Security+ 5. 实现主机/软件安全性

5.1 加固(Hardening)

• 指修改系统的默认配置来尝试关闭漏洞
• 系统加固的技巧如下：

1. 确保操作系统符合最小功能原则，即系统不能提供超出其目的范围之外的其他功能。
2. 通过系统基于主机防火墙禁用任何不必要的网络端口
3. 禁用运行在系统上的任何不必要服务，减少系统的攻击面
4. 充分利用供应商或行业认可的组织所提供的任何安全配置来加强系统的防御能力。
5. 禁用系统上的任何默认账户，使攻击者无法通过这些账户获取访问权限。
6. 强制要求用户改掉分配给他们的默认密码。
7. 执行补丁管理服务，以便能够更高效地管理所有软件和服务的自动更新补丁。

5.2 可信计算基础(trusted computing base/TCB)

• 指计算机系统中用于负责确保安全策略得到实施，系统安全性得到保障的硬件。
• TCB组成：(TOS(固件(硬件)))
• TOS(Trusted operating systems)：可信OS，满足TCB安全要求的操作系统。

5.2.1 硬件和固件安全

• BIOS/UEFI：基本输入/输出系统BIOS和统一可扩展固件接口[Unified Extensible Firmware Interface(UEFI)]都是固件接口，为操作系统启动初始化硬件。UEFI更现代更安全。
• 信任根和HSM：信任根(root of trust)是指通过使用能保持数据机密性和防止被篡改的加密机制，实施硬件平台的可信计算架构的技术。硬件安全模块[Hardware security module(HSM)]是一种能够提供信任根功能的物理设备。
• TPM：可信平台模块[Trusted platform module(TPM)]：一种安全的加密处理器，用于生成加密密钥，在TCB的多个方面都有使用。
• 安全启动和远程认证：安全启动(Secure boot)是一种UEFI功能，在启动操作过程中阻止不想要的进程执行。UEFI采用启动加载程序的加密散列来确保其完整性。TPM为这个启动散列签订一个报告，发送到第三方进行验证，这个过程叫远程认证(remote attestation)
• FDE/SED：基于硬件的全磁盘加密[full disk encryption(FDE)]，用在被称为自加密驱动[Self-encrypting drives(SED)]的设备中。
• EMI保护：所有的电器都会产生电磁干扰[Electromagetic interference(EMI)]，未授权用户如果能接收这些电磁辐射，就可能获得其他的敏感数据。
• EMP保护：攻击者使用电磁脉冲[Electromagetic pulses(EMP)]来破坏硬件，引起故障。
• 供应链安全(supply chain)：指供应，制造，分配，最终向消费者发布商品和服务的端到端过程。硬件生产商就对供应链的每个环节实施强而有力的安全机制，并评估执行该机制执行。

5.2.2 软件安全

• 安全基线：一组应用到组织中特定主机上的安全和配置设置。
• 日志(logging)：win事件日志查看器(eventvwr.msc)
• 安全审计(Security auditing)：指对系统安全性中的优缺点执行有序技术评估的过程，确保系统符合要求。

5.2.2.1 软件更新

1. 补丁(Patch)：补充代码的小单元，用于解决软件数据包或操作系统中的问题或功能缺陷。
2. 热修复(Hotfix)：紧急发布的补丁，用于解决特定的安全缺陷。
3. 汇总(Rollup)：之前发布的补丁与热修改集合。
4. 服务包(Service pack)：更大的系统更新汇编集合，可能包括功能的提高，新性能等。

5.2.2.2 应用程序黑名单与白名单

• 黑名单：阻止特定应用程序在系统上运行；但只能阻止被确定的，新的或未知的存在风险的应用程序可能会被赋予访问权限
• 白名单：比黑名单提供了一种更加彻底的解决方案，但管理开销太大。

5.2.2.3 防恶意软件(Anti-malware software)

*指扫描独立计算机和整个企业网络，查找已知病毒、木马、蠕虫、以及其他恶意程序的保护性软件。有以下几种类型