CISSP 重点知识点总结3

CISSP 重点知识点总结-3-安全工程

安全工程

第 6 章 密码学和对称密钥算法

术语和基本概念

密码学 Cryptology : 涉及隐藏、伪装或加密信息的科学
密码系统 Cryptosystem: 是指密码操作整体，其中包括软件、算法、协议、密钥和密钥管理功能
**算法 Algorithm: ** 加密和解密流程的数学函数 (数学运算)
密钥 Key： 密码算法运算的输入(运算参数)
密钥空间 Key Space： 一个密码算法或其他安全措施(如口令)中密钥可能值的总数
工作因子 Work Factor： 击破一项保护措施所需要付出的时间和精力(破解难度)
明文 Plaintext/Cleartext： 消息的天然格式 (明文是人类可读的)
**密文 Ciphertext/Cryptogram：**明文加密后得到的信息。(人不可理解其内容)
编码 Encoding： 通过一种代码把一条消息转变成另一种格式的做法 (为了某种规范，通常用于确保消息的完整性而非保密性)
解码 Decoding： 编码的逆向流程
**加密 Encryption： ** 系把消息从明文转变成密文的过程
解密 Decryption： 系加密的逆向流程
替代 Substitution： 用一个字母或字节替换另一个字母或字节的过程 (非原文)
换位 Transposition： 重排明文顺序以隐藏消息的过程 (原文打乱顺序)
混淆（扰乱） Confusion： ： 通过混合（改变）各轮次加密过程中使用的密钥值形成 (使密文与密钥统计关系变得更加复杂, 随机性替代
扩散 Diffusion： 让明文中的每一位影响密文中的许多位，或者说让密文中的每一位受明文中的许多位的影响 (隐蔽明文的统计特性， 随机性换位
雪崩效应 Avalanche Effect： 密钥或明文哪怕发生一点微小变化, 也会使得出的密文发生重大变化. 这也是强散列算法的一个特点
初始向量 Initialization Vector： 一种非保密二进制向量，在给密文块按顺序加密时用作初始化输入算法，引入附加密码方差，可提高安全性(增加破解难度)
同步 Synchronous： 每个加密或解密请求都被立即处理
异步Asynchronous： 加密/解密请求排队等待处理. 可以利用硬件设备和多处理器系统来加快加密运算速度
哈希函数 Hash function： 任意长度的输入, 通过散列算法, 变换成固定长度的输出, 该输出就是散列值 (输出固定, 输入不同输出不同, 无法逆推)
**密钥汇聚 Key Clustering: ** 不同的加密密钥从同一条明文消息生成相同的密文
密码分析 Cryptanalysis： 试图破解密码技术(分析算法、破解秘钥)
碰撞 Collision： 不同的信息散列值相同
数字签名 Digital Signatures： 原文（明文或加密后的密文）经哈希算法得出散列值，该散列值用发送者私钥加密得出的散列值密文。（完整性、抗抵赖性)
数字证书 Digital Certificate: 电子文件，内含机构名称或个人姓名、公司地址、发放该证书的发证机构的数字签名、证书持有人的公钥、证书序号和到期日
**证书颁发机构（CA） Certificate Authority：**发放 、撤销和管理数字证书的权威机构
注册机构（RA） Registration Authority： 代表CA提供证书注册服务的机构，对用户身份进行验证
不可抵赖 Nonreputation： 一项安全服务，保留了证据，使数据的发送者和接收者都不能否认自己参加过所涉通信。（分为原发不可抵赖，接收不可抵赖)
对称的 Symmetric： 加密、解密使用同一密钥
非对称的 Asymmetric： 加密、解密使用不同密钥(公钥、私钥。公钥可交换，私钥永远自己持有)

• 密码学的目标

  机密性, 完整性, 身份验证（真实性）, 不可否认性（抗抵赖）

• 密码学概念

  • Cryptology(密码学) : Cryptography(密码术) Cryptanalysis(密码分析/密码破译)
  • 扩散 Diffusion : 明文和密文的关系尽可能复杂,单独一个明文位会影响到若干密文位
  • 混淆 Confusion : 密文和密钥之间的关系尽可能复杂。（很难通过只靠改动明文分析对应密文来确定密钥）

现代密码学

对称密钥算法 : 秘密密钥, 密钥共享
非对称密钥算法 : 公开密钥(公钥公开), 私钥不公开
散列算法（哈希算法）: 保障完整性

对称密码技术

对称密码技术：发件人和收件人使用其共同拥有的单个密钥 ,这种密钥既用于加密 ，也用于解密 ，叫做机密密钥(也称为对称密钥或会话密钥 ), 能够提供信息机密性 （没有密钥信息不能被解密）、 完整性 （被改变的信息不能被解密）的服务. 对称式密码学又称： 单钥密码学、秘密密钥密码学、会话密钥密码学、私钥密码学、共享秘钥密码学
对称式加密算法相关概念

• DES （数据加密标准）：分组式加密，算法源于 Lucifer ，作为 NIST 对称式加密标准； 64 位（有效位 56 位、校验 8 位），分组算法
• 3DES ： 128 位，分组算法
• IDEA （国际数据加密算法）： 128 位，比 DES 快，分组算法
• Blowfish ： 32-448 位，算法公开，分组算法
• **RC4 ：**流密码，密钥长度可变 (已经被破解不安全)
• RC5 ：分组密码，密钥长度可变，最大 2048 位
• Rijndael ： 128 位 /196 位 /256 位
• AES （高级加密标准）： DES 升级版，算法出自 Rinjindael
• Safer ：分组算法
• Skipjack ：分组算法

• 优点

  用户只需记忆一个 密钥，就可用于加密、解密, 与非对称加密方法相比，加密解密的计算量小，速度快，效率髙 ，简单易用，**适合于对海量数据进行加密处理 **

• 缺点

  如果密钥交换 不安全，密钥的安全性就会丧失, 特别是在电子商务环境下，当客户是未知的、不可信的实体时，如何使客户安全地获得密钥就成为一大难题(带外传输), 如果用户较多情况下的密钥管理问题(n x (n-1)/2)

• AES（高级加密标准）

  1997年NIST开始征集AES算法，要求是分组算法，支持128、192、256密钥长度
  最终对决的5个算法是

  • MARS：IBM设计
  • RC6：RSA设计 （分组），
  • Serpent：Ross Anderson等设计
  • Twofish： Bruce Schneier 灯设计
  • Rijindael：Joan Daemen和Vincent Rijmen设计
    最终 Rijindael中选 ，它支持密钥及分组可以为 128、192、256位
  • 128位分租，10轮运算
  • 192位分组，12轮运算
  • 256位分组，14轮运算

• RC4

  是RSA三人组中的头Ronald Rivest在1987年设计的密钥长度可变（ 8-2048位 ）的 流加密 算法簇。之所以称其为簇，是由于其核心部分的S-box长度可为任意，但一般为256字节。该算法的速度可以达到DES加密的10倍左右，且具有很高级别的非线性。典型 应用于SSL/TLS, 802.11 WEP 协议. 已经被破解现在不安全

• 其它

  DES/2DES/3DES/CCMP/IDEA/CAST/SAFER/Blowfish/Twofish/RC5

• 对称密钥管理

  • 密钥分发

    线下分发 固有缺陷(不安全)
    公钥加密 需要 PKI (公钥基础设施)
    Diffie-Hellman 最实用的机制

  • 存储和销毁
  • 密钥托管和恢复

    公平密码系统 秘密密钥被分解成两个或多个片段
    受托加密标准
    密钥托管 由 第三方 维护一个 私钥 或者用于加密信息的密钥的拷贝 双方必须彼此信任，密钥提供的条件必须被清晰地定义

密码的生命周期

• 三个阶段（密码/密钥的抗破解性随时间下降）

  • 强壮的
  • 虚弱的
  • 缺乏抵抗力的

• 算法/协议治理

  如何迁移存在的信息系统和密码学元素到新的平台，安全专家必须采取相应的治理过程确保这个过渡过程，相关的策略、标准、程序至少要关注：

  • 被批准的密码算法和密钥大小
  • 针对老的密码算法和密钥的过渡计划
  • 在组织内对于加密系统的使用程序和标准，要表明哪些信息有加密的需求
  • 密钥的生成、托管、销毁
  • 加密系统弱点或密钥丢失的事件报告
  • 算法可靠性、密钥强度、密钥管理方式

• 其他一些安全问题

  • 知识产权 保护与个人隐私
  • 国际出口控制
  • 法律强制
  • 安全专家需要理解密码如何被错误的使用给组织造成影响，进而采取适当的安全控制措施。一个典型的例子是 “ 密码时间炸弹 ” (密码时效性防护)

密码系统

• 加密的基本原理、手段

  替代 : 其他字符替代原文字符。单字母表替代密码、多字母表替代密码、Playfair密码
  换位 (排列 Permutation) :

  • 在换位密码中，所有字符都是混乱的，或者采取不同的顺序, 密钥决定了字符移动到的位置
  • 栅栏密码 (The Rail Fence) (行列错位)
    其他:
  • 滚动密码隐藏式密码 : 采用模块化数学以及用每个字母在字母表中的位置来表达每个字母，和密钥一起循环滚动计算。（公开书籍中的文字对应）
  • 一次性密码本 : 1917年Gilbert Vernam提出的，被认为不可破译, 使用随 机的替换值 加密，在计算机中，使用随机的二进制位串 和明文位串进行异或/同或 操作（exclusive-OR, XOR ; exclusive-NOR, XNOR ）
    • 密文接收者必须有相同的一次性密码本
    • 密码本 只使用一次
    • 密码本 与明文消息长度一样
    • 密码本必须要安全的分发并在发送端和接收端都 高度保护
    • 密码本必须由 真随机值组成
  • 隐写术

    • 是一种将数据隐藏在另一种介质中以藏匿数据的方法。数据并未被加密而是被隐藏

    • 要素： 载体 （如照片）、 隐写介质 （如JPEG）、 有效载荷 （信息）

      例子：The saying “The time is right”is not cow language , so is now a dead subject. 每第三个单词组成 The right cow is dead .

    • 隐藏：1. 藏头诗, 2. 数字水印

• 按照明文的处理方法（对称式加密算法）

  • 分组加密

    消息被划分为若干分组，这些分组通过数学函数进行处理，每次一个分组
    一个强密码具有两个属性：

    • 扰乱（通过替代实现），使密钥和密文之间的关系尽可能复杂。
    • 扩散（通过换位实现），单独一个明文位会影响到若干密文位

  • 流加密

    将消息作为位流对待，并且使用数学函数 分别作用在明文每一个位上。 流密码使用密码流生成器，它生成的位流与明文位进行异或，从而产生密文。 类似一次性加密 ， 密钥流尽可能随机 。 （拉拉链）
    典型流加密：RC4 (WEP)

• 其他密码学转换技术

  • 初始向量（initialization vector,IV）

    与密钥一同使用，传输时不用加密。算法使用IV和密钥来提高加密过程的随机性

  • 雪崩效应

    与扩散类似，算法输入值轻微的变化会引起输出值的显著变化

  • 明文加密之前对其进行压缩

    可以降低原始明文的长度

  • 明文加密之前对其进行填充

    目的是把明文的最后一个块增加到每一块需要的长度

  • 混合使用子密钥（subkey）和主密钥（masterkey）以限制密钥暴露时间, 密钥方案中是由主密钥生成子密钥的（ 密钥导出函数 ）

• 按照加密方法分类（密钥特点）

  混合加密

密钥管理过程

• Kerckhoff原则

  1883年，Auguste Kerckhoff 发表论文认为 “密码系统中 唯一需要保密的是密钥 ” “算法应该公开” “太多的秘密成分会引入更多的弱点”

• 密钥管理方面的进展

  XML Key Management Specification 2.0 （XKMS），包含两个部分

  • XML Key Information Service Specification （X-KISS）
  • XML Key Registration Service Specification （X-KRSS）
    XKMS提供
  • 操控复杂的语法和语义
  • 从目录收回信息
  • 撤销列表验证
  • 信任链创建和处理
    金融机构的标准 ANSI X9.17描述了确保密钥安全的方法

  • 职责分离 : 不能实现职责分离的要考虑补偿控制
  • 双人控制 : 关注两个或以上人参与完成一个工作
  • 分割知识 : 关注参与的每个人都是唯一的且是必须的

• 密钥创建

  要考虑可扩展性和密钥完整性, 采用自动化系统来创建密钥，不仅对用户透明也便于密钥策略实施, 工作因子与构成密钥的位的随机性水平有关

  • 伪随机数
  • 随机数生成器
    非对称密钥长度
  • 1024位RSA密钥加密强度相当于80位的对称密钥
  • 2048位RSA密钥加密强度相当于112位的对称密钥
  • 3072位RSA密钥加密强度相当于128位的对称密钥
  • 224位ECC密钥加密强度相当于112位的对称密钥
    密钥包装和密钥加密密钥（KEK）
  • KEK是保护会话密钥的一个解决方案，用于密钥分发和密钥交换。使用KEK来保护会话密钥的过程被叫做密钥包装。
  • 如果使用对称密码来封装会话密钥，那么发送方和接收方需要使用同一个密码；如果使用非对称密码来封装会话密钥，发送方和接收方需要彼此的公钥。
  • SSL、S/MIME、PGP都是用KEK来保护会话密钥

• 密钥分发

  密钥交换可以采用“带外管理”（out of band），但其可扩展性较差
  一个可扩展的密钥交换方法是采用一个密钥分发服务器(KDC) 存放所有人的公钥
  KDC 用户与KDC共享的密钥，用于KDC和用户之间传输加密信息用户和应用资源通信的会话密钥，需要使创建，用完则删除

• 密钥存储与销毁

  所有密钥都需要被保护防止被修改，所有会话密钥和私钥需要被保护防止被非授权暴露。密钥保护方法包括：
  可信的、防篡改的硬件安全模块，带密码保护的智能卡，分割密钥存储在不同地点，使用强口令保护密钥，密钥期限，等
  相关标准

  • NIST SP800-21-1 联邦政府实施密码学指南

  • NIST SP800-57 密钥管理建议

    简单的删除操作不能完全清除密钥，可能需要用不相关信息（如随机数、全为0或1）多次复写

• 证书替换成本和撤销

  人员、设备规模大造成证书替换成本较高, 人员离职，人员岗位变更、丢失密钥等要注意撤销证书, 证书的生命周期

• 密钥恢复

  从可信的目录或密钥注册的安全机构, 一种方法为多方密钥恢复 (密钥信封), 密钥恢复涉及到个人隐私和法律问题

---

第 7 章 PKI和密码应用

非对称密码技术

优点 : 可以安全地交换公钥，保障了密钥的安全性, 公钥交换，私钥自己保存，便于密钥的管理, 可扩展性好，密钥数量 2n 个

**缺点 : ** 计算量大，速度慢，不适合与海量数据加密

• Diffie-Hellman

  用于交换会话密钥

  第一个非对称密钥, 协商算法，重点解决密钥分发问题, 基于“有限域上的离散对数计算困难”的难题, 通信双方在不可信的网络上交换他们彼此的公钥，再在各自的系统上生成相同的对称密钥。不提供加密、数字签名功能。

• RSA

  是1977年由罗纳德·李维斯特（Ron Rivest）, 阿迪·萨莫尔（Adi Shamir）和伦纳德·阿德曼（Leonard Adleman）一起提出的。RSA算法的安全性基于数论中 分解大因数为原始质数的困难性，在已提出的公开密钥算法中，RSA是最容易理解和实现的，这个算法也是最流行的。

• ECC

  最初由Koblitz和Miller两人于1985年提出，其数学基础是利用椭圆曲线上的有理点构成Abel加法群上 椭圆离散对数的计算困难性。效率高

  • 160bit密钥相当于RSA 1024bit
  • 210bit密钥相当于RSA 2048bit

• ElGamal

  基于Diffie-Hellman工作的离散对数计算, 可加密、可签名，速度最慢

• 背包算法（Merkle）

  已被破解，不再有效

• 非对称密码技术应用

  对称与非对称密码技术结合保证机密性

散列函数

• 哈希验证完整性

• MD5

  在1992年由Ron Rivest在MIT开发。它是最广泛被采用的Hash算法，并在RFC 1321中被描述。MD5消息分组为512位，产生128位的散列值. MD5被用于验证在犯罪调查中的数字证据的完整性，以及确保原始信息从被创建后未被篡改。

  2004年8月17日美国加州圣巴巴拉国际密码学会议（Crypto’2004），来自山东大学的王小云做了破译MD5、HAVAL-128、 MD4和RIPEMD算法的报告，按照她的方法，数小时之内就可以找到MD5碰撞。这使目前电子签名的法律效力和技术体系受到挑战

  不安全

• SHA

  • SHA-1

    安全散列算法1(SHA-1)是由NSA设计的，并由NIST将其收录到FIPS 180-1（Federal Information Processing Standard）中，作为散列数据的标准，在1995年被发布，并在RFC 3174中被描述。它可产生一个160位的散列值

  • SHA-2/SHA-3

    SHA-256

    SHA-224

    SHA-384

    SHA-512

• 针对哈希算法的攻击

  • 碰撞问题（生日攻击）

    基于同一种散列函数，如果有两个不同的消息，得到相同的消息摘要，则扰乱了散列函数应具备的规则，被称作碰撞（Collision）利用“生日攻击”(birthday attack)可以寻找碰撞

    • 一个房间中，最少应有多少人，才使至少有两人具有相同生日的概率不小于1/2？
      （答案是23人。概率结果与人的直觉是相违背的。）
    • 一个房间中，最少应有多少人，才能保证其中有一个人的生日与你的生日是一样的概率不小于1/2？
      （答案是253人。）

  • 彩虹表

    根据散列值重构原始消息 发现另一个消息具有同样的散列值，或者发现任何消息对具有相同的散列值 （瞎编原文得到相同散列）

  • 密码分析

    Side-Channel攻击是典型的密码分析的一个例子。攻击者不攻击算法而是算法的执行。彩虹表是另一个密码分析的例子。防止彩虹表攻击的一个方法是“Salted Hash”

  • 消息验证码

    • HMAC

      私钥混入明文计算散列值 （完整性、身份验证）

    • CBC-MAC

      密码分组链接解密 CBC 模式下，把明文分组，最后一组加密后密文最为MAC值和明文一起发送（完整性、身份验证）

    • CMAC

      是CBC-MAC的一种变体，提供与 CBC-MAC相同 的数据源认证和完整性，但在数学上更为安全。 把密钥加密后得出散列值 （有身份验证）

数字签名

• 数字签名 不提供机密性

• 代码签名（Code signing）

  用于保证代码的完整性的技术确定谁开发的那段代码， 并确定开发者打算将这段代码用于何处， 代码签名证书和数字证书帮助用户免于下载泄密文件或应用程序， 代码被签名可以确定代码的可靠度并检测带是否被开发人员之外的人所修改

  代码签名用于

  • 确保代码片段不被修改
  • 识别代码来源（开发者或签名者）
  • 确定代码是否值得为特定目标的信任

  代码签名不能做的事情

  • 不能保证代码片段免于安全漏洞
  • 不能保证在执行过程中APP不会装载不安全或更改的代码（如不可行的插件）
  • 不是数字版权管理（DRM）或拷贝保护技术

公钥基础设施 (PKI)

PKI是由 软件、通信协议、数据格式、安全策略 等用于使用、管理、控制 公钥密码 体制的一套系统。它主要有三个目的：发布公钥/证书，证明绑定公钥的实体，提供一个公钥有效性的验证。

• 数字证书

  PKI技术采用证书管理公钥，通过 第三方的可信任机构 认证中心CA (Certificate Authority)，把用户的公钥和用户的其他标识信息（如名称、email、身份证号等）捆绑在一起，在Internet网上验证用户的身份。

  公钥证书是以数字方式签名的声明，它将公钥的值与持有相应私钥的主体(个人、设备和服务)的身份绑定在一起。通过在证书上签名，CA可以核实与证书上公钥相应的私钥为证书所指定的主体所拥有。

  数字证书的格式是由 CCITT X.509 国际标准所规定的，它包含了以下几点：

  • 证书拥有者的姓名
  • 证书拥有者的公钥
  • 公钥的有效期
  • 颁发数字证书的单位
  • 数字证书的序列号(Serial number)
  • CA的名称，并用CA的数字签名签署该证书
  • CA所遵循的用来确定证书主体身份策略的标识符
  • 在证书中标识的密钥对(公钥及相关的私钥)的用法
  • 证书废止列表(CRL)的位置
  • 用CA的数字签名签署该证书

  ITU-T X.509并非证书的惟一格式。例如，==Pretty Good Privacy (PGP)==安全电子邮件 是依赖PGP所独有的一种证书。

• CA中心

  负责发放和管理数字证书的权威机构

  具体功能：

  • 接收 验证 RA转发来的最终用户数字证书的申请。
  • 确定是否接受最终用户数字证书的申请-证书的审批。
  • 生成 密钥对和证书
  • 向申请者 颁发 证书
  • 为签发的证书提供组织与责任的权威 公证
  • 接收最终用户数字证书的查询、 撤销
  • 产生和发布证书 废止 列表（CRL）
  • 密钥管理 (密钥备份、密钥恢复、密钥更新)
  • 数字证书的归档
  • 密钥归档
  • 历史数据归档。

• RA

  证书注册机构，不发放证书，验证证书申请人身份。(基础资料核实)

非对称密钥管理

需要看一下书上的解析

应用密码学

能够提供的服务 : 机密性 真实性 完整性(散列值) 不可抵赖性(非对称加密)

• 链路加密

  也称为在线加密，通常由服务商提供，如：卫星链路、T3、电话线路

  链路加密发生在 数据链路层 , 加密沿某种特定通信通道传输的所有数据 ，攻击者得不到任何数据，为防止包嗅探和偷听提供了保护

  **数据包在 经过两端之间的每一台设备 时都需要 进行解密 **

  加密所有信息，包括用户信息、数据包头部、尾部、地址和路由信息

• 端到端加密

  数据包的 头部 , 尾部, 地址和路由信息 未加密

  仅加密用户信息，不加密数据包头部、尾部、地址和路由信息

  端到端加密发生在 应用层 端到端加密对 中间通信设备是透明 的，传输过程中始终保持加密状态

• SSH

• Cookie

• IPSec

• PGP

  由Phil Zimmerman在1991年作为一个免费电子邮件保护程序设计， 支持多种公钥 和 对称算法 ；使用可信Web的方式信任 数字证书 ，即Web互相签名证书，形成一个信任社区；用户保存一个密钥环（key ring）文件，其中存储其他可信用户的公钥。

  机密性、完整性、真实性

• HTTPS

  是运行于SSL之上的http，SSL（Secure Sockets Layer）是嵌入在 传输层 上的 安全协议 ，支持服务器和客户端的双向认证 ，保护数据 机密性、完整性

  SSL通信过程可分为 三个阶段 ：对等协商双方所支持的算法；基于证书的认证和基于公钥加密的密钥交换；基于对称密钥的加密传输, **TLS （Transport Layer Security） 是SSL开源等价协议 **

• SET

  它是由VISA和MasterCard两大信用卡公司于1997年5月联合推出的规范。是基于信用卡在线支付的电子商务安全协议，目的是为了确保在Internet网站和银行之间传输信用卡结算信息时提供安全保证

• S/MIME

  标准的邮件（多媒体邮件）安全协议，利用哈希算法和公钥与私钥的加密体系，对发信人和收信人进行身份识别，保证信件完整性和信件内容包括附件的机密性

密码攻击

• 唯密文攻击

  攻击者拥有若干消息的密文，每条消息都是使用相同的加密算法加密的。攻击者目标是找出加密过程中试用的密钥, 仅有密文，进行密码分析攻击

• 已知明文攻击

  攻击者拥有一条或多条消息的明文和相对应的密文。例如某些文本有固定的格式、起始和结束语句。

  拥有明文和其对应的密文，进行密码分析攻击

• 选定明文攻击

  攻击者选择特定明文发给受害者，待受害者加此明文发送出去后，再截获之。不同于已知明文攻击在于输入可以由攻击者来选定 可以选择明文并得到输出的密文，进行密码分析攻击

• 差分密码分析

  攻击者查看对具有特定差异的明文进行加密并得到相应的密文，并分析这些差异的影响和结果

• 线性密码分析

  攻击者对使用 相同密钥加密的几条不同消息 执行已知明文攻击，再通过执行函数来确定使用分组算法的加密过程中利用某个特定密钥的最大概率 (研究分组规律)

• 旁路攻击

  通过 收集外部信息来分析密钥 ，例如收集CPU占用率、电磁辐射、总运算时间后，逆向分析运算过程来猜测密钥和算法

• 错误分析

  强行 引入一个错误, 获得一个 错误结果, 然后与一个正确的结果对比进而分析密钥和算法

• 探测攻击

  通过连接加密模块的 电路 来访问和操纵其中的数据获取来获取信息 (硬件破解)

• 重放攻击

  攻击者捕获了某种类型的数据(通常是身份验证信息)并重新提交已通过的身份验证的信息, 欺骗接收设备误以为这是合法信息

• 代数攻击

  分析算法内使用的数学原理中存在的弱点, 并利用其内在的代数结构

• 频率分析

  在简单的替换密码中, 每个字母被替换成另一个字母, 那么在密文中==出现频率==最高的字母就最有可能是E. 频率分析法除了需要用到统计学外, 也需要用到语言学, TH这两个字母连起来是最有可能出现的字母对

• 逆向工程

  通过进行 逆向分析 及研究，从而演绎并发现加密系统的弱点或算法运算的关键信息

• 社会工程学

  攻击者不采用任何技术性攻击, 仅利用各种社会工程学攻击类型诱使人们提供加密密钥 (利用人性弱点）

• 攻击随机数生成器

  RNG所产生的随机数如果可预测, 攻击者就能够猜测到用于构成 初始向量 的随机数( 猜测初始向量 )

• 临时文件

  大多数的密码系统使用 临时文件 来执行计算, 如果这些文件没有被删除或复写,可能会泄露信息给攻击者

• 其它

  因素攻击(针对 RSA) , 生日攻击(针对 Hash ), 字典攻击, 暴力破解, 彩虹表

---

第 8 章 安全模型，设计和能力的原则

安全设计原则

• 主体和客体

• 封闭系统和开放系统

• 进程控制

  • 限制（confinement)
  • 界限（Bound）
  • 内存重用/对象重用 (Memory reuse/Object reuse )
  • 隔离

• 访问控制（OSG第14章）

• 信任与保证

• SELC 系统工程生命周期 (Systems Engineering Life Cycle)

  需求分析，设计，实施，验证，运营 Requirements analysis, Design,Implementation, Verification, Operation

安全架构

• 企业安全架构

  • 目标：

    表达了一个简单、长期的控制视图, 提供了一个统一的愿景整合已经存在的技术投入对于当前和未来的威胁和核心功能需求提供一个灵活的方法

  • 收益

    描述用于指导安全相关技术决策和方案的安全战略, 对IT架构师和管理层提供指导，使他们更好的做出安全相关投资和设计决策, 建立未来要达到的技术架构, 支持、驱动、扩展安全政策和标准整合行业标准和模型确保最佳安全实践被应用

  • 架构框架和实际架构是有区别的。每个组织的架构都不同原因在于它们有不同的业务驱动、安全和规定需求、文化和组织结构。

• 系统安全架构

  企业架构和系统架构虽然有重叠之处，但它们还是有区别的。企业架构解决的是组织的结构，系统架构解决的是软件和计算机组件的结构

  • 安全模型

    要保障系统的安全必须建立安全策略作为安全的抽象目标，安全模型将抽象的安全策略目标映射为信息系统的表达，通过确定的数据结构和必要的技术执行行安全策略

    强制型访问控制模型（参考访问控制模型 自主、强制、 基于角色）

安全模型

要保障系统的安全必须建立安全策略作为安全的抽象目标，安全模型将抽象的安全策略目标映射为信息系统的表达，通过确定的数据结构和必要的技术执行行安全策略

• 可信计算基（TCB）

  • TCB是硬件、软件和控制的组合，是执行安全策略的可信基础

  • 安全边界 : 假想的边界，将TCB与系统的其他部分分隔开

  • 可信路径 : 系统的其他部分与TCB进行通信的安全通道

  • 参考监视器/引用监视器

    • TCB中定义访问控制的
    • 验证主体访问客体的权限

  • 安全内核(TCB的核心)

    实现参考监视器功能的组件集合

• 状态机模型

  • 状态机模型(State Machine Model) 安全的状态机模型是其他安全模型的基础

  • 状态机模型描述了一种无论处于何种状态都是安全的系统

  • 一个状态(State)是处于特定时刻系统的一个快照, 如果该状态所有方面都满足安全策略的要求, 就称之为安全的

  • 状态机可归纳为 4 个要素，即 现态, 条件, 动作, 次态 这样的归纳, 主要是出于对状态机的内在因果关系的考虑“现态”和“条件”是因, “动作”和“次态”是果

  • 状态转换/迁移

    • 许多活动可能会改变系统状态，状态迁移总是导致新的状态的出现。

    • 如果所有的行为都在系统中允许并且不危及系统使之处于不安全状态，则系统执行一个安全状态机模型：secure state model。

    • 一个安全的状态机模型系统, 总是从一个安全状态启动, 并且在所有迁移当中保持安全状态, 只允许 主体以和安全策略相一致的安全方式来访问 资源

• 信息流模型

  • 在信息流模型中，数据被看作保存在独立的分割区间内，关注的是在 独立的主体之间信息 是否被允许或不允许访问

  • 信息流模型用于防止未授权的, 不安全的或者受到限制的信息流，信息流可以是同一级别主体之间的，也可以是不同级别间的

  • 信息流模型允许所有授权信息流, 无论是否在同一级别

  • 信息被限制在策略允许的方向流动

• 无(非)干扰模型

  • 无干扰模型并 不关心信息流 ，而是关心影响系统状态或者其他主体活动的某个主体的活动

  • 确保在 较高安全级别发生的任何活动不会影响或者干扰在较低安全级别发生的活动。如果在较高安全级内的一个实体执行一项操作，那么它不能改变在较低安全级内实体的状态

  • 如果一个处于较低安全级的实体感受到了由处于较高安全级内的一个实体所引发的某种活动，那么该实体可能能够推断出较高级别的信息，引发信息泄漏

  • 基本原理为，一组用户(A)使用命令©，不被用户组(B)(使用命令D)干扰，可以表达成A, C:| B, D，同样，使用命令C的组A的行为不能被使用命令D的组B看到

  • 关注隐蔽通道和推理攻击

• 取予模型（Take-Grant模型）

• 访问控制矩阵

  基于矩阵的模型

  访问控制矩阵是一个包含主体和客体的表，它关注在每个主体和客体之间一对一的关系。

  访问控制矩阵由两个维度。

  • 以 主体为核心的功能表（主体绑定）：指定了某些主体对特定客体进行操作的访问权限

  • 以 客体为核心的访问控制列表（客体绑定） ：是一些主体被授权访问特定客体的权限列表。

  • 矩阵模型没有描述客体之间的关系

• 格子模型 (晶格模型/点阵模型)

  • Lattice 模型通过划分安全边界对 BLP模型(机密性) 进行了 扩充, 它将 用户和资源 进行 分类 并允许它们之间交换信息，这是多边安全体系的基础。
  • 多边安全的焦点是在不同的 安全集束（部门, 组织等）间控制信息的流动, 而不仅是垂直检验其敏感级别。
  • 建立多边安全的基础是为分属不同安全集束的主体划分安全等级，同样在不同安全集束中的客体也必须进行安全等级划分，一个主体可同时从属于多个安全集束，而一个客体仅能位于一个安全集束。
  • 在执行访问控制功能时，lattice模型本质上同BLP模型是相同的，而lattice模型更注重形成"安全集束"。BLP模型中的"上读下写"原则在此仍然适用，但前提条件必须是各对象位于相同的安全集束中。主体和客体位于不同的安全集束时不具有可比性，因此在它们中没有信息可以流通

  • 最小上界和最大下界
  • 主体被分配了格子中的位子，主体只能访问介于格子中的客体

• 安全模型的例子

信息系统安全评估模型

• 能用准则 CC ISO/IEC 15408

  • TOE (Target of Evaluation)

    评估对象

  • PP(Protection Profile）

    与实现无关的，针对一类TOE的，满足特定用户需求的一组安全要求, 在标准体系中PP相当于产品标准，也有助于过程规范性标准的开发;国内外已经对应用级防火墙、包过滤防火墙、智能卡、IDS、PKI 等开发了相应的 PP

  • ST(Security Target)

    作为指定的 TOE评估基础的一组安全要求和规范, ST 是针对具体 TOE 而言，它包括该 TOE的安全要求和用于满足安全要求的特定安全功能和保证措施, ST包含的技术要求和保证措施可以直接引用该TOE 所属产品和系统类的 PP; ST 是开发者、评估者和用户在 TOE 安全性和评估范围之间达成一致的基础; ST 相当于是产品和系统的实现方案

  • EAL 1-7

    1. 功能檢測
    2. 结构性測試及檢查
    3. 系統化測試及檢查
    4. 系統化設計、測試及審查
    5. 半形式化測試及檢查
    6. 半形式化查證、設計及測試
    7. 形式化查證、設計及測試

• 行业指南和ISO标准

  • PCI DSS : 支付卡行业数据安全标准
  • ISO 15408 : 能用准则 CC

• 认证和认可 (Certification & Accreditation)

  • 认证

    认证 : 评定安全机制和评估安全效果的一种技术性审查

    认证过程可采用控制评估、风险分析、验证、测试和审计技术来评估系统的适用性

    认证的目标是为了确保系统、产品和网络能够适合客户的目的

    认证过程及相应的文档可以指明产品的优点、缺点和有待改善的功能

  • 认可

    管理层正式接受认证过程中的调查结果 管理层接受风险，系统可以上线

信息系统安全功能

• TPM 可信平台模块 (Trusted Platform Module)
  1. 存储、管理BIOS开机密码以及硬盘密码
  2. TPM安全芯片可以进行范围较广的加密
  3. 加密硬盘的任意分区
• 内存保护 (OSG 第9章)
• 虚拟化
• 接口
• 容错

---

第 9 章 安全漏洞 威胁和对策

评估和缓解安全漏洞

系统越复杂，可能的安全问题越多

• 执行类型
  • 线程 多进程多线程更容易导致竞态条件攻击

基于客户端的系统

• Applet

• Active X

• 本地缓存

  • ARP缓存中毒

  • DNS缓存中毒

    Hosts 文件中毒

    DNS 查询欺骗

基于服务器端的系统

数据流控制

负载均衡

数据库系统安全

数据仓库

如果数据库服务器物理的或逻辑的边界被打破，非授权用户能够获取组织的所有数据(数据库的访问控制); 关注数据的备份与恢复(数据库的可用性), 数据聚合、数据推理、数据挖掘 (提升数据价值), 大规模并行数据系统(分布式数据库性), 大数据平台, 安全架构师面临的挑战：信任、隐私问题、通用安全; 分布式系统(防止从操作系统层面攻击数据库); 典型的Client/Server，Peer to Peer系统，需要共享协议和接口; 挑战：协调资源、授权、漏洞控制; 数据库的可用性(容量、性能、备份), 数据的机密性、完整性; 数据的机密性、完整性（访问控制、事务处理）

• 聚合
• 推理
• 数据挖掘和数据仓库
• 数据分析
• 大规模并行数据系统

分布式系统和端点安全

• 云计算

  云安全 注意数据隔离

  • IaaS
  • PaaS
  • SaaS

• 网格计算

  不同于集群，网格计算是异构的，集群是同构的, 关注节点通信采用VPN，强认证控制，软件检测、应用隔离

• 端点安全

  终端设备负责其自身的安全性

物联网

物联网是指将各种信息传感设备与互联网结合起来而形成的一个巨大网络, 物联网的三大特征：全面感知，可靠传递，智能处理; 物联网的架构分为：应用层、网络层、感知层、编码层; 物联网的常用设备有：RFID设备、传感器、视频监控设备、GPS

工控系统 ICS

监控和控制工业系统和关键基础设施的简单计算机被称之为工业控制系统（ICS）, 被熟知的ICS类型包括：

• SCADA 系统（数据采集与监控系统 supervisory control and data acquisition systems）、

• DCS （分布式控制系统 distributed control systems）

ICT相关可参考的安全标准：

• Critical Infrastructure Protection(CIP)
• Cybersecurity Standard NIST IR 7268 智能电网信息安全指南
• NIST SP800-39 管理信息安全风险
• NIST SP800-82 工业控制系统安全指南

监控和控制工业系统和关键基础设施的, 简单计算机被称之为工业控制系统（ICS）

• 被熟知的ICS类型

  • PLC（可编程逻辑控制器）

    PLC实质是一种专用于工业控制的计算机, 其硬件结构基本上与微型计算机相同

  • SCADA（supervisory control and data acquisition systems）

  • DCS（distributed control systems）

• 特点

  实时, 响应时间紧迫, 不能接受高延迟或抖动, 不要求高吞吐量, 往往要求高可用性(不能随便停机), 关系到人身安全 服务支持通常依赖单一供应商

• NIST SP800-82 工业控制系统安全指南

基于web系统的漏洞

由于当前大部分应用都采用web的形式访问，因此对于保护web应用相关服务器就尤为重要。

• 可采用的保护措施举例
  • 系统加固
  • 漏洞扫描
  • IDS/IPS
  • 卸载不必要的文档和库
  • 基于证书的强认证
  • 采用应用防火墙防范SQL注入

移动系统的漏洞

从90年的的PDA，2000年左右的BlackBerry，到后来Apple的iPhone，运行Android和Windows的智能设备，移动设备应用越来越广泛。从2010年以来，针对移动设备的恶意代码不断的被发现，并且呈现爆发式增长，随之而来移动设备面临的风险也逐年增加。

• 来自于远程计算的风险

  • 可信客户端—谁在使用这个移动设备
  • 网络架构—管理和控制移动设备的基础设施在哪
  • 策略实施—不正确、不充分、强度较弱的安全控制
  • 丢失或被盗—存有敏感数据的设备没有充分的控制

• 来自于移动办公人员的风险

  管理平台和设备数量激增—每人有多个移动设备，设备平台类型多样化, 移动设备在家里及工作场所混用带来的数据方面的风险, 攻击移动设备的方式：SMS、WiFi、Bluetooth、Infra-red、Web, browser、USB、Email client、Jail-broken Phone、第三方应用、操作系统漏洞、物理访问……, 攻击例子：短信劫持、伪造邮件、窃听通话、获取照片/视频、敏感文件、定位位置、获取缓存的口令等

• 设备安全

  • 全设备加密

  • 远程擦除/锁定(应对暴力破解)/锁屏

  • GPS/应用程序控制/资产跟踪/库存控制/设备访问控制/库存控制/设备访问控制/可移动存储/关闭不使用的功能

  • 存储分隔

    将公司数据和应用与用户数据和应用隔离

    人为地在存储介质上划分各种类型或数据值

  • 移动设备管理（MDM）

    管理员工用于访问公司资源地无数移动设备

    目的：

    • 提高安全性
    • 提供监控
    • 启用远程管理
    • 支持故障排除

• 应用安全

  密钥管理/凭证管理/身份验证/地理位置标记/加密/应用白名单(默认拒绝/隐式拒绝) 可禁止未经授权的软件执行

• BYOD

  • 可接受使用策略（AUP）
  • 数据所有权
  • 所有权支持
  • 补丁管理
  • 反病毒管理
  • 取证 / 隐私 / 入职/离职 / 遵守公司策略 / 用户接受度 / 架构/基础设施考虑 / 法律问题

嵌入式设备和信息物理系统(CPS) Cyber-Physical Systems

典型应用：智能家居、车联网、物联网、工业控制系统……
涉及行业：制造业、医疗、交通、农业、能源、国防、应急管理、……

• 关注两个方面

  • 信息安全（不同于传统安全）
  • 互操作性

• 集成和管理CPS的技术

  安全架构师应和从业者一起设计关注CPS安全的开发和集成方案

  关注三个方面： 风险评估 、 坏数据探测 机制、设计系统的弹性和 生存能力面对攻击 (APT)

  • 抽象化、模块化、可组合性

  • 基于系统工程的架构和标准

  • 自适应可预测分等级的混合控制

  • 多个物理模型和软件模型的集成

  • 分布的探测、通信和感知

  • 可诊断和可预测

  • 信息安全

  • 验证、确认、和认证

  • 自治和人员交互

基本安全保护机制

• 技术机制

  • 分层

    操作系统访问隔离–操作系统保护环

  • 抽象

    抽象化是指从实体中去除特点以更清晰显示实体的本质属性。抽象化否定了用户了解实体运行细节的需要。他们只需掌握使用客体的正确语法和所示信息的性质就可以了. 不知道实体真实情况

  • 数据隐藏

    数据隐藏在不同的安全层级保持活动，把这些层级相互分离开来。这有助于防止一个安全层级的数据被在其他安全层级运行的流程看到

  • 进程隔离

    操作系统为每个进程的指令和数据提供单独的内存空间

  • 硬件分隔

    使用物理硬件控制分隔

  • 安全内存管理

    通过多种机制保证存储器（内存）的安全访问控制

    4个控制机制：

    • 对象封装
    • 共享资源分时复用
    • 命名区分
    • 虚拟映射

  • 加密保护

    通过加密技术把信息明文变为密文从而保护信息的 机密性 和 完整性

  • 主机防火墙

    防火墙及IDS的种类：基于主机的、基于网络的

  • 虚拟化

    虚拟机通常被隔离在一个沙箱环境中，若是受到感染，可迅速将其移除或关机，用另一台虚拟机取代。

    虚拟机：

    • 对硬件资源拥有有限访问权，因此可帮助保护主机系统和其他虚拟机。
    • 要求有强配置管理控制和版本控制，以确保需要时用已知好拷贝将其恢复。
    • 还要符合针对基于硬件系统提出的所有典型要求，其中包括防恶意软件程序、加密、HIDS、防火墙和打补丁。

    作用：**隔离 不特别声明一般指虚拟操作系统

• 策略机制

  • 访问控制机制

    • 身份识别、验证、授权、可追溯
    • reference监视（抽象机）

  • 审计和监控

    • 监控系统的状态，发现问题

    • 通过审计事后检查，审计的基础是日志，要防止对日志的篡改

常见的架构缺陷和安全问题

• 系统的弱点

  围绕信息系统的机密性、完整性、可用性进行风险分析 （资产、脆弱性、威胁）

• 隐蔽通道

  • 某个实体以一种 未经授权的方式接受信息的途径 ，这是一种没有受到安全机制控制的信息流

  • 定时(timing)：一个进程通过调节它对系统资源的使用,影响另外一个进程观察到的真实响应时间,实现一个进程向另一个进程传递信息。

  • 存储(storage)：一个进程直接或间接地写一个存储单元,另一个进程直接或间接地读该存储单元

  • 隐蔽信道是为 躲过信息系统访问控制和标准监测系统而 隐藏起来的通信机制

  • 两种隐蔽信道

    • 通过被 保存对象 进行通信的 存储信道（ 窃取主体访问授权–及时释放对象 ）
    • 修改事件之间相对时间的 计时信道（ 时间差 ）

  • 抑制隐蔽信道的手段是信息系统的安全设计

• 状态攻击(竞争条件)

  状态攻击亦称“竞态条件”，是一种试图利用系统处理多个请求过程的情况

  攻击者通过利用系统不恰当的 执行时序 骗过安全策略升级自己的权限

  • TOC/TOU

• 可信恢复

  当系统崩溃时，安全控制保持完整无缺

  • 目的

    可信恢复的目的是确保在故障和运作中断情况下维护系统的安全和功能；为了实现上述目的，系统应该加入一系列机制使其在预先定义的故障或中断发生时能够保持安全状态；

  • 重启类型

    • 系统重启：以受控方式关闭系统，重新引导前不一致的数据已得到矫正，数据结构实际上处于一致状态
    • 紧急系统重启动：以非受控方式关闭系统，重启前数据仍然处于不一致状态，重启进入维护状态自动执行恢复，将系统带入到一致状态
    • 系统冷启动：自动化恢复机制无法将系统带入到一致状态，由管理员人工介入将系统从维护模式恢复到一致状态；（用于打败 defeat 攻击的启动方式）

  • 系统崩溃后正确步骤

    • 进入单用户或安全模式
    • 修复问题并恢复文件
    • 确定关键的文件和操作

• 输入和参数验证

  应对缓存溢出攻击

• 大型机和瘦客户系统

  大型机使用专用的处理器指令集、操作系统和应用软件。瘦客户端将其鼠标、键盘等输入传送到服务器处理，服务器再把处理结果回传至客户端显示。（用户权限，大机的性能、容量是控制重点）

• 服务器的弱点

  • 远程连接
  • 配置管理
  • 业务连续性
  • 数据流控制

• 单点故障

  应针对关键系统、流程和人员，以及支持性组件和依赖主系统或与主系统配套使用的子系统进行专门的风险分析, 对关键系统、设备、流程进行专门的风险分析

• 客户端的弱点

  客户端：台式机、笔记本、client端应用、移动设备

  • 正版化
  • 访问控制
  • 防病毒
  • 设备防丢失
  • 敏感数据保护
  • Web浏览器的本地组件运行特性

• 中间件

  用于把用户需求转换为系统定义的跨学科的方法，通过一个迭代流程架构和设计一个有效的操作系统。

  中间件是可使在一台或多台机器上运行的多个流程交互的连接软件。中间件服务其实是存在于操作系统上运行的应用与网络服务之间，处在一个网络节点上的分布式软件的集合体。中间件服务的主要目的是帮助解决许多应用连接和互操作问题。

  位于操作系统和应用业务系统之间，处理底层通讯、并发、接口调用等问题（底层访问对象的调用是控制重点）

• 软件和系统的漏洞与威胁

  • WEB 安全

    由于当前大部分应用都采用web的形式访问，因此对于保护web应用相关服务器就尤为重要。可采用的保护措施包括：系统加固、漏洞扫描、IDS/IPS、卸载不必要的文档和库、基于证书的强认证、采用应用防火墙防范SQL注入等。各种Web编码漏洞（缓冲区溢出、SQL注入、跨站脚本、路径遍历…）

---

第 10 章 物理安全

站点(场所)与设施设计的安全原则

• 安全设施计划

  关键路径分析 : 用于找出关键应用、流程、运营及所有必要支撑元素之间的关系

• 站点选择

  • CPTED

    CPTED （通过环境预防犯罪 Crime Prevention Through Environmental Design）：20世纪60年代提出，研究如何正确设计通过直接影响人类行为来减少犯罪的物理环境

    主要观点是：对物理环境进行控制能够取得减少犯罪、降低犯罪恐惧感的行为性效果。它研究构成人类及其周围环境的组成部分，包括各种环境使用者的物质、社会和心理需求以及这些使用者和罪犯的可预测行为。通过合理的设施构造、环境组件和措施，能够为预防损失和犯罪提供指导

    **事例： **

    • 建筑设施周边的植被不应该高于 2.5 feet ，这样就够不着窗户了。

    • 数据中心 应该位于 建筑设施中心 , 这样建筑设施中心的墙壁能够取代数据中心直接面对来自外部的破坏。

    • 街边布置 (长凳和桌子) 鼓励人们坐下来看看周边, 减少犯罪行为。

    • 企业 周边环境陈设 不应该存在可以潜藏入侵的位置。

    • 确保 CCTV能覆盖 到所有视野让罪犯知道他们的行为会被逮住，而其他人能够知道环境是被监控的感到安全

    自然访问控制、自然监视、自然区域加固

    • 注意与目标强化的区别

      目标强化(Target Hardening )（不人性化）

      • 强调通过物理和人为障碍来拒绝访问
      • 传统的目标强化方法在环境的使用、享受以及艺术方面受到限制
      • 适用于监狱

      示例（保护某设施）：

      • Target Hardening 通过传统方法：如锁、警报、门前监控，部署访问控制机制

      • CPTED 则通过设计一条不能从建筑物前面直接走到该设施门口的小道，当然也包括没有过高的树或者灌木丛能够阻挡该门的视线。

      • 大多数企业环境组合使用这两种方法。CPTED主要处理设施建设、其内部和外部的设计以及外围组件，如绿化和照明。目标强化方法适用于更加细化的保护机制，如锁和运动探测器。

        CPTED 更人性化，更易于接受，和办公环境自然融合

    • 自然访问控制

      自然访问控制（Natural Access Control ）通过门、栅栏、照明甚至景观的布置、绿化等来自然引导人们的进出。设计缺乏躲藏或实施犯罪的场所，淸晰的视线和透明度可用于阻挡潜在的罪犯

      CPTED模型说明了如何创建安全区

      • 根据特定区域的人员及相关联的风险，一个环境的空间能够划分为各不相同的区域，这些区域可以被标记为控制区、限制区、公共区或敏感区，如图所示。
      • 每个区域都应当有一个必需的特定保护级别，这有助于指明需要设定的控制类型

    • 自然监视

      • 通过有组织方式（保安）、技术方式（CCTV）以及自然方式（视野开阔、低矮的自然景观、升起的入口）.
      • 目标在于：通过为观察者提供许多可以观察到犯罪分子的方法，让犯罪分子感到不适；同时提供一个开放的、精心设计的环境，让其他所有人感到安全舒适。
      • 自然监视以视野最大化方式利用和安置物理环境特征、员工通道和活动区域

      充分暴露区域中人员

    • 自然区域加固

      • 建立强调或延伸公司物理影响范围的物理设计，让合法用户在那个空间具有归属感。
      • 可通过使用墙壁、栅栏、绿化、照明设备、标志、沾晰标记的地址以及装饰性的人行道来实现。
      • 鼓励活动支持，活动支持指的是为需要保护的区域而规划的活动。
      • 目标是为了建立一种专属社区感。
      • 执行这些措施还会让潜在的罪犯觉得他们不属于这个地方，他们的行为有被发现的危险，而且他们的违法行为不会被容忍或忽视。

      强化同类归属、群防群策

  • 周围地域及条件 治安的良好性

    • 犯罪率，骚乱、恐怖袭击
    • 与警察、医疗和消防机构的接近程度
    • 周围区域可能带来的危险

  • 可见性 尽量减少关键建筑的暴露

    • 周围地形
    • 建筑的标记和标志
    • 相邻建筑物的类型
    • 该地区人口

  • 可达性 道路的顺畅性，事故发生后的救援问题

    • 道路通行
    • 交通
    • 与机场、火车站和高速公路的接近程度

  • 场所和设施设计考虑

    组织应当指定一个人或团队设计物理安全程序来防止运行中断和提供人员和信息资产的安全。（制定物理安全策略）在设计场地安全时，安全专家应该遵照一个标准程序评估包括：土地利用、场地规划、入口、车辆访问、停车、标牌、卸货区、控制访问区、照明、公共设施等。（安全策略内容) , 安全专家需要平衡众多的安全目标，识别那些必要的安全需求，再确定相应投入预算匹配安全目标。（识别物理安全防护目标，明确安全需求）

    在制定物理安全计划之前，首先应进行物理安全调查。选址

    • 数据中心不要位于大楼的底层或顶层，应该处于大楼的核心层
    • ATM取款机要关注物理安全，防止物理破坏

  • 自然灾害

    • 发生水灾、龙卷风、地震的可能性
    • 危险地形（泥石流等）

    尽量远离自然灾害的多发地区

实现站点与设施安全控制

• 服务器间（机房）与数据中心

  • 放射安全 TEMPEST

    信息的机密性

    • 系统放射是指无意中发射的电、机械、光学或声能信号，其中含有有关正被系统处理、保存或传输的信息的信息或元数据。
    • TEMPEST是一套标准，旨在屏蔽建筑物或设备，保护它们不被监听和被动放射收集企图侵扰
    • 白噪声 （干扰）

  • 接近式读卡器

  • 入侵检测系统

  • 数据中心

    数据中心不应在 建筑物顶层或地下室 服务器和配线柜应位于建筑物的核心区域，不应位于建筑物顶层或地下室，且不能从公共区域直接进入

    应根据所处理数据的敏感性及其需要的保护级别来执行相应的访问控制和安全保护措施

    数据中心应有一个紧急断电开关，且可以连接灭火系统（如 FM-200 ）

    便携式灭火器应位于设备附近，且应放在容易看到和拿到的地方

    应当安装 烟雾探测器 和 水灾传感器 。水灾探测器应安装在 地板下面 和 吊顶上面

    数据中心内保持适当的温度和湿度相当重要。

    HVAC系统 的通风孔和通风管应以某种形式的护栏加以保护并且应该足够小；

    数据中心内气压必须为正气压

    如果可能最好在数据中心使用一套与建筑物其他部分 不同的电力系统 。应从两个或更多的变电站接入两条或多条支线。数据中心需要有自己的后备电源，UPS及发电机

    数据中心的门不能为空心门，门应该 向外开 而不能向内开；数据中心的墙上使用大型玻璃窗格，这种玻璃应采用 防碎玻璃

    数据中心应根据所处理数据的敏感性来执行相应的访问控制和安全保护措施

  • 访问滥用

    • 伪装 (Masquerading)
    • 尾随（piggybacking）

  • 智能卡

• 受限区与工作区安全

  • 区分工作区与访客区

  • 建造

    • 墙壁与隔断

      • 材料〈木材、混凝土和钢材的阻燃性)
      • 防火等级
      • 安全区域的加固

    • 内部分割

      用于在区域之间建立障碍。这些分隔可用来划分不同的工作区域，但决不能用在内部有敏感系统和设备的保护区域中, 隔离区域时注意吊顶的存在。在保护敏感区域时，不能只依赖这种内部分隔方式

    • 天花板

    • 地板

      • 承重等级
      • 材料（木材、混凝土和钢材）的阻燃性
      • 防火等级
      • 架空地板

    • 窗户

    • 玻璃

    • 门

      • 防火等级，门和周围的墙壁及天花板也应提供相同的强度和防火等级
      • 门的门栓、门框、铰链和材料应全部提供同样的强度和保护
      • 材料（木材、压制板材、铝制品）的阻燃性
      • 对强行进入的抵抗性
      • 上锁或受控的入口
      • 紧急出口标志
      • 安全铰链
      • 布局
      • 报警

      不同功能的门

      • 地下室门
      • 人员出入的门
      • 工业门
      • 车辆通行门
      • 防弹门

• 实施物理安全计划

  控制对物理设施的访问，设施防护的第一道屏障

  • 一个组织的物理安全计划应涉及以下安全目标 ：

    • 通过 威慑预防犯罪和破坏, 栅栏、保安、警示标志等
    • 犯罪或破坏检测 ：烟雾探测器、运动探测器、CCTV等
    • 事故 评估 ：保安检测到的事故的反应以及破坏级别的确定
    • 响应 措施：灭火机制、应急响应过程、执法通告、外部安全专家咨询
    • 通过使用 延迟机制来减少损失：延缓对手行动的防御层，如锁、安全人员和屏障

  • 纵深防御 defense-in-depth

    如果一种机制失败，其他机制还能起作用, secure the weakest link 保护最弱环节

  • 威慑(Deter)-检测(Detect)-延迟(Delay)-响应(Respond)

• 基础设施与HVAC

  • 电力

    问题

    • 干扰

      • 电磁干扰

        Electromagnetic Interference (EMI) EMI是由火线、中线和地线之间的不平衡以及它们产生的磁场造成的

        有传导干扰和辐射干扰两种。传导干扰是指通 过导电介质把一个电网络上的信号耦合（干扰）到另一个电网络。辐射干扰是指干扰源通过空间把其信号耦合（干扰）到另一个电网络

      • 射频干扰

        Radio Frequency Interference (RFI)

        • 任何发射无线电波的设备都可能产生
        • 目前，荧光照明 是建筑物内产生RFI的主要原因

    • 波动

      • 电压过高

        尖峰，瞬间（Momentary）高压 多由雷电和闸刀闭合引起。

        浪涌，持续（Prolonged）高压 常见的电力故障，可使用过压保护器（surge protector）将过压通过接地（Ground）进行消散

      • 电压过低

        衰变，瞬间低压 持续一个周期到几秒不等。

        电压过低，持续低压 可使用稳压器稳定电压。

        浪涌电流，启动负载时所需的电流初始浪涌

      • 供电中断

        故障，瞬间停电

        断电，长时间停电。需要使用备份电源提供电力

    保护

    • UPS

      • 在线式

        供电始终流经UPS 使用交流线电压为UPS充电, 使用时逆变器将直流输出变为交流, 调整电压

      • 后备式

        正常情况不工作 电源器断后开始运行, 拥有探测断电的传感器

    • 预防性措施和最佳实践

      • 为每台设备配备一个浪涌保护器，以防止过离电流的破坏。
      • 按顺序关闭设备，这有助于避免因为电压变化而造成的数据丢失或设备损坏。
      • 使用电线监控器探测频率和电压幅度变化。
      • 使用稳压器保证电压稳定和电源的洁净。
      • 通过访问控制来保护配电盘、主电流断路器和变压器电缆。
      • 通过屏蔽线防止电磁感应现象。
      • 为较长电缆提供屏蔽。
      • 不要在荧光灯上面连接数据线或电源线。
      • 如果正在使用两芯电缆，那么应改用三芯电缆的适配器
      • 不要将插座线和延长线彼此连接

    • 电源线调节器

      电力线调节器（Power line condition）, 消减电源频率、波幅和电压等方面的异常变化确保纯净的电力（Lean Power）供给 相关术语包括：

      • 消噪电路（noise suppression circuitry）：合理地接地、采用差分结构传输模拟信号、在电路的电源输出端加去耦电容、采用电磁屏蔽技术、模拟数字地分开、信号线两边走底线、地线隔离等；
      • 电涌保护器（surge protector）：可以有效地吸收突发的巨大能量，以保护连接设备免于受损；

      稳压器（voltage regulator）：是输出电压保持稳定

    • 备用电源

      双路供电，保证所接电路为不同变电站或供电设备

      发电机，应当定期检测，以保证它能够运行并达到预期的要求

    • 电缆管理

      楼宇间系统、垂直系统、水平系统、区域内系统

      • 入口设备： 进线口是网络服务电缆进入或离开一个建筑物的点。它穿过建筑物墙壁连接入口设备。入口设备连接着公共和私人网络服务电缆，提供了中止主干电缆的手段。入口设备通常包括电气保护、接地和分界点。
      • 主干配线系统：主干配线系统连接入口设备、设备机房和通信机房。在多层的大楼中，主干配线系统由各楼层和多个通信机房之间的电缆和线路组成。在校园环境中主干配线系统由各大楼之间的电缆和线路组成。
      • 设备机房：设备机房为整个建筑物服务，其中装有网络接口、不间断电源、计算设备（如服务器、共享外设和存储设备等）以及电信设备（如PBX）。它可以与入口设备配套使用。
      • 电信机房：通信机房通常为一个楼层服务。通信机房为网络设备和电缆终端（例如交叉连接块和接线板）提供空间。它在主干电缆与水平配线系统之间充当主交叉连接。
      • 水平配线系统：水平配线系统把来自通信机房的信号分配给各个工作区。水平配线系统的组成是：
      • 电缆、交叉连接块、接线板、跳线、连接硬件、通路

    • 防雷击

      避雷设备选用

      • 雷电击中某个接地系统会造成地电位或接地电位上升（GPR）。与这个接地系统连接，同时还进行有线通信的任何设备都极可能被这股寻求远程接地的输出电流毁坏。而在设备上工作的人员极易受伤，因为他们正处在输出电流的电流通路上。雷电击中造成的设备损伤有时不会马上显现。

      • 如果预算比较充裕，最佳工程设计就是给所有通信配备单一介质光纤电缆。显然，整个光纤电缆线路若是都未使用金属加强芯或金属护罩，那它将不导电，从而不再需要隔离。这是因为，光纤产品天生就是物理绝缘的。单一介质光纤电缆必须用PVC导管保护起来，以防啮齿动物啃咬。

      • 如果预算比较紧张，保护设备的工程设计解决方案是将有线通信与远程地面隔离。这可以通过使用光学隔离器或隔离变压器实现。这套装置组合在一起，安装在绝缘的机柜表面，称作高压绝缘接口（HVI）。HVI在接地电位上升（GPR）期间隔离设备，阻止任何电流从高电势接地系统流向低电势接地系统，可完全保护任何设备或在设备上工作的人员免受损害或伤害。

  • 环境

    • 温湿度

      大多数电子设备必须在一个温控环境下运行。温度过低会使机械装置运行缓慢或停止运行，温度过高则可能造成设备使用太多风扇电能并最终关闭。

      如果计算机内部的风扇没有被清理过或是发生堵塞，那么即使在温控环境下，设备内部的元件也会发生过热现象。如果设备过热，那么其元件就会膨胀或收缩，从而造成元件电子特性的改变，并导致它们的工作效率降低或破坏整个系统。

      **温湿度控制 **

      • 环境温度过高会损坏电子设备或使其寿命缩短，温度过低会引起设备工作异常。计算机房的温度 应该控制在21-23摄氏度（Centigrade）之间，也就是70-74华氏度（Fahrenheit)之间
      • 环境湿度过高会造成电器触点腐蚀等问题，湿度过低会导致静电 过高引起数据丢失和设备损坏。计算机房的湿度应该控制在45%-65%之间。可以使用湿度记（hygrometer）监控环境湿度

    • 防静电

      静电示例

      • 正常湿度，木材或聚乙烯树脂地板 – 4000 伏
      • 没有防静电地毯，低湿度 – 20,000 伏或更高

      防静电措施

      • 在数据处理区中铺设防 静电地板
      • 保证合适的湿度
      • 将线路和插座正确接地
      • 不要在数据中心铺地毯。如果有必要，那么铺防静电地毯
      • 操作计算机系统内部元件时，应使用 防静电臂套

    • 通风

      闭环再循环空气调节系统（Closed-loop recirculating air conditioning system），可以对空气中的烟尘和有害气体进行过滤和清除。灰尘可能阻塞散热通道导致设备无法有效散热，有害物质和气体会沾染介质和腐蚀设备

      正向加压（Positive pressurization），室内空气正压可以防止外部空气进入室内，减少了室内空气受到污染的可能性，在火灾发生时也有利于防止烟火进入室内

      空调通风系统应该于火警消防系统相连，以便在发现火情时及时关闭以免烟火通过系统传播

      灰尘可能堵塞用于为设备散热的风扇，从而影响设备的正常运行，必须对经空气传播的材料和颗粒浓度进行监控，使其维持在适当的水平。如果某些气体的浓度过高，那么会加速设备的腐蚀，引发性能问题，或者使电子设备出现故陣。虽然大多数磁盘驱动器都是密封的，但是其他存储设备可能受到空气传播污染物的影响

    • 散热

      • 潜冷散热 是指空调系统的除湿能力。这在典型舒适降温应用中非常重要，例如在办公大楼、零售商店和其他人员密集的设施里。潜冷散热着重于为在设施内工作或访问的人群保持舒适的温度和湿度平衡。这些设施往往由直接通往外面的门和相当多的出口供人出入

      • 显冷散热 是指空调系统散热的能力，效果由温度计衡量。数据中心产生的每平方英尺热量大于典型舒适降温建筑环境，同时还充斥着大量人员。多数情况下，数据中心对访问设置了限制，除了极少使用的紧急出口外，没有通道可以直达建筑物外面

• 介质存储设施

• 设备故障

• 证据存储

• 配线间

• 火灾

  • 火灾的起火（Ignition）原因有多种，其中包括电器设备（Electric Devices and Wiring）发热、易燃物的不当堆放、未熄灭的烟头（Carelessly Discarded Cigarettes）以及纵火（Arson）

  • 应该尽量使用不易引起火灾的低压设备以及防止过载的断路器（Overload Breaker）

  • 火势的蔓延需要三个条件：温度 可燃物（Fuel）和氧气（Oxygen） 在设施建设、维护和使用过程中应该减少可燃物（Combustible Materials）的聚集

  • 有些建筑材料虽然不可燃（Noncombustible），但是在高温下强度会降低，这一特点应该引起注意

  • 火灾分类

    • A类 火灾（Fire class A）: 普通可燃物 （Common Combustibles） 如纸张、木材引起的火灾，使用水或泡沫灭火剂

    • B类 火灾（Fire class B）: 液体 如石油 产品（Petroleum Products）引起的火灾，FM200, 二氧化碳、泡沫、或干粉灭火剂

    • C类 火灾（Fire class C）: 电 （Electrical）火灾，如电子设备或电线， FM200, 二氧化碳或干粉（Dry Powder）灭火剂

    • D类 火 灾（Fire class D) : 可燃金属 （Combustible Metals）如镁、钠、钾火灾，使用干粉灭火剂

  • 预防

    使用阻燃材料、避免过载发热、消防设施、培训、监控

    • 培训员工在遇到火灾时如何作出适当的反应，提供合适的灭火设备并确保它们能够正常使用，保证附近有方便的灭火水源，以及正确存放可燃物品。
    • 使用合适的抗燃建筑材料，采用提供屏障的防扩散措施来设计建筑设施，以将火情和烟雾限制在最小范围。这些防热或防火屏障包括各种抗燃以及外覆防火涂层的建筑材料。

  • 检测

    • 离子化型(速度最快)
    • 探测器安装位置
      • 悬挂天花板
      • 抬起的地板
    • 光探测(烟激发)
    • 火焰激发
      • 火焰跳动
      • 相关红外能量
    • 热激发
      • 温度到达预先设定值
      • 温度升温速率

  • 扑灭

    • 灭火原理（隔离燃烧物、隔绝氧气、降低温度、阻断化学反应）

      • 酸碱灭火剂

        适用于普通和液体火灾，灭火机理是隔绝氧气。（注意对设备的腐蚀性）

      • 气体灭火

        适用于电器和液体火灾，灭火机理是干扰燃烧的化学反应（Chemical Combustion）。（注意对大气环境的污染）

        二氧化碳 适用于电器和液体火灾，灭火机理是隔绝氧气。对人有害，适用于无人值守的（Unattended）区域

      • 水

        适用于普通火灾，灭火机理是降低温度

    • 灭火系统

      便携式灭火器上印有标记，指明它应用于何种火灾，并且推荐用于扑灭哪种类型的火灾。便携式灭火器应当置于离电子设备50英尺以内的地方，而且还要靠近出口。灭火器上的标记应保持清晰，并且放在醒目的地方。它们应该安装在容易获取的位置，员工应该能够熟练地使用它们，而且还要定期对其进行检查

      • 喷淋系统

        • 湿管

          管道中一直存水，通过温控传感器控制喷水过程, 缺点是有可能被冻结或冻裂造成无法使用或泄漏

        • 干管

          管道中 平时不存水 ，热或烟雾传感器触发然后水进入到通向喷头的水管中。报警器发出警报声，电源被切断后水才从喷头中喷洒出来。所以不会冻结，缺点是存在 延迟

          • 预响应

            提前作用式系统（preaction system）不在水管内储水，只是在水管内的高压气体压力降低时才放水，这与干管系统类似。压力降低时，水管里就会充满水，但不会立即放出来。直到喷头处的一个==热熔解连接头熔化==，水才会放出来。组合使用这两种技术的目的是让人们有更多时间响应误报或者可以通过其他方法处理的小火灾

          • 泛滥式

            泛滥式系统(deluge system)的喷头总是打开的，这样在==短时间内就能喷出大量的水==。由于能够喷出太多的水，因此这种系统不能用于数据处理环境

      • 气体灭火

        • CO2(容易引起窒息)

        • FM-200（七氟丙烷）

          FM-200的灭火机理和Halon相同，都是 中断燃烧链 ， 灭火速度极快 ， 且无味、无污染 ，在设计浓度下可接受的毒性

        • Halon

          哈龙（Halon）灭火剂包含氯氟化碳（Chlorofluorocarbons, CFCs）会消耗大气臭氧层（Deplete Ozone Layer），并且在浓度（Concentration）高于10%的情况下对人体有害。高温还会造成其分解为更加 有害 的物质。根据《蒙特利尔议定书》全球已经==禁止使用==

物理安全的实现与管理

• 边界安全控制

  • 门

    开启报警(Open Alarm), 在开启过程中发出报警声音; 在遭到破坏时发出警报, 防夹(Entrapment)感应, 能感应到物体被夹住; 如需要, 关键区域门的外观不引人注目(Noticeable)

    • 故障生命安全 (Fail-Safe)发生故障(如电源中断)时自动开启
    • 故障财物安全 (Fail-Secure) 发生故障 (如电源中断) 时自动锁闭
    • 紧急逃生栓 (Emergency Panic Bars) 紧急情况下从内部开门逃生的装置

  • 照明

  • 警卫与警犬

    • 警卫 (Guards)

      仅仅安装阻碍设施还无法达到保护设施, 设备和人员所需的安全级别, 还需要监视措施发现并处理异常（Abnormal）情况。警卫及其巡逻（Patrol）是一种灵活有效的安全措施，不但能够发现异常情况，还可以进行的需要识别判断（Discriminating Judgment）的工作，如检查、盘问等。这种方式的缺点是**费用高，可靠性、保护强度较低 **所以需要与其它安全措施配合使用。选择保安时进行筛选，选择可靠的人员比较重要

    • 警犬 (Dogs)

      狗的感官比较灵敏（Keen Sense），经培训可担当探测和阻碍入侵者的工作，缺点是无法区分合法与非法用户。

  • 设施访问控制

    通过物理和技术方法控制人员出入，既保证正常地人员出入又要防止未经受权者进入设施。

    控制人员出入的措施不能妨碍在紧急情况下人员从设施中撤离。

    在部署访问控制措施之前应对不同区域的安全需求、人员和数据流动的特点、不同人员对各区域的访问需求和紧急情况等因素进行分析，确定不同安全级别的管理区域和入口控制点的位置。

    要注意除主通道以外的==第二通道和送货通道==的安全

  • 人员访问控制

    通过证件（Badge）识别来控制人员出入设施，包括：

    • 照片标识（Photo ID），带有照片的传统证件，由警卫人员（Guards）辨别证件的有效性。
    • 智能/存储卡（Smart/dumb card），包含有访问识别信息（Authentication Data）的磁卡（Magnetic Strip Card ）或C卡，通过阅读器（Reader）或／和其它交互方式与控制系统交换信息来判断证件的有效性。
    • 无线近距离阅读器（Wireless proximity reader），通过非接触的方式读取人员所佩戴证件中的信息来判断证件的有效性。

    生物识别技术 见访问控制

    尾随 常指未经授权的人尾随他人以达到非法进入设施的目的 应对措施 对员工进行培训使其养成良好 安全意识 （Security Awareness）和习惯, 双重门/捕人陷阱 设计能够有效防止尾随

  • CCTV 闭路电视监控

    • 威慑（Deterence）：使入侵者担心被抓获而放弃
    • 检测（Detection）：发现入侵行为以便警卫采取行动
    • 执行（Enforcement）：为抓获和惩罚入侵者提供证据
    • 注意隐私保护问题

• 内部安全控制

  • 隐私与法律要求

  • 环境与生命安全

  • 入侵检测系统

    物理入侵检测，注意有效性和误报率

    通常，入侵探测系统与警报系统集成。入侵探测系统应该具有线路监控（Line Supervision）能力，包含备用电源系统，并在遭到破坏（如被切断电源或线路）时，能够发出警报。

    入侵检测器（Detecting Devices）用于感知环境发生的变化，检测器种类繁多，主要用于检测以下变化：

    • 光束
    • 声音和振动
    • 移动
    • 各种场
    • 电子电路

    • 运动探测器 (Motion Detection)

      • 红外探测

        主动红外探测 当设备发出的红外线被运动的人或物体阻断时报警

        被动红外探测系统 通过感知区域内的温度升高发现入侵行为。需要自动补偿背景温度的变化, （如果环境温度会升高到接近人的体温，需要降温）

      • 光电或光度检测系统

        通过在区域内发射和接收 光线 发现入侵行为，适用于无窗的房间（Windowless Areas）

      • 邻近检测系统

        也被称为 电容检测器 通过在区域内发射和接收电磁场（Electromagnetic Field）发现入侵行为, 检测小范围内的变化

      • 声学检测系统

        误报问题

        主动 通过在区域发射和接收音频信号发现入侵行为

        被动 监听异常的声音

    • 震动检测系统

      通过感知区域内的震动发现入侵行为 误报问题

    • 机电系统

      可以检测到电路（磁力开关、窗户上的金属箔片、压力垫）的变化或中断, 安装在门窗上的接触开关（ContactSwitches），门窗打开时会发出警报。嵌入窗户等隔断设施中的电路（Electrical Circuits），当窗户破碎时会发出警报。

  • 监管要求

  • 二次验证

    部署两种或多种探测传感系统减少误报

  • 胸卡

• 物理安全运行

  • 物理访问控制审计

    与逻辑访问控制类似，对物理访问控制也应该进行 日志 记录（Logging）和定期审计（Audit），内容可以包括：

    • 访问的日期和时间（Data and Time）
    • 访问的出入位置（Location）
    • 访问用户的身份（User ID）
    • 访问是否获得成功（Result）
    • 对访问授权的更改情况（Privilege Change）
    • 审计和访问日志都是 检测性 的而不是预防性的

  • 应急计划测试与演练（至少每年演练一次）

    制定一个疏散和应急响应计划

    • 应急程序
    • 员工培训
    • 执行情况
    • **每年至少演习一次 （熟悉流程、评估有效性） **

    应急计划管理主要元素:

    • 关闭 Emergency system shutdown procedures
    • 评估 Evacuation procedures
    • 定期 Periodic equipment and systems tests
    • 演练 Employee training, awareness programs, and periodic drills

---

2021大纲 新增知识点

• 容器化

  一个容器包含了完整的运行时环境：除了应用程序本身之外，这个应用所需的全部依赖、类库、其他二进制文件、配置文件等，都统一被打入了一个称为容器映像的包中。通过将应用程序本身，和其依赖容器化，操作系统发行版本和其他基础环境造成的差异，都被抽象掉了。容器化应用程序可以作为一个单元进行测试，并可以作为容器映像实例部署到主机操作系统 (OS)。

• 零信任

  强调的是 “永不信任、始终验证” 对企业内外部的所有访问进行信任评估和动态访问控制，对所有访问企业资源的请求，进行验证、授权和加密, 从传统的“基于边界”的安全模型向 “无边界” 安全转变 “不以边界作为信任条件”, 将网络防御的边界缩小到单个或更小的资源组，其中心思想是企业不应自动信任内部或外部的任何人/事/物、不应该根据物理或网络位置对系统授予完全可信的权限，应在授权前对任何试图接入企业系统的人/事/物进行验证、对数据资源的访问只有当资源需要的时候才授予。

  John Kindervag 在提出“零信任”概念时提出过三个原则

  • 不应该区分网络位置
  • 所有的访问控制都应该是最小权限且严格限制
  • 所有的访问都应当被记录和跟踪

• 边缘计算系统

  边缘计算，是指在靠近物或数据源头的一侧，采用网络、计算、存储、应用核心能力为一体的开放平台，就近提供最近端服务。其应用程序在边缘侧发起，产生更快的网络服务响应，满足行业在实时业务、应用智能、安全与隐私保护等方面的基本需求。边缘计算处于物理实体和工业连接之间，或处于物理实体的顶端。而云端计算，仍然可以访问边缘计算的历史数据。

• 通过设计保护隐私