第七章：安全運營
7.1 運營部門的角色
prudent man、due care（按要求執行）VS due diligence（承擔管理者責任）
應盡關注：執行了負責任的動作降低了風險。
應盡職責：采取了所有必要的安全步驟以了解公司或個人的實際風險。
運營安全是保持環境運行在一個必要的安全級別中的持續維護行為。
7.2 行政管理
職責分離：確保一個獨立行動的人通過任何方法都無法危機公司的安全。一旦發生欺詐，必有共謀。
崗位輪換：檢測性控制。確定欺詐活動。
最小特權和知其所需：行政管理類控制，僅有足夠的許可和權限來履行他在公司的任務而不超出范圍。
強制休假：行政管理控制。
7.3 保證級別
操作保證關注的是產品的架構、嵌入的特征和功能，他們使客戶在使用產品時能持續獲得必要的保護級別。
生命周期保證與產品的架構及其如何開發和維護有關
7.4 運營責任
不尋常或無法解釋的事件
偏離標准
不定期的初始程序加載（也稱為重啟）
7.5 配置管理
可信恢復
系統重啟：釋放資源，使計算機返回到更加穩定和安全的狀態。
緊急系統重啟動：
系統冷啟動：系統無法自動恢復到安全狀態而需要人工干預。
輸入與輸出控制
事務是原子性，可防止TOC/TOU一類攻擊。
如果一份報告中不含信息（無報告內容），那么應當包含“沒有輸出”。
系統強化
遠程訪問安全
7.6 物理安全
設施訪問控制，如鎖，廉價，被人們廣泛接受和采用的訪問控制機制。
密碼鎖門延遲，意味着門打開一段時間后，警報響起。
人員訪問控制，如生物特征識別、智能卡、身份證、使用鑰匙或者提供出入卡並輸入密碼或PIN。
CCTV主要使用兩種鏡頭：固定焦距鏡頭和變焦鏡頭 廣角鏡頭，焦距短 遠攝鏡頭焦距較長
景深：在監視器上顯示的環境的焦點部分，景深大小取決於透鏡孔徑、聚焦物體的距離以及鏡頭的焦距。透鏡孔徑的程度加大、物體距離增加或者鏡頭的焦距減小，景深也隨之增加。如果希望覆蓋較大的區域，但不聚焦某些特定物體，那么最好使用廣角鏡頭和小透鏡孔徑。
手動光圈和自動光圈，手動光圈用於固定照明區域，自動光圈應當用在對光照不斷變化的環境中，如室外場所。
外部邊界保護機制，如柵欄、護柱、照明、監視設備、錄像設備等
入侵檢測系統，如光束、聲音和振動、移動、電子電路等
巡邏警衛和保安
7.7 安全資源配置
配置是指為用戶或用戶群提供一種或多種信息服務所需的一系列活動
資產清單，如果你不清楚自己擁有什么，就很難去保護它
配置管理是在所有系統上建立並保持基線的程序
變更控制過程：請求發生一個變更—變更的批准—變更的文檔—測試和提交—實現—提交變更報告給管理層
7.8 網絡和資源可用性
“熱交換”的冗余硬件、容錯技術、服務級別協定（SLA）
平均故障間隔時間（MTBF）:：了解設備大概何時需要檢修，值越高價格更貴。
平均修復時間（MTTR）：修復並使其重新投入生產預計所需的時間，如果值較高，考慮冗余。
單點故障：防御最佳方法、適當維護、經常備份以及建立冗余。
磁盤冗余陣列（RAID）
直接訪問存儲設備（DASD）：廉價的RAID就是一種DASD
大規模非活動磁盤陣列（MAID）
獨立冗余磁帶陣列（RAIT）：成本最低、速度比磁盤存儲更慢
存儲區域網絡（SAN）
群集
網格計算
備份
層次存儲管理（HSM）：提供持續的在線備份功能
7.9 預防措施
流程
1、了解風險
2、使用正確的風險控制
3、正確地使用控制
4、管理你的配置
5、評估操作
防火牆
入侵檢測與防護系統：IDS只能檢測和報告可疑的入侵，而ips則能檢測、報告和制止疑似入侵。
反惡意軟件
補丁管理
蜜罐技術
7.10 事故管理流程
1、檢測
2、響應
3、緩解
4、報告
5、恢復
6、修復
7.11 災難恢復
最高可承受的停機時間（MTD）
恢復時間目標（RTO）
恢復點目標（RPO）
工作恢復時間（WRT）
設施恢復：
完備場所（hot site）：裝備完全且經過適當配置的設施，它可以幾個小時內投入運行使公司恢復生產。包含所有必須的個人電腦、服務器和通信的站點。
基本完備場所（warm site）
基礎場所（cold site）：只提供基本的工作環境（布線、空調、架空的地板、吊頂），通常是建築框架，沒有其他內容。
互惠協議：不是強制性的，較好的備選方案。
數據備份選擇方案
完全備份：歸檔位會被清除，即將它設為0
差異備份：對最近完全備份以來發生變化的文件進行備份，不改變歸檔位。1-1
增量備份：對最近完全備份或增量備份以來發生改變的所有文件進行備份，將歸檔位設為0
電子備份解決方案
磁盤映像：使用映像組，數據以映像形式保存在兩個或多個磁盤上。
電子傳送：非實時，批量傳送備份，電子鏈接，一種為實現備份而向異地設施傳輸批量信息。
遠程日志處理：實時發生，將日志或事物日志傳送到異地設施，數據庫恢復措施。
電子磁帶傳送：將數據備份到磁帶上，運輸到異地設施。
同步復制、異步復制
高可用性：提供冗余、容錯和故障轉移。
數據可通過備份磁帶、電子傳送、同步或異步復制、RAID進行恢復。
處理能力可通過群集、負載均衡、鏡像、冗余、容錯技術來恢復。
7.12 保險
網絡保險：一種新型保險項目，為安全事件造成的損失提供保險
業務中斷保險
7.13 恢復與還原
重建團隊：應當負責使備用站點投入運行。准備異地設施
救援團隊：應當負責開始恢復原始站點。
當公司搬回原來的場所或搬進一個新場所，公司進入再造階段，直到公司在它原來的主站點的新設施內恢復運作，公司才脫離緊急狀態。
首先，應轉移最不關鍵的功能。
7.14 調查
動機、機會和方式（Motive、Opeortunity、Means，MOM）
欲使證據可被法庭接收，證據必須是相關的、充分的、可靠的。證據必須是法律許可的，也就是說以合法方式獲得，並且保管鏈未被破壞。
7.15 義務及其后果
7.16 合規性
7.17 個人安全問題
人身安全高於所有其他問題
重點題目：
1、RAID級別：
最常見的RAID級別為5級，
RAID 0:條帶化，通過使用多個磁盤創建一個大的磁盤，只用於提高性能
RAID1:驅動器鏡像，一次寫入兩個，一個發生故障，還有一個。
RAID2:漢明碼奇偶校驗，有一部分磁盤用於錯誤數據恢復
RAID3:字節級奇偶校驗，字塊級別，奇偶校驗數據保存子一個驅動器
RAID4:分組級奇偶校驗，數據塊級，奇偶校驗數據保存子一個驅動器
RAID5:間插奇偶校驗
RAID6：雙奇偶校驗
RAID10：條帶化和鏡像
2、逃生門：設計為fail safe（斷點開門，保證人身安全），fail security（斷電關門，保證財產安全）。
3、取證調查，在犯罪沒收電腦后，制作磁盤的鏡像副本。
4、故意植入缺陷，誘騙攻擊者，設置蜜罐通常被認為是一種誘騙工具（不是誘捕）。
5、演練：
檢查清單（check list）：各部門自行檢查內部的計划正確性。
桌面演練（walk throught）：各部門在一起討論整體計划的正確性。
功能演練（function）：對部分系統/業務進行中斷。
並行演練（parallel）：主備系統一起同時啟動。
完全中斷演練（full interruption），所有備用系統啟用，所有主系統切換，完全模擬真實狀態。
錯題要點：
1、數據欺騙，計算機犯罪經常與內部人員有關，在涉及篡改數據之前暴露邏輯訪問。
2、網絡地址劫持，會對網絡數據進行修改，網絡地址嗅探，不會修改數據。
3、Salami techniques 意大利香腸術，雇員通過從多個賬戶划走少量的錢，存入資金到自己的銀行賬戶。
4、Clipping level 限值水平，設置錯誤門限。
5、輸入控制，輸入或編輯的計數數據和時間戳與日期。輸出控制，比如：確保打印的報告送達正確的用戶，並在發放敏感文件前簽署收據。
6、Loki attack exploits 洛基攻擊利用一個隱蔽通道，基於icmp協議。
7、在入侵檢測系統中，警報的組成部分：發生器、傳感器、通訊裝置。
8、two-man control 雙人控制，相互審查和批准對方的工作。
9、clearing 擦除后的信息遇到鍵盤攻擊，是不可恢復的， purging 清除后的信息在對實驗室攻擊是不可恢復。