CISSP 第十一章 安全运营

11.1 运营部门的角色

运营安全包括物理和环境问题得到适当解决，如温度和湿度控制、介质重用、处理以及敏感信息的介质的销毁。

11.2 行政管理

行政管理是运营安全中非常重要的环节。
职责分离separation of duties、岗位轮换、最小特权、知其所需、强制休假mandatory vacation

11.2.1 安全和网络人员

安全管理员与网络管理员的职责不同，网络管理员更关注网络资源的可用性和性能。

安全管理员应执行的任务：

• 实现和维护安全设备与软件：安全设备的更新和升级
• 执行安全评估
• 创建和维护用户资料，实现和维护访问控制机制
• 配置和维护强制性访问控制MAC环境中的安全标签
• 为用户设置初始口令
• 检查审计日志

11.2.2 可问责性

用户的访问尝试和活动需要被适当地监控、审计和记录。
审计需要作为日常工作开展。

11.2.3 阈值级别

公司可以为某种类型的错误预定义门限，门限是违规活动的基线，在被认为可疑的活动发生之前允许一定数量的错误。如密码错误超过门限，账号被锁定。

IDS可以用于跟踪这些活动和行为模式。

11.3 保证级别

操作保证operational assurance：关注产品的架构、嵌入的特征和功能，使客户在使用产品时能够持续获得必要的保护级别。如：访问控制、审计和监控能力、隐蔽隧道分析等

生命周期保证life-cycle assurance：关注产品的架构及其如何开发和维护。如：设计规范、限制级别配置、单元和集成测试、配置管理、可信开发等

11.4 运营责任

运营安全包含了安全措施和对策，以保护资源、信息与驻留信息和资源的硬件。
目标是降低可能由非授权访问或滥用造成损失的可能性。

11.4.1 不寻常与无法解释的事件

事件管理：使用一款产品在网络中收集日志，这款产品能标识模式以及人类由于各种日志数据繁多而很容易遗漏的潜在恶意活动。

11.4.2 偏离标准

标准是确定设备是否存在问题的基线。
必要时，标准需要重新校准。

11.4.3 不定期的初始化加载（即重启）

初始化加载Initial Program Load，IPL
无故重启的计算机可能存在重大问题或被恶意者占有。

11.4.4 资产标识和管理

资产管理包括了解和更新硬件（系统与网络）和软件的详细目录。

资产管理指了解环境中的一切：硬件、固件、操作系统、语言运行时的环境、应用程序以及不同的库。

自动资产管理工具能够将预期配置与环境的实际状态进行比较。

11.4.5 系统控制

系统应采用某些机制来限制一些类型的指令的执行，以便只有当操作系统在特权或管理员状态中才能运行。

11.4.6 可信恢复

系统重启、紧急系统重启动、系统冷启动，是系统应对一级故障时的处理方式，保证系统没有进入不安全的状态。

系统崩溃后：1. 进入单用户或安全模式 2. 修复问题并恢复文件 3. 确证关键的文件和操作
安全关注：1. 引导顺序应当不能重新配置 2.不应避开在系统日志中写入动作 3.禁止系统被迫关闭 4. 禁止输入变更路线

11.4.7 输入与输出控制

ActiveX组件、插件、配置文件更新或设备驱动程序这类系统输入，在发布时最好有可信机构的签名。