标签：状态 加密 CISSP 系统 模式 安全 读存储器 安全漏洞 对策

2021年2月19日

处理器执行类型（Execution Type）
1.多任务：操作系统负责调度，大部分系统是这样的。
2.多核
3.多处理：SMP：对称多处理，适合高速处理简单任务，共享OS，共享数据、总线和内存；MPP：大规模并行处理，适合处理庞大、复杂和计算密集的任务，每个cpu有自己的os，内存等。
4.多程序：一般在大型机上，需要专门编写软件。
5.多线程

处理器类型：
1.单一状态：处理器和系统一次只处理一个安全级别的信息
2.多状态：同时处理多个安全级别的信息，能实现更高级别安全性。

保护机制：
1.保护环：四个环（0-3），0：内核，OS核心程序；1：OS其他程序（任务调度等）；2：I/O驱动，系统实用程序；3：应用程序。
2.进程状态：就绪状态、运行状态、等待状态、停止状态。
3.安全模式：a.专用模式：每个用户允许访问系统处理的所有信息，所有访问批准，“知其所需”；b.系统高级模式：允许访问所有信息许可，所有访问批准，可有可无“知其所需”；c.分隔模式：允许访问所有信息，有自己在系统上访问的信息，在自己系统上“知其所需”。
4.多级模式

操作模式：用户模式，特权模式。

存储器（Memory）：只读存储器（ROM），可编程只读存储器（PROM），可擦除可编程只读存储器（EPROM），电可擦除可编程只读存储器（EEPROM），RAM，寄存器（Registers：CPU可以直接读取数据）

存储设备：主辅存储设备，HDD、SSD、CD、DVD、闪存卡
存储介质安全：
1.数据残留
2.SSD耗损均衡
3.被盗：全盘加密
4.可用性：备份

输入输出设备：
1.显示器：风险是肩窥，长焦镜头
2.打印机：忘记取走打印的东西，本地存储
3.键盘/鼠标：keylogger
4.调制解调器：

Applet： Java applet、ActiveX
本地缓存： ARP、DNS、Internet文件
数据库安全：
1.聚合：大量低价值数据组合成高价值数据。例子：从每笔销售聚合出销售总数。
2.推理：从非敏感数据推出敏感数据。例如：会计可以从每天的工资总额，推出某个人的工资（通过入职前后的工资数据差）
3.数据挖掘，数据仓库
4.数据分析
5.大规模并行数据系统

分布式系统：电子邮件、访问控制、受限用户界面、文件加密、上传下载、分离不同模式进程、保护域、敏感材料标记、备份文件、安全意识培训、防范环境危害、桌面计算机也要放入业务连续性计划。

物联网：访问控制、加密
工业控制系统：ICS

评估缓解Web漏洞：1.执行输入验证；2.限制账户权限。

评估缓解移动系统的漏洞：不要在便携式设备中存敏感数据；运行FW和防病毒产品；保持锁定和加密。
1.设备安全：全设备加密、远程擦除、锁定、锁屏、GPS、应用程序控制、存储分离、资产跟踪、库存控制、移动设备管理（MDM）、设备访问控制、可移动存储、关闭不使用的功能。
2.应用安全：密钥管理、凭据管理、身份验证、地理位置标记、加密、应用白名单。
3.BYOD：数据所有权、所有权支持、补丁管理、防病毒管理、取证、隐私、入职和离职、遵守公司策略、用户接受度、架构和基础设施、法律问题、可接受使用策略、机载摄像头和视频。

评估缓解嵌入式设备和信息物理系统的漏洞：
1.例如：IoT、嵌入式系统、大型机、游戏控制台、车载计算系统
2.保护方法：网络分段、安全层、应用防火墙、手动更新、固件版本控制、包装器、监控、控制冗余和多样性

基本安全保护机制：
1.技术机制：分层、抽象、数据隐藏、进程隔离、硬件分隔（实现比较少，通常仅限于国家安全设施）
2.安全策略和计算机架构
3.策略机制：最小特权原则、特权分离、问责制

常见的架构缺陷和安全问题：
1.隐蔽通道：时间隐蔽通道，存储隐蔽通道。
2.基于设计或编码缺陷的***和安全问题：可信恢复、输入和参数检查、维护钩子和特权程序、增量***
3.编程：代码评审和测试
4.计时、状态改变和通信中断
5.技术和进程集成
6.电磁辐射（Emit Electromagnetic，EM）：电缆屏蔽（法拉第笼、干扰、噪声发生器、控制区）。

本章接内容比较多。课后习题20题，错了7个。

标签：状态,加密,CISSP,系统,模式,安全,读存储器,安全漏洞,对策
来源： https://blog.51cto.com/314837/2635682

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。