiheita, jotka on kuvattu alla:

• Siirtosuunnitelma

• Suorita siirto

• Käytöstäpoistosuunnitelma

• Suorita käytöstäpoisto

• Käytöstäpoiston jälkeinen tarkistus

Tietojen poisto:

• Poistaminen - poistotoiminto

• Clearing - päällekirjoitustoiminto

• Puhdistus – tehokkaampi puhdistusmuoto toistolla

• Luokituksen poistaminen - tyhjennä materiaali, joka soveltuu käytettäväksi suojatussa ympäristössä

• Puhdistus - prosessin yhdistelmä, joka poistaa tiedot järjestelmästä tai tietovälineestä

• Degaussing - voimakkaan magneettikentän käyttö

• Tuhoaminen - murskaus, poltto, silppuaminen, hajottaminen

Tietojen arkistointi:

• Muoto

• Sääntelyvaatimukset

• Testaus

Laadi tieto- ja omaisuudenkäsittelyvaatimukset:

• Tietovälineiden turvallinen hävittäminen: Arkaluontoisia tietoja sisältävät mediat on hävitettävä turvallisesti. Paperisten asiakirjojen silppuaminen ja digitaalisen median tapauksessa jauhaminen ovat eräitä median hävittämismenetelmiä.

• Merkinnät: Asianmukainen merkintä on tärkeää arkaluonteisille tiedoille paljastamatta niiden tyyppiä

sisältö.

• Pääsyrajoitukset: Ymmärrä periaate, joka on otettava käyttöön arkaluontoisten tietojen käyttörajoitusten suunnittelussa ja toteutuksessa.

• Valtuutetun vastaanottajan tiedot: Vastaanottajat, joilla on oikeus käyttää tietoja, tulee dokumentoida ja hyväksyä.

• Median tallennus: Median tallennuksen tulee olla valmistajien määrityksiä ja alan parhaita käytäntöjä.

• Tietojen jakelu: Asianmukaiset valvontatoimenpiteet tulisi ottaa käyttöön sen varmistamiseksi, että tietoja jaetaan vain hyväksytyille ja valtuutetuille henkilöille valtuutettujen vastaanottajien luettelon mukaisesti.

• Selkeä merkintä Arkaluontoisten tietojen merkinnän on oltava selkeä ja ymmärrettävä sopivaksi

tunnistus ja käsittely. Merkinnät voivat käyttää koodeja vertaillakseen vain merkintöjä

käytetään tunnistamiseen.

• Jakeluluetteloiden tarkistus: Jakeluluetteloiden säännöllinen tarkistus on tarpeen sen varmistamiseksi, että tiedot jaetaan vain valtuutettujen henkilöiden kanssa.

• Julkisesti saatavilla olevat lähteet: Sopivat hallintakeinot on todistettava sen varmistamiseksi, että arkaluonteisia tietoja ei paljasteta tai julkaista julkisesti saatavilla oleville tietovarastoille tai verkkosivustoille.

Mediaohjaus:

• Merkitse kaikki tallennusvälineet tarkasti ja nopeasti

• Varmista, että materiaali säilytetään asianmukaisesti ympäristössä

• Varmista materiaalin turvallinen ja puhdas käsittely

• Lokitietoväline varaston fyysisen valvonnan tarjoamiseksi

Vaiheet Tietojen säilyttäminen:

• Arvioi lakisääteisiä vaatimuksia, oikeudenkäyntivelvoitteita ja liiketoiminnan tarpeita

• Luokittele tietuetyypit

• Määritä säilytysajat ja tuhoamiskäytännöt

• Luonnostele ja perustele tietueiden säilytyskäytäntö

• Kouluta henkilökuntaa

• Tarkastuksen säilyttämis- ja tuhoamiskäytännöt

• Tarkista käytäntö säännöllisesti

• Asiakirjapolitiikka, toteutus, koulutus ja auditoinnit

Säilytyskäytäntöjen tulee käsitellä:

• Tallennus

• Säilytys

• Hävittäminen/hävittäminen

Dokumentaatio:

Kaikelle dokumentaatiolle on sovellettava tehokasta versionhallintaprosessia sekä standardilähestymistapaa merkintään ja käsittelyyn. ja siinä on näkyvästi merkitty luokitustaso, tarkistuspäivämäärä ja -numero, voimaantulopäivämäärät ja asiakirjan omistaja.

Yleistä tietojen varmuuskopiointia koskevia huomioita:

• Varmuuskopioiden laajuus/kokonaiskoko

• Tärkeys

• Turvallisuus

• Muutostiheys

• Toipumisaika

• Varmuuskopioiden eheyden testaus

Herkkyys vs. kriittisyys:

• Herkkyys kuvaa vahingon määrää, joka aiheutuisi, jos tiedot paljastettaisiin

• Kriittisyys kuvaa tietojen aikaherkkyyttä. Tämä johtuu yleensä siitä, kuinka paljon tuloja tietty omaisuus tuottaa, ja ilman tätä omaisuutta tulot menetetään

Tehokkaat biometriset kulunvalvontajärjestelmät:

• Tarkkuus

• Nopeus/läpäisykyky

• Tietojen tallennusvaatimukset

• Luotettavuus

• Hyväksyttävyys

Biometriset haitat:

• Käyttäjän hyväksyntä

• Ilmoittautumisaika

• Suorituskyky

• Tarkkuus ajan myötä

Syvällinen puolustusstrategia:

• Turvallisuuskäytäntöjen ja -menettelyjen kehittäminen

• Turvallisuuden huomioiminen koko elinkaaren ajan

• Verkkotopologian toteuttamisessa on useita kerroksia

• Looginen erottelu yrityksen ja verkkolaitteiden välillä

• Käyttää DMZ-verkkoarkkitehtuuria

• Varmistetaan, että tärkeät komponentit ovat redundantteja ja ovat redundanteissa verkoissa.

• Kriittisten järjestelmien suunnittelu sulavaa heikkenemistä varten (vikasietoinen)

• Käyttämättömien porttien ja palveluiden poistaminen käytöstä

• Fyysisen pääsyn rajoittaminen verkkoon ja laitteisiin.

• Käyttäjän oikeuksien rajoittaminen

• Harkitsee erillisten todennusmekanismien ja valtuustietojen käyttöä

• Modernin tekniikan käyttö

• Turvatoimien toteuttaminen

• Turvatekniikoiden soveltaminen

• Suojauskorjausten nopea käyttöönotto

• Kirjausketjujen seuranta ja seuranta

Fyysinen turvallisuus:

• Hengen suojeleminen on fyysisen turvallisuuden ensisijainen tavoite

• Fyysinen turvallisuus auttaa estämään toimintahäiriöitä

• Fyysisen ohjelman ensisijainen tavoite on tilojen kulunvalvonta

• Järjestä esteet kerroksittain progressiivisella suojauksella lähemmäksi keskustaa/korkeinta suoja-aluetta

• Suorita turvallisuusriskin/haavoittuvuuden arviointi tunnistaaksesi omaisuuteen kohdistuvat (luonnolliset ja ihmisen aiheuttamat) uhat ja menetyksen vaikutukset

• Arvioinnin aikana käsittele turvavalvontaa tunnin aikana ja sen jälkeen, kulunvalvonta, valvonta, käytännöt/menettelyt, BCP jne.

• Käytä syvällistä puolustusta

Järjestelmäsuunnittelun hallinta:

• Päätösanalyysi

• Tekninen suunnittelu

• Arviointivaatimukset

• Kokoonpano, käyttöliittymä

• Tekniset tiedot

• Riskienhallinta

Teollisen ohjausjärjestelmän avainkomponentit (ICS):

• Ohjaussilmukka

• Ihmisen ja koneen välinen käyttöliittymä (HMI)

• Remote Diagnostics and Maintenance Utilities

Teollisuuden ohjausjärjestelmien (ICS) tärkeimmät ohjauskomponentit:

• Ohjauspalvelin

• SCADA-palvelin tai pääpääteyksikkö (MTU)

• Remote Terminal Unit (RTU)

• Ohjelmoitava logiikkaohjain (PLC)

• Älykkäät elektroniset laitteet (IED)

• Ihmisen ja koneen välinen käyttöliittymä (HMI)

• Tietohistorioitsija

• Tulo-/lähtöpalvelin (IO).

Alustan haavoittuvuudet teollisissa ohjausjärjestelmissä (ICS):

• Alustan määrityshaavoittuvuudet

• Alustan laitteiston haavoittuvuudet

• Alustaohjelmiston haavoittuvuudet

• Alustan haittaohjelmasuojauksen haavoittuvuudet

Kattavan tietoturvaohjelman kehittäminen ICS:lle:

• Hanki ylimmän johdon sisäänosto

• Rakenna ja kouluta monialainen tiimi

• Määritä peruskirja ja laajuus

• Määritä erityiset ICS-käytännöt ja -menettelyt

• Määritä ja inventoi ICS-resurssit

• Suorita riskin ja haavoittuvuuden arviointi

• Määritä lieventämissäätimet

• Järjestä koulutusta ja lisää tietoturvatietoisuutta ICS-henkilöstölle

ICS-suojaus:

• Poista käytöstä tarpeettomat portit & palvelut

• Verkon segmentointi

• Pakota salaus tarvittaessa

• Pakota korjaustiedostojen hallintaa

• Riskienhallintasovellus ICS:ään

• Vähimmäisoikeuksia koskevan käytännön toteuttaminen

• Tarkastukset

• Redundanssi & Vikasietoisuus

Big data:

Tietokokoelmat, jotka ovat niin suuria ja monimutkaisia, että perinteisten tietokantatyökalujen on vaikea hallita niitä. Yrityksiä kehotetaan usein muuttamaan nykyistä arkkitehtuuriaan käsitelläkseen sitä.

Big data:

Cloud Secure Alliance (CSA) on luokitellut turvallisuus- ja tietosuojahaasteet neljään Big Datan ekosysteemin osa-alueeseen. Näitä näkökohtia ovat infrastruktuurin turvallisuus, tietojen yksityisyys, tiedonhallinta sekä eheys ja reaktiivinen suojaus. Jokainen näistä näkökohdista kohtaa seuraavat turvallisuushaasteet CSA:n mukaan:

• Infrastruktuurin turvallisuus

•• Tietojen suojattu hajautettu käsittely

•• Paras suojaus ei-relaatiotietokantoihin

• Tietosuoja

•• Tietojen analysointi tiedon louhinnan avulla Tietosuojan säilyttäminen

•• Salausratkaisut tietoturvaan

•• Yksityiskohtainen kulunvalvonta

• Tietojen hallinta ja eheys

•• Suojattu tietojen tallennus ja tapahtumalokit

•• Yksityiskohtaiset tarkastukset

•• Tietojen alkuperä

• Reaktiivinen suojaus

•• Päästä päähän -suodatus & Validointi

•• Turvatason valvonta reaaliajassa

Yleisiä Big Datan uhkia:

• Yksityisyyden loukkaus

• Etuoikeuksien eskaloituminen

• Kieltäminen

• Oikeuslääketieteelliset komplikaatiot

Big datan turvallinen elinkaari

Big datan elinkaaressa on kuusi päävaihetta: luominen ja löytäminen, käyttö ja tiedonkulku, käsittely, jakaminen, tallennus ja tuhoaminen.

• Luomisen ja löytämisen tärkeimmät haasteet ovat:

••Kaikki dataa välittävien verkon päätepisteiden tunnistaminen.

••

Immateriaaliomaisuuden tunnistaminen ja kunkin datan arvon ja liiketoimintavaikutuksen määrittäminen

iso tietoklusteri.

••Tietojen alkuperän määrittäminen.

• Käyttöön ja tiedonkulkuun liittyvät turvallisuushaasteet ovat:

••Suojauksen toteuttaminen hajautetuissa ohjelmointikehyksessä.

••Otetaan käyttöön tarkkoja käyttöoikeuksia (arkaluonteiset tiedot vs. käyttäjän rooli).

••Suojausohjaimien määrittäminen ei-relaatiotietolähteille.

••Päästä päähän -tietovirran tunnistaminen.

• Tietoturvahaasteita tietojen käsittelyssä ovat:

••Skaalautuvan, yksityisyyden ja suojauksen käyttöönotto tiedon louhinnan ja data-analytiikan aikana.

••Rakeisten tietotarkastusten toteuttaminen.

• Tietoturvahaasteet tietojen jakamisessa ovat:

••Rakeisten tietotarkastusten toteuttaminen.

••Reaktiivisen suojauksen käyttöönotto tietojen eheyden turvaamiseksi.

• Tietojen tallennuksen turvallisuushaasteet ovat:

••Suojatun tiedontallennus- ja tapahtumatietolokien ja -tiedostojen käyttöönotto.

• Datan hävittäminen on ison datan elinkaaren tärkein vaihe. Data väärissä käsissä voi olla katastrofaalista. Organisaation tason suojauskäytännöt turvallisten tietojen hävittämismenetelmien toteuttamiseksi ja pääsyoikeuksien poistamiseksi työntekijöiden/käyttäjien poistumishaastatteluissa tulisi olla käytössä, jotta tiedot ovat vain valtuutettujen käyttäjien saatavilla.

Nykyisen Big Datan haasteet:

• Useimmissa hajautettujen järjestelmien laskennassa on rajoitettu suojaustaso.

• Tietoturvaratkaisut eivät pysty vastaamaan jatkuvasti useiden ei-relaatiotietokantojen kysyntään

• Automaattisten tietojen siirrossa ei ole asianmukaisia ​​suojaprosesseja.

• Järjestelmäpäivityksiä, tarkastuksia ja korjauksia ei aina tehdä.

• Saapuvia tietoja tulee jatkuvasti validoida niiden uskottavuuden ja tarkkuuden varmistamiseksi

• Hyökkäys asiakkaiden arkaluonteisia tietoja sisältäviin järjestelmiin voi vaarantaa asiakkaat.

• Jotkin organisaatiot eivät ota käyttöön minkäänlaisia ​​pääsynvalvontamenetelmiä luottamuksellisuuden erottamiseksi

• Järjestelmien valvonta ja seuranta on vaikeaa Big Data -sovellusten nykyisessä mittakaavassa.

Tekoäly, koneoppiminen ja syväoppiminen:

• Tekoäly: Mikä tahansa tekniikka, jonka avulla tietokoneet voivat jäljitellä ihmisen käyttäytymistä

• Koneoppiminen: Tekoälytekniikoiden osajoukko, joka käyttää tilastollisia menetelmiä, jotta koneet voivat parantaa kokemuksiaan.

• Deep Learning: ML:n osajoukko, joka mahdollistaa monikerroksisten hermoverkkojen laskemisen.

Tekoäly (AI):

• Asiantuntijajärjestelmät

• Keinotekoiset hermoverkot

• Todelliset hermoverkot

• Bayes-suodatus

• Geneettiset algoritmit ja ohjelmointi

OWASP:n 10 parasta IoT-haavoittuvuutta (2014):

• Turvaton verkkokäyttöliittymä

• Riittämätön todennus/valtuutus

• Turvattomat verkkopalvelut

• Kuljetussalauksen/eheyden vahvistuksen puute

• Tietosuojaongelmat

• Turvaton pilviliittymä

• Turvaton mobiililiittymä

• Riittämätön suojausmääritys

• Turvallinen ohjelmisto/laiteohjelmisto

• Huono fyysinen turvallisuus

Seuraava on OWASP:n luettelo 10 suurimmasta tietosuojariskistä:

• P1: Verkkosovellusten haavoittuvuudet

• P2: Käyttäjän tietovuoto

• P3: Riittämätön vastaus tietomurtoon

• P4: Henkilötietojen riittämätön poistaminen

• P5: läpinäkymättömät käytännöt, ehdot ja ehdot

• P6: Tietojen kerääminen, jota ei vaadita ensisijaiseen tarkoitukseen

• P7: Tietojen jakaminen kolmannen osapuolen kanssa

• P8: Vanhentuneet henkilötiedot

• P9: Puuttuva tai riittämätön istunnon vanheneminen

• P10: Tietoturvaton tiedonsiirto

OWASP:

Open Web Application Security Project (OWASP) on sisällyttänyt nämä periaatteet kymmenen "Security by Design -periaatteen" luetteloonsa. Periaatteet ovat:

• Minimoi hyökkäyspinta-ala.

• Määritä suojatut oletusasetukset.

• Vähintään etuoikeus.

• Puolustus perusteellisesti.

• Epäonnistuu turvallisesti.

• Älä luota palveluihin.

• Tehtävien erottaminen.

• Vältä epäselvyyttä.

• Pidä suojaus yksinkertaisena.

• Korjaa tietoturvaongelmat oikein

OWASP-uhkariskimallinnuksen vaiheet:

• Tunnista suojaustavoitteet

• Tutki sovellus

• Hajota se

• Tunnista uhat

• Tunnista haavoittuvuudet

IoT-arkkitehtuuri:

• Havaintokerros

• Verkkokerros

• Sovelluskerros

IoT-ominaisuudet:

• Olemassaolo

• Itsetunto

• Liitettävyys

• Interaktiivisuus

• Dynaaminen

• Skaalautuvuus

• Laskennan rajoitukset

• Resurssien rajoitukset

IoT-rakennuslohko koostuu viidestä päämoduulista:

• Anturimoduuli

• Käsittelymoduuli

• Käyttömoduuli

• Viestintämoduuli

• Energiamoduuli

IoT-hyökkäysalueet:

Seuraavat ovat yleisimmät IoT-verkon hyökkäysalueet:

• Kulunvalvonta.

• Laiteohjelmiston purku.

• Etuoikeuksien eskalointi.

• Palautus suojaamattomaan tilaan.

• Verkkohyökkäykset.

• Laiteohjelmistohyökkäykset.

• Verkkopalveluhyökkäykset.

• Salaamaton paikallinen tietotallennus.

• Luottamuksellisuus- ja eheysongelmat.

• Cloud Computing -hyökkäykset.

• Haitalliset päivitykset.

• Suojaamattomat sovellusliittymät.

• Mobiilisovellusuhat.

IoT:n suojaaminen: (Seitsemän askelta IoT-riskin minimoimiseksi pilvessä)

• Suojattu pilviinfrastruktuuri

• Vipuvaikutusstandardeihin perustuvat parhaat käytännöt

• Turvallisuussuunnittelu

• Suojatut IoT-laitteet

• Suojatut laiteyhteydet

• Suojatut IoT-palvelut ja -sovellukset

• Suojatut käyttäjät ja käyttöoikeudet

IoT-laitteiden tietoturvahaasteet:

• IoT-tuotteita voidaan käyttää epävarmoissa tai fyysisesti alttiina olevissa ympäristöissä

• Tietoturva on uutta monille valmistajille, ja kehitysmenetelmissä on rajoitettu turvallisuussuunnittelu

• Tietoturva ei ole liiketoimintaa edistävä tekijä, ja IoT-tuotteiden kehittämisessä on rajoitettu suojaus- ja hallintatuki.

• Turvallisen IoT-kehityksen määritellyistä standardeista ja referenssiarkkitehtuurista puuttuu

• On vaikeuksia rekrytoida ja säilyttää tarvittavia tietoturvataitoja IoT-kehitystiimeille, mukaan lukien arkkitehdit, tietoturvaohjelmistosuunnittelijat, laitteiston turvallisuusinsinöörit ja tietoturvatestaushenkilöstö.

• Alhainen hintapiste lisää potentiaalista vastustajapoolia

• Sulautettujen järjestelmien resurssirajoitukset rajoittavat suojausvaihtoehtoja

Ohjeet turvalliseen IoT-kehitykseen:

• Secure Development Methodology

• Turvallinen kehitys- ja integraatioympäristö

• Identity Framework ja alustan suojausominaisuudet

• Yksityisyyden suojan luominen

• Hardware Security Engineering

• Suojaa tiedot

• Suojatut liittyvät sovellukset

• Suojaa liitännät/sovellusliittymät

• Tarjoa suojattu päivitysominaisuus

• Ota käyttöön Secure Authn/z

• Ota käyttöön suojattu avaintenhallinta

• Tarjoa kirjausmekanismit

• Suorita suojaustarkistuksia

IoT-suojaus (PARHAAT KÄYTÄNNÖT):

• Tee laitteiston peukaloinnin estävä

• Tarjoa laiteohjelmistopäivitykset/korjaukset

• Suorita dynaaminen testaus

• Määritä menetelmät tietojen suojaamiseksi laitteen hävittämisen yhteydessä

• Käytä vahvaa todennusta

• Käytä vahvaa salausta ja suojattuja protokollia

• Minimoi laitteen kaistanleveys

• Jaa verkot segmentteihin

• Suojaa arkaluonteisia tietoja

• Kannustaa eettiseen hakkerointiin ja haavoittuvuuksien paljastamiseen

• Perusta IoT:n tietoturva- ja yksityisyyssertifiointilautakunta

Tuotetoimittajien/kehittäjien tulee harkita seuraavia ohjeita IoT-suojauksen parantamiseksi:

• Suojaa verkko-/työpöytä-/mobiilisovellukset asianmukaisella todennuksen ja valtuutuksen avulla.

• Jos mahdollista, ota käyttöön ja ota käyttöön oletusarvoisesti kaksivaiheinen todennus, se parantaa huomattavasti IoT-laitteiden turvallisuutta.

• Noudata suojattuja koodausmenetelmiä ja suorita aina syötteiden validointi välttääksesi Cross-site scripting (XSS), SQL-injektio ja Buffer Overflow (BoF) haavoittuvuudet. Seuraa hyperlinkkejä saadaksesi lisätietoja näistä haavoittuvuuksista.

• Ota käyttöön tehokas salasanakäytäntö

• Käytä captchaa eli tilin lukituskäytäntöjä välttääksesi raa'an voiman hyökkäyksiä.

• Toimittajien tulee toimittaa tietoturvapäivityksiä, mukaan lukien tiedot tietoturvakorjauksista, haavoittuvuuden vaikutuksista ja yksinkertaisia ​​ohjeita tietoturvapäivitysten asentamiseksi.

• Jos mahdollista, käytä viestinnässä aina salausta.

• Varmista säännölliset varmuuskopiot (vähintään kaksi dataa) turvallisessa paikassa.

• Vältä tietojen paljastamista. eli vältä asiakkaan tietojen julkaisemista

• Uusia ominaisuuksia lisättäessä toimittajien tulee varmistaa, ettei se luo tietoturva-aukkoa.

• Myyjien tulisi miettiä helppokäyttöisyyttä vs. turvallisuutta

• Ota OWASP käyttöön IoT:n suunnittelun aikana tulee korjata 10 parasta IoT-haavoittuvuutta.

Testityypit, joita voidaan käyttää IoT-laitteiden kehittämiseen:

• Static Application Security Testing (SAST)

• Dynamic Application Security Testing (DAST)

• Interactive Application Security Testing (IAST)

• Hyökkäyspinta ja vektorit

• Kolmannen osapuolen kirjasto

• Sumeaa

• Räätälöity uhkavektorin mukaan

IoT Forensicsin haasteet:

• Tutkimuskehys

• Laitteiden monimuotoisuus

• IoT-rajoitukset

• Standardoinnin puute

• Väärä todisteiden käsittely

•• Todisteiden tunnistaminen, kerääminen ja säilyttäminen

•• Todisteiden analyysi ja korrelaatio

• Puun alkuperäketjun turvaaminen

IoT:n hyökkäykset:

• Solmun peukalointi / solmu vaarantunut

• Palvelunesto (DoS)

• Hajautettu käyttöoikeus

• Laitteen huijaus

• Yksityisyyden loukkaus

• Haittaohjelma

• Sovelluspohjaiset hyökkäykset

• Mies keskellä hyökkää

NIST:

• NIST 800-12NIST Handbook Intro to Computer Security

• NIST 800-13Telecomm Security Guidelines for Telecomm Mgmt. Verkko

• NIST 800-14 yleisesti hyväksytyt tiedon turvaamisen periaatteet ja käytännöt

• NIST 800-18AUP / Käyttäytymissäännöt

• NIST 800-30 Riskinhallinta/arvioinnit

• NIST 800-34 Contingency Planning

• NIST 800-37Risk Management Framework

• NIST 800-40 Korjaustiedoston ja haavoittuvuuksien hallintaohjelman luominen

• NIST 800-41 Guidelines on palomuurit ja palomuurikäytännöt

• NIST 800-44Guidelines on Securing Public Web Servers

• NIST 800-45 Guidelines on Electronic Mail Security

• NIST 800-47 Security Guide for Connecting IT Systems

• NIST 800-48 -opas vanhojen langattomien IEEE 802.11 -verkkojen suojaamiseen

• NIST 800-50 IT-tietoturvatietoisuuden ja -koulutusohjelman rakentaminen

• NIST 800-53 liittovaltion tietojärjestelmien turvallisuus- ja yksityisyydensuoja

• NIST 800-54 Border Gateway Protocol Security

• NIST 800-55 -turvallisuusmittarit IS

• NIST 800-57 Recommendation for Key Management

• NIST 800-60-opas tietotyyppien ja tiedon kartoittamiseen

• NIST 800-61Computer Security Incident Handling

• NIST 800-63Electronic Authentication

• NIST 800-64 -turvallisuusnäkökohdat SDLC:ssä

• NIST 800-66Terveydenhuollon tietosuojaongelmat

• NIST 800-86 -opas rikosteknisten tekniikoiden integroimiseksi infrapunajärjestelmään

• NIST 800-82Guide to Industrial Control Systems (ICS) Security

• NIST 800-83-opas haittaohjelmien ehkäisyyn ja käsittelyyn

• NIST 800-86 -opas rikosteknisten tekniikoiden integroimiseen tapausvastaamiseen

• NIST 800-88Media Sanitization

• NIST 800-94IDS/1PS

• NIST 800-100IS -käsikirja

• NIST 800-115IS -turvallisuustestaus ja -arviointi

• NIST 800-119 Guidelines for Secure Deployment of IPv6

• NIST 800-122Protect PII

• NIST 800-137Information Security Continuous Monitoring (ISCM)

• NIST 800-145 Cloud computing

ISO:

• ISO 7498:OSI -malli

• ISO 27000: ISMS-yleiskatsaus ja sanasto

• ISO 27001: ISMS-vaatimus

• ISO 27002: Käytäntösäännöt

• ISO 27003: ISMS-toteutus

• ISO 27004: Mittaus- ja mittauskehys

• ISO 27005: Riskienhallinta

• ISO 27006: Sertifiointielimen vaatimukset

• ISO 27007: ISMS-auditointi

• ISO 27008: Tietoturvan valvonta

• ISO 27011: ISMS-ohjeellinen televiestintäorganisaatio

• ISO 27014: Tietoturvan hallinto

• ISO 27017: Pilvipalveluiden käyttö

• ISO 27018: Pilvitietosuojan yleiskatsaus

• ISO 27031: Viestintäteknologian valmius liiketoiminnan jatkuvuuteen

• ISO 27032: Kyberturvallisuuden kestävyys

• ISO 27034: Tietoturvasovellukset

• ISO 27035: Tietoturvahäiriöiden hallinta

• ISO 27037: Kattaa digitaalisen todisteen tunnistamisen, keräämisen ja säilyttämisen.

• ISO 27799: Direktiivit henkilökohtaisten terveystietojen suojaamisesta

• ISO 31000: Riskinhallintakehys

• ISO 22301: BCM – Liiketoiminnan jatkuvuus

• ISO 15408: Yleiset kriteerit

• ISO 28000: Supply Chain Management

• ISO 42010: Järjestelmä- ja ohjelmistosuunnitteluarkkitehtuurin kuvaus

• ISO 14443: Älykorttistandardit

IEEE:

• IEEE 802.11: Langattomat lähiverkot

• IEEE 802.15: Langattomat PAN-verkot

• IEEE 802.16: Langattomat laajakaistaiset MAN-laitteet

• IEEE 802.20: Langaton mobiililaajakaistayhteys

Langaton:

IEEE ehdotti 802.11-standardia langattomalle tiedonsiirrolle. Langattomille verkkolaitteille on kehitetty useita versioita, mukaan lukien 802.11a 802.11b, 802.11g, 802.11n, 802.11ac alla olevan taulukon mukaisesti:

802.11 2 Mbps 2,4 GHz

802.11a 54 Mbps 5 GHz

802.11b 11 Mbps 2,4 GHz

802,11g 54 Mbps 2,4 GHz

802.11n 200+ Mbps 2,4 GHz tai 5 GHz

802.11ac 1 Gbps 5 GHz

ISO 27002 sisältää:

• Suojauskäytäntö

• Organisaatio ja tietoturva

• Omaisuudenhallinta

• Henkilöstöturva

• Fyysinen ja ympäristöturvallisuus

• Viestintä- ja toimintojen hallinta

• Kulunvalvonta

• Tietojärjestelmien hankinta, kehitys ja ylläpito

• Tietoturvahäiriöiden hallinta

• Liiketoiminnan jatkuvuuden hallinta

• Vaatimustenmukaisuus

Tärkeitä FISMAn ominaisuuksia:

• Säännölliset riskinarvioinnit.

• Arviointiin perustuvat käytännöt ja menettelyt.

• Laadullinen riskiluokitustietoihin perustuva suojausmalli.

• Verkkojen, tilojen ja muiden osajärjestelmien tietoturvasuunnitelmat.

• Henkilöstön turvallisuustietoisuuskoulutus.

• Tietoturvapolitiikan, -menettelyjen, -käytäntöjen ja -kontrollien tehokkuuden säännöllinen testaus ja arviointi vähintään kerran vuodessa.

• Prosessi tietoturvakäytäntöjen (POAM) puutteiden korjaamiseksi.

• Menettelyt tietoturvahäiriöiden havaitsemiseksi, raportoimiseksi ja niihin reagoimiseksi.

• Menettelyt ja suunnitelmat organisaation toimintaa ja omaisuutta tukevien tietojärjestelmien toiminnan jatkuvuuden varmistamiseksi.

Tärkeitä HIPAA-ominaisuuksia:

• Sähköisten tapahtumien ja koodijoukkojen standardit: Edellyttää samoja terveydenhuollon tapahtumia, koodijoukkoja ja tunnisteita.

• Yksityisyyssääntö: Tarjoaa liittovaltion suojan piiriin kuuluvien tahojen hallussa oleville henkilökohtaisille terveystiedoille ja antaa potilaille joukon oikeuksia näihin tietoihin liittyen.

• Suojaussääntö: Määrittää hallinnolliset, fyysiset ja tekniset suojatoimenpiteet kattaville tahoille varmistaakseen sähköisesti suojattujen terveystietojen luottamuksellisuuden, eheyden ja saatavuuden.

• Kansallisia tunnisteita koskevat vaatimukset: Edellyttää, että terveydenhuollon tarjoajilla, terveyssuunnitelmilla ja työnantajilla on vakiomuotoiset kansalliset numerot, jotka tunnistavat heidät vakiotapahtumissa.

• Täytäntöönpanosäännöt: Tarjoaa standardit kaikkien hallinnon yksinkertaistamista koskevien sääntöjen täytäntöönpanolle.

Tärkeitä HITECH-ominaisuuksia:

• HIPAA-turvastandardien laajentaminen koskemaan "liikekumppaneita", jotka suorittavat toimintoja, joihin liittyy yksilöitävissä olevien terveystietojen käyttöä tai paljastamista.

• Kovemmat siviilirangaistukset "tahallisesta laiminlyönnistä".

• Tietoturvaloukkauksista ilmoittamista koskevat vaatimukset luvattomasta käytöstä ja "suojaamattomien henkilökohtaisten tietojen" paljastamisesta.

• Vahvemmat yksilölliset oikeudet päästä käsiksi sähköisiin potilastietoihin ja rajoittaa tiettyjen tietojen paljastamista.

• Uudet rajoitukset suojattujen terveystietojen myyntiin sekä markkinointi- ja varainhankintaviestintään.

EU:n tietosuojadirektiivin ominaisuudet:

• Huomautus: Rekisteröidyille tulee ilmoittaa, kun heidän tietojaan kerätään.

• Tarkoitus: Tietoja tulee käyttää vain ilmoitettuun tarkoitukseen.

• Suostumus: Tietoja ei saa paljastaa ilman kohteen suostumusta.

• Suojaus: Kerätyt tiedot on suojattava mahdollisilta väärinkäytöksiltä.

• Tietojen paljastaminen: Rekisteröidyille tulee kertoa, kuka kerää heidän tietojaan.

• Pääsy: Rekisteröidyillä tulee olla mahdollisuus päästä käsiksi tietoihinsa ja korjata virheellisiä tietoja.

• Vastuullisuus: Rekisteröidyillä tulee olla käytettävissään menetelmä saada tiedon kerääjät vastuuseen näiden kuuden yllä olevan periaatteen noudattamisesta.

COBIT:

• Periaate 1: Sidosryhmien tarpeiden täyttäminen

• Periaate 2: Yrityksen kattaminen päästä päähän

• Periaate 3: Yhden integroidun viitekehyksen soveltaminen

• Periaate 4: Kokonaisvaltaisen lähestymistavan mahdollistaminen

• Periaate 5: Hallinnoinnin ja johdon erottaminen

ITIL-edut:

• Lisääntynyt käyttäjien ja asiakkaiden tyytyväisyys IT-palveluihin.

• Parempi palvelun saatavuus, mikä johtaa suoraan liiketoiminnan voittojen ja tulojen kasvuun.

• Taloudellisia säästöjä uusien työstöjen vähenemisestä, menetetystä ajasta, parannetusta resurssien hallinnasta ja käytöstä.

• Uusien tuotteiden ja palveluiden markkinoilletuloaika pidentynyt.

• Parempi päätöksenteko ja optimoitu riski.

OECD:

Taloudellisen yhteistyön ja kehityksen järjestö (OECD) ehdottaa, että tietosuojalakeja ovat muun muassa:

• Keräyksen rajoittamisen periaate

• Tietojen laatuperiaate

• Tarkoituksen määrittelyperiaate

• Käytä rajoitusperiaatetta

• Turvatoimien periaate

• Avoimuusperiaate

Tietoturva:

Tietoturvan keskeinen tavoite on vähentää haitalliset vaikutukset organisaatioon hyväksyttävälle tasolle. Seuraavassa on joitain muita suojauksen hallintakehystä & menetelmät tietoturva-ammattilaisille, joihin kuuluvat kehitysstandardit, tietoturva-arkkitehti, turvatarkastukset, hallintomenetelmät & hallintaprosessi:

•ISO/IEC 17799:2005 Tietotekniikka - Turvatekniikat - Tietoturvan hallinnan käytännesäännöt

• ISO/IEC 27000 -sarjan tietoturvan hallintajärjestelmäperhe

• ISO/IEC 27001 -tietoturvan hallinta

• ISO/IEC 27002 -käytännöt tietoturvatarkastuksista

• Common Criteria (CC) tai ISO/IEC 15408

• Information Technology Infrastructure Library (ITIL)

• Zachman-kehys

• TOGAF

• DoDAF

• MODAF

• COBIT

TOGAF-dokumentaation rakenne:

• OSA I: (Johdanto) – Tämä osa tarjoaa korkean tason johdannon yritysarkkitehtuurin ja erityisesti TOGAF-lähestymistavan keskeisiin käsitteisiin. Se sisältää TOGAF:ssa käytettyjen termien määritelmät ja julkaisutiedot, joissa kerrotaan yksityiskohtaisesti tämän version ja edellisen TOGAF-version välisistä muutoksista.

• OSA II: (Arkkitehtuurikehitysmenetelmä) - Tämä osa on TOGAFin ydin. Se kuvaa TOGAF Architecture Development Method (ADM) -menetelmää, joka on vaiheittainen lähestymistapa yritysarkkitehtuurin kehittämiseen.

• OSA III: (ADM:n ohjeet ja tekniikat) – Tämä osa sisältää kokoelman ohjeita ja tekniikoita, jotka ovat käytettävissä TOGAF:n ja TOGAF ADM:n soveltamisessa.

• OSA IV: (Arkkitehtuurin sisältökehys) – Tässä osassa kuvataan TOGAF-sisältökehys, mukaan lukien strukturoitu metamalli arkkitehtonisille esineille. Uudelleenkäytettävän arkkitehtuurin käyttö, rakennuspalikoita ja yleiskatsaus tyypillisiin arkkitehtuuritoimituksiin.

• OSA V: (Enterprise Continuum & Tools) – Tässä osassa käsitellään sopivia taksonomioita ja työkaluja arkkitehtuuritoiminnan tulosten luokitteluun ja tallentamiseen yrityksessä.

• OSA VI: (TOGAF-referenssimallit) - Tämä osa sisältää valikoiman arkkitehtonisia vertailumalleja, jotka sisältävät TOGAF-säätiön arkkitehtuurin ja Integrated Information Infrastructure Reference Model (III-RM).

• OSA VII: (Arkkitehtuurivalmiuksien viitekehys) – Tässä osassa käsitellään organisaatiota, prosesseja, taitoja, rooleja ja vastuita, joita tarvitaan arkkitehtuuritoiminnon perustamiseen ja käyttämiseen yrityksessä.

SABSA:

SABSA koostuu sarjasta integroituja puitteita, malleja, menetelmiä ja prosesseja, joita käytetään itsenäisesti tai kokonaisvaltaisena integroituna yritysratkaisuna, mukaan lukien:

• Business Requirements Engineering Framework (tunnetaan nimellä Attributes Profiling)

• Riskien ja mahdollisuuksien hallintakehys

• Policy Architecture Framework

• Security Services-Oriented Architecture Framework

• Hallintokehys

• Security Domain Framework

• Koko elinkaaren kestävä tietoturvapalveluiden hallinta & Performance Management Framework

GDPR määrittelee kolme asiaankuuluvaa kokonaisuutta:

• Rekisteröity henkilö, jota tiedot koskevat

• Rekisterinpitäjä Mikä tahansa organisaatio, joka kerää tietoja EU:n asukkaista

• Tietojen käsittelijä Mikä tahansa organisaatio, joka käsittelee tietoja a

tiedonohjain

GDPR-sarja suojattuja tietosuojatietoja:

• Nimi

• Osoite

• Tunnusnumerot

• Verkkotiedot (sijainti, IP-osoite, evästeet)

• Terveys- ja geneettiset tiedot

• Biometriset tiedot

• Rotu- tai etniset tiedot

• Poliittiset mielipiteet

• Seksuaalinen suuntautuminen

GDPR:n keskeisiä ehtoja ovat:

• Suostumus Rekisterinpitäjät ja tietojen käsittelijät eivät voi käyttää henkilötietoja ilman rekisteröityjen nimenomaista suostumusta.

• Oikeus saada tietoa Rekisterinpitäjien ja tietojen käsittelijöiden on ilmoitettava rekisteröidyille siitä, miten heidän tietojaan käytetään, tullaan käyttämään tai miten niitä voidaan käyttää.

• Oikeus rajoittaa käsittelyä Rekisteröidyt voivat suostua siihen, että kerääjä tallentaa tietojaan, mutta kieltää niiden käsittelyn.

• Oikeus tulla unohdetuksi Rekisteröidyt voivat pyytää henkilötietojensa poistamista pysyvästi.

• Tietoturvaloukkaukset Rekisterinpitäjien on ilmoitettava tietoturvaloukkauksesta 72 tunnin kuluessa siitä, kun he ovat saaneet tietoonsa.

CIS:

Internet-turvallisuuskeskuksen (CIS) kriittiset suojauksen hallintalaitteet tehokkaan kyberin takaamiseksi

Puolustus (CSC) on suositeltu kyberpuolustuksen toimintosarja, joka tarjoaa erityisiä ja toimivia tapoja pysäyttää nykypäivän yleisimmät ja vaarallisimmat hyökkäykset.

• CIS-perusohjaimet

•• Laitteistoomaisuuden inventointi ja valvonta

•• Ohjelmistoresurssien inventointi ja valvonta

•• Jatkuva haavoittuvuuden hallinta

•• Ylläpitäjän oikeuksien valvottu käyttö

•• Suojattu laitteiston ja ohjelmiston määritykset mobiililaitteille, kannettaville tietokoneille, työasemille ja palvelimille

•• Tarkastuslokien ylläpito, seuranta ja analysointi

• Perustavat CIS-ohjaimet

•• Sähköposti- ja verkkoselaimen suojaukset

•• Haittaohjelmasuojaukset

•• Verkkoporttien, protokollien ja palveluiden rajoitukset ja hallinta

•• Tietojen palautusominaisuudet

•• Verkkolaitteiden, kuten palomuurien, reitittimien ja kytkimien, suojatut asetukset

•• Rajapuolustus

•• Tietosuoja

•• Hallittu pääsy tietotarpeen perusteella

•• Langaton pääsynhallinta

•• Tilin valvonta ja valvonta

• Organisaation CIS-ohjaimet

•• Ota käyttöön turvallisuustietoisuus- ja koulutusohjelma

•• Sovellusohjelmiston suojaus

•• Hätätilanteiden hallinta ja hallinta

•• Läpäisytestit ja punaisen joukkueen harjoitukset

Linkit ja viitteet

CISSP CBK:n virallinen (ISC)2-opas, neljäs painos ((ISC)2-lehti)

CISSP (ISC)2 Certified Information Systems Security Professional -virallinen opintoopas, 7. painos

CISSP-viralliset (ISC)2-harjoituskokeet

CISSP All-in-One -koeopas, seitsemäs painos

CCSP CBK:n virallinen (ISC)2-opas

(ISC)2-esitys isc2.org

CISM CRM – ISACA isaca.com

Cloud Secure Alliance (CSA)

Sybextestbanks.wiley.com

Cccure.org (CCCURE)

Isc2.org-yhteisö

Issa.org (ISSA)

Cloudsecurityalliance.org

NIST-julkaisut

Cyber ​​Security First Responder CFR – Loogiset toiminnot

SANS-dokumentaatio

CCSP-sertifioitu pilviturva-ammattilainen, esitys - Kelly Handerhan

CISSP-sertifioitu tietojärjestelmien turvaammattilainen,

Kelly Handerhan

IBM Cloud Services ibm.com

Luokittelematon

https://safecode.org/publications/

https://adam.shostack.org/blog/category/threat-modeling/

https://www.merlot.org/merlot/InformationTechnology.htm

(IJACSA) International Journal of Advanced Computer Science and Applications

http://www.diocc.com/artificial-intelligence-training.html

ASIAN INTERNETIN (IOT) TURVALLISUUDEN PARHAAT KÄYTÄNNÖT Toukokuu 2017

Esineiden Internetin (IoT) hakkerointitapaustutkimus DTH-haavoittuvuuksista

CSA julkaisee parhaat käytännöt riskien vähentämiseksi virtualisoiduissa ympäristöissä

PILVITIETOKONEEN TURVALLISUUSPERIAATTEITA KOSKEVAT ONGELMAT

Verkkomaailman tulevaisuuden turvaaminen: 13 askelta turvallisten IoT-tuotteiden kehittämiseen (IoT-työryhmä | Connected Worldin tulevaisuuden turvaaminen)

ZHOU, Jun et al. Pilvipohjaisen IoT:n turvallisuus ja yksityisyys: haasteita. IEEE Communications

https://www.researchgate.net/publication/316867894

http://www.pentest-standard.org

https://www.experts-exchange.com/articles/32132/Better-Security-in-the-Cloud.html

https://www.experts-exchange.com/articles/33288/Secure-SDLC-Principles-and-Practices.html

https://www.experts-exchange.com/articles/31793/Vulnerability-Assessments-versus-Penetration-Tests.html

https://www.experts-exchange.com/articles/31763/Incident-Handling-and-Response-Plan.html

https://www.experts-exchange.com/articles/32551/BYOD-and-Secure-Mobile-Computing.html

https://www.experts-exchange.com/articles/31744/Cloud-Security-Threats-Risks-and-Concerns.html

https://www.experts-exchange.com/articles/33009/Disaster-Recovery-Solution-Design.html

https://www.experts-exchange.com/articles/32316/What-Gives-SIEM-a-Good-Name.html

https://www.experts-exchange.com/articles/33330/Threat-Modeling-Process-Basics-and-Purpose.html

https://www.experts-exchange.com/articles/33356/Internet-of-Things-Guidelines-to-prevent-common-IoT-security-risks.html

https://www.isc2.org/Certifications/References

https://www.studynotesandtheory.com/

https://www.facebook.com/groups/InformationAudit/

https://www.facebook.com/groups/1525346961013038/

https://www.facebook.com/groups/ThorTeaches/

https://www.cybrary.it/

https://github.com/DoGByTe-ZN/infosec-resources4all/https://thorteaches.com/

https://thorteaches.com/cissp-process-guide-fadi-sodah-madunix/

https://www.linkedin.com/groups/8592316

Fortinet-blogi: https://blog.fortinet.com

Naked Security: https://nakedsecurity.sophos.com

Securosis-blogi: https://securosis.com/blog

Uncommon Sense Security: https://blog.uncommonsensesecurity.com

Schneier on Security: https://www.schneier.com

Krebs on Security: https://krebsonsecurity.com

StackOverflow: https://stackoverflow.com/questions/tagged/security

Microsoftin tietoturvatiedotteet: https://technet.microsoft.com/en-us/security/bulletins.aspx

Applen tietoturvapäivitykset: https://support.apple.com/en-us/HT201222

Androidin tietoturvatiedotteet: https://source.android.com/security/bulletin/

Ubuntun suojausilmoitukset: https://www.ubuntu.com/usn/

Amazon Web Servicesin uusimmat tiedotteet: https://aws.amazon.com/security/securitybulletins/

jQuery Updates -blogi: https://blog.jquery.com/

MyAppSecurity ThreatModeler (kaupallinen sovellus) http://threatmodeler.com/

Microsoft Threat Modeling Tool 2016 (ilmainen sovellus) https://www.microsoft.com/en-us/download/details.aspx?id=49168

SeaSponge (ilmainen verkkosovellus) http://mozilla.github.io/seasponge/#/

Trike (ilmainen laskentataulukkomalli) http://octotrike.org/