Wondershare EdrawMind
Galeria de mapas mentais CISSP學習筆記-域7（安全運營）
- 9
CISSP學習筆記-域7（安全運營）
這是一篇關於CISSP學習筆記-域7（安全運作）的心智圖，主要內容包括：複習題，知識點。
Editado em 2024-04-07 15:17:20
- Microbiologia medica Infezione batterica e immunità
Microbiologia medica, Infezioni batteriche e immunità riassume e organizza i punti di conoscenza per aiutare gli studenti a comprendere e ricordare. Studia in modo più efficiente!
- teoria cinetica dei gas
La teoria cinetica dei gas rivela la natura microscopica dei fenomeni termici macroscopici e le leggi dei gas trovando la relazione tra quantità macroscopiche e quantità microscopiche. Dal punto di vista del movimento molecolare, vengono utilizzati metodi statistici per studiare le proprietà macroscopiche e modificare i modelli di movimento termico delle molecole di gas.
- Breve História do Tempo
Este é um mapa mental sobre uma breve história do tempo. "Uma Breve História do Tempo" é um trabalho científico popular com influência de longo alcance. Ele não apenas introduz os conceitos básicos da cosmologia e da relatividade, mas também discute os buracos negros e a expansão. Do universo. questões científicas de ponta, como inflação e teoria das cordas.
CISSP學習筆記-域7（安全運營）
- Microbiologia medica Infezione batterica e immunità
Microbiologia medica, Infezioni batteriche e immunità riassume e organizza i punti di conoscenza per aiutare gli studenti a comprendere e ricordare. Studia in modo più efficiente!
- teoria cinetica dei gas
La teoria cinetica dei gas rivela la natura microscopica dei fenomeni termici macroscopici e le leggi dei gas trovando la relazione tra quantità macroscopiche e quantità microscopiche. Dal punto di vista del movimento molecolare, vengono utilizzati metodi statistici per studiare le proprietà macroscopiche e modificare i modelli di movimento termico delle molecole di gas.
- Breve História do Tempo
Este é um mapa mental sobre uma breve história do tempo. "Uma Breve História do Tempo" é um trabalho científico popular com influência de longo alcance. Ele não apenas introduz os conceitos básicos da cosmologia e da relatividade, mas também discute os buracos negros e a expansão. Do universo. questões científicas de ponta, como inflação e teoria das cordas.
- Recomendado para você
- Descrição
CISSP學習筆記-域7（安全運營）
知識點
7.1. 理解與遵守調查
7.1.1.了解並遵守調查
調查通常在安全事件回應 (lncident Response. IR）後進行，主要目的是收集並分析證據以確定發生了什麼，以及如何防止類似事件的再次發生。
關注點：
1.專業技能：
調查、證據收集和處理、數位鑑識等都需要特定的專業技能。這些過程需要精確和詳細的操作，因為任何錯誤都可能損壞或破壞證據。
2.協調與合作：
對於 CISSP 持證者來說，他們可能需要協調和合作適當的專家來支援調查和取證過程。這是因為這些過程需要專門的技能和培訓，以確保證據的完整性和有效性。
3.證據處理：
在調查過程中，證據的處理方式非常重要。需要確保證據的真實性、完整性和可用性，同時遵守法律和法規，以確保證據在法庭上的有效性。
7.1.2.𨒂據收集和處理
1.證據收集和處理
•數位證據：如日誌、錄音、電腦檔案和電腦系統組件。如記憶體或硬碟。
·硬拷貝資料：如列印文件、手寫筆記、紙本報告等
•如果涉及刑事犯罪，則需由具有執法背景的專業人員組成，CISSP 的角色是支持和遵守這些專業人員的任何要求。
2. 收集數位證據
當進行事件回應時，收集數位證據是非常重要的。數位證據往往是短暫的，所以比須盡快收集，以確保證據完整性。
為確保證據完整性，以下是一些最佳實踐：
•記錄所有資訊：這包括行動的日期、時問和地點，收集到的任何證據的情況，以及參與的相關人員。這有助於確保證據的完整性和可靠性。
•製作證據副本：在對證據進行分析或調查時，應盡可能對證據副本進行操作，以保護原始證據的完整性。
•使用寫入保護工具：這可以防止對證據進行任何不必要的更改或修改。
•使用雜湊值進行校驗：這是為了確保分析或調查使用的資料與原始收集的資料一致，且在過程中未對資料進行更改。
3.處理數位證據
•數位鑑識和事件回應 (DFIR） 是一個涉及收集和分析數位證據以調查和應對安全事件的過程。
•處理數位證據需要遵循一定的流程和標準，如 ISO/EC 27037:2012 和 NISTSP 800-86.
•保持良好的鍊式保管（Chain orCustody) 是非常重要的，包括記錄證據從收集到分析的所有過程，以確保證據的完整性和可靠性。
4.雲端運算的挑戰
雲端運算的分散式特性和全球範圍為數位取證格來了獨特的挑戰。在從雲端環境中收集證據時，必須考慮到法律和技術問題，包括與資料主權和管轄權問題
7.1.3. 報告和文件
處理證據和文件時需要遵鎮的關鍵原則。這些原則不僅適用於法庭，也適用於其他涉及證據收集和報告的情況。
•準確性(Accuracy)：
確保證據和文件不包含任何錯誤是至關重要的。這包括檢查證據是否與其他證據一致，以及證據是否完整無缺。
•真實性(Authenticity)：
證據必須來自可靠的來源，而這個來源應該可以透過監管鏈進行驗證。這是確保證據真實性的關鍵
•可理解性(Comprehensibility)：
證據和相關文件應該被所有相關人員理解，這可能包括非技術人員。因此，應該盡可能地把技術術語翻譯成更容易理解的語言。
•令人信服 (Convincing)：
證據應該形成一個完整和有說服力的證據鏈，這樣它才能在法庭上或其他場合被接受。
•客觀 (Objective)：
證據必須獨立支持一個觀點或斷言，不能受到偏見或主觀性的影響。
•可接受性 (Admissible)：
證據必須滿足特定的法律要求，才能在法庭上被接受。可接受性可能會受到證據的收集、處理和保存方式的影響。
7.1.4. 調查的技術
安全從業人員應該熱悉的四個主要調查技術：
1.數據捕獲
包括了自動和手動收集審計日誌，網路流量，或其他相關數據的過程。自動擷取可以透過像 SIEM 這樣的系統進行，這些系統能夠在大量資料中自動偵測並標記異常行為。手動資料擷取可能包括現場照片、影片記錄或其他實體證據的收集。
2.訪談
這是一種資訊收集技術，目的是從知道相關資訊的人那裡獲取證據。這可能包括證人、嫌疑犯或其他相關人員。訪談應該尊重被訪談者的權利。包括他們可以拒絕或中止訪談。如果許可的話，訪談應被記錄下來。
3.審訊
一種更正式的訪談形式，通常由執法或其他有權威的調查人員進行。審訊通常有更嚴格的程序要求，以確保結果的公正性和有效性。
4. 外部請求
在調查過程中，可能需要從第三方獲取信息，例如互聯網服務提供者(ISP）或政府機構。這可能需要透過正式的法律程序，例如取得搜索令或其他法律文件，以合法取得所需的資訊。
7.1.5. 數位取證的工具、策略和程序
1. 工具
•取證工具：這些工具包括用於案件追蹤和管理的軟體和設備、工作站和工作區域，這些都是隔離的，專門用於取證工作，以防止污染正在調查的證據。一些具體的工具可以包括寫入阻止器和驅動器成像器、法拉第容器以及視訊和音訊記錄工具。
•分析工具：這些工具用於處理和分析收集的數據，例如網路流量分析工具（如Wireshark）和SIEM 工具。
•資料恢復工具：這些工具可以幫助恢復被刪除或覆蓋的資料。
•實驗環境：可以在與其他系統隔離的虛擬環境中執行疑似惡意軟體，以進行安全的觀察和分析。
•程式碼分析工具：包括反編譯器和二進位分析工具，這些工具可以幫助理解和分析惡意程式碼的行為和目標。
•雜湊工具：這些工具可以幫助確認資料的完整性，這對於確保證據的可用性和可靠性至關重要。
•工具包：這些是包含了一組特定工具的軟體套件，用於進行特定的任務，如數位鑑識。
2.技術和程序
取證分析的通用程序步驟：
1） 定義優先事項
組織在應對事件時可能會有三個優先事項--盡可能快速地恢復正常運作、最大限度地減少損失，或保留有關事件的最大量的細節。
2） 確定資料來源
所有的資料來源都必須快速辨識並優先收集。例如，有些日誌資料是短暫的，必須在其被寫滿之前捕獲。
3) 計劃收集資料並執行
確定資料來源後，就必須制定計劃並採取行動，以收集所需資訊。
4) 記錄和保存完整性
資料收集是監管鏈中的第一個環節，必須記錄包括收集證據的時間和對其進行的任何處理的細節。
5） 尋找隱藏或刪除的數據
調查所需的重要資訊可能已被刪除、覆蓋，或存在於隱藏的目錄中。
6) 進行分析
收集到數據，就要對其進行取證調查。
3.雲中取證
雲端運算的本質使取證變得更加困難，也可能會出現管轄權問題。
7.1.6. 工件（如電腦、網路、行動裝置）
數位取證中的物證通常是數位痕跡，也就是使用者或程式與裝置互動時留下的數位痕跡。數位取證的主要自標之一是導找這些數位痕跡，因為這些活動痕跡是案件的重要證據。
1） 常見的數位痕跡來源，包括：電腦(Windows/MacoS/Linux)、瀏覽器、本機儲存、雲端存儲
2)網路數位痕跡的來源，包括：NetFlow 分析、封包分析和已知的惡意網路流量。行動裝置數位痕跡的取得並不總是容易的，因為智慧型手機製造商使用強大的加密技術來保護裝置中的私人資料。需要使用一套專門的工具和專家的幫助，以獲取行動裝置數位痕跡。組織的行動裝置管理 （MDM）是一種有效的方式．需要對行動裝置進行特殊處理，包括將它們放在法拉第我中，並在適當的屏蔽室中進行分析，以防止蜂窩、WiFi 等訊號到達設備，以防止遠端擦除。
7.2. 進行記錄和監測活動
7.2.1. 人侵檢測與預防
7.2.1.1 人侵檢測系統 (IDS)
主要是檢測和產生警報。
7.2.1.2 入侵預防系統 (IPS)
一旦偵測到入侵，會主動採取各種行動，如：實施防火牆規則以阻止惡意流量，將檔案恢復到被破壞前的狀態，甚至關閉應用程式、服務或伺服器以防止進一步入侵。
7.2.1.3 網路和主機為基礎的 IDS 和IPS
IDS 和 IPS 可以部署為基於網路的 （NIDS 和NIPS） 或基於主機的 （HIDS 和HIPS） 變體。
•基於網路的系統通常是專用設備，掃描所有網路流量以查找攻擊跡象。
•基於主機的系統則部署在特定的網路終端上，例如伺服器或工作站，通常採用軟體代理的形式。
7.2.1.4 IDS 和IPS 的偵測方式
•基於行為模式的偵測，即觀察流量是否偏離預期基線
•基於簽章的偵測，即掃描網路流量或主機活動中已知的攻擊模式。
7.2.1.5 誤報(False Positives)
過多的誤報並不是一件好事。因此，在使用IDS 和 IPS 時，需要根據特定組織的基線活動對其進行校準，並盡可能的避免意外的DoS攻擊。
7.2.2. 安全資訊與事件管理 (SIEM)
SIEM (Security Information and Event Management) 是一個組合了多種工具和功能的技術，其主要目的是將分散在不同系統中的日誌資料匯集到一個中央庫中，並對其進行分析，以提取有價值的信息，以識別潛在的安全事件。 SIEM 的主要服務包括：
1,集中化：將分散在不同系統中的日誌檔案匯總到一個中央庫中，以便分析和監測。
2.標準化 ：將不同系統產生的日誌資料轉換為一致的格式，以便搜尋和關聯。
3 關聯與檢測：透過特致據進行關聯，以沒現系統中的界地行坊科給那遊在的安企
4.警報：一旦資料被分析處理，SIEM 將自動產生警報以提示分析人員進行調查，以提高安全事件偵測和回應的效率。
7.2.3. 持續監測
持續監控是一種資訊安全策略，其目標是透過定期和自動化地檢查安全控制的有效性，以及時發現和械少風險。該策略的核心目標是在控制失效或由於技術或威脅環境的變化而失效的情況下，能提供及時的信息，使組織能夠迅速作出反應。
關鍵考慮因素：
參考點定義：有效的監控需要一套基準措施進行持續比較，這可能基於一個公認的合規框架（如 PCI-DSS、NIST SP 800 等）或一個系統基線（如 CIS)。
自動化：為了實現持續的監控，需要依賴自動化工具，例如終端檢測和咱應(EDR) 工具，以及使用者和實體行為分析(UEBA）工具。
頻率：監控的頻率應該根據控制的優先順序和評估的成本來決定。這需要權衡風險和資源的使用。
適當的衡量標準：為持續監控項目定義的指標應該能夠提供關於控制有效性的可操作資訊。這需要確保指標具有可度量性，以便於追蹤和改進。
明確的行動計畫：如果監控過程中發現問題，應有一個明確的行動計畫來解決這些問題。這包括問題的檢查、解決和後續的追蹤工作。
成本與價值的平衡：持續監控計畫的成本應與從中獲得的價值相平衡。這需要對預期的收益與實施的成本進行全面的評估，以確保投資的合理性。
7.2.4.出口監控
1） 數據外洩及其方式：
資料外洩是指敏感資訊被非法傳輸並離開網路的行為。攻擊者可能會利用標準的連接埠、協定和服務，例如電子郵件、FTP 或 HITTP，來傳送資料。有時，他們甚至會將資料偽裝成常見的高流量資料來源，例如 HTTP 流量，以此來掩蓋他們的活動。
2)資料外洩防護 （DLP） 工具
DLP 工具可以識別和管理特定類型的數據，例如掃描網路以找出儲存在網路上的未知敏感數據，識別在網路中傳輸的敏感數據，並在嘗試從共用檔案複製檔案時產生警報。這些工具可以暫時阻止這樣的操作，並要求使用者確認是否真的想要發送該文件，或者它們甚至可以完全阻止這樣的操作。
3)人口監控
人口監控的目標是識別進入網路的數據，並阻止含有敏感數據的訊息，例如電子郵件，進入網路。
4） 實體出入口監控
實體出入口監控的策略包括檢查進出設施的實體介質，以確保資料的傳輸不違反組織的政策。
7.2.5. 日誌管理
1.日誌的重要性：
白利是安全法替活動的關鍵資訊來源，包括持續監控和事件回應 (IR）。可參考諸如IS027001 和 NIST SP 800-53 等框架制定日誌策略。 NIST SP 800-92 提供了關於安全日誌資料管理的核心要求，以及標準化和分折收集資訊的流程。
2.審計事件與國值定義：
企業或組織需要確定哪些事件應記錄在日誌中，哪些事件可以忽略。這需要根據風險和安全策路加以權衡，以確保日誌資料既不冗餘，又不缺少關鍵資訊。
3.日誌中的關鍵資料點：
日誌需要記錄足夠的詳細資訊以重建資訊系統上的操作，包括操作者、操作內容和操作時間。常見的資料點包括使用者或流程 ID、時間截、裝置識別碼、物件名稱和策略識別碼等。
4 日誌資料的保護：
日誌資料可能包含敏感資訊，因此需要確保其保密性和完整性。可以透過將日誌檔案寫入具有高完整性的儲存介質，如 WORM 磁碟，來保護資料儲存媒介的完整性。對於可能包含敏感資訊的應用程式日誌，需要限制存取權限以保護資料的機密性。
5. 日誌資料的可用性：
隨著時間的推移，日誌資料的容量會增加，因此需要進行容量規劃。對於儲存在伺服器上的本機日誌，可以實現較短的保留期限以節省空間。對於儲存在SIEM 工具中的日誌，可以保留數月、數年甚至永久時間。日誌資料還可以使用離線、低成本的儲存方法進行歸檔，以提供較低成本和較慢的存取速度。
7.2.6. 威脅情報
1.威脅情報：
威脅情報是一種預防性策略，可幫助安全從業者識別和預測可能針對他們組織的威脅和攻擊者。這種情報可以與SIEM 和SOAR 平合集成，來源包括但不限於商業威脅情報供應商、政府機構（如美國的CISA)、產業資訊共享與分析中心(ISACs)，以及深網、暗網、社交媒體或部落格等。
2.威脅狩獵：
威脅狩獵是一種主動防禦策略，它利用人工分析和自動化工具來尋找和分析威脅數據，以便對組織內外的威脅進行主動探測和防禦。可在以下三個層次進行：
1) 策略層面：這個層面涉及高層次的問題，例如是否需要一位資訊安全長 (CISO)來指導組織的安全計畫。
2)戰術層面：涉及的是具體戰術細節，通常稱為威脅指標 (loCs)。這些指標用於偵測特定威脅可能針對其他系統的攻擊。
3)操作層面：這個層面涉及了解攻擊者的工具、技術和流程 (TTPS)。
7.2.7. 使用者和實體行為分析 (UEBA)
•UEBA 定義
UEBA是一種安全解決方案，它使用機器學習和統計分析模型來定義使用者和實體與資訊系統的正常或預期行為基準。 任何偏離這個預期基線的行為都會被標記為可疑，並作為其他安全工具的輸入進行進一步分析。
•實體和使用者：
在這個上下文中，實體指的是網路中的非人類參與者，包括硬體（例如路由器和伺服器）以及軟體進程、執行緒或守護程式。而使用者則是登入並與資訊系統互動的人類使用者。
•UEBA 的優點：
UEBA 提供了 更細粒度的安全監控和適應性，允許根據每個組織的獨特需求進行客製化的安全策略。這種方式能夠避免對合法業務活動的不必要限制和影響，同時提高了安全工具的性價比。
•UEBA 的輸出：
UEBA 產生的監控結果可以作為其他安全工具（如SOAR 或 IPS)的有用輸人，觸發自動化回應和安全控制。例如，如果偵測到某台機器可能被感染，它可能會觸發網路隔離措施，或哲停使用者的存取憑證，以此限制惡意活動對組織的潛在損害。
7.3. 執行設定管理 (CM)
7.3.1. 配置管理
組態管理（CM)是一個關鍵的組織流程，用於確保資訊系統配置的一致性和安全性。透過一個有邏輯的流程，從配置開始，透過資產盤點，設定基線，最後透過自動化來維持系統的一致性和安全性。
1. 配置(Provisioning)：
配置是配置管理的第一步。這通常涉及使用預先批准的基線鏡像，這個鏡像滿足了組織對硬體和軟體設定的需求，使得可以快速部署作業系統和軟體。以此減少安裝時間和可能出現的錯誤。
2. 資產盤點(Asset Inventory)：
為了有效地進行配置，組織必須清楚了解其所有的資產，包括硬體、軟體、雲端服務等。這可以透過主動和反應性的資產庫存控制來實現。主動庫存控制在採購硬體、軟體時就對詳細資訊進行記錄，而反應性庫存控制則是在發現未知資產後將其添加到庫存中。
3. 基線(Baselining)：
在了解了所有資產後，組織可以設定基線，這是一套既定的組織標準，用於確保系統的配置符合這些標準。但是，基線並非一成不變的。隨著系統功能、 系統版本、修補程式應用程式以及運行環境的變化，基線可能需要進行調整。這就需要一個精心設計的交更管理流程，確保基準的變更經過了仔細的規劃、測試和實施。
可參考的基線標準：
•美國國防資訊系統局安全技術實施指南 (DISA STIGs)
•CIS 基準
•供應商提供的指導（如：微軟、阿里雲等）
•自動化：
考慮到基礎架構中的系統通常都很複雜，有許多需要維護其安全性和功能的配置設置，自動化工具在組態管理中扮演者重要的角色。例如，Windows Sever的ActiveDirectory (AD) 就提供了群組原則設置，使變更管理管理員能夠管理 AD 網域中的設定基線。
7.4 應用基本的安全操作概念
7.4.1 知其所需和最小特權
7..4.1.1 知其所需(Need-to-Know)因需可知
這是一種資訊安全原則，其核心是只有那些因工作職責或任務需求而必須存取特定資訊的人員才能夠獲得對該資訊的存取權限。簡單地說，如果某人的工作職能不需要使用某個訊息，那麼他們就不應該有權限存取這個訊息。
7..4.1.2 最小權限(Least Privilege)
這是另一個資訊安全原則，強調應盡可能限制使用者的存取權限，只授予他們完成工作所絕對需要的最少權限。這樣做可以降低因權限濫用或系統受到攻擊時可能造成的風險。
考試小貼士：這兩個原則的關鍵區別在於，"知其所需’原則關注的是用戶可以訪問哪些信息，而“最小權限“原則則關注的是用戶可以執行哪些操作。
7.4.2. 職責分離
7.4.2.1 職責分離 (SOD)
是指在多個人員之間分離業務流程的不同步驟，以防止一個人員掌握過多的權限或能力，從而減少內部威脅和詐欺活動的風險。
7.4.2.2 多人控制
多人控制意味著執行一項行動或任務需要一個以上的人共同行動。它不一定意味著這些人有相同或不同的特權，只是為了製衡，該行動或任務需要多人執行。
7.4.2.3M-of-N控制
M-Of-N控制也類似於多人控制，但它只需要 N位有能力執行相關任務的人員中的M 個人協同工作，就可以完成流程。
7.4.3.特權帳戶管理
7.4.3.1 特權 (Privileges)
通常使用者在系統中被賦予的操作權限（permissions)。這些權限可能包括讀取、寫人、修改文件，執行程序，存取特定資源等。
7.4.3.2特權帳戶 (Privileged Accounts)
這業是在系統中具有特別高權限的帳戶，通常是系統管理員或超級使用者帳戶。這些帳戶的權限可能包括更改系統設置，安裝軟體，管理使用者帳戶等。
7.4.3.3 特權帳戶的安全控制
•配置：需要特權存取的使用者應該接受嚴格的審查，以確保他們有合理的需求並且可以被信任。
•使用：特權帳戶應該有額外的認證步驟，例如強制性的多因素認證，帳戶的使用應該有時間限制並自動過期，所有操作都應該被記錄。
•審查：特權帳戶應定期進行自動或手動的日誌申查，以便發現任何不尋常或可疑的行為。
·取消配置：在取消特權帳戶的配置時，最好是先暫停或停用帳戶，然後進行審查以確定是否需要永久前除帳戶。
7.4.4.工作輪調
員工之間的工作輪調有兩個主要好處：
1） 提供了交叉培訓的機會，使員工有機會提高技能，並為組織提供更多的彈性。
2） 減輕內部威脅，如詐欺。
7.4.5. 服務等級協定 (SLA)
7.4.5.1服務等級協定(SLA)
是組織與供應商之間簽訂的協議，規定了供應商提供的產品或服務所需滿足的可用性和性能指標，以及雙方責任和義務等方面的內容。通常情況下，SLA會包含處罰條款，以確保供應商能夠履行其承諾，同時也促使其更好地提供產品或服務。
7.4.5.2 諒解備忘錄（MOU） 和互連安全協議 (ISA)
•MOU 和 ISA 更注重合作和互信，通常不包含処町條款。
•MOU 主要用於規範雙方間合作的範圍、目標和方式等面向；
•ISA 則主要用於網路安全領域，規定了雙方在保護網路安全和資訊安全方面的責任和義務等內容。
7.5. 應用資源保護
7.5.1. 媒介管理
媒介管理要求組織對其資料儲存媒介進行分類、標籤和標記，並確保員工了解如何正確處理不同分類等級的資料：
1） 媒介種類：包括紙本記錄、硬碟 (HDD)、固態硬碟(SSD）以及雲端環境中的儲存。
2)資料分類：根據組織的分類政策對資料進行分類，為選擇適當的控制措施奠定基礎。
3） 標籤和標記：所有媒體應標記以顯示其包含的資料分類等級。不同情況下，可以使用浮水印、文件頭/腳或元資料等方式進行標記。
4 處理：使用者應接受分類等級及媒體處理程產的訓練。 處理程序可能包括如何處理敏感資料、遵守銷毀要求等。
數位媒體的挑戰：正確標示多檔案或多儲存設備的資訊系統可能較為困難。政策應給出解決方案，例如為媒體分配包含最高級別資料的分類。
7.5.2.媒介保護技術
介質保護技術包括實施安全控制措施，運用最小特權原則，關注實體保護，確保傳輸中的媒體安全，以及選擇適當的消毒和處置方法。同時，也需要對銷毀供應商進行適當行適當的管理，確保資料安全：
·實施安全控制：根據資料分類應用必要的安全控制措施，記錄相應的流程和程序，並對使用者進行培訓。
•最小特權原則：限制對媒體的訪問，並實施實體安全措施。
•實體保護：專注於實體保護以因應潛在風險，如設備遺失或被竊。補償性控制措施，如磁碟加密，可確保資料機密性。
•運輸蝶體：確保傳輸中的媒體安全，透過加密、雜湊驗證和實體保護措施等手段。
•消毒和處置：根據需求選擇適當的消毒和處理方法，如覆蓋、消磁、物理銷毀或加密粉碎。在雲端儲存解決方案中，加密清除可能是唯一可行的安全方法。
•供應商管理 ：確保銷毀供應 商遵守合約和服務等級協議，包括實體安全標準和保險要求。
7.6.進行事件管理
7.6.1. 送行事件管理
1.事件和事故的區別
•事件(Events)：可觀察到的項目，如常規操作。通常無需額外行動。
•事故(Incidents)：非計劃的、對組織有不利影響的事件，需要IT、營運和安全人員共同調查和補救。
2.事件管理計劃：
•記錄識別、分類和補救事故影響所需的工具、資源和流程。
•包含事故類型定義、事故應變小組人員、角色與職費、 所需資源與事故管理流程
•事故回應框架強調提前規劃事故，制定適當的反應策路。如：TL、 NIST、 ISACA
•進行分類和優先排序，根據關鍵性、影響和緊急性。
許多組織利用(P0-P5）對事件進行分類。 P0 是最關鍵的，P5 是最不關鍵的事故反應測試與演練：
3.事故響應偵測與演練
•在非緊急情況下測試計劃，找出差距、疏忽或問題。
•透過演練訓練事故回應團隊成員的職責，減少真實事故中的混亂或浪費。
4.第三方的考慮：
•確保與外部服務提供者進行適當的協調，使組織能夠繼續運作。
•事故回應計畫應確定關鍵的外部服務提供者或第三方，記錄聯絡資訊。
•明確第三方的角色和責任，以便於內部團隊和第三方協同處理事故。
7.6.2. 檢測
•事件偵測是在組織採取應對措施前的關鍵步驟，涉及自動化平合（如SIEM 工具)、安全工具（如反惡意軟體）和人類偵探。
·組織的日誌和監控策略應以盡快識別潛在事件並發出警報為中心；隨著偵測能力的改進和調整，自動化工具和警報會變得更準確。
•當偵測到事件時，應自動建立文件以追蹤相關 工作和決策，觸發事件回應過程並啟動相應資源（如服務單或檢查表）以開始調查。
•分析師在檢測過程中審查事件並進行基本研究，以確定事件是否合法或假陽性；
若認為事件有效，則啟動回應程序。
7.6.3. 響應
•分級是早期回應過程，決定事件關鍵性和分類，SOAR 工具可自動執行明應。若事件無法完全由 SOAR控制，需確定事件影響並建立具備適當資源的IR團隊。
計劃包含情境指導，遵循文件規定的程序和檢查裝以確保協調回應。 IR協調員或團隊負責人需根據現有資訊做出決策並協調團隊反應。
•IR團隊需立即收集和保存證據，遵循嚴格標準以確保收集的資訊在以後可用。報告應準確記錄事件發生前、發生中和發生後的情況，包括事件偵測摘要、詳細步驟、收集的資訊和任何 TTP(戰術、技術、程序)證據等。
擴展：Verizon 的 VERIS 框架為捕捉和管理 IR 資料提供結構化方法，以指導IR團隊活動。更多細節可在 veriscommunity.net 找到。
7.6.4.緩解
•緩解階段的目的是修復事件。了解其原因並部署必要的資源。
•緩解的重點在於快速控制事件並阻止影響擴散。可能包括短期和長期修復措施。
•隔離或遏制事件通常涉及停用有問題的系統或元件，具體取決於事件類型。
•緩解措施應遵循預先制定的回應指南，以減少決策壓力並提高效率。
•緩解過程中需記錄並報告所採取的行動，這有助於評估事件影響和支持後續決策。
•定期檢查會議可以確保利害關係人了解當前狀況並採取相應行動。
7.6.5. 報告
•報告在整個 IR 過程中持續進行，涉及不同利害關係人。
•內部報告，包括：非正式和正式報告，以向 IR 團隊成員和管理層提供事件狀態和決策資訊。
•外部報告，可能涉及：政府組織、產業監管機構、執法機構、業務夥伴、供應商、服務提供者、使用者、客戶和公眾。
•資料外洩報告，需遵循：各種法律（GDPR 等)、法規和安全框架(PCI 等），通常要求在一定時間內向監管機構報告，並可能需要直接通知受影響的個人。
7.6.6. 恢復
•恢復的主要目標是恢復正常運營，可以在發現後立即開始恢復工作，持續到事件完全結束。當組織恢復到正常服務運作水準時，恢復階段結束。
•並非所有事件都涉及恢復，如僅導致員工受處分的安全政策違規。
如果事件導致 BC/DR 聲明，恢復階段可能會持續到該聲明得到解決。
7.6.7. 補救措施
•補救是一項長期策略活動，目的是消除事件的根源並解決漏洞。
。補救措施可能包括加強訓練、阻止惡意電子郵件發送者或實施電子郵件安全工具。長期組織措施，如增加安全人員或資源，也可能作為補救措施。
•在補救期間，可能需要支付金錢費用/賠償金給監管機構、客戶或受影響的使用者。
7.6.8. 經驗教訓
吸取教訓是在事件得到補救後，對IR 過程進行審查和改進的重要環節。
其目的有兩個：
1) 確定需要改進的 IR 流程；
2） 解決潛在或根本原因，防止事件再次發生。
通常事後總結或行動後報告，應由中立方推動，以確保事實和指標被正確記錄，支特改進工作。
7.7. 操作、維護檢測和預防措施
7.7.1. 防火牆 （例如，下一代、網路應用、網路)
防火牆是一種用於隔離和控製網路不同部分資訊流的存取控制設備。它們透過分析流量並應用規則來判斷流量是轉送（允許）還是丟棄（拒絕）。
7.7.1.1防火牆的類型
1•靜態封包檢查（無狀態）：這是第一代防火牆，主要關注基於規則的封包頭部資訊過濾。
2. 有狀態防火牆：第二代防火牆在第一代的基礎上增加了對通訊上下文（狀態）的理解，提供了更靈活和智慧的防護。
3.Web 應用防火牆(WAF)和 API 閘道：這些特定類型的防火牆並不會直接對應某一代防火牆，而是針對特定應用場景（如Web 應用程式和 API) 的專用解決方案。
4. 主機為基礎的防火牆：這也不會直接對應某一代防火牆，而是部署在單一主機上的防護措施，可在網路防火牆之外提供額外的安全層。
5. 新一代防火牆 (NGFW)：通常被視為第三代防火牆，它整合了 多種安全功能。如有狀態防火牆、API 閘道、人侵偵測和 VPN 服務等，提供了更全面的網路安全防火牆
7.7.1.2 安全群組
這個概念在軟體定義網路（SDN)和雲端環境中出現，與特定防火牆代數沒有直接關係。它們在功能上類似於防火牆，但在虛擬化環境中更具靈活性和可擴展性。
7.7.2. 人侵檢測系統 (DS） 和入侵預防系統 (IPS)
7.7.2.1 入侵偵測系統 (IDS)
1. 功能：偵測系統入侵嘗試。
2.類型：
•網路入侵偵測系統（NIDS）：位於網路中，用於觀察所有流量。
•主機人侵檢測系統（HIDS)：部署在特定主機上，用於監控流量。
3.工作方式：被動設備，分折流量或活動，偵測與已如惡意模式相符的活動或偏離正常或預期系統操作的活動。
4. 響應：產生警報，需要人工採取行動。
7.7.2.2 入侵防禦系統 (IPS)
1. 功能：偵測並對系統入侵嘗試作出反應。
2.類型：
•網路入優防禦系統 (NIPS)：位於網路中，用於觀察所有流量。
•主機人侵防禦系統(HIPS)：部署在特定主機上，用於監控流量。
3.工作方式：主動設備，分折流量或活動，偵測與已知惡意模式相符的活動或偏離正常或預期系統操作的活動。
7.7.2.3 部署模型與位置
•回應：自動採取預防措施，例如實施新的防火牆規則。
1. NIDS/NIPS
位置：網路邊界，以實現最佳可見性。
缺點：可能難以應對虛擬化環境，因為虛擬機器之間流量不經過交換機
2. HIDS/HIPS
優點：有助於解決流量可見度問題。
缺點：額外的許可證成本、處理開銷和與端點相容性問題。
7.7.3. 白名單和黑名單
也被稱為允許列表/拒絕列表，明確允許或明確拒絕的實體列表，如應用程式、IP位址、網路端點或特定國家發起的網路流量。
實作方法：網路技術（如防火牆、VPN) 和其他工具（如作業系統、應用程式商店、郵件用戶端)
7.7.4. 第三方提供的安全服務
在考慮使用第三方安全服務時，需要權衡利弊並確保選擇具有強大內部安全項目的服務提供者。
1. 第三方安全服務的優勢：
•成本更低
•專業知識
2.第三方安全服務的劣勢：
•控制力減弱
•第三方成為攻擊目標的風險
•管理第三方的額外開銷
3.常見的第三方安全服務：
•安全營運中心(SOC)：部分或完全外包 SOC 運營
•數位鑑識與事件回應 (DFIR)：作為特續監控的延伸，由 MSSP 提供服務
·威脅情報：提供有關組織潛在威脅的信息，可與持皺監控、風險評估和 SOAR 技術結合
7.7.5. 沙盒化
1.沙盒基本概念：
是一個隔離的環境，與沙盒外的資源連接的能力受到限制。
2.沙盒應用場景：
•病毒分析：在隔離的虛擬機中執行惡意軟體。防止感染其他系統
•概念驗證：在隔離環境中進行實驗，不影響生產系統的資料完整性
3.軟體強製沙盒：
透過一套限制性規則控制應用程式運行時的行為
範例：蘋果的 ios 系統限制應用程式存取資料和功能
4. 行動裝置管理 (MDM）與沙盒：
在智慧型手機上增加額外的安全層
特特定應用程產安裝到用戶手機上，允許存取組織數據但隈制外部數據訪問
7.7.6. 蜜罐和蜜罐網
1.蜜罐/蜜網定義：
•用於偵測或收集未經授權存取資料和資訊系統嘗試的信息
蜜罐表面上看起來是有價值的資源，實際上並無重要數據
2.蜜罐/蜜網的作用：
•分散攻擊者註意力，保護高價值目標
•收集攻擊者訊息，如IP位址
3.法律問題：
•不同司法管轄區對蜜罐/蜜網的使用存在法律問題，尤其涉及誘捕問題
4.蜜罐/蜜網不應被設定為吸引目標或用於抓捕壞人，而應作為被動觀察工具
第三方蜜罐服務：
•提供簡單的部署和監控蜜罐設備的方法
•處理蜜罐相關的法律挑戰，避免誘捕問題
•可將產生的警報整合到 SIEM 或SOAR 工具中
7.7.7. 反惡意軟體
1. 反惡意軟體發展：
最早的防毒軟體 （A/V） 軟體,隨著威脅演變，逐漸被反惡意軟體 （A/M)取代
2.部署方式：
採用分層防禦模型確保流量和活動能被徹底掃描以偵測悉意行為
可部署在電子郵件伺服器、檔案共用伺服器和網路監控工具等關鍵資源上
3. 最新演變：
•端點偵測與回應（EDR)解決方案：結合 A/M 功能、主機防火牆、檔案完整性監控與 UEBA
•託管偵測與回應 (MDR)服務：將偵測能力與第三方安全服務結合，解決端點安全風險
4.檢測和響應方法：
•基於簽章的工具：尋找與己知惡意軟體關聯的特定檔案或活動模式
•啟發式檢定：依賴活動模式的統計分折來偵測潛在的惡意行為
•偵測後的行動：隔離受影響的檔案或系統，產生警報
•警報整合：與 SIEM 工具整合實現集中監控和回應，或與 SOAR 整合實現事件回應自動化
7.7.8. 基於機器學習（ML)和人工智慧 （AI） 的工具
1.Al 和ML在安全工具中的優勢：
•更快地偵測和回應事件
•如果配置正確，可以消除決策中的人為錯誤
2.Al 和ML的潛在缺點：
決策的黑箱性質：難以發現錯誤或理解輸出結果，因此基於警報採取行動可能會困難，我們在面對新技術要保持謹慎。
7.8.實施和支援修補程式和漏洞管理
7.8.1. 補丁管理
補丁是用於解決特定軟體漏洞或問題的軟體更新;補丁管理
•多方參與者：研究人員、開發人員和支援人員。
•通用安全性修補程式流程包括：漏洞檢測、修補程式發布、修補程式適用性評估、修補程式測試、修補程式應用程式和追蹤、回溯（如有問題）、系統文件更新。
•修補程式管理可能涉及內部流程和第三方服務。
•軟體組成分析（SCA） 是漏洞和修補程式管理的另一個第三方要素。
7.8.2. 漏洞管理
漏洞管理的實務：
•威脅狩獵(Threat hunting)：尋找可能利用未知漏洞的威脅。
•漏洞掃描：自動偵測己知漏洞，如不安全設定或未打補丁的軟體。
•紅藍對抗 ：紅隊針對特定資產進行目標測試，藍隊進行防禦。
•滲透測試和漏洞懸賞：人工測試，尋找漏洞。
•使用 SOAR 工具自動化漏洞管理流程和工作流程。
7.9. 瞭解並參與變更管理過程
7.9.1. 變更管理
1.變更管理步驟：
1） 建立變更請求：記錄變更目的、理由、負責人、所需資源和預期影響。
2)交更審查：由交更控制委員會或變更諮詢委員會（CCB 或 CAB） 進行審查，評估變更的業務價值、影響和潛在風險。
3） 變更批准：根據記錄的計畫由負責人執行。
4）協調安全事務：確保採購和部署新硬體等流程中遵循相關流程。
2.變更類型：
•標準變更：低風險，不大可能產生負面影響，預先核准。例如：套用標準修補程式、增加標淮資產、安裝已核准的軟體。
•正常變更：需要經過完整的變更管理流程。根據變更委員會的例行會議安排實施。
•緊急變更：應對緊急情況，如安全事件。可能採用簡化決策或較輕量級的流程，以平衡安全和速度。
7.10. 實施恢復策略
7.10.1.實施恢復策略
1-實施恢復策略：
與可用性安全目標相關，透過業務影響分折（B/A） 確定關鍵資產和功能，在設計恢復策路以平衡可用性需求和成本。
2關鍵恢復指標：
•復原時間目標 (RTO)：使用緊急應變程序復原系統或流程所需時間。
•復原點目標 (RPO）：發生災難時可容忍的資料遺失量。
•最大容忍停機時間(MTD 或 MAD)：組織在無法使用資產或流程後能夠生存的時間。
3.備份儲存策略：
•全量備份：備份所有數據，耗時最長，佔用空間最大。
•增量備份：備份自上次全備份或增量備份以來發生變更的數據，速度最快，但恢復時間最長。
•差異備份 ：備份自上次全備份以來發生變更的所有數據，速度較快，儲存需求較低。
4.3-2-1 備份策略：
保留至少三份資料副本，兩份儲存於本地或現場，包括主資料副本，一價副本儲存在離線遠端備份。
備份的完整性和保密性：
•對備份資料執行完整性檢查。
•定期進行測試復原以驗證資料完整性。
•對備份媒介實施與生產環境相同或更高等級的安全控制。
5. RAID（冗餘磁碟陣列）
6.雲端備份：
•雲端服務，如軟體即服務（SaaS)，配置為高可用性、自動資料複製和資料持久
•使用基礎設施即服務（laas)或平合即服務(Paas）作為備份儲存解決方案。
•在使用雲端服務時，評估實體資料控制損失與成本節約之問的權衡。在儲存至雲端環境前對資料加密可能是有效的安全措施。
7.10.2. 復原站點策略
1.恢復站點配置與位置選擇 ：成本效益分析、復原速度、與主站點的距離。
2.鏡像站點：在多個站點之間永久分配員工、資源和流程，以滿足短時間的RTO 和MTD 需求，但成本較高。
3.恢復站點類型：
•冷站點：空設施，需要配置設備和實用程序，恢復時間較長，成本較低。
•暖站點：具備部分設備，需要一定程度的建置。
·熱站點：與主站點具有相同的設施和數據，成本高，但有助於滿足短時間的RTO或 RPO。
4.第三方供應商：提供暖站點及熱站點校復服務，分攤部分建置維修成本。
5.行動站點：可快速部署的資料處理設施，如裝在貨櫃中的伺服器機架，適用於自自然災害等緊急情況。
6.雲端站點：災難發生時臨時利用雲端服務進行復原。基於基礎架構即程式碼（lac)和類似容器化技術，在雲端中快速部署新的虛擬基礎架構。
7.10.3. 多站點
1 多處理站點：組織可透過預先設計跨多個地理分佈的處理站點的流程或功能，以防止相同災難影響多個站點。
·優勢：多處理站點內建的元餘。具有較高的可靠性。
•劣勢：較高的租金、人員和設備成本。
2.技術挑戰 ：在多個處理站點之間複製和同步數據，可以使用磁碟或資料庫鏡像等解決方案。
3.雲端服務支援：許多雲端服務自然支援多處理站點的應用場景，即時複製的資料儲存是許多雲端資料庫和 SaaS 工具的標準功能。這可以解決站點間資料同步 和複製的風險。
風險：遷移到雲端或外包服務供應商可能導致失去對資料控制的風險增加。
7.10.4. 系統彈性、高可用性（HA)、服務品質 （QoS) 和容錯性
1. 系統彈性：
指系統抵抗故障的能力，依賴於考慮故障並納入糾正措施的設計。
2.高可用性：
透過負載平衡器或叢集等技術提供冗餘和動態重新路由，確保系統持續可用。
3.服務品質 (QoS)：
網路技術中優先處理重要流量的功能，如任務關鍵資料或時間敏感資料。
4.容錯能力：
根據 Uptime Institute 的分層級別，不同級別的資料中心在面臨放障時可以提供不同程度的保證正常運作時間。
5.容錯系統：
能夠容忍硬體、軟體或資料處理故障並繼續運作的系統，例如 RAID和資料庫系統。
7.11. 實施災難復原 (DR) 流程
7.11.1. 響應
災難復原首先關注的是拯救生命和防止對個人的傷害，然後是恢復或搶救設備、系統、設施、甚至數據
災難校復是業務持續性的子集，專注於在災難發生時恢復I T 服務和功能。業務特續性關注組織業務運作的連續性。
災難得到控製或解決後，使用災難復原計劃來確定並執行將操作恢復到原始位置或選擇的新主要位置所需的步聚。
響應過程：
1.安全從業人員通常負責應對災難狀況的初始反應。
2.應對災難所需的行動因災難類型而異。在壓力情況下，人們的決策能力有限，因此最好在災難復原和業務持續性計劃中預先批准回應和行動計劃。
3.計劃中需要解決的一些任務包括：
1) 人員的生命、健康和安全，這是首要關注的問題。
2)與指定的災難或危機協調員進行協調的應變行動，提供關注點。
3） 對各種利害關係人（包括員工、高階管理層和可能的公眾或執法人員） 進行清晰、一致的溝通。
4 記錄所有操作，以支持災後審查以及為保險或法律行動提供所需的證據。
7.11.2.人員
被選為反應小組成員的組織人員應接受培訓並有資格執行 DRP 中詳述的所有活動。這些活動不僅包括一般的緊急程序，而且災難復原小組的人員也應接受諸如設施和設備 損壞評估、恢復和搶救行動以及餃復商業運作等活動的培訓。
7.11.3. 溝通
保持利害關係人了解相關資訊至關重要，危機溝通需要考慮動態環境，提供清晰的資訊。
1.與內部利害關係人溝通：
•包括員工和管理階層，他們需要了解事件資訊以及如何參與回應。
•溝通方法可以是主動的（如電話樹)，也可以是被動的（如網站發佈的訊息)。
2.與外部利害關係人溝通：
•所選的溝通方法應考慮接收人員的關鍵性以及傳達的訊息。
•包括客戶、公眾、受組織突發事件影響的業務合作以伴和供應商。
•法律或合約義務可能決定與外部利害關係人的溝通方式，如資料外洩時的隱私通知。
•根據情況使用主動和被動溝通方法，如主動通知客戶或發布新問稿。
•溝通遵循-—個聲音原則：組織在與外部利害關係人（如媒體或公眾）溝通時，應有統一的聲音，該原則應作為培訓的一部分。
7.11.4. 評估
1. 災難評估：
•類似於風險評估，主要目標是確定影響並優先考慮應對措施。
•需要確定災難的性質和來源 （如人 為或自然）以及恢復行動的優先順序（如疏散人員或將設備優雅地關閉並遷移到備用設施）。
•評估過程可能是持續的，應對團隊必須識別事件或災難的當前和可能的未來影響。
2. 評估結果：
•應傳達給管理階層和決策者，以確定正確的行動方向。
•如果有良好的BCDR 計劃，則響應應遵循一定的程序或業驟，並根據具體災難進行適當調整。
•這些步聚需要優先考慮生命、健康和安全，同時也應考感對客戶的影響、監管義務以及直接和間接成本（如收入損失和聲譽損失）。
3. 後期評估：
•恢復後，評估災難或事件的整體影響。
•評估應包括組織的整體財務成本（包括恢復成本和任何損失的業務或生產力）以及關於如何在未來改進災難和連續性操作的資訊。
•記錄並運用經驗教訓將在後續章節中更詳細地討論。
7.11.5. 恢復
恢復階段：
•恢復受災害影響的原始場地或設施。
•恢復關鍵業務功能。
•在主要場地恢復正常服務水準。
7.11.6. 培訓和意識
編寫和測試 BC 和DR 計劃，對關鍵人員進行培訓。所有員工需接受基本生命、健康和安全計畫培訓。
1. 高階培訓：
•文自C和DR計畫中的特定取菇的人民。
•和安全團隊在恢復IT服務和確保安全控制的角色。
•HR、財務和法律團隊在特定類型的災難中可能扮演關鍵角色。
2.定期培訓和意識提升：
•確保知識保持最新。
•定期進行火災或疏散演練。
•對BC或DR計畫進行常規測試和演練，用於交叉訓練和更新關鍵人員的知識。
7.11.7. 經驗教訓
1.持續改進與審查
•定期檢視BC 和DR計劃
•完成恢復後進行正式審查
•利用經驗教訓優化計劃和流程
2.回顧與評估
•識別計劃中的優勢和不足
•分析員工行為對復原過程的影響
•事後分析及根本原因分析
3.改迸策略
•確定計劃或回應中的優點
•找出潛在的改進機會
•將收集的資訊應用於 BCDR 計劃和流程的改進
7.12. 測試火難復原計畫 (DRP)
7.12.1. 測試災難復原
1.通讀/桌面演練 (Read-through/Tabletop)
•最簡單的 BCDR 測試
•與各利害關係人討論計劃
•檢查關鍵資訊和流程
2. 演練(Walkthrough)
•在實際場景中進行演練
•對關鍵參與者進行實地操作
•發現潛在問題和假設
3.仿真模擬 (Simulation)
•類似火警演練
•針對特定場景進行應對
•驗證復原時間目標 (RTO） 和復原點目標 (RPO)
4.平行測試 (Parallel)
•同時測試主備系統
•確保備用系統能承受實際負載
•發現設定錯誤或資料備份問題
5.全面中斷 (Full Interruption)
•模擬真實災難發生
•高成本，可能影響正常營運
•識別 BCDR 計劃和流程中的所有問題
7.13. 參與業務連續性（BC） 規劃與演習
7.13.1.1. 參與業務連續性規劃與演習
安全從業 者和 CISSP 在業務持續性規劃和執行中的關鍵任務包括：
1. 緊急操作期間的安全需求變更，提供安全需求變更建議，以因應新需求的措施實施或管理
2.BC和DR 計畫的變更指導
•辨識計畫中需要體現的變更（如員工、流程或先前事件教訓）
•確保更新後規劃文件的完整性和可用性
3.設計測試和演練場景
•提供利害關係人新計畫副本(包括離線副本）並銷毀舊副本
•安全事件可能導致災難聲明，如勒索軟體攻擊
•安全從業人員適合製定練習場景並擔任主持人
•在模擬過程中回答問題以幫助理解
7.14.實施與管理實體安全
7.14.1. 外部安全控制
1. 區分邊界：
•公共區域：道路、人行道、大廳、停車設施
•場所出入口：前台、前門、裝卸區
•外部設施：備用發電機、公共設施、停車設施
•營運設施：辦公空間、會議室
2.物理控制類型：
•高安全設施：資料中心、金庫、SCIF
•預防控制 ：旨在阻止安全事件發生的控制措施。例如，門禁系統、圍牆和鎖等，可以防止未經授權的人員進入設施。
•威脅控制：透過製造潛在威助，使潛在攻擊者對進行攻擊產生畏懼，從而降低安全事件發生的可能性。例如，安全攝影機和警示標誌等，可以使潛在攻擊者覺得被監視，降低犯罪的可能性。
•偵查控制 ：用於及時發現安全事件的控制措施。例如，安全攝影機、入侵偵測系統 (IDS)和運動感應器等，可偵測到未經授權的入侵或異常行為。
•補償控制：在其他控制措施無法完全防止或檢鬚安全事件時提供附加保護的控制措施。例如，當門禁系統失效時，可以使用安全人員進行臨時巡邏。
恢復控制：在安全事件發生後幫助校復正常運作的控制措施。例如，備份發電機和災難復原計畫等，可以在發生事故後恢復關鍵設施的運作。
•指令控制：透過規定規則和程序來指導組織內部行為的控制措施。例如，安全訓練、政策和操作規程等，可以引導員工遵循安全實務。
•糾正控制 ：在安全事件發生後採取措施修復損失或糾正錯誤的控制措施。例如，事後調查、 安全審計和糾正措施等，可以幫助組織解決安全問題並防止類似事件再次發生。
3.物理控制實施方式：
•實體控制：屏障、圍欄
•技術控制：識別卡片讀取器
•行政控制：政策和程序
4. 犯罪預防環境設計(CPTED） 原則：
•利用景觀設計提供實體安全
•照明在阻止犯罪行為方面發揮重要作用
•根據設施安全需求，考慮窗戶的位置和使用材料
7.14.2. 內部安全控制
內部安全控制是指組織可以直接控制的區域。這些區域的控制植施旨在保護資料和系統的安全。同時，我們也需要關注人員的生命安全。
1. 營運設施：
這些設施通常會有員工長期駐紮，是組織實體安全控制的主體。我們需要關註消防、環境控制等方面的控制措施，以確保人員和設備的安全。
•消防偵測與滅火：設立火災和煙霧偵測路，並採用灑水、氣體滅火等方法來降低火災對人員和設備的影響。
•門禁管制：根據員工的權限劃分設施內不同區域的存取權限，並使用門禁卡或鎖來控制出入。
•政策與程序：訓練員工遵循清潔辦公桌、鎖定螢幕等安全程序，並制定緊急疏散等方面我材科：依安全要求使用適當的建築材科，如牆體、門窗等，以提高安全性。
2. 高安全設施：
這些設施通常包括證據儲存室、安全隔離資訊設施(SCIFs)和伺服器房或資料中心等，因為它們儲存了高價值或敏感資產。
•高安全設施需要實施額外的安全控制措施，如對進出設備進行檢查、多層次的實體門禁控制等。
•資料中心是一種特殊的高安全設施，需要專門的技能來設計和維護。這些設施需要較高的安全水平，通常涉及更高的安全預算。
•參考設計標準，例如 ASHRAE 的資料中心熱控制指南和 Uptime Institute 的資料中心設備可用性等級。
7.15. 解決人員安全與安保問題
7.15.1. 出差
1. 人員出差安全
當員工出差時，公司應確保他們的安全和保障，包括提供保險、醫療保障等。在高風險地區，可能需要提供額外的安全措施，如保全人員或安全交通工具。同時，員工需要接受關於設備安全的培訓，以保護公司資料不外洩。
7.15.2. 安全訓練與意識
提高員工安全意識的方法包括宣傳(透過海報等形式提供基本資訊）、培訓（針對員工職責提供具體技能）和教育(深入了解理論知識和實際應用）。這三種方法可以幫助員工更好地了 解和應對安全威脅。
7.15.3. 緊急管理
1. 應對緊急狀況
在緊急情況下，公司需要與緊急應變部門（如醫療、消防、執法等）協調。同時，需要製定備用通訊方家，以便在正常通訊管道受阻時傳遞關鍵訊息。緊急情況也可能需要啟動業務持續性和災難復原計畫。
7.15.4. 脅迫
1. 防範脅迫
脅迫是指員工在受到威脅的情況下被迫作出違反公司政策的行為。
特殊的脅迫代碼或暗語來檢汌脅迫情況，這些代碼或暗語應具有隱蔽性，並定期更換。同時，為高風險員工提供如何使用這些代碼和暗語的培訓。
複習題
1 在這裡顯示的系統架構中，提供資料庫伺服器容錯性的技術是什麼？ A. 故障轉移群集 (Failover cluster) B. 不間斷電源 (UPS) C. 磁帶備份 (Tape backup) D. 冷備站點 (Cold site)
A
2.Joe是一個企業資源計畫(ERP） 系統的安全管理員。他正在準備為幾個新員工建立帳戶。在建立帳戶時，他應該給所有新員工哪種預設存取權限？ A. 唯讀權限 (Read only) B. 編輯權限 (Editor) C. 管理者權限 (Administrator) D. 沒有存取權限 (No access)
D
3. Tim 正在為他的組織配置一個特權帳戶管理解決方案。下列哪一項不是應自動傳送給超級使用者操作日誌的特權管理活動？ A. 清除日誌條目 B.從備份還原系統 C. 登入工作站 D.管理用戶帳號
C
雖然大多數組織希望把嘗試登入工作站的行為記錄下來，但這並不是特權管理活動，應該將這種行為自動傳送到超級使用者的操作日誌中。
4 當 Alice 公司的員工之一打電話尋求支持時，她使用了一個公司同意使用的暗語，以表示員工被迫執行某個動作。這種情況稱為什麼？ A. 社交工程 (Social engineering) B.強迫 C.不可抗力 D.斯德哥爾摩症候群
B
5.Jordan 正在進行一次網路安全事件調查後準備將證據帶入法庭。他負責準備實體證物，包括受影響的伺服器和行動裝置。下列哪一種證據類型完全由可帶入法庭的有形物品所組成？ A 文檔證據 (Documentary evidence) B. 口證 (Parol evidence) C.證人證據 (Testimonial evidence) D.實物證據 (Real evidence)
D
6.Lauren 想確保她的使用者只運行組織批准的軟體。她應該部署哪種技術？ A. 黑名單 (Blacklisting) B. 組態管理 (Configuration management) C.白名單 (Whitelisting) D.灰名單 (Graylisting)
C
7.Colin 負責管理組織在網路安全欺騙技術方面的使用。下列哪一項應該在誘餌系統 (honeypot system）上使用，以消耗攻擊者的時間並向管理員發出警報？ A. 蜜網 (Honeynet) B. 偽漏洞 (Pseudoflaw) C. 警告橫幅 (Warning banner) D.暗網 (Darknet)
B
圈套（偽漏洞）是系統中的一個假漏洞，它可能會引起攻擊者的注意。 蜜罐網絡是由多個蜜罐組成的網絡，為入侵者創造了更複雜的環境。 暗網是未使用的網路位址空間的一部分，這部分空間中沒有網路活動，因此可以方便地用於監視非法活動。 警告橫幅是一個法律工具，它用於通知入侵者：他們未被授權存取系統。
8.Toni回應了一個使用者報告系統活動緩慢的請求。在檢查該系統的出站網路連線時，Toni 注意到大量社群媒體流量來自該系統。用戶不使用社群媒體，當 Toni檢查相關帳號時，發現了一些看起來加密的奇怪資訊。這種流量最有可能的原因是什麼？ A其他使用者透過該使用者的電腦中繼社群媒體要求。 B.使用者的電腦是一個殭屍網路的一部分。 C.用戶對自己使用社群媒體的情況說謊。 D. 當使用者不在場時，其他人在使用使用者的電腦。
B
9.John 透過他的雲端基礎架構服務供應商在世界各地使用負載平衡器將他的網站 部署到多個區域。他正在使用哪個可用性概念？ A. 多個處理站點 (Multiple processing sites) B. 溫備站點 (Warm sites) C. 冷備站點 (Cold sites ) D.蜜網 (Honeynet)
A
10,Jim 想要辨識網路中的受損系統，這些系統可能參與了 殭屍網路。他計劃透過監視與已知的指揮和控制伺服器建立的連結來實現。如果 jim可以存取已知伺服器的列表，下列哪一種技術最有可能提供這些資訊？ A. NetFlow 記錄 B.IDS 日誌 C.認證日誌 D.RFC 日誌
A
關於第 11-15 題，請參考以下情境： 加里最近被聘為某地方政府機構的首位首席資訊安全長 (CISO）。該機構最近遭受了一次安全漏洞，正在嘗試建立一個新的資訊安全計畫。在設計這個計畫時，Gary 希望能應用一些安全操作的最佳實務。 11. 在決定應授予每個使用者哪些存取權限時，Gary 應遵循哪個原則來指導他關於預設權限的決策？ A. 職責分離 B. 最小權限 C. 聚合 D.權限分離 12. 在設計該計劃時Gary 使用了下面顯示的矩陣。這個矩陣最直接幫助執行哪個資訊安全原則？ A. 職責分離 B.聚合 C. 兩人控制 D.深度防禦 13Gary準備為一個新使用者建立一個帳戶並分配對HR資料庫的權限。在授予此存取權限之前，Gary 必須驗證哪兩個資訊元素？ A. 憑證與知悉需求 B.安全許可和知悉需求 C. 密碼和安全許可 D.密碼和生物辨識掃描 14. Gary準備在存取根加密金鑰時制定控制措施，並希望應用一項專門用於非常敏感操作的安全原則。他應該應用哪個原則？ A. 最小權限 B. 深度防禦 C．安全性透過模糊性 D.兩人控制 15.Gary 和他的團隊應該多久對使用者對敏感系統的特權存取進行審查？ （選擇所有適用項目。） A. 定期進行審查 B. 當使用者離開組織時 C. 當使用者更改角色時 D.每天進行審查
B
A
B
D
ABC
16. 下列哪一個術語通常用於描述以大規模集合發布的不相關補丁？ A. 熱修補 B. 更新 C. 安全修復 D．服務包
D
17. Tonya 正在從一系列涉及網路安全事件的系統中收集證據。一位同事建議她在收集過程中使用電腦取證磁碟控制器。這個設備的功能是什麼？ A掩蓋儲存設備報告的錯誤條件 B. 傳輸寫入指令 C.攔截、修改或丟棄發送給儲存設備的命令 D．阻止由發送給設備的讀取操作返回的數據
C
18. Lydia 正在處理組織的存取控制請求。她遇到一個請求，該用戶確實具有所需的安全許可，但沒有業務上的理由需要這種存取權限。 Lydia 拒絕了這個請求。她遵循的安全原則是什麼？ A. 需要知道 B. 最小權限 C.職責分離 D.兩人控制
A
19.Helen 負費在組織中實施安全控制，以防止詐欺性內部活動。下列哪一種機制對她的工作最不實用？ A. 工作輪換 B. 強制休假 C. 事件回應 D.兩人控制
C
20.Matt希望確保公司內關鍵網路流量優先於網頁瀏覽和社群媒體使用。他可以使用哪種技術來實現這一目標？ A. VLAN B. Qos C. VPN D. ISDN
B
21.Tom 正在回應最近的安全事件，並尋找關於對系統安全設定進行最近修改的批准過程的資訊。他最有可能在哪裡找到這些資訊？ A. 更改日誌 B. 系統日誌 C. 安全日誌 D.應用程式日誌
A 沒找到，記住
22.Susan 公司的員工經常國際出差，需要連接到公司係統進行工作。 Susan 認為由於公司正在開發的技術，這些用戶可能會成為企業間謀活動的目標，並希望在為國際旅客提供的安全培訓中包含建議。 Susan 應該推薦他們採用哪種連結網路的做法？ A. 僅連接公共 WiFi。 B. 對所有連線使用 VPN。 C.僅使用支援TLS 的網站。 D.在旅行時不連接網路。
B
23.Ricky 正在尋找應用程式、裝置和作業系統中資訊安全的漏洞清單。下列哪一個威脅情報來源對他最有用？ A. OWASP B. Bugtraq C. Microsoft 安全公告 D. CVE
D
OWASP (開放Web 軟體安全專案- Open Web Application Security Project) 是一個開放社群、非營利組織，目前全球有82 個分會近萬名會員，其主要目標是研議協助解決Web 軟體安全之標準、工具與技術文件，長期致力於協助政府或企業了解並改善網頁應用程式與網頁服務的安全性。 BugTraq是一個完整的對電腦安全漏洞（它們是什麼，如何利用它們，以及如何修補它們）的公告及詳細論述進行適度披露的郵件列表。 CVE 的英文全名為「Common Vulnerabilities & Exposures」通用漏洞揭露。 CVE就好像是字典表，為廣泛認同的資訊安全漏洞或是已經暴露出來的弱點給出一個公共的名稱。
24. 在進行災難復原計畫時，下列哪一項通常被視為災難的例子？ （選擇所有適用項目。） A. 駭客攻擊事件 B. 洪水 C.火災 D.恐怖主義
ABCD
25.Glenda 希望進行災難復原測試，並尋找一種能在不中斷正常資訊系統活動的情況下對計劃進行審查，並且所需時間最少的測試類型。她應選擇哪種測試？ A. 桌面演練 B. 平行測試 C.完全中斷測試 D.清單審查
D
核對清單審查是破壞性最小的災難復原測試類型。在核對清單審查期間，團隊成員自行審查災難復原清單的內容，並在必要時對系統變更提出建議。 在桌面練習期間，團隊成員聚在一起，不對資訊系統進行任何更改，透過系統的運作狀態做出判斷。 在平行測試期間，團隊實際上啟動了災難復原站點以進行測試，但主站點仍然保持運作。 在完全中斷測試期間，團隊會刪除主站點，並確認災難復原站點能處理常規作業。完全中斷測試是最徹底的測試，也最具破壞性。
26. 下列哪一項不是備份磁帶輪替方案的範例？ A. 祖父/父/子方案 B. 中間相遇 C.漢諾塔 D.六卡帶週輪換
B
27. Helen 正在為授予員工在會計系統中的管理權限實施新的安全機制。她設計了一個流程，需要員工的經理和會計經理在授權之前都必須批准該請求。 Helen 正在實施哪一個資訊安全原則？ A. 最小權限 B. 兩人控制 C.工作輪換 D. 職責分離
B
28.Frank 正在考慮在即將進行的刑事案件中使用不同類型的證據。下列哪一項不是證據被法庭接受的要求？ A. 證據必須相關。 B.證據必須實質。 C.證據必須是有形的。 D. 證據必須是經過適當取得的。
C
29. Harold 最近完成了安全事件的事後回顧。接下來他該準備什麼文件？ A. 培訓學習文檔 B. 風險評估 C. 整改清單 D.緩解清單
A 記住
30.Beth 正在建立一個新的網路安全事件回應團隊 (CSIRT），並希望確定適當的團隊成員。下列哪些組別通常應包括在內？ （選擇所有適用項目。） A. 資訊安全 B.執法部門 C.高階管理 D.公共事務
ACD
31. Sam 負責備份公司的主檔案伺服器。他配置了一個備份計劃，每週一晚上9點執行完全備份，其他工作日的相同時間執行差異備份。根據下圖所示的信息，星期三的備份將複製多少個檔案？ 文件修改狀況 星期一上午8點 - 創建文件1 星期一上午10點 - 創建文件2 星期一上午11點 - 創建文件 3 星期一下年4點 - 修改文件1 星期一下午5點 - 創建文件4 星期二上午8點 - 修改文件1 星期二上午9點 - 修改文件2 星期二上午10點 - 建立文件 5 星期三上午8點 - 修改文件3 星期三上午9點 - 創建文件 6 A. 2 B. 3 C. 5 D. 6
C
32. 下列哪一個安全工具不能對安全事件產生主動回應？ A. IPS B. 防火牆 C. IDS D.防毒軟體
C
33.scott 負責處置已從公司的 SAN 中移除的磁碟機。如果 SAN 上的資料被他的組織認為是高度敏感的，他應避免下列哪一項選項？ A. 實體銷毀 B. 與SAN 供應商簽訂合同，要求適當處置並提供認證流程 C. 在離開組織之前重新格式化每個磁碟機 D.使用像 DBAN 這樣的安全擦除工具
C
34. 用來描述在建立新帳戶時為使用者指派的預設權限集的術語是什麼？ A. 聚合 B. 傳遞性 C. 基線 D.權限
D
35. 下列哪一種協定是在服務提供者和客戶之間包含可用性和其他效能參數期望的最正式的文件？ A. 服務等級協定 (SLA) B. 營運等級協定 (OLA) C.諒解備忘錄 (MOU) D.工作說明書 (SOW)
A
36 作為一家大型組織的資訊官，Clara 希望採用標準流程來管理IT活動。 下列哪一個著重於IT服務管理，並包括變更管理、組態管理和服務等級協定 等主題？ A. ITIL B. РМВОК C. PCI DSS D. TOGAF
A
TOGAF是The Open Group Architecture Framework的縮寫，它由The Open Group開發，The Open Group是一個非營利的技術產業聯盟，它不斷更新並重申TOGAF。
37.Richard 在其組織的網路上遇到了網路服務品質的問題。主要症狀是資料包 從來源到目的地的傳輸時間過長。這個問題被稱為什麼？ A. 抖動 B. 丟包 C.千擾 D.延遲
D
38.Joe 想要測試一個他懷疑可能包含惡意軟體的程式。他可以使用哪種技術在運行該程式時將其隔離？ A. ASLR B. 沙箱 C. 剪貼 (Clipping) D.進程隔離
B
39 以下那項不是自然災害的例子 A. 颶風 B. 洪水 C.土石流 D. 變壓器爆炸
D
40.Anne 想要收集關於安全設定的信息，並透過收集遍布公司的一組 Windows 10 工作站的資料來建立對組織資產的整體視圖。哪個Windows 工具最適合這種類型的設定管理任務？ A. SCCM B.組策略 C. SCOM D.自訂 Powershell 腳本
A
sccm（System Center Configuration Manager），是微軟系統中心配置管理器內部簡稱。它是一款非常優秀的桌面管理軟體，其可以收集硬體和軟體清單，在客戶機上發佈軟體；還可以管理客戶機更新，甚至可以拒絕沒有及時更新修補程式的客戶機存取網路。
41.Javier正在驗證只有IT系統管理員才能登入用於管理目的的伺服器。他正在執行哪個資訊安全原則？ A. 需知原則 B. 最小權限原則 C.兩人控制原則 D. 傳遞性信任原則
B
42以下哪一項不是保證系統和應用程式免受攻擊的基本預防措施？ A 實施入侵偵測和預防系統。 B在所有作業系統和應 用程式上保持目前的修補程式等級。 C.刪除不必要的帳戶和服務。 D 對所有系統進行取證映射。
D
43. Tim 正在嘗試從硬碟中檢素訊息，他是一名法證分析員。看起來用戶試圖擦除數據，而 Tim 正在嘗試重建數據。 Tim 正在進行哪種興型的法證分析？ A. 軟體分析 B. 媒體分析 C. 嵌入式設備分析 D.網路分析
B
44. 下列哪一個是電腦安全事件的例子？ （選擇所有適用的） A. 備份未能正確完成 B. 記錄在日誌中的系統訪問 C．對檔案伺服器進行未授權的漏洞掃描 D.更新防毒簽名
AC
45.Roland 是一家組織中的實體安全專家，該組織擁有大量昂貴的實驗設備。 這些設備經常在設施內移動。下列哪一種技術能夠以成本效益的方式最大程度地自動化庫存控製流程？ A. IPS B. WiFi C. RFID D.乙太網路
C
46. Connor 的公司最近遭受了一次拒絕服務攻擊，Connor 認為這是內部人員造成的。如果屬實，公司經歷了哪種類型的事件了 A. 間諜活動 B. 機密性違規 C. 破壞活動 D.完整性違規
C
47.Evan 在他所在組織的伺服器上偵測到一次攻擊，並檢查了一系列資料包中 的TCP 標誌， 如下圖所示。最可能發生了哪種類型的攻擊？ A. SYN 洪氾 B. Ping 洪氾 C. Smurf D. Fraggle
A
48.Florian 正在為他的組織制定一份災難復原計劃，並希望確定某個特定『服務在不造成嚴重業務中斷的情況下可能停機的時間。 Florian 正在計算哪個變數？ A. RTO（復原時間目標) B. MTD（最長可接受中斷時間) C.RPO（復原點目標） D. SLA （服務等級協定）
B
49. 下列哪些通常被歸類為零時之攻擊？ （選擇所有適用的） A.一個新接觸駭客世界的攻擊者 B 在資料庫重放置日期為000000的資料庫政擊，以利用業務邏輯中的缺陷 C. 安全社區之前未知的攻擊 D.將作業系統的日期和時間設定為 00/00/0000 和 00:00:00 的攻擊
C
50.Grant 正在為可能的訴訟做準備，正在收集記錄，並擔心他的團隊可能花費過多的時間收集可能是無關緊要的資訊。聯邦民事訴訟程序規則 (FCRP）中的哪個概念有助於確保在成本超過收益時不會增加額外的時間和費用作為電子發現的一部分？ A.工具輔助審核 B. 合作 C. 毀滅證據 D.比例原則
D
51.在事件調查中，調查人員與一名系統管理員會面，該管理員可能 掌握有關事件的信息，但並不是嫌疑犯。在這次會議市進行了哪一種的對話？ A. 面試 B. 審問 C. 既是面試又是審問 D. 既不是面試也不是審問
A
53. 作為業務連續性規劃 （BCP） 工作的一部分，你正在評估某個區城的洪水風險。你參考了聯邦緊急管理局（FEMA) 的洪水地圈。根據這些地因，該區域位於一個200 年一遇的洪水區域。該地區的年發生率（ARO）是多少？ A.200 B. 0.01 C.0.02 D. 0.005
D
54. 在大多數防禦良好的組織中，下列哪一種個人對安全構成了最大的風險？ A. 政治活動人士 B. 惡意內部人員 C. 腳本小子 D. 尋歡作樂的攻擊者
B
55. Veronica 正在考慮實施—種由顧問推薦的資料庫復原機制。在建議的方法中，每天晚上透過自動化程序將資料庫備份從主要設施移至離線位置。顧問描述的是哪種類型的資料庫復原技術？ A. 遠端日誌記錄 B. 遠端鏡像 C. 電子保險庫 D.交易日誌記錄
C
電子連結（題中電子保險庫）：在電子跳躍方法中，自動化工具會將資料庫備份從主資料庫伺服器按計畫(通常每天)移動到遠端站點。 交易日誌不僅是復原技術，它儲存對資料庫執行的所有更改，並全部記錄插入、更新、刪除、提交、回退和資料庫模式變化的過程。 遠端日誌將交易日誌以更頻繁(通常為每小時)的方式傳輸到遠端站點。 遠端鏡像在備份站點維護即時資料庫伺服器，並鏡像備份主站點伺服器上的所有事務
56. 當設計存取控制方案時，Hilda 設定了 角色，以防止同一人具備建立新使用者帳戶和為帳戶指派超級使用者特權的能力。 Hilda 遵銷的是哪個資訊安全原則？ A.最小權限原則 B. 職責分離 C.崗位輪換 D．透過模糊保護安全
B
57.Patrick 負責為組織實施威脅獵殺計畫。在規劃工作時，他應該使用威脅獵殺計畫的基本假設是什麼？ A 安全控制採取了深度防禦策略。 B. 審計可能會發現控制缺陷。 C. 攻擊者可能已經存在於網路中。 D.防禦機制可能存在未修補的漏洞。
C
58. Brian 正在製定組織災難復原計劃的培訓計劃，並希望確保參與者了解災難 恢復過程何時結束。下列哪一個事件標誌著災難復原過程的完成？ A. 保護財產和生命安全 B. 在備用設施恢復營運 C.在主設施恢復運營 D．解除第一響應者的戰備狀態
C
災難復原過程的最終目標是恢復主要設備中的業務正常運作。 其他三個選項的操作也是在災難復原過程中進行的，但只有組織在主要設備中的業務復原正常運作，才能說明災難復原工作基本上已完成。
59 Mevanie 懷疑有人在使用惡意軟體從她的公司竊取運算資源。下列哪一種安全工具最適合偵測此類事件？ A.NIDS（網路入侵偵測系統） B. 防火牆 C. HIDS(主機入侵偵測系統） D,DLP(資料外洩防護）
C
60. 張三觀察到網路上一委統的授權使用者最近濫用了他的帳戶，利用系統漏洞攻擊了一個共享伺服器，並獲得了該伺服器的100%權限。安生了哪種類型的攻擊？ A. 拒絕服務 B. 特權提升 C.偵察 D.暴力破解
B
61. 卡拉在公司工作了15年，擔任過各種不同的職位。每次換職位時，她都會獲得與該職位相關的新特權，但從末被剽奪過特權。哪個概念描達了她所累積的特權集合？ A. 權限 B. 聚合 C.傳遞性 D.隔離
B
62. 在事件回應過程的哪個階段，管理者採取行動限制事件的影響範圍？ A. 檢測 B. 回應 C. 緩解 D.恢復
C
對於問題 63-66,，請參考以下情景 安是一家中型企業的安全專業人員，通常負責進行日誌分析和安全監控任務。 她的職責之一是監視組織入侵偵測系統產生的警報。該系統通常每天產生數十個警報，經過她的調查後，其中許多警報被證明是誤報。 今天早上，入侵偵測系統發出警報，因為網路開始接收到異常高的入站流量。 安收到了這個警報，並開始調查流量的來源。 63. 在事件回應過程的這個階段，最能描述安所在組織發生的情況的術語是什麼？ A. 安全事件 (Security occurrence) B. 安全事故(Security incident) C. 安全事件(Security event) D.安全入侵 (Security intrusion) 64. 安繼續她的調查，並意識到觸發警報的流量是在 53 號端口上異常高的入站 UOP 流量。通常使用該連接埠的是哪種服務？ A. DNS B. SSH/SCP C. SSL/TLS D. HTTP 65.在安進一步分析流量時，她意識到流量來自多個不同的來源，並且已經淹沒了網路。入站資料包是對她在出站流量中未查詢的回應。這些響應對其類型來說異常大。安應該懷疑發生了哪種類型的攻擊？ A. 偵察 B. 惡意程式碼 C. 系統滲透 D.拒絕服務 66. 現在安了解到已經發生了一次違反她所在組織安全策略的攻擊，最能描述安所在組織發生的情況的術語是什麼？ A. 安全事件 (Security occurrence) B. 安全事故(Security incident) C. 安全事件(Security event) D.安全入侵 (Security intrusion)
C
A
D
B
67. 法蘭克試圖將一台駭客的筆記型電腦作為證據提交法庭以對抗駭客。該筆記型電腦確實包含表明駭客犯罪的日誌，但法院裁定搜索導致警察找到筆記型電腦的行為違憲。哪個可接受性標準阻止弗蘭克將筆記型電腦作為證據提交？ A. 實質 B. 相關性 C. 傳聞 D.能力
D
68. 戈登懷疑駭客已經侵入了他公司的一個系統。該系統不包含任何受管制的信息，戈登希望代表公司進行調查。他獲得上級主管的許可來進行調查。下列哪一種敘述是正確的？ A.戈登在開始調查之前法律上有責任聯繫執法機構。 B.戈登不能進行自己的調查的內容。 C.戈登的調查可以包括檢查硬碟、網路流量和公司的任何其他系統或信息 D．戈登在確認了筆事者身分後可以在道德上進行 “反擊” 活動。
C
69.下列哪一種工具為組織提供了對抗軟體供應商倒閉的最高等級的保護？ A. 服務等級協定 B. 託管協議 C. 相互協助協議 D.PCI DSS 合規協議
B
70.弗蘭正在為她的銀行考慮新的人力資源政策，以防止違法行為。她計劃實施強制休假政策。通常情況下，強制休假的最短有效期限是多久？ A. 2天 B. 4天 C. 1週 D. 1個月
C
71以下哪些事件構成安全事件？ （選擇所有適用的選項。） A. 企圖進行網路入侵 B.成功進行資料庫入侵 C.惡意軟體感染 D. 成功嘗試存取文件 E. 違反保密政策 F. 未能從安全區域移除訊息的嘗試
ABCEF
72. 阿曼達正在配置她所在組織的防火牆以實施出口過濾。下列哪一種流量類型 不應該被組織的出口過濾策略阻止？ （選擇所有適用的選項。） A. 快速掃描連接埠 22上的多個 IP位址的流量 B. 目的地為廣播的流量 C. 來源位址為外部網路的流量 D．目的地位址為外部網路的流量
ABC
73. 艾莉負責審查她所在組織網路的認證日誌。她沒有時間審查所有日誌，所以她決定只選擇記錄中出現了四次或更多次無效認證嘗試的日誌。艾莉使用的是哪一種技術來減少日誌的範圍？ A. 抽樣 B. 隨機選擇 C. 剪輯 D.統計分析
C
74. 您正在對網路上的潛在機器人感染進行調查，並希望對網路和網路之間傳遞的信意進行取證分析。您認為這些資訊很可能巳經加密。在活動結束後開始調查時，獲得這些資訊的最佳且最簡單的方式是什麼？ A. 資料包捕獲 B. NetFlow 數據 C.入侵偵測系統日誌 D.集中式身分驗證記錄
B
Netflow資料包含所有網路通訊的來源位址、目的位址和資料包大小等信息，這些資訊的記錄是很正常的活動。 資料包捕獲可提供相關信息，但該活動通常發生在針對可疑活動的調查期間，一旦可疑活動結束，則無法再重新進行資料包捕獲，除非組織已經完成了100%的資料包捕獲，但這是非常少見的。 此外，使用加密限制了資料包擷取的有效性。 入侵偵測系統日誌不可能包含相關訊息，因為加密的流量可能無法匹配入侵行為的簽章。 集中式身分驗證記錄不包含網路流量的資訊。
75 下列哪一種工具可透過為作業系統和應用程式提供標準安全配置範本來協助 系統管理員？ A. 安全指南 B.安全策略 C.基線配置 D.運行配置
C
76. 下列哪一種類型的災難復原會後動備用處理設施，並使用其進行交易，同時保持主要站點的運作狀態？ A. 全面中斷測試 B. 平行測試 C.清單申核 D.桌面推演
B
77. 在事件回應過程的哪個階段，分折員會收到人侵偵測系統的警報並驗證其 準確性？ A.響應 B. 緩解 C. 檢測 D.報告
C
78. 凱文正在為他的組織制定一個持續安全監控策略。在確定評估和監控頻率 時，下列哪一個通常不被使用？ A.威脅情報 B. 系統分類/影響力級別 C. 安全控制操作負擔 D.組織風險容忍度
C
79.亨特正在檢視他所在組織的監控策略，並確定可能部署的新技術。他的評估表明，公司在監控終端設備上的員工活動方面做得還不夠。下列哪一種技術最能滿足他的需求？ A. 端點偵測與回應 (EDR) B. 入侵防禦系統 (IPS) C.人侵檢測系統 (IDS) D.使用者和實體行為分析 (UEBA)
D
80. 布魯斯在他的網路上看到了很多可疑活動。在查看他的 SIEM 記錄後，似乎外部實體正試圖使用連接埠 22 上的TCP 連接連接到他的所有系統。這個外部人士可能在進行什麼類型的掃描？ A. FTP 掃描 B. Telnet 掃描 C. SSH 掃描 D.HTTP 掃描
C
81地倫在效據庫服務觀察到了 sql注入攻擊。在攻擊的補救階段，迪倫最有可能採取下列哪一種行動？ A. 從備份重建資料庫 B. 為Web 應用程式新增輸入驗證 C 審查防火牆日誌 D. 審查資料庫日誌
B
82羅傑最近接受了一家將其整個 I T基礎設施遠行在 IaaS 環境中的公司的安全專業人員的職位。下列哪一項最有可能是羅傑公司的責任？ A. 設定網路防火牆 B. 應用 hypervisor 更新 C. 打補丁作業系統 D.在處置前擦除驅動器
C
83. 應用程式開發人員可以使用下列哪種技術在隔離的虛擬化環境中測試應用程序，然後才允許其進入生產網路？ A. 滲透測試 B. 沙箱環境 C.白盒測試 D. 黑盒測試
B
84. 吉娜是一家小型企業的防火牆管理員，最近安裝了一合新防火牆。在看到異常高網路流量的跡象後，她檢查了入侵偵測系統，發現正在進行 SYN 洪水攻擊。吉娜可以進行哪種防火牆配置更有效地防止這種攻擊？ A. 阻止己知IP的SYN B. 阻止未知IP的SYN C. 在防火牆上啟用 SYN-ACK 欺騙 D. 停用 TCP
C
85. 南希正在領導一項工作，以更新她所在組織的惡意軟體防護，並希望添加端點偵測和回應 （EDR）功能。下列哪些操作通常由EDR 系統支援？ （選擇所有適用項目。） A. 分析端點記憶體、檔案系統和網路活動以尋找惡意活動的跡象 B. 自動隔離可能的惡意活動以限制潛在的損害 C.進行模擬釣魚活動 D.與威脅情報來源集成
ABD
86. 艾倫正在評估在他的網路安全計畫中使用機器學習和人 工智能的潛力。下列哪項活動最有可能從這項技術中受益？ A.入侵偵測 B. 帳戶配置 C．防火牆規則修改 D.媒體消除
A
87， 木材工業公司最近與一位客戶發生爭端。在與他的客戶代表會面時，客戶的站起來說：再沒有其他解決方素。我們必須把這件事告到法庭。 °然後他離開了房間。木材工業公司什麼時候有義務開始保留證據？ A. 立即 B.收到對方律師的訴訟通知後 C. 收到傳票後 D.收到法院命令後
A
88.坎迪斯正在為她所在組織的檔案伺服器設計備份策略。她希望每個工作日進行一次備份，並佔用最小的儲存空間。她應該進行哪種類型的備份？ A. 增量備份 B. 完全備份 C.差異備份 D.交易日誌備份
A 似乎應該選C
增量備份：備份自上次全備份或增量備份以來發生變更的數據，速度最快，但恢復時間最長。 差異備份 ：備份自上次全備份以來發生變更的所有數據，速度較快，儲存需求較低。
89. 達西是一名電腦安全專家，正在協助起訴一名駭客。檢察官要求達西在法庭上作證，就她的意見是否認為案件中的日誌和其他記錄表明了駭客攻擊的企圖。達西被要求提供哪種類型的證據？ A. 專家意見 B. 直接證據 C. 實物證據 D.文件證據
A
90.以下哪一種技術通常不用於從 A.實體銷毀 B. 磁化消除 C.覆寫 D.重新格式化 上刪除不需要的殘留資料？
D
91. 莎莉正在為她的環境建立一台新的伺服器，並計畫實施 RAID 1等級作為 儲存可用性控制。她至少需要多少個實體硬碟來實施這種方法？ A.一個 B. 兩個 C 三個 D.五個
B
92，傑羅姆正在進行取證調查，正在查看資料庫伺服器日誌以調查查詢內容，以尋找 SQL 注入攻擊的證據。他正在進行哪種類型的分析？ A. 硬體分析 B. 軟體分析 C.網路分析 D.媒體分析
B
93. ouigley Corpuing 經常將備份資料的磁帶寄送到全國各地的次要設施。這些磁帶包含機密資訊。 Quigley 可以使用哪個最量要的安全措施來保護這些磁帶？ A. 鎖定的運輸容器 B. 私人快遞公司 C. 資料加密 D.媒體輪換
C
94. 卡羅琳擔心網路上的使用者可能在未經授權或未採取適當安全控制的情況下在其硬碟上儲存敏感訊息，例如社會安全號碼。她應該實施職種第三方安全服務以最好地檢測到這種活動？ A.入侵偵測系統 (IDS) B 入侵防禦系統 (IPS) C. 資料遺失防護 (DLP) D.傳輸層安全性 (TLS)
C
95. 加文是他所在組織的災難復原團隊負責人，該組織目前處於對客戶影響嚴重的事件的反應階段。加文剛剛接到一位記者的電話，要求提供關於根本原因和預計恢復時間的詳細資訊。加文隨時可以提供這些資訊。他該怎麼辦？ A. 向記者提供資訊。 B. 請求幾分鐘時間收集訊息，然後回電。 C.將此事轉給公共關係部門處理。 D.拒絕提供任何資訊。
C
96. 保琳正在檢視她所在組織的緊急管理計畫。在創建這些計劃時，最高優先事項應該是什麼？ A. 保護關鍵任務數據 B. 保留作業系統 C.蒐集證據 D. 保護安全
D
97 巴里是一家組織的首席資訊官，該組織最近遭受了嚴重的營運問題，需要啟動災難復原計畫。他希望進行一次教訓總結會議，以審查該事件。誰是這次會議的最佳組織者？ A. 資訊長巴里 B 首席資訊安全官 C. 災難復原團隊負責人 D.外部顧問
D
98 布倫特正在檢視用於保護組織在持續停電情況下的措施。下列哪一個解決方案最能滿足他的需求？ A. 冗餘伺服器 B. 不間斷電源 (UPS) C.發電機 D. RAID
C
99. 將每個編號的術語與其正確的定義對應起來： 術語 1. 蜜罐(Honeypot) 2. 密網(Honeynet) 3. 偽漏洞 4. 暗網 (Darknet) 定義 A. 故意設計的漏洞，用以引誘攻擊者 B. 設定有意漏洞的網絡 C.設定有意漏洞的系統 D.一個沒有任何主機的監控網絡
1C2B3A4D
100. 將每個編號的復原能力類型與其正確的定義對應起來： 術語 1. 熱站點 2.冷站點 3. 溫站點 4. 服務局 (Service bureau) 定義 A. 在災難發生時可以提供現場或離場 IT 服務的組織時間內復原服務 B 具有專用儲存和即時資料複製的站點，通常具有共享設備，可在很短時間內恢復服務 C.依靠共享儲存和備份進行復原的站點 D，租用的空間，配備電力、冷卻和連接性，可以接受設備作為恢復工作的一部分
1B2D3C4A