--服務組織控制（SOC） 以下是Microsoft網站的摘錄：企業越來越多地將基本功能（如數據存儲和對應用程序的訪問）外包給雲服務提供商（CSP）和其他服務組...
資訊安全是一門透過安全管制措施(security controls), 保護資訊資產免於受到危害, 以達到CIA的目標, 進而支持組織的業務流程(幫公司作生意)...
-NIST SP 800-160 V1和ISO 15288 NIST SP 800-160 V1強調，深度防禦的概念與模塊化和分層的安全性設計原理不同，後者通過...
安全內容自動化協議（SCAP）是一種使用特定標準來對組織中部署的系統進行自動化漏洞管理，度量和策略合規性評估的方法，包括FISMA（聯邦信息安全管理法案，200...
隨機測試(Random testing）是一種黑盒軟件測試技術，通過生成隨機的獨立輸入來測試程序。（維基百科）. 模糊測試是一種隨機測試，它向測試的程序提供無效...
-CMM和CMMI成熟度級別比較 軟件工程學院（SEI），1984年軟件工程學院（SEI）於1984年 在卡內基梅隆大學成立， 是由聯邦政府資助的研發中心（FF...
以下摘要和解釋來自FIRST。通用漏洞評分系統（CVSS）是一個開放框架，用於傳達軟件漏洞的特徵和嚴重性。它由事件響應和安全團隊論壇(FIRST）擁有並管理，該...
圖片來源：BitsorbitCVE列表是指特定產品或系統中已識別的漏洞。與未發現或未知的漏洞相比，它們更為重要和緊急。首先應執行重要而緊迫的任務。CWE列表通常...
Internet金鑰交換（IKE）是IPsec的關鍵體系結構組件。 它用於執行相互身份驗證以及建立和維護安全關聯（SA）。 IKE有兩個版本，版本1和版本2。...
優先順序需要基於一些標準。通常基於風險敞口對風險進行優先級排序，同時考慮風險的可能性和影響。例如，風險可能性為70％，估計損失為100,000美元，則風險敞口為...
使用基於XML的標記來描述將呈現為HTML形式的用戶界面元素是聲明性編程範例。如果通過JavaScript語句呈現HTML表單以控製文檔對像模型（DOM），則這...
這個問題問的是“最不頻繁”。原型不是有效的軟件。它們不會交付給客戶用於生產目的，並且從敏捷的角度來看不會增加任何價值。頻繁交付工作軟件是敏捷原則之一：. 在S...
敏捷 敏捷心態(AGILE MINDSET)敏捷是一種由價值觀，原則和實踐組成的心態。滿足敏捷思維方式的任何手段通常被稱為敏捷框架，方法，方法或實踐。你給它命名...
在數據治理程序中，有一些常見的角色，例如數據所有者，數據管理員，數據保管人等。數據所有者應對其擁有的數據負責。. 一個數據所有者，通常是在成員管理團隊，負責確...
敏捷思維 敏捷(agile)是一種思維(mindset)，由價值觀(values)，原則(principles)和實踐(practices)組成。可以滿足敏捷...
SDLC定義了工程系統時的階段和過程。由於系統的多樣性，它通常不提供特定的設計原則。 系統開發生命週期（SDLC）第5版CISSP CBK參考中介紹了Saltz...
安全設計原則NIST SP 800-160V1引入了三類安全設計原則： 1.安全架構與設計2.安全能力和內在行為3.生命週期安全 高效中介訪問，模塊化和分層，分...
會話密鑰可以用於在建立會話之後或在身份驗證之後根據需要確保機密性和完整性。因此，主體的會話密鑰最不可能是主體向接入點（AP）進行身份驗證所必需的 會話鍵(Ses...
很多人考過CISSP後，不但沒有升官、也沒有加薪；甚至沒有得到公司應有的重視，反而平白增加不少資安相關的工作負擔，因此感嘆CISSP在台灣不被重視。想要換工作，...
. EAL 6/7：該產品基於有限狀態機設計. EAL 4/5/6：該產品基於高凝聚力，低耦合架構開發. EAL 3：在產品工程團隊的支持下對產品 進行測試和檢...
去年(2018)通過CISSP考試後，覺得CISSP在 資訊安全治理 及 風險管理 的領域談得不夠深入，因此決定繼續參加CISM的考試。隨後因金融業的朋友–...
範圍蠕變和特權蠕變在項目管理中，範圍爬行意味著“未經授權且不受控制地增加了項目範圍。” （ISO / TR 21506：2018）在安全性方面，特權爬取意味著未...
作為安全專家，我們應該盡最大努力做出風險意識，明智的決策。竊聽，僅密文攻擊，流氓接入點和邪惡雙胞胎是對無線網絡的常見威脅。我們可以根據風險暴露（不確定性和影響...
就IDS的準確性而言，觀察到的每個活動都有四種可能的狀態。 . 一個真正的積極狀態(true positive)是當IDS識別的活動作為攻擊和活動實際上是一種攻...
下圖演示了針對生物識別系統的九個攻擊點。從傳感器到特徵提取器的生物特徵數據的回放是其中之一。. “社會工程學是人們進行行為或洩露機密信息的心理操縱。” （Wik...
CISSP (Certified Information Systems Security Professional) 自1994年推出以來, 至今已有26年。...
實體、身份和關聯屬性 所謂的實體(entity)是指任何具有身份(identity)的人或東西。例如，一個人、組織、設備或執行中的程式(process)。身份...
SQL注入當程序員連接字符串以彙編SQL指令時，就會發生SQL注入。字符串是純數據，而SQL指令是可執行代碼。 用戶可以以HTML形式輸入摘要或SQL代碼片段...
CISSP考上心得 CISSP簡介 CISSP是一個由美國(ISC)² 所頒發的資安證照，全名是Certified Information Systems Se...
目的(Purpose) “目的”是完成或創建某件事或存在某事的原因。（谷歌字典） 使命與願景 一個組織不會無緣無故地存在。它的成立是為了某些目的(purpo...
iThome鐵人賽
看影片追技術