第14飛揚(yáng)架構(gòu)評(píng)估方法論數(shù)據(jù)安全學(xué)習(xí)預(yù)覽

架構(gòu)設(shè) 安全 課程目uuuu為后續(xù)云架構(gòu)、技術(shù)選型、運(yùn)維、質(zhì)量保證設(shè)計(jì)做好鋪課程導(dǎo)航（上uuu分析物理安全，探究人員安全、控制和檢u課程導(dǎo)航（下u分析通信安全，探究網(wǎng)絡(luò)設(shè)備安全、網(wǎng)絡(luò)和防u分析安全，實(shí)現(xiàn)認(rèn)證、和控u分析軟件安全，探究操作系統(tǒng)、數(shù)據(jù)庫(kù)和Webu安全框本章概uWhatuWhyuHow：理論結(jié)合案例，點(diǎn)出安全架構(gòu)的整體思安安2.67安全那點(diǎn)安全基本原數(shù)據(jù)高可 容DDoS防 可用數(shù)字簽 完整

物 控安全相關(guān)的架構(gòu)an如哪何目業(yè)什資誰(shuí)客為 技 系統(tǒng)計(jì) 對(duì) 信 時(shí)間SabsaSabsa如誰(shuí)何什上下 業(yè)何概邏物組國(guó)際安全架構(gòu)IPDRRIPDRRIATFIATFuuuCGSCGS框u治理：使命的u保u檢u響應(yīng)IACDIACD自自適應(yīng)安全框安全從控制做安安全控COBITCOBIT元素周NIST標(biāo)準(zhǔn)控安全流程管基礎(chǔ)架構(gòu)SIEMSIEM六六西格瑪精益管定量–SMART安全法律合法法歐歐盟：從安全港到PCI支付卡安全標(biāo)u基礎(chǔ)架構(gòu)： u數(shù)據(jù)：、傳輸、數(shù)據(jù)、物理、認(rèn)證、監(jiān)u軟件：防、殺毒、安全程序、測(cè)案例分析-互聯(lián)網(wǎng)票務(wù)安全u網(wǎng)絡(luò)協(xié)議：只允許TCP/UDP/ICMP/IPSecuu網(wǎng)絡(luò)接入：負(fù)載均衡和NAT服服務(wù)資uu：MFA多因素認(rèn)證+ uuuu管管理流uu框架：自適應(yīng)u架構(gòu)師崗面試面試題uuu加分項(xiàng)：能結(jié)合實(shí)際案例，講述任意一種架構(gòu)：Zaan、面試題uu題眼：安全控 u加分項(xiàng)：能結(jié)合實(shí)際案例，講述任意法論：COBIT、面試題uuu加分項(xiàng)：能結(jié)合實(shí)際案例，講 PCIDSS支付卡安全標(biāo)準(zhǔn)的要 細(xì)QQu故事：一個(gè)曾經(jīng)參加過的安全合規(guī)、流程控制、安全課程小結(jié)與作安全評(píng)估方本章概uWhat：應(yīng)用風(fēng)險(xiǎn)評(píng)估、安全測(cè)試、滲透測(cè)試、模uWhyuHow安全評(píng)估方u安全測(cè)試：SAST靜態(tài)測(cè)試、IAST u滲透測(cè)試：紅藍(lán)對(duì)抗、黑上層應(yīng)用風(fēng)險(xiǎn)應(yīng)用風(fēng)險(xiǎn)分析uu建模：風(fēng)險(xiǎn)分析過程、資產(chǎn)脆弱性評(píng)估、失效模 財(cái)大特聲戶用滲透測(cè)試+架構(gòu)評(píng) 模 應(yīng)用安全測(cè)安全測(cè)應(yīng)用安全測(cè)uSAST靜態(tài)應(yīng)用安全測(cè)試-代碼掃描 、uSAST靜態(tài)應(yīng)用安全測(cè)試– 庫(kù)掃描：NexusIQ、uIAST交互式應(yīng)用安全測(cè)試：Synopsys SAST靜 模型（上）-樹分u一騙（電 u竊密（信息披露）癱瘓（DOS）提權(quán)限（權(quán)限提升u脆弱->--資產(chǎn)-脆弱性u(píng)資產(chǎn)識(shí)別：CEO的郵u信 u端點(diǎn)識(shí)別：、筆記本、POP3/IMAP、內(nèi)部郵件系統(tǒng)、CEO郵件管理系統(tǒng)管理筆記增刪增刪刪內(nèi)部郵件系刪郵件服務(wù)刪樹樹分CEO的郵模型（下）-DREAD風(fēng)險(xiǎn)DREAD分u破壞性（Damage）：的潛在破壞u可重復(fù)性 u可利用性 DREAD分u影響面（AffectedUsers）u可發(fā)現(xiàn)性（Discoverability）：發(fā)現(xiàn)多方u單項(xiàng)：低風(fēng)險(xiǎn)-1分、中風(fēng)險(xiǎn)-2分、高風(fēng)險(xiǎn)-3滲透測(cè)滲透測(cè)試基本u合法：免死金u控制影響 u攻為了防： 滲透測(cè)試基本u信息收集：社會(huì)工程 u后滲 軒轅劍軒轅劍-Rapid7太太阿劍–Burp中間蜘蛛爬重干將莫邪–干將莫邪–魚腸魚腸 SQL注聯(lián)合注布爾注時(shí)間注堆疊注案例實(shí)戰(zhàn)–慕課網(wǎng)模型搭建與評(píng)信任講講師可以通過賬/令牌獲取自己的課 學(xué) 學(xué)生可以通過賬 /令牌獲取 的課程內(nèi)教學(xué)教學(xué)指導(dǎo)可以通過賬/令牌上傳所管理的課編編輯可以通過賬/令牌修改所有數(shù)據(jù)庫(kù)管理處理任意課 資產(chǎn)名 資產(chǎn)描 信 課程慕課資 講師、學(xué)生、教學(xué)指導(dǎo)、頻編輯、 圖文 課程配套內(nèi) 講師、學(xué)生、教學(xué)指導(dǎo) 元數(shù) 課程和關(guān)聯(lián)信 教學(xué)指導(dǎo)、編輯、 數(shù)據(jù)庫(kù)連接 數(shù)據(jù)庫(kù)連接信 課程用戶關(guān) 和用戶、訂單聯(lián)信

端口端口信HTTPS課講師、學(xué)生HTTPS課程教學(xué)指導(dǎo)、編SSH協(xié)登陸數(shù)據(jù)庫(kù)服務(wù)數(shù)據(jù)庫(kù)TCP登陸數(shù)據(jù)課講學(xué)教學(xué)編HTTPS查查查HTTPS增增刪SSH協(xié)增刪數(shù)據(jù)庫(kù)TCP增刪樹破壞可重復(fù)可利用影響可發(fā)現(xiàn)1.盜取課1.1.數(shù)據(jù)1.1.1.SQL注331311.1.2.服務(wù)器攻33131。。。。。2.TCP-13232架構(gòu)師崗面試面試題uu題眼：SAST靜態(tài)測(cè)試、IASTu加分項(xiàng)：能結(jié)合實(shí)際工具（如 Seeker等）講述清楚代碼掃描、第庫(kù)掃描、交互式測(cè)試的詳面試題uu題眼：風(fēng)險(xiǎn)評(píng)估、滲透測(cè)試、架構(gòu)評(píng)審、模型、安全測(cè)u加分項(xiàng)：能結(jié)合實(shí)際案例，講述任意一種風(fēng)險(xiǎn)分析和評(píng)估建模方 面試題u題目：對(duì)于 uu加分項(xiàng)：能結(jié)合實(shí)際案例，講述企業(yè)內(nèi)如何進(jìn)行滲透測(cè)試、紅藍(lán)QQu故事：一個(gè)曾經(jīng)參加過的安全評(píng)估項(xiàng)目？你當(dāng)時(shí)采用了什么方法？如果采用課程中介紹的安全測(cè)試、模型和滲課程小結(jié)與作物理安安安全五芒物理安軟件安數(shù)據(jù)安安通信安本章概uWhat：人員安全 uWhyuHow：理論結(jié)合案例，點(diǎn)出物理安全 物物理安控檢人員安人員安員工管uuu強(qiáng)制休假：有人996uuu數(shù)據(jù)中心安數(shù)據(jù)中心整體安安防主要思u震u延u檢案例分析–各大數(shù)據(jù)中心架構(gòu)師崗面試面試題uu題眼：物理的控制和檢u加分項(xiàng)：能結(jié)合實(shí)際案例，講述開發(fā)測(cè)試中心和生產(chǎn)中心的面試題uuu加分項(xiàng)：了解權(quán)責(zé)分離、崗位輪換、強(qiáng)制休假等人員安全； QQu故事：一下貴公司的數(shù)據(jù)中心的物理安全情況？有什課程小結(jié)與作數(shù)據(jù)安本章概uWhatuWhy：除首惡（OWASP十大惡人之首）uHow數(shù)據(jù)安全–三大元素?cái)?shù)據(jù)高可 容可用數(shù)字簽 完整

安全級(jí)別分?jǐn)?shù)數(shù)據(jù)安全分–門個(gè)人隱私–剎帝內(nèi)部敏感–吠舍對(duì)外公開–首陀數(shù)據(jù)控u數(shù)據(jù)金字塔：CIO、CISO、CPOuDLP數(shù)據(jù)保護(hù)：清點(diǎn)、歸檔 u數(shù)據(jù)原則：責(zé)任分層、最數(shù)據(jù)加密（上）-對(duì)稱加學(xué)學(xué)那點(diǎn)u擾亂u擴(kuò)散：一u初始向量：擲替換分DESDES加密ECB電本年輕分年輕CFB密文反年輕天天向 不OFB輸出反耗子CTR計(jì)數(shù)AESAES更難數(shù)據(jù)加密（下）-Diffie-man算 == ECCECC對(duì)對(duì)稱-非對(duì)對(duì)稱加密的差非對(duì)稱加密加密完整驗(yàn)存儲(chǔ)加通信加密名不可數(shù)字簽名和驗(yàn)HMACHMAC–對(duì)稱密鑰消RSA+MACRSA+MAC–非對(duì)稱密鑰簽名消加密RSA+MACRSA+MAC–非對(duì)稱密鑰驗(yàn)加密消消PKI公鑰基礎(chǔ)架駕照那點(diǎn)

駕照

吊銷CRLApacheApacheTomcatTomcat駕照那點(diǎn) CA主鏈狀：公簽加密和數(shù)據(jù)保護(hù)的思加密決策是否可散 完整性 對(duì)稱加

小文件自己人

數(shù)字簽 非對(duì)稱加 對(duì)稱加云平臺(tái)信封加密案例實(shí)戰(zhàn)–JWTtoken數(shù)字?jǐn)?shù)據(jù)邏輯保邏輯保護(hù)技備 快 CDP連續(xù)數(shù)據(jù)保快Local快Local備份和恢備份策全量備備份策增量備備份策差量備數(shù)據(jù)高可數(shù)據(jù)庫(kù)數(shù)據(jù)庫(kù)OSOSSANSAN層層RPOvs數(shù)據(jù)容災(zāi)級(jí) 恢復(fù)時(shí)間目DRP規(guī)劃

11風(fēng)險(xiǎn)分2345管理流系統(tǒng)建設(shè)應(yīng)用級(jí)容系統(tǒng)建設(shè)T18管案例實(shí)戰(zhàn)–容災(zāi)規(guī)劃和切換

資源匹

系統(tǒng)數(shù)網(wǎng)絡(luò)環(huán)基礎(chǔ)環(huán)

特征分運(yùn)維管少小離家回->?；丶铱碅A CAB離

ABC回 A BC離

CAB離 ABC回 CBA離A

不停一鍵離 容災(zāi)演u紙上談兵：核查性測(cè)試（看文檔）、結(jié)構(gòu)化的排練（讀文檔u大事化?。耗M測(cè)試（非生產(chǎn)）、并試（生產(chǎn)u搞大了：全中斷測(cè)試（切換和回切架構(gòu)師崗面試面試題u題目：如何實(shí)現(xiàn)不同數(shù)據(jù)生命周期