心智圖資源庫 CISSP學習筆記-2(人員安全與風險管理的概念)
詳細記錄了CISSP第二章 人員安全與風險管理 相關重點知識點和考點,並有若干複習題。
編輯於2024-01-23 15:59:36Microbiologia medica, Infezioni batteriche e immunità riassume e organizza i punti di conoscenza per aiutare gli studenti a comprendere e ricordare. Studia in modo più efficiente!
La teoria cinetica dei gas rivela la natura microscopica dei fenomeni termici macroscopici e le leggi dei gas trovando la relazione tra quantità macroscopiche e quantità microscopiche. Dal punto di vista del movimento molecolare, vengono utilizzati metodi statistici per studiare le proprietà macroscopiche e modificare i modelli di movimento termico delle molecole di gas.
Este é um mapa mental sobre uma breve história do tempo. "Uma Breve História do Tempo" é um trabalho científico popular com influência de longo alcance. Ele não apenas introduz os conceitos básicos da cosmologia e da relatividade, mas também discute os buracos negros e a expansão. Do universo. questões científicas de ponta, como inflação e teoria das cordas.
Microbiologia medica, Infezioni batteriche e immunità riassume e organizza i punti di conoscenza per aiutare gli studenti a comprendere e ricordare. Studia in modo più efficiente!
La teoria cinetica dei gas rivela la natura microscopica dei fenomeni termici macroscopici e le leggi dei gas trovando la relazione tra quantità macroscopiche e quantità microscopiche. Dal punto di vista del movimento molecolare, vengono utilizzati metodi statistici per studiare le proprietà macroscopiche e modificare i modelli di movimento termico delle molecole di gas.
Este é um mapa mental sobre uma breve história do tempo. "Uma Breve História do Tempo" é um trabalho científico popular com influência de longo alcance. Ele não apenas introduz os conceitos básicos da cosmologia e da relatividade, mas também discute os buracos negros e a expansão. Do universo. questões científicas de ponta, como inflação e teoria das cordas.
CISSP學習筆記-2(人員安全與風險管理的概念)
1-知識點總結
人員安全策略和程序
最脆弱的元素,經過適當訓練後也可以成為關鍵的安全資產,是安全工作中有價值的合作夥伴
職位描述與職責
職位描述應該考慮安全問題
定義了需要指派給員工的角色,角色與特權、任務一致
職責清單是分配存取權限、許可和特權的知道
並非招聘,全生命週期
候選人篩選和招聘
入職:僱傭協議及策略
最小特權、存取權原則
NDA保密協議
員工的職位職責發生變化,訪問新的資產,簽署額外的NDA
員工監督
工作任務和特權會發生漂移,過多特權會增加組織風險
強制休假
其他員工使用其帳戶執行其工作職責,檢測濫用、欺詐或疏忽行為,驗證工作任務和特權
職責分離,崗位輪換,交叉培訓,強制休假可以降低風險-串供
UBA:使用者行為分析 UEBA:使用者與實體行為分析 可以改進人員安全策略、程序、訓練和相關的安全監督計劃
離職、調動和解僱流程
員工調動到不同部門、設施或實體位置時候,也可能要使用離職流程
人員調動可能被視為開除/重新僱用
決定使用哪個程序的因素包括:
是否保留相同的使用者帳戶
是否調整他們的許可
新工作職責是否與以前的職位相似
是否需要一個新的歷史清白的帳戶
新工作職位是否需要審計
供應商、顧問和承包商的協議和控制
使用服務等級協定(SLA)是一種確保提供服務等級的方法
SLA以及供應商、顧問和承包商控制是降低封信和規避風險的重要部分
外包是轉移或轉移風險的應對措施
VMS供應商管理系統功能:
便利訂購
訂單分發
訂單培訓
統一計費
合規策略要求
合規的好處
高品質
一致性
效率
節約成本
違反合規的損害
利潤
市場占有率
認可
聲譽
合規執法是指未遵守策略、訓練、最佳實務、法規而實施制裁或後果
合規執法執行人
CISO或CEO
員工經理和監督人員
審計員和第三方監管人員
隱私策略要求
隱私定義
主動防止未經授權存取個人可識別的訊息,個人識別資訊PII
防止未經授權存取個人的或機密的信息
防止在未經同意或不知情的情況下被觀察,監視或檢查
IT領域處理隱私
理解並應用風險管理概念
概述
首次風險管理的結果是製定安全策略的依據
後續風險管理事件用於改善和維持組織的安全基礎設施
風險管理組成:
風險評估(分析)
評估發生可能性
實際放生後造成的損失
評估各種風險控制措施的成本
以上三項的結果對風險優先順序進行排序
風險回應
使用成本/效益分析
評估風險控制措施、防護措施和安全控制
將選擇的相應措施部署到IT基礎設施中,在安全性策略文件中進行說明
風險意識
風險術語和概念
資產估值
識別威脅和脆弱性
風險評估/分析
定量分析
基於數學計算,以實際的貨幣價值計算資產損失
定性分析
以主觀和無形的價值表示資產損失,並考慮觀點、感受、直覺、偏好、想法和直覺反應
定性風險分析技術
場景
Delphi技術
匿名的回饋和回應過程,不會因為想法的來源而區別對待
定量風險分析
步驟
暴露因子EF
也稱潛在損失,表示為百分比,使用內部數據,執行統計分析,諮詢公眾,訂閱風險分類總帳/登記冊,與顧問合作,使用風險管理軟體
單一損失期望SLE
SLE=資產價值(AV)*暴露因子(EF)
年度發生率ARO
年度期望損失ALE
ALE=第一損失期望(SLE)*年度發生率(ARO)=AV*EF*ARO
風險回應
風險緩解(降低)
實施防護措施、安全控制和安全對策以減少或消除脆弱性或阻止威脅
風險轉移
購買網路安全、保險、外包
風險威懾
實施審計、安全攝影機、警告橫幅、使用保全人員
風險規避
選擇替代選項
風險接受
接受損失
風險拒絕
拒絕或忽略風險
總風險=威脅*脆弱性*資產價值 總風險-控制間隙=殘餘風險
風險處理不是一次性的
安全控制的成本與效益
防護措施對公司的價值=防護措施實施前的ALE-防護措施實施後的ALE-防護措施的年度成本ACS
ALE1-ALE2-ACS
最佳的安全防護措施,成本效益最高的
選擇與實施安全對策
分類
管理性控制措施
包括:策略、程序、招募實務、背景調查、資料分類和標籤、安全意識和培訓、報告與審查、工作監督、人員控制和測試
邏輯性/技術性控制措施
包括:身分認證、加密、限制介面、存取控制清單、協定、防火牆、路由器、入侵偵測系統和閾值級別
物理性控制措施
子主題
適用的控制類型
預防控制
IPS
威懾控制
策略、安全意識培訓、鎖、柵欄、安全標誌、保全、門禁門廳和安全攝影機
檢測控制
IDS
補償控制
糾正控制
復原控制
指示控制
安全控制評估
根據基線或可靠性期望對安全基礎設施的各個機制進行評估
可以作為滲透測試或漏洞評估的補充內容
也可以作為完整的安全評估
監視和測量
風險報告和文檔
風險登記冊內容
已識別的風險
評估這些風險的嚴重性並確定其優先級
制定回應措施以減少或消除風險
追蹤風險緩解的進度
持續改進
風險成熟度模型RMM評估企業風險管理ERM計劃
RMM級別
初始級
預備級
定義級
通用或標準化風險框架
整合級
風險管理作業被整合到業務流程中
最佳化級
實現目標
遺留風險
EOL
EOSL
風險框架
RMF風險管理框架
為聯邦機構制定的強制標準
RMF中有六個循環性階段
準備 透過建立管理安全和隱私風險的上下文和優先級,誰備從組織級和系統級的角度 執行 RMF
分類 根據對損失影響的分析,對系統以及系統處理、儲存和傳輸的信恩進行分類。
選擇 為系統選擇一組初始拴制並根據需要定制控制,以根據風險評估將風險降低到可接受的水幹。
實施 實施控制並描述如何在系統及其操作環境中使用控制。
評估 評估控制以確定控制是否正確實施,是否如預期運作以及是杏產生滿足安全和隱私要求的預期結果。
授權 在確定組織營運和資產、個人、其他組織和國家/地區面臨的風險是可接受的基礎上,授權系統或共同控制。
監控 包括評估控制有效性,記錄系統和操作環境的變化,進行風險評估和影響分析,以及報告系統的安全和隱私狀況
CSF網路安全框架
為基礎設施和商業組織設計的
社會工程
防禦社會工程攻擊最有效方式
用戶教育
意識培訓
原理
權威
恐嚇
共識
稀缺性
熟悉
信任
緊迫性
獲取資訊
前置詞
網路釣魚
魚叉式網路釣魚
網路釣鯨
簡訊釣魚
語音網路釣魚
垃圾郵件
肩窺
發票詐騙
惡作劇
假冒和偽裝
尾隨和捎帶
垃圾箱搜尋
身分詐欺
誤植域名
影響力運動
混合戰爭
社群媒體
建立和維護安全意識、教育和培訓計劃
安全意識
安全訓練的前提
訓練
教育
改進
改變目標重點,有時是個人、有時是客戶,有時是組織
改變主體順序和重點,某次是社會工程,下次是設備安全,下次是其他
多種演示方法
透過角色扮演方式,讓參與者扮演攻擊者和防禦者,讓不同的人提供與攻擊、防禦的應對想法
發展並鼓勵安全帶人
遊戲化提升和改進培訓
鼓勵和懲罰
提高員工對培訓的參與度
增加理解
其他改進措施:奪旗演習、模擬網路釣魚、基於電腦培訓CBT和基於角色的培訓
有效性評估
採用新方法和技巧
定期
2-考試要點
1. 理解人員是安全的關鍵元素
2. 了解職位描述的重要性
3. 瞭解新員工對安全的影響
4. 理解入職與離職
5. 了解最小特權原則
6. 理解保密協議(NDA)的必要性
7. 了解員工監督
8. 了解強制休假的必要性
9. 了解UBA和UEBA
10.了解人員調動
11.解釋恰當的解僱策略
12.理解供應商、顧問和承包商的控制
13.理解策略合規
14.了解隱私如何融入IT安全領域
15.能夠定義整體的風險管理
16.理解風險分析與相關要素
17.了解如何評估威脅
18.理解定性風險分析
19.理解Delphi技術
20.理解定量風險分析
21.傑斯暴露因子(EF)概念
22.了解單一損失期望(SLE)含義和計算方式
23.理解年度發生率(ARO)
24.了解年度損失期望(ALE)含義和計算方式
25.了解評估防護措施的公式
26.了解處理風險的方法
27.解釋總風險、參與風險及控制間隙
28.理解控制類型
29.理解控制類型
30.理解安全控制評估(SCA)
31.理解安全健康與測量
32.理解風險報告
33.了解持續改善的必要性
34.理解風險成熟度模型
35.了解遺留風險安全風險
36.了解風險框架
37.理解社會工程
38.了解如何實施安全意識培養、訓練和教育
39.了解安全帶頭人
40.理解遊戲化
41.了解定期進行內容審查和有效性評估的必要性
重要習題
1. 資產-用於業務流程或任務的任何事物 威脅-任何可能對組織或特定資產造成不良影響或非預期後果的潛在事件 脆弱性-資產中的弱點,或防護措施的弱點或缺失 暴露-因威脅而容易遭受資產損失,存在可以或將要被利用脆弱性的可能性 風險-威脅利用脆弱性對資產造成損害的可能性或機率以及可能造成損害的嚴重程度
2. 安全會議的重點在於定義資產價值、列出威脅清單、預測破壞所造成的具體危害程度以及確定威脅每年可能對公司造成破壞的次數。這是什麼: A 定性風險評估 B Delphi技術 C 風險規避 D 定量風險評估
正確答案:D
3. 下列哪些是有效的風險定義: A 對機率、可能性或機會的評估 B 任何能消除脆弱性或能抵禦一個或多個特定威脅的事物 C 風險=威脅*脆弱性 D 每一個暴露實例 E 存在相關威脅時脆弱性的存在
正確答案:ACD
4. 公司在公用網路伺服器上安裝了一個新的網路應用程式。駭客利用新程式碼並取得系統上託管資料檔案的存取權限。說明: A 固有風險 B 風險矩陣 C 定性評估 D 殘餘風險
正確答案:A 在執行任何風險管理工作之前存在的風險
5. 組織在尋找新的業務夥伴,對方定義了在簽署SLA和業務合作夥伴協議BPA之前必須滿足的若干組織安全要求。其中一項要求組織展示風險成熟度模型的實現程度。具體說,需要採用通用或標準化的風險框架。此等級屬於: A 預備級 B 整合級 C 定義級 D 優化級
正確答案:C 初始級-混亂 預備級-初步嘗試,每個部門可能不同 定義級-通用的、標準的風險框架 整合級-風險管理作業整合到業務流程中,風險被視為業務策略決策中的要素 優化級-風險管理著重於實現目標,而不僅僅對威脅做出回應,為了業務成功,而不是避免事故,能吸取經驗納入風險管理過程
6. 風險管理架構(RMF)為安全和隱私風險的管理提供了規範、結村包括資訊安全分類、控制選擇、實施和評估、系統和通用控制授權,以及排有七個步驟或盼段。 RMF 的哪個階段著重於根據組織運作和資產、個人其地區的風險是否合理來確定係統或通用控制是否合理? A.分類 B.授權 C.評估 D.監控
正確答案:B RME 階段(0)是在確定組織運作和資產、個人、其他組織和國家的風險是可接受(或合理)的基礎上,授權系統或共同控制。 RMF 的階段包括:(1)準備、(2)分類、(3)選擇、(4)實施、(5)評估、(6)投權和(7)監控。 (A)是 RMF 階段(2),指根據對損失影響的分析,對系統以及系統處理、儲存和傳輸的資訊進行分類。 (C)是 RMF 階段(5),評估控制以確定控制是杏正確實施、是杳按預期運行以區是香產生滿足安全和隱私要求的預期結果。 ①D)是 RMF階段(⑦,持續監控系統和相關控制,包括評估控制有效性、記錄系統和操作環境的變化、進行風險評估和影響分析,以及報告系統的安全和隱私狀況。
7. 下列哪些選項可以歸類為社會工程攻擊? (選擇所有行合的選項。) A 一個使用者登入他們的工作站後,洪定從樓梯間的自動販賣機買一杯蘇打水。當該用戶離開他們的工作站時,另一個人坐到他們的辦公桌旁,將本地文件夾中的所有文件複製到網路共享上。 B 你收到一封電子郵件,警告有一種危險的新病街正在網路上傳播。這則訊息建議你在硬碟上尋找一個特定的檔案並將其利除,因為它表明病毒的存在。 C 網站聲稱可對其產品和服務進行 免費臨時訪問,但要求你更改 Wb瀏覽器和/或防火牆的配置,然後才可以下載訪問軟體。 D 秘書接到來電,來電者自稱是客戶,他要晚點才可以去見 CEO。來電人員素要CEO 的私人手機號碼,以便打電話給 CEO 。
正確答案:BCD 選項A 中描達的活動只是利用受害者走開的機會,是一種機會性援權的訪問攻古,並不是一種社會工程攻古,因為沒有與受害者互動。選項B(惡作劇)、C(網路釣魚、惡作劇、水坑攻擊)和 D(語音網路釣魚)中描述的活動都是社會工程攻擊的何
8. 通常,__是團隊中的一員,他決定(或樹指派)負責將安全概念運用和整合到團隊 的工作活動中。 __通常是非安全人員,他們承擔鼓動他人支持和採用更多的安全實踐和 行為的職責。 A.首席資訊安全官 B. 安全帶頭人 C.安全車計員 D.託管員
正確答案:B 正確答案是安全帶頭人。安全帶人通常是團隊中的一員,他決定(或被站將安全概念運用和整合到團隊的工作活動中。安全帶人通常是非安全人員,他什勵他人支持和採用更多的安全實踐和行為的職責。者接受資產,然後根據所有者指定的分資產放置在提供了適當安全保護的I T容器中。