Security+ 学习笔记6 了解漏洞的类型

一、漏洞带来的影响

1.CIA：
基础设施、系统和应用程序中的漏洞使我们的组织面临着安全漏洞的风险。当想到信息安全的目标时，我们经常使用一个被称为CIA三元组的模型，如图所示：

CIA三部曲强调了信息安全在企业中执行的三个最重要的功能：保密性(Confidentiality)、完整性(Integrity)和可用性(Availability)。

1. 保密性确保只有被授权的个人才能访问信息和资源，让秘密远离窥探者。数据泄露指的是，在未经所有者同意的情况下，将敏感信息提供给个人或普通公众，或者指的是组织的系统和网络中删除敏感数据的行为。
2. 安全专业人员还负责保护一个组织的信息的完整性。这意味着，该信息没有任何未经授权的改变。这些未经授权的变化可能是黑客试图故意改变信息，或服务中断意外地影响到系统中存储的数据。在这两种情况下，信息安全专业人员的责任是防止这些完整性的缺失。
3. 信息安全的最终目标是可用性，确保授权的个人能够在他们需要时获得信息。如果用户不能访问重要的商业记录或系统，缺乏可用性可能会对企业产生深远的不好的的影响。攻击者想要破坏可用性，可以利用拒绝服务攻击(Dos)的攻击。这些攻击试图使用大量的数据流让一个系统或导致其崩溃，因此拒绝合法用户的访问。

2.漏洞的分类和影响：

1. 财务漏洞：顾名思义，是指组织遭受金钱损失的漏洞。这可能包括恢复受损设备和数据的费用，进行事件响应调查，通知个人他们的数据被盗，或者他们现在容易被盗用身份。
2. 声誉漏洞： 当围绕安全漏洞的负面宣传导致客户、员工、供应商和其他利益相关者的良好合作意愿丧失时，就会发生声誉漏洞。通常很难量化声誉损失，因为这些利益相关者可能不会站出来直接说，由于安全漏洞，他们将减少或取消与该组织的业务量。
3. 战略漏洞： 是指一个组织因安全漏洞而在实现其主要目标和目的方面变得不那么有效的风险。假设一名员工丢失了一台包含新产品开发计划的笔记本电脑。这一事件可能在两个不同方面给组织带来战略漏洞。首先，如果该组织没有这些计划的另一份副本，他们可能无法将新产品推向市场，或者可能遭受重大的产品开发延误。其次，如果竞争对手掌握了这些计划，他们可能会更快地将竞争产品推向市场，甚至击败组织进入市场，获得先机或优势。
4. 运营漏洞： 是指组织执行其日常职能的能力所面临的风险。运营漏洞可能会减慢业务流程，延迟客户订单的交付，或需要对通常的自动化做法实施耗时的人工解决方法。当安全漏洞导致一个组织违反法律或监管要求时，就会出现合规风险。

二、供应链的漏洞(supply chain vulnerability)

每个IT组织都依赖于外部供应商提供的硬件、软件和服务。无论这是以服务器操作系统、数据库平台、应用程序、管理服务或其他技术的形式出现，管理员必须了解供应链中出现的安全问题会如何影响他们的组织。安全专业人员供应商对组织内使用的产品发布的报废公告。

每个安全专家都知道，补丁管理是一个非常重要的安全问题。保持最新的补丁可以保护系统免受每年发现的许多新漏洞的影响。当一个供应商宣布一个产品的寿命结束时，他们就宣布他们最终将不再为该产品提供补丁。这使得以安全的方式运行该产品变得非常困难，甚至不可能。围绕着产品的寿命终结，有很多不同的术语。而且，术语的确切定义因供应商而异。如下是设备生命周期中三个常用的短语，用来描述供应商如何结束对产品的支持。注意：这些术语在不同的供应商那里可能有不同的用法。

第一步： 结束一个产品生命周期的第一步通常是宣布产品的销售结束(end-of-sale)。这只是意味着供应商将不再提供产品销售，但将继续支持现有客户。
第二步： 支持结束(end-of-support)的公告提供了一个日期，供应商将停止某种程度的产品支持。这个公告可能是对产品所有支持的实际结束，也可能是供应商将停止纠正非安全问题或提供小的改进的日期。
第三步： 每一个产品都会达到寿命终止(end-of-life)的阶段，供应商完全不再支持它，甚至对关键的安全问题也不会发布任何更新。除了帮助客户升级到产品的最新版本外，他们也不会再回答支持问题。

除了精心策划的终止支持流程，供应商有时也会因为人手不足或没有致力于某个产品而无法为其产品提供足够的支持。这种非正式的供应商支持的缺乏可能与运行不支持的产品一样危险，但更难发现。如果供应商的系统与你的操作环境的其他组件集成在一起，风险就更大了。供应商可能使用嵌入式系统作为其产品的组成部分，而你作为终端客户是看不到的。例如，一个数字标牌系统可能运行在一个完全不为终端用户所知的Linux操作系统版本上。如果该Linux版本出现了漏洞，数字标牌系统可能会受到攻击。在这些情况下，终端产品的客户通常没有机会升级嵌入式系统，但他们必须依靠供应商提供所需的安全更新。如果依赖供应商为你的组织提供云服务，风险状况就会改变。供应商开始负责代表你管理许多风险。

三、配置的漏洞(configuration vulnerability)

1.什么是配置的漏洞？
系统配置中的一些简单错误可能会导致非常严重的安全漏洞，攻击者可以利用这些漏洞来获取敏感信息或系统。IT人员常犯的一个错误是直接从制造商那里拿到一个系统，并在没有修改默认配置的情况下将其安装在他们的网络上。这在包含嵌入式计算机的设备中尤其危险，但这些设备通常不作为企业IT基础设施的一部分来管理。这些设备包括复印机、研究设备，以及其他直接来自供应商的设备。这些设备上的默认配置可能包含配置错误的防火墙，具有开放的端口和服务、开放的权限、访客账户、默认密码、不安全的根账户，或其他严重的安全问题。因此，IT人员在将设备连接到网络之前，应始终验证设备的安全性。

2.配置的漏洞产生的常见原因：

1. 如果管理员无意中在设备上配置了弱的密码套件或弱的协议实现( weak cipher suites or weak protocol implementations)，所有进出该设备的通信都可能被窃听和篡改；
2. 管理员还必须仔细管理加密密钥，以确保它们不会落入坏人手中。如果私人密钥被第三方知道，这个人可以冒充密钥的合法拥有者，窃听通信，从事虚假通信，并创建虚假数字签名；
3. 按照同样的思路，组织必须保护数字证书(digital certificates) 的发行和使用，确保他们有强大的证书管理流程，以防止虚假证书的发行，并保护与数字证书相关的秘钥；
4. 补丁管理确保系统(Patch management)和应用程序收到制造商提供的所有安全更新，以纠正已知的漏洞。操作系统补丁往往得到最多关注，但不要忘记给应用程序和整个环境中使用的设备的固件打补丁。一个未打补丁的设备可以提供攻击者在你的网络上建立立足点所需的开放网关；
5. 账户管理(account management) 是安全专业人员的一项极其重要的任务。如果一个账户被不适当地配置了过多的权限，拥有该账户的用户可能会使用这些额外的权限来造成破坏。记住最小权限原则。一个用户应该只拥有履行其工作职能所需的最低限度的必要权限集。安全专家必须密切关注系统、设备、应用程序和账户的正确配置，并遵循最小特权原则，以保护他们的组织免受攻击。

四、IT架构的漏洞(IT architectural vulnerability)

我们知道，当一个复杂的系统设计不当的时候，就会出现建筑上的漏洞。这些漏洞可能会在系统中造成基本的缺陷，而这些缺陷是很难补救的。

IT架构是一套定义明确的实践和流程，用于建立复杂的技术系统。IT架构师的作用类似于传统的建筑师的作用。他们不是把复杂的建筑放在一起，而是把不同的技术放在一起，以满足业务需求。而安全是这些要求中最重要的一个。避免架构和系统设计中的安全弱点的关键是尽早纳入安全要求，使其成为设计标准，而不是事后的关注。 如果先设计好系统，然后再加入安全保护，这样很容易带来被攻击的隐患。

另外，当我们考虑一个系统的安全问题时，不要只看技术架构和设计。还需要考虑到业务流程和围绕设计的人。例如，如果一个系统小心翼翼地对敏感信息进行加密，但在一个业务流程中，用户把这些信息打印出来，放在一个不安全的复印室里，这些数据就很容易被盗。安全专家应该评估自己组织的所有架构流程，以确保它们包括适当的安全控制。

参考资料来源：
https://www.linkedin.com/learning/paths/become-a-comptia-security-plus-certified-security-professional-sy0-601