Трехуровневая архитектура

клиент/сервер

браузер/сервер

Баланс нескольких методов управления

Понять границы между контролем окружающей среды и контролем приложений.

Баланс функциональности программного обеспечения и мер безопасности

Баланс функциональных требований, требований безопасности и механизмов безопасности

обычно обратно пропорциональна

Установка по умолчанию не гарантирует безопасность

Безопасность конфигурации не включена (по умолчанию доступ должен быть запрещен)

Несоблюдение принципа минимального монтажа

После установки патча

Уточнить требования и определить основные цели безопасности продукта.

Оценка анализа рисков, оценка угроз и уязвимостей, оценка соотношения затрат и выгод от различных мер противодействия безопасности.

Управление рисками

Анализ риска

Требования безопасности

Команда разработки проекта и управления требованиями проводит комплексный анализ текущих и возможных будущих функциональных требований, чтобы убедиться, что новая система соответствует требованиям конечного пользователя.

Члены проектной группы также будут проверять выходные документы на начальном этапе проекта, а также редактировать и обновлять их по мере необходимости.

Для относительно небольших проектов вышеуказанные процессы часто включаются в начальные этапы проекта.

Требования безопасности также должны быть сформированы соответствующим образом. (Требования безопасности определяются на этапе анализа требований, и персонал службы безопасности должен участвовать в этапе требований)

Разработка программного обеспечения как часть проектирования системы

Инструменты для описания требований пользователя и внутреннего поведения системы

дизайн

подход к проектированию безопасности

Вопросы для рассмотрения

Основная работа

Тип теста

Разделение сред и разделение обязанностей

проверка

Проверка

Сосредоточьтесь на том, как использовать и управлять разработанной системой или приложением.

Сертификация

Аккредитация или любая (Аккредитация)

Миграции и исправления

Правильно настройте среду безопасности

Постоянно проводить тестирование уязвимостей, отслеживать активность системы и проводить аудит событий (при обнаружении уязвимостей на этапе обслуживания о предпринятых действиях сообщается)

В случае серьезных изменений провести оценку рисков и провести процессы сертификации и аккредитации (ресертификация, повторная аккредитация)

Уничтожьте данные на основе конфиденциальности данных.

Метод уничтожения

Методы управления, которые оптимизируют процессы проектирования, производства и поддержки за счет одновременной интеграции всех необходимых мероприятий по закупкам с использованием многопрофильных команд.

IPPD способствует достижению целевых показателей затрат и производительности от концепции продукта до производства, включая поддержку на месте.

Ключевым принципом IPPD является модель междисциплинарного сотрудничества интегрированных продуктовых команд (IPT).

Представители всех функциональных дисциплин работают с руководителем группы для создания успешных и сбалансированных программ, выявления и решения проблем, а также принятия обоснованных и своевременных решений.

Члены команды не обязательно посвящают проекту 100 % своего времени, и один участник может состоять в нескольких командах IPT.

Цель IPT — указать, что групповые решения основаны на вкладе всех команд в режиме реального времени (например, управления проектами, проектирования, производства, тестирования, логики, финансового управления, управления закупками и контрактами), включая клиентов и поставщиков.

Члены группы ITP состоят из членов уровня менеджера проекта, включая представителей предприятия и подрядчиков систем/подсистем.

Типичный IPT находится на уровне программы и может, например, состоять из следующих функциональных дисциплин: проектирование, производство, системное проектирование, тестирование и оценка, субподряд, обеспечение качества, обучение, финансы, надежность, линии технического обслуживания, поддержка, закупки. , управление контрактами, поставщиками и клиентами.

концепция

в принципе

Люди и взаимодействие над процессами и инструментами

Работающее программное обеспечение важнее тщательной документации

Сотрудничество с клиентами имеет приоритет над переговорами по контракту

Реагирование на изменения в соответствии с планом

Класс Класс определяет абстрактные характеристики объекта

Класс определяет физические свойства и то, что он может делать (его поведение). Методы и свойства класса называются «членами».

Объект является экземпляром класса

Система выделяет пространство памяти объектам, а не классам; Классы абстрактны. Система не может выделить пространство для абстрактных вещей. Объекты конкретны.

Свойства: описывают структуру и характеристики состояния объекта.

Метод: функция или процедура, которую может выполнять объект.

Самое простое понимание инкапсуляции — это упаковка, что означает сокрытие свойств и деталей реализации объекта и предоставление внешнего мира только интерфейса, то есть внутреннее состояние объекта прозрачно для внешнего мира.

означает сокрытие информации об объекте

общественный член

частный член

Это механизм создания одного или нескольких подтипов из существующего класса.

Представление логических связей между элементами данных

скаляр

связанный список

иерархическое дерево

сплоченность

связь

API — это соединитель для loT (Интернета вещей), позволяющий устройствам связываться друг с другом.

Представительский API передачи состояния (REST)

Советы эксперта по безопасности REST по использованию

Три безопасных пути для REST API

Оценка безопасности начинается с разведки или сбора информации.

Веб-интерфейсы администрирования (Административные интерфейсы)

Аутентификация и контроль доступа

Проверка ввода

Проверка параметров

Управление сеансами

Сборки, которые управляют и контролируют доступ к данным

Организовывайте и храните данные и записывайте файлы в определенном формате, предоставляя пользователям доступ, управление и обновление.

Фокус: сбор, хранение и восстановление данных.

Больше всего заботит целостность, затем доступность и, наконец, конфиденциальность.

метаданные

Функции:

язык базы данных

иерархическая модель базы данных

Модель сетевой базы данных

модель реляционной базы данных

объектно-ориентированная модель базы данных

объектно-реляционная модель базы данных

откат

представлять на рассмотрение

точка сохранения/контрольная точка контрольно-пропускной пункт

Используйте механизмы блокировки для борьбы с угрозой параллельных операций.

Некоторые фрагменты информации не являются конфиденциальными по отдельности, но являются конфиденциальными вместе.

Решение

Решение

Принципы КИСЛОТЫ

OLAP — основное приложение систем хранения данных.

Подходит для лиц, принимающих решения, и старших менеджеров

Для обеспечения поиска информации и анализа данных несколько баз данных или источников данных объединяются в одну большую базу данных.

сбор данных

Механизм логического вывода

база знаний

время

Хранилище

вандализм

финансовое мошенничество

привилегированный доступ

Кража информации о транзакции

кража интеллектуальной собственности

атака отказа в обслуживании

SAML

Критическая устойчивость и непрерывность бизнеса

Обеспечиваем регулярное обслуживание различных активов.

Защитите активы от повреждений

Поддерживать контроль над доступом пользователей к критически важным для бизнеса системам.

Обеспечьте сдержки и противовесы для различных учетных записей (особенно привилегированных учетных записей), чтобы гарантировать, что эти учетные записи станут разумными потребностями бизнеса.

Управление изменениями, конфигурацией и проблемами ИТ-услуг

Программы, связанные с безопасностью, такие как распределение пользователей и программы службы поддержки.

Сосредоточьтесь на практиках непрерывного совершенствования отчетности и обслуживания.

должная забота, должная забота

должная осмотрительность, должная осмотрительность

Сервисный аккаунт

Учетная запись, которая выполняет скрипт

Предоставление пользователей Конфигурация пользователя (подготовка активации)

управление их доступом в нескольких системах управление их доступом в нескольких системах

собственные системы контроля доступалокальные системы контроля доступа

нужно знать, нужно знать

У меня восточная привилегия, наименьшая привилегия

Привилегированный аккаунт

Обычная или ограниченная учетная запись пользователя

Определение: разбиение ключевой задачи на несколько частей, при этом каждую часть выполняет отдельный человек.

Цель

причина

Системный администратор

оператор

администратор безопасности

Персонал службы ИТ-поддержки/службы поддержки

обычный пользователь

Лицензирование, пригодность и проверка биографических данных

В следующих ситуациях не следует предоставлять доступ (например, на основании журналов IDS и брандмауэра доступ к IP-адресу должен быть немедленно заблокирован, но не корректировка часов или удаление журналов и т. д.)

Проверка учетной записи Проверка учетной записи

Ротация должностей Ротация должностей

работа двух человек (правило двух пн)

Двойное управление

Обязательные отпускаОбязательные отпуска

разница

Обязанности администратора безопасности

Следует установить пороговое значение для количества случаев возникновения определенной ошибки. Если этот порог будет превышен, соответствующее поведение будет подозрительным или запрещенным.

Целью установки порогов сигнализации ошибок является использование пороговых значений, мониторинг и аудит для своевременного обнаружения проблем и предотвращения больших потерь.

необычные или необъяснимые события; Отклонения от стандартов, инциденты безопасности, отклоняющиеся от стандартов; Нерегулярная первоначальная загрузка программы (перезапуск) касается невинного перезапуска устройств; Представление и управление активами подразумевает понимание всего во всей среде: аппаратного обеспечения, встроенного ПО, операционной системы, языковой среды выполнения, приложений и различных библиотек; Контроль системы: обеспечение выполнения инструкций в правильном контексте; Доверенное восстановление: механизмы и процедуры, необходимые для обеспечения того, чтобы сбои и сбои в работе не подрывали безопасную работу системы; Контроль ввода и вывода. Ввод и вывод приложения напрямую связаны, поэтому необходимо отслеживать ошибки задач и возможное поведение управляющих входов; Улучшение системы: Jin Yong не нуждается в усилении конфигурации безопасности системы; Безопасность удаленного доступа: команды и данные не должны передаваться в открытом виде, вместо telnet следует использовать SSH, управление должно осуществляться локально, а не удаленно, для выполнения этой удаленной функции должна быть реализована строгая аутентификация; любые подвешивания; любой доступ посторонних лиц.

Целью доверенного восстановления является обеспечение сохранения безопасности и функциональных функций системы в случае сбоев и перебоев в работе. Для достижения вышеуказанных целей система должна включать в себя ряд механизмов для поддержания безопасного состояния при этом; происходят заранее определенные сбои или перерывы;

Перезапуск системы: контролируемое завершение работы системы. Перед перезапуском данные все еще находятся в противоречивом состоянии. Перезапустите систему и войдите в состояние обслуживания, чтобы автоматически выполнить восстановление и привести систему в согласованное состояние.

Холодный запуск системы: механизм автоматического восстановления не может привести систему в согласованное состояние, и администратор вручную вмешивается, чтобы восстановить систему из режима обслуживания в согласованное состояние (метод запуска, используемый для предотвращения атак с поражением);

Войдите в однопользовательский или безопасный режим

Устранение проблем и восстановление файлов

Определите критические файлы и операции

Запри шкаф

Физический контроль Технический контроль

Создайте образ печатной копии под названием мастер-диск Gold Master (GM).

Сосредоточьтесь на обнаружении и устранении уязвимостей

Правильно настройте компоненты

Несанкционированный доступ, внедрение вирусов и вредоносного кода и т. д.

Используйте технологию VPN для безопасного доступа к сети

Передача данных шифруется даже при использовании технологии VPN.

Примите строгие меры аутентификации

Управление критически важным оборудованием осуществляется локально, а не удаленно.

Ограничьте количество администраторов с удаленным доступом до минимума.

Контроль доступа к физическим объектам — первый барьер на пути защиты объектов

глубокоэшелонированная защита

При выборе охранника важнее провести проверку и подобрать надежный персонал.

1. Бренд 2. Модель 3. MAC-адрес 4. Серийный номер 5. Версия ОС или прошивки 6. Местоположение 7. BIOS и другое оборудование 8. Присвоенный IP-адрес (если имеется) 9. Этикетки или штрих-коды для управления активами организации.

1. Название программного обеспечения 2. Поставщик 3. Пароль или код активации. 4. Тип и версия лицензии. 5. Количество лицензий 6. Количество лицензий 7. Согласованность лицензии 8. Администратор библиотеки программного обеспечения организации или администратор активов. 9. Контактное лицо организации, где установлено программное обеспечение. 10. Обновление, полная или ограниченная лицензия

Эксперты по безопасности могут быстро найти и устранить уязвимости, связанные с типом и версией оборудования.

Знание типа и местоположения оборудования в сети может упростить идентификацию затронутых устройств.

Неавторизованные устройства в сети можно обнаружить путем сканирования.

Регистрация и отслеживание изменений конфигурации обеспечивает гарантию целостности и доступности сети.

Регулярные проверки на предмет несанкционированных изменений

Запросы

Оценка воздействия Оценка воздействия

Одобрение/неодобрение Одобрение/неодобрение

Сборка и тестирование Сборка и тестирование

Уведомление

Выполнение

Проверка

Запись документации

Получите устное разрешение

Должны быть соответствующие планы тестирования и отката.

После этого сделайте записи и официальное разрешение.

ECAB (Консультативный совет по чрезвычайным изменениям)

Аварийное переключение

Балансировка нагрузки

Что

Почему

Важный раздел

компенсация

SLA не подлежит передаче

Как проверить SLA

Примеры показателей юзабилити

SLA для проверки пригодности

запчасти

резервная система

кластер

сетевые вычисления

Резервные (или двойные) источники питания

UPS

Альтернативные источники энергии (например, дизельные генераторы)

САН и NAS

Дешевый резервный дисковый массив RAID

Прямой доступ против последовательного доступа к устройствам хранения данных

Резервный независимый ленточный массив RAIT

теневое копирование базы данных (в реальном времени)

Система резервного копирования и восстановления

Кадровая гибкость

Доступное время системы

Предоставляет надежный интерфейс для функций привилегированных пользователей.

Предоставляет средства, гарантирующие, что связь, использующая этот путь, не будет нарушена или повреждена.

Типичные меры

Автоматически включается в случае сбоя (например, отключения электроэнергии)

Обеспокоенность за безопасность жизни или системы

Автоматическая блокировка в случае неисправности (например, перебой в подаче электроэнергии)

Сосредоточьтесь на контролируемой блокировке доступа после сбоя, когда система находится в несогласованном состоянии.

Аппаратное обеспечение требует соответствующих мер физической безопасности для обеспечения требуемой конфиденциальности, целостности и доступности.

Доступ должен быть ограничен к терминалам оператора и на работе.

Доступ к объектам должен быть ограничен

Мобильные активы должны быть защищены

Оборудование для печати должно быть расположено в Приложении для авторизованных пользователей.

Сетевые устройства являются ключевыми активами и нуждаются в защите.

Список адресов электронной почты или IP-адресов и т. д., внесенных в список «хороших» отправителей.

Список «плохих» отправителей

Невозможно судить, хорошо это или плохо. Грейлистинг сообщит серверу-отправителю электронной почты быстро отправить письмо повторно.

Некоммерческая организация

Отслеживайте операции и источники интернет-спама

Обеспечить эффективную защиту от спама в Интернете в режиме реального времени.

Действует как сервер-ловушка для сбора информации о злоумышленниках или злоумышленниках, действующих в системе.

Технология виртуализации программного обеспечения

Позвольте программам и процессам работать в изолированной среде

Ограничить доступ к другим системным файлам и системам

Замена традиционному антивирусу

Вредоносное ПО использует различные методы, чтобы избежать обнаружения.

установлен на отдельных хостах, в системах, развернутых на отдельных хостах и ​​системах

Шлюз безопасности Unified Threat Management (UTM)

Постоянные обновления. Постоянно обновляйте вирусную базу (обновляется каждый день).

отслеживаются, чтобы убедиться, что они по-прежнему активны и эффективны. Мониторинг, чтобы гарантировать, что антивирусные системы по-прежнему активны и эффективны.

автоматическое сканирование на наличие новых мультимедийных файлов и вложений электронной почты. Разверните политику автоматического сканирования для мультимедийных файлов и вложений электронной почты.

Сканирование следует планировать и выполнять на регулярной основе. Сканирование следует планировать и выполнять на регулярной основе.

экологические проверки экологический мониторинг

Динамическое тестирование безопасности приложений Динамическое тестирование безопасности приложений (DAST)

Создайте среду непрерывной настройки для защиты операционных систем и приложений от известных уязвимостей.

Зачастую, когда производители обновляют версии, они не указывают причины и причины обновления.

Одобрено ли это руководством?

Соблюдение политик управления конфигурацией

Стоит ли учитывать использование полосы пропускания

Стоит ли учитывать доступность услуги

это лучшая практика для управления исправлениями

Технология виртуализации упрощает создание лаборатории тестирования исправлений.

Некоторые меры контроля могут смягчить воздействие уязвимостей программного обеспечения, таких как брандмауэры, IDS и т. д., и дать нам время на тестирование исправлений.

Патчи для реверс-инжиниринга Патчи для реверс-инжиниринга

Экспертам по безопасности необходимо определить, является ли это уязвимостью.

Нужно ли обновлять патч?

Руководство и владельцы систем решают, следует ли обновлять исправления.

Исправления обновлений были протестированы, и остаточные риски устранены.

После завершения обновления его необходимо проверить в производственной среде.

После завершения развертывания убедитесь, что все соответствующие машины обновлены.

Записывать все изменения

Важный раздел

Приоритизация и планирование PacthПриоритет исправлений и планирование заданий

Широта и глубина патч-тестирования

Процесс тестирования исправлений начинается с приобретения обновлений программного обеспечения и непрерывного приемочного тестирования после производственного развертывания.

Требуется верификация при получении патчей

Тестирование после завершения проверки исправления

Изменения важны на каждом этапе управления исправлениями

Приложения для исправления должны включать в себя планы действий в чрезвычайных ситуациях и резервные возможности.

Включите стратегии снижения рисков в свою программу управления изменениями.

Программа управления изменениями включает план мониторинга и принятия.

На этапе развертывания управления исправлениями должны присутствовать опытные администраторы и инженеры.

Установка и развертывание означает, что исправления и обновления для производственных систем фактически внедряются.

Техническим фактором, влияющим на развертывание исправлений, является выбор инструмента.

Развертывание исправлений безопасности

Регулярные аудиты и оценки позволяют оценить успех и масштабы управления исправлениями.

два вопроса

критические факторы успеха

Обнаружение и аудит системы как часть процесса аудита и оценки

сканирование уязвимостей

Тип уязвимости

Сканирование на базе хоста

Применить сканирование безопасности

Сканирование безопасности базы данных

общие рамки

Направляйте все действия, связанные с инцидентами, и направляйте персонал службы безопасности по заранее определенному и заранее разрешенному пути решения.

Опишите предпринятые действия с учетом ролей и ответственности сторон, вовлеченных в инцидент.

Виртуальный команда

Выделенная команда

Команда гибридного режима

Аутсорсинговые ресурсы

Содержит практические этапы обнаружения, идентификации и уведомления;

Классифицировать события в соответствии с их потенциальным уровнем риска, на который влияют тип события, источник (внутренний или внешний), скорость роста и возможности подавления ошибок;

Обработка ложноположительных событий/ложноположительных результатов занимает больше всего времени;

Если это реальное событие, необходима классификация (исходя из потребностей организации) и классификация (определяющая уровень потенциального риска или критичности события).

Непосредственно занимается анализом, интерпретацией, реагированием и восстановлением событий;

Расследование предполагает сбор соответствующих данных, которые будут использоваться в анализе и на последующих этапах;

Руководство должно определить, участвуют ли правоохранительные органы в расследовании, сборе доказательств для судебного преследования или просто латают лазейку;

Сдерживать инциденты и снижать их влияние;

Стратегия истощения (пример: отключение зараженного хоста от сети и взятие его под контроль)

Меры по смягчению последствий должны основываться на типе атаки, активах, затронутых инцидентом, и критичности этих активов;

Проведение цифровой криминалистики для сохранения судебно-медицинских доказательств

Соберите больше данных (журналы, видео, активность системы и т. д.) на этапе анализа, чтобы попытаться понять основную причину инцидента и определить, был ли источник инцидента внутренним или внешним, а также как злоумышленник проник;

Экспертам по безопасности необходимо сочетание реального обучения и реального опыта, чтобы правильно объяснить, и им часто не хватает времени;

Отслеживание часто идет рука об руку с анализом и проверкой и требует устранения источников ложных версий или преднамеренного запугивания;

Также важно то, что необходимо сделать после того, как основная причина определена и прослежена до истинного источника.

Цель состоит в том, чтобы восстановить работоспособность бизнеса, вернуть затронутые системы в производство и обеспечить согласованность с другими видами деятельности.

Сделайте необходимый ремонт, чтобы подобное не повторилось;

восстанавливаться

Политика и процедуры Политика и процедуры должны быть определены.

Самый важный и легко упускаемый из виду этап — это этап отчетности и обратной связи;

Организации часто многому учатся на событиях и идут от ошибок к успеху;

Для разбора полетов необходимы все члены команды, включая представителей каждой команды, пострадавшей от инцидента;

Преимущество состоит в том, что на этом этапе можно развивать или отслеживать эффективность работы группы реагирования путем сбора значимых данных;

Показатели измерения могут определять распределение бюджета, кадровые потребности, исходные показатели и демонстрировать осмотрительность и рациональность;

Трудность заключается в проведении статистического анализа и показателей, значимых для организации.

Одним из недостатков системных журналов является то, что они предоставляют представление об одной системе. Недостаток системных журналов заключается в том, что они могут предоставить только одну точку зрения на систему и не могут предоставить журналы и информацию о связанных событиях, связанных с несколькими системами.

Предоставьте общую платформу для сбора, сопоставления и анализа журналов в режиме реального времени. Обеспечьте общую платформу для сбора, сопоставления и анализа журналов в реальном времени.

предоставлять отчеты об исторических событиях, используя информацию журнала из нескольких источников

Системы управления журналами похожи. Системы управления журналами похожи.

Поддерживать дисциплинированную практику хранения и архивирования журналов. Поддерживать строгую дисциплину хранения и архивирования журналов.

Современные инструменты отчетности также можно использовать для преобразования информации о событиях безопасности в полезную бизнес-аналитику. Современные инструменты отчетности также можно использовать для преобразования информации о событиях безопасности в полезную бизнес-аналитику.

Выбор стратегии восстановления должен отвечать потребностям организации.

Целевое время восстановления (RTO) Целевая точка восстановления (RPO)

Метод резервного копирования

Двойной центр обработки данных Двойной центр обработки данных (резервный сайт)

горячие сайты для фотоснимков

Теплый сайт

Холодный СайтХолодная Война

мобильный сайтмобильный сайт

Взаимные соглашенияВзаимные соглашения

аутсорсинг аутсорсинг

СР включает реагирование, людей, общение, оценку, восстановление и обучение.

Процесс должен быть записан

Стратегия непрерывного тестирования на организационном уровне

Стратегия и план тестирования

Восстановление документов при различных инцидентах

Документация должна храниться на всех объектах утилизации.

Документ должен быть достаточно подробным для операции технического восстановления, чтобы люди с соответствующими навыками могли выполнить его в первый раз.

Каждый раз проверяйте план восстановления и при необходимости обновляйте его.

Уведомляйте группу централизованной связи об инцидентах после их возникновения.

план реагирования

Исполнительная группа по управлению чрезвычайными ситуациями

команда управления чрезвычайными ситуациями

Команда аварийного восстановления

командный центр

первоначальный план реагирования

персонал

Уведомить сотрудников

Заинтересованные стороны

как сказать

Специалистам по безопасности необходимо наладить процессы отчетности и управления проблемами.

конференц-мосты

В случае инцидента необходимо определить влияние инцидента.

уровни или категории

Последняя часть плана касается восстановления основной среды и перехода к нормальной работе (реконструкции).

Другие части организации занимаются восстановлением организации резервного сайта.

Часть внимания уделяется тому, что необходимо сделать, чтобы вернуться в производственную среду основного предприятия.

Прежде чем восстанавливать основной сайт, вам необходимо обратиться в юридический отдел и в страховую компанию.

План миграции должен документировать процесс и подробную информацию о том, как мигрировать.

Замена активов

Каким бы хорошим ни был план, он не сработает, если о нем никто не знает.

возглавлять команду

Техническая команда

сотрудник

стратегия тестирования

Стратегия тестирования содержит цели и объем тестирования.

Стратегия тестирования включает план тестирования.

Объем и цели тестирования

Проверьте RTO и RPO посредством тестирования

стратегия тестирования

восстановление бизнеса восстановление бизнеса

Аварийное восстановлениеАварийное восстановление

Распространите копии BCP/DRP среди менеджеров каждого ключевого бизнес-подразделения.

Попросите их просмотреть части плана, подходящие для их отдела.

Как инструмент для планирования первоначального тестирования

Цель

Функции

Содержит больше контента, чем настольное прохождение.

Примите участие в выборе конкретных сценариев событий для применения в BCP.

Основная цель — определить, можно ли восстановить критически важные системы на резервной станции обработки (DRP), если персонал применит процедуры, указанные в BCP.

Сравните результаты работы резервного сайта с результатами работы основного сайта.

Переключиться на резервный сайт

Любая команда обязана участвовать в процессе контроля изменений.

Документы по планированию и все связанные с ними процедуры пересматриваются каждые три месяца.

Формальный аудит программы не реже одного раза в год

Планы должны контролировать версии

От проекта к программе

компьютерная криминалистика, цифровая криминалистика и сетевая криминалистика для обнаружения электронных данных, киберкриминалистика и криминалистические вычисления.

На основе методологических, проверяемых и проверяемых процедур и протоколов.

Опознавание доказательств Опознание доказательств

Сбор или получение доказательств Сбор или получение доказательств

Исследование или анализ доказательств. Исследование или анализ доказательств.

Презентация результатовПредставление доказательств

1. Определите место происшествия

2. Защищайте окружающую среду

3. Определить доказательства и потенциальные источники доказательствОпределить доказательства и потенциальные источники доказательств

4. Соберите доказательстваСоберите доказательства

5. Минимизировать степень загрязнения

физическая среда

виртуальная среда

динамические доказательства

мотивация

Шанс

Способ

Часто используемые методыMO

Закон обмена Рокка

При работе с цифровыми доказательствами необходимо применять все общие судебно-медицинские и процессуальные принципы.

Акт сбора доказательств не может изменить доказательства

Когда человеку необходимо получить доступ к цифровым доказательствам стипендиата, этот человек должен пройти соответствующее обучение.

Все действия, связанные с изъятием, доступом, хранением или передачей цифровых доказательств, должны быть полностью задокументированы, сохранены и доступны для проверки.

Когда цифровые доказательства находятся в чьем-либо владении, это лицо должно нести ответственность за все действия, связанные с цифровыми доказательствами.

Любая организация, ответственная за сбор, доступ, хранение и передачу данных, несет ответственность за соблюдение этих принципов.

Речь идет о том, что носители доказательств должны иметь четкие записи (Документ) и ответственность (Подотчетность) от первоначального сбора и идентификации до транспортировки, использования, промежуточного хранения и окончательного хранения и архивирования, чтобы гарантировать, что оригинальные носители доказательств отсутствуют. вероятность заражения (Contaminate) и взлома (Tamper);

На протяжении всего жизненного цикла доказательств все зависит от их обработки: кто, что, когда, где и низко;

Обеспечивать подлинность и целостность доказательств с помощью хеша (SHA-256) и цифровых подписей;

Самая деликатная часть расследования — допрос свидетелей и подозреваемых;

Собеседованиям должно предшествовать рассмотрение стратегии, уведомление руководства и обращение к юрисконсульту компании;

Не проводите собеседование в одиночку. Если возможно, запишите весь процесс собеседования в качестве доказательства;

Классификация доказательств

Характеристики доказательств

компьютерные журналы

Любые действия, предпринятые в результате расследования, не должны изменять данные на носителе или цифровом устройстве;

Люди, имеющие доступ к данным, должны иметь соответствующую квалификацию и уметь объяснять свои действия.

Журналы аудита или другие записи, подходящие для аудита третьей стороны и применимые к процессу, должны создаваться и защищаться, а каждый этап расследования должен быть точно документирован.

Лица, ответственные за расследование, должны нести полную ответственность за обеспечение упомянутых выше процедур и соблюдение государственных законов.

Что касается поведения людей, собирающих данные, они не должны изменять доказательства.

Когда необходимый персонал имеет доступ к оригинальным доказательствам, это должно быть юридически обосновано.

Действия, связанные со сбором, доступом, хранением или передачей цифровых доказательств, должны тщательно регистрироваться, сохраняться и предоставляться для проверки.

Когда цифровые доказательства находятся у кого-то, этот человек должен тщательно записывать, сохранять и предоставлять их для проверки.

Когда цифровые доказательства находятся у кого-то, это лицо должно нести полную ответственность за действия, предпринятые в отношении доказательств.

Медиа-анализ: восстановление информации или доказательств из информационных носителей.

Веб-анализ: анализ и изучение веб-журналов и веб-активности, используемых в качестве потенциальных доказательств.

Анализ программного обеспечения: анализируйте и проверяйте программный код (включая исходный код, скомпилированный код и машинный код), используйте методы декодирования и обратного проектирования, включая идентификацию автора и анализ контента и т. д.;

Анализ аппаратного/встроенного устройства: должен включать анализ мобильных устройств;

Поставщики услуг совершают несколько мелких преступлений в надежде, что они, объединенные в более крупное преступление, не привлекут внимания.

Произошла манипуляция при вводе данных

Захват паролей, передаваемых между компьютерами

Злоумышленник не хочет, чтобы другие знали его настоящий адрес, поэтому он меняет IP-адрес пакета так, чтобы он указывал на другой адрес.

Просматривайте мусорные баки других людей в поисках выброшенных документов, информации и других ценных предметов, которые могут быть использованы против этого человека или компании.

Пассивная атака. Инструментами, используемыми для подслушивания сообщений, могут быть сканеры беспроводных телефонов, радиоприемники, микрофонные приемники, диктофоны, сетевые снифферы и т. д.

Это относится к тому, кто покупает доменное имя с целью использования аналогичного доменного имени для нанесения ущерба компании или вымогательства денег.

Опыт T&E заключается в обеспечении раннего понимания сильных и слабых сторон системы в процессе разработки на протяжении жизненного цикла системы.

Осведомленность, необходимая для управления рисками

Эмпирические данные для проверки моделей и симуляций

Тестирование технической производительности и зрелости системы

Определение эффективности эксплуатации и технического обслуживания, технологичности и производственной мощности.

Выявлять, управлять и снижать риски

Что нужно знать, чтобы управлять рисками

Эмпирические данные для проверки моделей и симуляций

Тестирование технической производительности и зрелости системы

Определение эффективности эксплуатации и технического обслуживания, адаптивности и живучести.

Работать с организациями-спонсорами для разработки или оценки стратегий ТиО для поддержки приобретения/развития программ;

Предоставить методы ТиО, позволяющие глубоко управлять рисками;

Мониторинг процессов ТиО и изменений, которые могут потребоваться

Оценивать и предоставлять рекомендации по пригодности планов тестирования и процедур для тестирования разработки или эксплуатационного тестирования;

Ожидается также, что он поймет обоснование процедур приобретения/разработки для создания и реализации стратегий ТиО;

Ожидайте понимания конкретных видов деятельности T&E-тестирования, таких как тестирование совместимости;

Эту группу часто называют командой интегрированного продукта T&E, и она состоит из экспертов T&E, представителей пользователей-клиентов и других заинтересованных сторон;

Стратегия ТиО — это живой документ, и группа несет ответственность за ее обновление по мере необходимости.

Группе необходимо убедиться, что процесс T&E включает в себя стратегии приобретения и что система соответствует эксплуатационным требованиям на основе используемых возможностей.

Проводить проверки и судебные расследования

Например, анализ журнала маршрутизации помогает выявить инциденты безопасности, нарушения политик, мошеннические действия и эксплуатационные проблемы.

Поддержка внутренних расследований

Установите базовый уровень

Выявлять операционные тенденции и выявлять долгосрочные проблемы

Необходимо сбалансировать ограниченные ресурсы управления журналами с постоянно генерируемыми данными журналов.

Производство и хранение бревен

Необходимость защиты целостности, конфиденциальности и доступности журналов.

Обеспечьте безопасность, системные и сетевые администраторы регулярно и эффективно анализируют данные журналов.

Определить требования и цели ведения журналов

Требования и рекомендации по ведению журналов должны быть созданы вместе с ресурсами и методами детального анализа, необходимыми для внедрения и ведения журналов.

Защита необработанных журналов

Оптимизируйте требования к журналам на основе предполагаемого снижения организационных рисков, а также ресурсов и ожидаемого времени, необходимых для управления журналами.

Установите обязанности и роли по управлению журналами

Архитектура управления журналами включает в себя аппаратное обеспечение, программное обеспечение, сети и носители, используемые для создания, передачи, хранения, анализа и обработки журналов.

При разработке структуры управления журналами следует учитывать текущие и будущие потребности структуры управления, а также независимые источники журналов в организации.

Системные администраторы должны получать адекватную поддержку

Включая распространение информации, проведение обучения, предоставление контактных лиц для ответов на вопросы, предоставление конкретных технических рекомендаций, предоставление соответствующих инструментов и документов и т. д.

Обязанности администратора журнала

Процесс управления журналом

Источник журнала

испытание

ключевые практики

Методы веб-мониторинга, предназначенные для сбора или анализа каждой транзакции каждого пользователя в Интернете или приложении.

Также известно как измерение реальных пользователей, метрики реальных пользователей или мониторинг опыта конечных пользователей (EUM).

Пассивный мониторинг Метод пассивного мониторинга

Режим монитора

упреждающий мониторинг Проактивный или превентивный подход к мониторингу

Не отслеживает фактические сеансы пользователей

Клиент полностью управляем полный контроль над клиентом

Программное обеспечение Microsoft System Center для управления операциями

Увеличение значения

Неподходящие шаблоны программирования, такие как отсутствие проверок, влияющих на пользовательские данные, SQL-инъекция (проверка ввода)

Несоответствие инфраструктуры безопасности: чрезмерный контроль доступа или слабая конфигурация шифрования;

Функциональные ошибки в инфраструктуре безопасности: сами средства контроля доступа не ограничивают доступ к системе;

Логические ошибки в процессе реализации: Например, пользователь размещает заказ, не оплатив его.

Небезопасное взаимодействие между компонентами

Управление рискованными ресурсами (Risy Resource Management)

Пористая защита

Белый ящик (структурное тестирование/тестирование открытого ящика) VS. Тестирование черного ящика (функциональное тестирование/тестирование закрытого ящика).

Динамическое тестирование против статического тестированияДинамическое тестирование против статического тестирования

Руководство против автоматизации Ручное тестирование и автоматическое тестирование

Обзор безопасности архитектуры

Моделирование угроз Моделирование угроз

Статический анализ исходного кода (SAST) и ручная проверка кода (статический анализ кода и ручная проверка кода)

Статический анализ двоичного кода и ручной двоичный анализ (статический анализ двоичного кода и ручной двоичный анализ)

Ручное или автоматическое тестирование на проникновение

Автоматическое сканирование уязвимостей

Инструменты нечеткого тестированияИнструменты нечеткого тестирования

Рекомендуется использовать технологию пассивного тестирования безопасности для мониторинга поведения системы и анализа системных журналов.

Во время обслуживания программного обеспечения очень важно проводить тестирование исправлений.

Тестирование программного обеспечения имеет свои ограничения, и невозможно выполнить 100% тестирование.

Планы тестирования и тестовые примеры должны разрабатываться как можно раньше на этапе разработки программного обеспечения.

Тестирование безопасности программного обеспечения обычно начинается с тестирования на уровне модуля и заканчивается тестированием на уровне системы.

Структурированное тестирование (тест «белого ящика»/тест «хрустального ящика») тест распаковки

Тестовые сценарии основаны на знаниях, полученных из исходного кода, подробных спецификаций проекта и других документов разработки;

Покрытие заявленийПокрытие заявлений

Покрытие условийПокрытие условий

Покрытие с несколькими условиямиПокрытие с несколькими условиями

Покрытие петли Покрытие петли

покрытие пути покрытие пути

Покрытие потока данныхПокрытие потока данных

Тестовые случаи определяются на основе того, что именно должен делать программный продукт;

Основными проблемами тестовых примеров являются предполагаемое использование и функциональность программы, а также внутренние интерфейсы программы;

Функциональное тестирование должно применяться к любому уровню тестирования программного обеспечения, от модульного тестирования до тестирования на уровне системы.

Обычный случайОбычный вариант использования

Выходные требования к принудительному выходу

Надежность

Комбинации входов Комбинации входов

слабостьслабость

Обеспечивает высокое структурное покрытие.

Создавать случайные данные из распределения, определенного в зависимости от операционной среды (целевое использование, опасное использование или злонамеренное использование программного продукта);

Генерация больших объемов тестовых данных и их использование для покрытия конкретных областей или проблемных областей обеспечивает повышенную вероятность выявления индивидуальных и чрезвычайно редких условий эксплуатации, которые не были предусмотрены проектировщиками и испытателями.

причина

Цель

Тестирование на уровне модуля (модуля или компонента)Юнитное тестирование

Тестирование уровня интеграции Интеграционное тестирование (тестирование интерфейса между модулями)

Тестирование на уровне системыСистемное тестирование

Вступительный тест

Системное тестирование покажет поведение продукта, на который вы смотрите, в конкретной среде;

Процедуры испытаний, данные испытаний и результаты испытаний должны быть документированы таким образом, чтобы можно было принимать решения о прохождении/непрохождении;

Корпоративные программные продукты сложны, и тестирование программных продуктов должно обеспечивать согласованность, полноту и эффективность;

Задачи обслуживания программного обеспечения отличаются от обслуживания оборудования. Для оборудования предусмотрены профилактические меры, а для программного обеспечения — нет.

Требует эффективной проверки изменений;

Пересмотр плана проверки программного обеспеченияПересмотр плана проверки программного обеспечения

Проверка аномалий

Выявление проблем и отслеживание их решенияВыявление проблем и отслеживание их решения

Предлагаемая оценка измененийЗапросить оценку изменений

Итерация задачиИтерация задачи

Обновление документации Обновление документации

Тестовые случаи с точки зрения обычных пользователей, использующих систему

Варианты использования с точки зрения злоумышленника в отношении системы

Убедитесь, что приложение работает должным образом и завершится сбоем, если во время прямого тестирования будут обнаружены ошибки.

Убедитесь, что ваше приложение правильно обрабатывает недопустимый ввод или неожиданное поведение пользователя.

В основном путем проверки синхронизации различных компонентов разработки приложения или системы друг с другом.

На техническом уровне тестирование интерфейса в основном используется для определения того, передаются ли различные функции, такие как данные, так, как задумано, в разных элементах системы.

Используется для обеспечения качества программного обеспечения.

1. Discovery, сбор соответствующей информации о целевом Discovery.

2. Перебор, выполнение методов сканирования портов и идентификации ресурсов.

3. Исследование уязвимостей, выявление уязвимостей в выявленных системах и ресурсах.

4. Эксплуатация, попытка использования уязвимости для получения несанкционированного доступа.

5. Отчитываться перед руководством и предоставлять руководству отчеты и предложения по безопасности.

Тестирование «черного ящика», нулевое понимание, команда проникновения тестирует без понимания целей тестирования

Тестирование серого ящика, тестирование, основанное на знании некоторой информации, связанной с целью тестирования.

Тестирование белого ящика, тестирование, основанное на понимании сути цели

0 знаний

частичное знание

все знания

Наберите ряд телефонных номеров, чтобы найти доступные модемы.

Некоторые организации до сих пор используют модемы в качестве коммуникационного оборудования.

Военный набор номера — это форма вторжения в сеть организации, предназначенная для обхода межсетевых экранов и систем обнаружения вторжений (IDS).

Атаки с военным набором номера включают попытки получить доступ к внутреннему компьютеру и сетевым ресурсам организации, например, посредством доступа, что облегчает взлом.

Самооценочный тест

Уязвимость ядра

Переполнение буфераПереполнение буфера

Символические ссылки Символические ссылки

Атаки на файловые дескрипторы атака по описанию файла

Условия гонки Условия гонки (В многопроцессной и многопоточной среде)

Разрешения для файлов и каталогов Разрешения для файлов и каталогов

Осведомленность, используемая для определения текущей информационной безопасности, уязвимостей и опасностей. Пользователи поддерживают решения по рискам информационной безопасности организации;

Любые усилия и процессы по поддержке мониторинга информационной безопасности в организации должны начинаться со сложной стратегии ISCM, определенной высшим руководством.

Он основан на четком понимании организационной толерантности к рискам и помогает компаниям устанавливать приоритеты и согласовывать риски во всей организации;

Включите показатели, которые обеспечат истинное значение состояния безопасности на всех уровнях организации;

Обеспечить постоянную эффективность всех мер безопасности;

Проверять соответствие требованиям информационной безопасности, определяемым корпоративной идентификацией/бизнес-функциями, национальными законами и правилами, руководящими принципами и руководящими стандартами;

Все ИТ-активы организации информируются и помогают поддерживать прозрачность безопасности активов;

Обеспечить контроль знаний об изменениях в организационных системах и среде;

Поддерживать осведомленность об угрозах и уязвимостях.

Непрерывный мониторинг информационной безопасности (ISCM) федеральных информационных систем и организаций

Программа ISCM создана для сбора данных на основе прогнозных показателей, отчасти посредством внедренных мер безопасности для использования содержания изменения информации.

Организационно дисциплинированный мониторинг рисков не может быть эффективно достигнут, полагаясь исключительно на ручные или автоматизированные процессы.