iT 邦幫忙::一起幫忙解決難題，拯救 IT 人的一天

0 Like 0 留言 2100 瀏覽

技術密鑰協商-Diffie-Hellman

密鑰分發是將加密密鑰從一方發送到另一方的過程。對稱和非對稱密碼術都面臨著密鑰分發的挑戰。這個問題詢問對稱密碼學中的共享密鑰分發。. 由信任網絡或 X.509公鑰...

卓建全(Cho,Chien-Chuan) ‧ 2021-06-12

2 Like 0 留言 1679 瀏覽

技術替代網站(Alternative Sites)- 冷站點的最大好處

冷站點沒有適當的計算機設備，因此它不提供異地數據存儲、保留替代計算能力或響應電子發現請求。冷站點是替代或備份站點的最便宜的形式。與暖站點或熱站點相比，恢復計算機...

卓建全(Cho,Chien-Chuan) ‧ 2021-06-11

3 Like 0 留言 5393 瀏覽

技術工程、生命週期階段和過程（Engineering, Life Cycle Stages, and Processes）

-NIST SP 800-160 V1 和 ISO 15288 工程（Engineering）. 工程是一種涉及開發解決方案的一組流程的方法，該解決方案可以是...

卓建全(Cho,Chien-Chuan) ‧ 2021-06-10

0 Like 0 留言 1745 瀏覽

技術最大可容忍停機時間 (MTD)

最長可容忍停機時間或 MTD 指定了在組織的生存面臨風險之前給定業務流程可能無法運行的最長時間。”資料來源：BCM 研究所最大可容忍停機時間 (MTD) 是對信...

卓建全(Cho,Chien-Chuan) ‧ 2021-06-09

0 Like 0 留言 3208 瀏覽

技術安全控制（security controls）

雙重控制、職責分離、權限分離和 M of N Control 是用於防止欺詐和錯誤的安全控制。但是，雙重控制、職責分離和 M of N Control 需要兩個...

卓建全(Cho,Chien-Chuan) ‧ 2021-06-07

0 Like 0 留言 1286 瀏覽

技術軟體測試類型

-測試類型. 靜態測試是一種測試，其中被測軟件 (software under test:SUT) 作為源代碼或二進制代碼不加載到內存中執行。靜態二進制代碼掃描...

卓建全(Cho,Chien-Chuan) ‧ 2021-06-02

0 Like 0 留言 1614 瀏覽

技術雲安全聯盟（CSA）-安全信任和保證註冊（STAR）

-圖片來源：CSA 在雲安全聯盟（CSA）劃分安全，信任和保證註冊（STAR）計劃分為三個層次： CSA STAR 1 級：自我評估 CSA STAR 2 級...

卓建全(Cho,Chien-Chuan) ‧ 2021-06-01

2 Like 0 留言 9473 瀏覽

技術威脅建模（Threat modeling）

“從概念上講，大多數人在日常生活中都採用了某種形式的威脅建模，甚至沒有意識到這一點。” （維基百科）勒索軟體攻擊的發生並不是因為該公司沒有進行威脅建模。相反，公...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-31

0 Like 0 留言 1362 瀏覽

技術開發人員如何準備CISSP的D1及D8

台灣菁英圓桌分享會 (Elite Round Table in Taiwan)日期：2021/05/29 (六) 21:00~21:40講者：曾威明 (Tomm...

吳文智 (Wentz Wu) ‧ 2021-05-31

1 Like 0 留言 1638 瀏覽

技術瀑布(Waterfall)& 敏捷(Agile)

-圖片來源：gunther.verheyen 業務人員更了解監管要求和市場，因此IT和安全功能都應與業務需求保持一致，“系統應在經過全面測試後提交認證。”. 監...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-30

0 Like 0 留言 1603 瀏覽

技術濫用案例(misuse cases)

-用例和濫用案例（來源：https://en.wikipedia.org/wiki/Misuse_case) 用例（Use Case）用例描述了一個或多個場景，...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-28

1 Like 0 留言 1677 瀏覽

技術消息身份驗證代碼（message authentication code）

-CBC-MAC（來源：https : //en.wikipedia.org/wiki/CBC-MAC） . AES僅保護機密性；它不涉及完整性。. 消息身份驗...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-26

0 Like 0 留言 2224 瀏覽

技術入侵檢測系統（ intrusion detection system :IDS）

一個基於主機的IDS可以監視並通過安裝加密的網路通信中分析活性劑在端點上。一個基於網路的IDS，依靠傳感器被動嗅探流量，因為加密的活動通常是保護不能夠做到端到端...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-25

0 Like 0 留言 2723 瀏覽

技術戰略管理(strategic management)

我在這篇文章中介紹戰略管理。我的書《有效的CISSP：安全和風險管理》中有詳細信息。政策(Policy)代表管理意圖。一旦制定或製定了戰略，就會發布策略來指導...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-21

0 Like 0 留言 4228 瀏覽

技術風險承受能力和風險偏好(Risk Capacity and Risk Appetite)

. 風險暴露(Risk Exposure)是指風險給個人，項目或組織帶來的潛在損失。（ISO 16085：2006）. 風險容忍度(Risk Tolerance...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-20

0 Like 0 留言 4396 瀏覽

技術全磁碟加密（Full Disk Encryption）

全磁碟加密（FDE）可以是保護靜態數據的軟件或硬件解決方案。基於硬件的全磁碟加密通常稱為自加密驅動器（SED），通常符合OPAL（例如Windows的加密硬盤驅...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-19

0 Like 0 留言 1404 瀏覽

技術擴展認證協議（EAP）最不可能用於建立點對點連接

密碼驗證協議（PAP）發送未加密的密碼。它比EAP-MD5和CHAP（都使用MD5）弱。因此，在三種身份驗證協議中最不可能使用PAP。可擴展身份驗證協議（EAP...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-18

0 Like 0 留言 1325 瀏覽

技術 NIST SDLC和RMF(續)-PartII

-NIST SDLC和RMF 在啟動項目後進行系統分類；這意味著已經開發了一個業務案例，並且已選擇，接受，批准了替代方案並變成了項目。安全控制的實施取決於安全措...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-14

0 Like 0 留言 2965 瀏覽

技術 LEAP（輕量級可擴展認證協議）

-EAP和802.1X 以下是維基百科的摘錄：EAP不是有線協議；相反，它僅定義消息格式。每個使用EAP的協議都定義了一種將EAP消息封裝在該協議的消息中的方法...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-13

0 Like 0 留言 1154 瀏覽

技術資訊安全戰略(information security strategy)

-業務連續性政策高級管理人員通過制定戰略計劃或戰略來實現組織的使命和願景，並通過政策指導戰略的實施。戰略通常包括項目組合，計劃和項目的集合。有許多類型的策略，例...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-10

0 Like 0 留言 1724 瀏覽

技術會計，審計和問責制(Accounting, Auditing, and Accountability)& 用戶和實體行為分析（UEBA）

日誌是會計的工作成果。可以通過查看或檢查（審核）一組相關日誌（審核記錄）以唯一地將活動跟踪到實體來實現問責制。會計，審計和問責制（又一個AAA）. 問責制是...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-06

0 Like 0 留言 3091 瀏覽

技術安全框架和成熟度模型(Security Frameworks and Maturity Models)

構架(Frameworks)-NIST網路安全框架(NIST Cybersecurity Framework) . NIST網絡安全框架（CSF）. 認識到美國...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-04

0 Like 0 留言 2635 瀏覽

技術危害指標（Indicators of Compromise:IoC）

這個問題是根據痛苦金字塔設計的。它不是一個行業標準，但它提供了一個很好的基礎，以評估在威脅源中提供的妥協指標（IOC）。並非所有妥協指標（IOC）都是平等的...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-03

0 Like 0 留言 4643 瀏覽

技術隱蔽頻道(Covert Channel) &側通道(Side Channel) &帶外公開頻道(Out-of-band Overt Channel)

隱蔽頻道. 隱蔽通道是“意外或未經授權的系統內通道，它使兩個合作實體能夠以違反系統安全策略但不超過實體訪問權限的方式來傳輸信息。” （CNSSI 4009-20...

卓建全(Cho,Chien-Chuan) ‧ 2021-05-03

0 Like 0 留言 1391 瀏覽

技術數據操作語言（Data manipulation language）

這個問題描述了常見的SQL注入場景，該場景採用了像1 = 1這樣的所謂“身份方程式”。攻擊者可以輸入SQL表達式來利用開發不良的後端程序的漏洞。SELECT是數...

卓建全(Cho,Chien-Chuan) ‧ 2021-04-30

0 Like 0 留言 3883 瀏覽

技術 IPv6

IPv6節點使用本地鏈接地址（前綴為FE80 :: / 10）引導，並使用多播與DHCP服務器聯繫。它們不同於IPv4主機，後者使用默認地址（0.0.0.0）引...

卓建全(Cho,Chien-Chuan) ‧ 2021-04-29

0 Like 0 留言 2312 瀏覽

技術劫持用戶會話（hijack user sessions）

-VLAN組（來源：Cisco Press）VLAN是一種創建其廣播域的網絡分段和隔離機制。路由器通常跨VLAN轉發節點之間的通信。中繼線是用於連接交換機和路由...

卓建全(Cho,Chien-Chuan) ‧ 2021-04-28

0 Like 0 留言 2678 瀏覽

技術常見攻擊（Common Attacks）

高級持久威脅（APT）多向量多態攻擊拒絕服務緩衝區溢出流動碼惡意軟件（惡意軟件）偷渡式下載攻擊間諜軟件特洛伊木馬鍵盤記錄器密碼破解者...

卓建全(Cho,Chien-Chuan) ‧ 2021-04-27

0 Like 0 留言 3118 瀏覽

技術 OWASP SAMM

什麼是OWASP SAMM？以下是OWASP SAMM的摘要：. SAMM代表軟體保障成熟度模型。. 我們的使命是為所有類型的組織提供一種有效且可衡量的方法...

卓建全(Cho,Chien-Chuan) ‧ 2021-04-27

0 Like 0 留言 1359 瀏覽

技術系統開發生命週期(SDLC)- 設計隱私

歐洲GDPR設計，這就要求隱私被考慮納入隱私貫穿整個設計過程。（維基百科）隱私影響分析甚至在開始階段進行的前一個工程項目啟動，如圖所示NIST SDLC。-NI...

卓建全(Cho,Chien-Chuan) ‧ 2021-04-26

技術 密鑰協商-Diffie-Hellman

技術 替代網站(Alternative Sites)- 冷站點的最大好處

技術 工程、生命週期階段和過程（Engineering, Life Cycle Stages, and Processes）

技術 最大可容忍停機時間 (MTD)

技術 安全控制（security controls）

技術 軟體測試類型

技術 雲安全聯盟（CSA）-安全信任和保證註冊（STAR）

技術 威脅建模（Threat modeling）

技術 開發人員如何準備CISSP的D1及D8

技術 瀑布(Waterfall)& 敏捷(Agile)

技術 濫用案例(misuse cases)

技術 消息身份驗證代碼（message authentication code）

技術 入侵檢測系統（ intrusion detection system :IDS）

技術 戰略管理(strategic management)

技術 風險承受能力和風險偏好(Risk Capacity and Risk Appetite)

技術 全磁碟加密（Full Disk Encryption）

技術 擴展認證協議（EAP）最不可能用於建立點對點連接