¶ 1 审计策略
- 信息系统的安全审计是对特定范围的人/计算机/过程和信息的各种安全控制所实施的一个系统性评估。
- 安全审计流程：确定目标--适合的业务部分领导参与--确定范围--选择审计团队--计划审计--执行审计--记录结果--将结果转达给合适的领导
- 内部审计
- 优点：熟悉内部系统，更容易发现信息系统中的脆弱性
- 缺点：可能存在利益性冲突
- 外部审计
- 合作伙伴
- 第三方审计
- 优点：带来新知识。保持客观,合规审计必须由外部团队来实施
- 缺点：成本高
- 服务性组织控制审计标准框架（SOC）
- SOC报告类型
- 1、SOC1：适用于财务控制
- 2、SOC2：适用于信任服务，详细数据，一般不公开
- 3、SOC3：适用于信任服务，细节较少，可用于一般公众性目的
- SOC报告类型
¶ 2 审计技术控制措施
- 技术控制是通过使用IT资产来实现的安全控制
- 脆弱性测试：执行脆弱性测试之前，需要拟定一份书面协议。
- 黑盒测试：模拟外部攻击者，可能覆盖不全
- 白盒测试：评估更完整，但无法代表外部攻击者行为
- 灰盒测试：介于其他两种方法之间，减少白盒或黑盒测试中的各种问题
- 渗透测试：模拟攻击一个网络及其系统的过程。
- 渗透过程：发现--枚举--脆弱性映射-利用--向管理层报告。
- 1）发现。收集目标的相关信息。
- 2）枚举。执行端口扫描和资源识别的方法。
- 3）漏洞映射。在已识别的系统和资源中识别漏洞。
- 4）利用。尝试利用漏洞进行未授权访问。
- 5）向管理层报告。向管理层提交文档，包含测试结果和建议的控制措施。
- 盲测是评估者仅持有公开可用的数据用于测试，而网络安全人员已获悉测试的发生。
- 双盲测试是一项在网络安全人员未被通知的情况下进行的盲测。
- 战争拨号攻击：拨打大量的电话，搜索可用的调制解调器。
- 其他脆弱性类型
- 内核缺陷： 及时安装安全补丁
- 缓冲区溢出：C语言
- 符号链接：编写程序和特定的脚本，确保无法绕过文件的完整路径。
- 文件描述符攻击：操作系统用于表示在某个进程中被打开文件的编号
- 竞态条件：TOU/TOC
- 文件和目录许可
- 时候检查
- 日志审查 NTP：UDP123
- 检查系统的日志文件，以检测各种安全事件或验证各种安全控制的有效性
- 防止日志被篡改：远程日志/单向通信/复制/一次性写入介质/加密散列链
- 综合事务：编写脚本模拟真实用户，系统的测试关键服务的行为和性能。
- 一种测试关键服务的行为和性能的方法。
- 误用案例测试：各种威胁角色和他们想要在系统上执行的任务用例。
- 代码审查：系统地检查组成一个软件各部分的指令，并由该代码作者以外的其他人来执行。遵循编码标准。
- 接口测试：一个被称为集成测试的特例，评估系统的不同部分彼此之间如何进行交互。
¶ 3 审计管理控制措施
- 管理控制通常主要通过策略或流程来实施
- 账户管理
- 盗用现有特权账户:使用强身份验证（例如强密码或双因素验证）/执行特定任务时使用特权账户
- 创建新的特权账户
- 提升常规用户账户的权限
- 密切关注账户创建/修改/暂停来消减
- 备份验证
- 数据类型：用户数据文件/数据库/邮箱数据
- 实施备份验证
- 灾难恢复和业务连续性
- 测试和灾难恢复演练应当至少每年进行一次
- 结构化的排练性测试：代表聚在一起对计划进行检查。
- 模拟测试：根据一个特定场景练习执行灾难恢复计划。逼真。
- 并行测试：主备系统一起同时启动。影响最小。
- 全中断测试:将原始站点关闭并将业务处理转移到备用站点完成。
- 安全培训和安全意识培训
- 安全培训通常是提供给安全人员，安全意识培训应该提供给组织的每个成员。
- 社会工程：网络钓鱼/鱼叉式网络钓鱼（针对特定个人）/捕鲸（针对高级管理人员）/冒充
- 上网安全
- 数据保护
- 文化
- 关键绩效和风险指标
- 关键绩效指标（KPI）：衡量目前情况的进展程度，描述ISMS有效性的一个或多个度量的解释。
- 关键风险指标（KRI）：衡量未来情况会差到什么程度，将组织相对其风险偏好的位置告知管理者。
¶ 4 报告
¶ 5 管理评审
管理评审是高级组织领导层的正式会议，定期发生，并将审计结果作为关键的输入。
ISO9000
PDCA
¶ 知识点：
