ISSP \ Домен 03. Архитектура и модель безопасности. Часть 2

В этой части рассмотрены следующие вопросы:

• Архитектура операционной системы
  
• Управление процессами
• Управление потоками
• Диспетчеризация процессов
• Работа процессов

ISSP \ Домен 03. Архитектура и модель безопасности. Часть 1

В этой части рассмотрены следующие вопросы:

• Архитектура компьютера
• Центральный процессор
• Многопроцессорная обработка

ISSP \ Домен 02. Управление доступом. Содержание

Домен 02. Управление доступом

1. Обзор управления доступом

2. Принципы безопасности

3. Идентификация, аутентификация, авторизация и подотчетность

• 3.1. Идентификация и аутентификация 
• Управление идентификацией 
• Биометрия
• Пароли
• Когнитивные пароли
• Одноразовые пароли 
• Токены
• Криптографические ключи 
• Парольные фразы 
• Карты памяти 
• Смарт-карты
  

• 3.2. Авторизация 
• Критерии доступа
• Отсутствие доступа «по умолчанию»
• Принцип «необходимо знать» 
• Единый вход

4. Модели управления доступом

• 4.1. Дискреционное управление доступом
• 4.2. Мандатное управление доступом
• 4.3. Ролевое управление доступом

5. Техники и технологии управления доступом

• 5.1. Управление доступом на основе правил
• 5.2. Ограниченный пользовательский интерфейс
• 5.3. Матрица контроля доступа 
• Таблицы разрешений 
• Списки контроля доступа

• 5.4. Контентно-зависимое управление доступом
• 5.5. Контекстно-зависимое управление доступом

6. Администрирование доступа

• 6.1. Централизованное администрирование управления доступом
• RADIUS 
• TACACS  
• Diameter

• 6.2. Децентрализованное администрирование управления доступом

7. Методы управления доступом

• 7.1. Уровни управления доступом
• 7.2. Административный уровень
• 7.3. Физический уровень
• 7.4. Технический уровень

8. Типы управления доступом

• 8.1. Превентивные: Административные
• 8.2. Превентивные: Физические
• 8.3. Превентивные: Технические

9. Подотчетность

9.1. Анализ журналов регистрации событий
9.2. Мониторинг нажатия клавиш
9.3. Защита данных аудита и журналов регистрации событий

10. Практика управления доступом

• 10.1. Несанкционированное разглашение информации 
• Повторное использование объекта 
• Защита от утечки информации по техническим каналам

11. Мониторинг управления доступом

• 11.1. Выявление вторжений 
• IDS уровня сети 
• IDS уровня хоста 
• Выявление вторжений на основе знаний или сигнатур 
• IDS на основе состояния 
• Выявление вторжений на основе статистических аномалий 
• IDS на основе аномалий протоколов 
• IDS на основе аномалий трафика
• IDS на основе правил 
• Сенсоры IDS 
• Сетевой трафик

• 11.2. Системы предотвращения вторжений 
• Хосты-приманки 
• Сетевые снифферы

12. Несколько угроз управлению доступом

• 12.1. Атака по словарю
• 12.2. Атака полного перебора (брутфорс-атака)
• 12.3. Подделка окна регистрации в системе
• 12.4. Фишинг
• 12.5. Кража личности

13. Резюме

14. Тест

ISSP \ Домен 02. Управление доступом. Тест

Вопросы экзамена CISSP являются концептуальными, поэтому они сформулированы соответствующим образом. Задачей кандидата является выбор наилучшего из всех представленных вариантов ответа. Среди вариантов ответа может не быть идеального ответа на поставленный вопрос - кандидат должен выбрать лучший ответ из имеющихся вариантов.

ISSP \ Домен 02. Управление доступом. Часть 12

В этой части рассмотрены следующие вопросы:

• Несколько угроз управлению доступом
• Атака по словарю
• Атака полного перебора (брутфорс-атака)
• Подделка окна регистрации в системе
• Фишинг
• Кража личности
• Резюме

ISSP \ Домен 02. Управление доступом. Часть 11

В этой части рассмотрены следующие вопросы:

• Практика управления доступом
• Несанкционированное разглашение информации
• Повторное использование объекта
• Защита от утечки информации по техническим каналам
• Мониторинг управления доступом
• Выявление вторжений
• IDS уровня сети
• IDS уровня хоста
• Выявление вторжений на основе знаний и сигнатур
• IDS на основе состояния
• Выявление вторжений на основе статистических аномалий
• IDS на основе аномалий протоколов
• IDS на основе аномалий трафика
• IDS на основе правил
• Сенсоры IDS
• Сетевой трафик
• Системы предотвращения вторжений
• Хосты-приманки
• Сетевые снифферы

ISSP \ Домен 02. Управление доступом. Часть 10

В этой части рассмотрены следующие вопросы:

• Типы управления доступом
• Превентивные: Административные
• Превентивные: Физические
• Превентивные: Технические
• Подотчетность
• Анализ журналов регистрации событий
• Мониторинг нажатия клавиш
• Защита данных аудита и журналов регистрации событий

ISSP \ Домен 02. Управление доступом. Часть 9

В этой части рассмотрены следующие вопросы:

• Методы управления доступом
• Уровни управления доступом
• Административный уровень
• Физический уровень
• Технический уровень

Переводы \ Метрики безопасности

Нашел интересную статью по вопросам практического применения метрик безопасности. На мой взгляд статья весьма полезная, поэтому решил ее перевести.
Источник: http://ism3.wordpress.com/2009/07/18/security-metrics/

ISSP \ Домен 02. Управление доступом. Часть 8

В этой части рассмотрены следующие вопросы:

• Администрирование доступа
• Централизованное администрирование управления доступом
• RADIUS
• TACACS
•  Diameter
•  Децентрализованное администрирование управления доступом

ISSP \ Домен 02. Управление доступом. Часть 7

В этой части рассмотрены следующие вопросы:

• Техники и технологии управления доступом
• Управление доступом на основе правил
• Ограниченный пользовательский интерфейс
• Матрица контроля доступа
• Таблицы разрешений
• Списки контроля доступа
• Контентно-зависимое управление доступом
• Контекстно-зависимое управление доступом

ISSP \ Домен 02. Управление доступом. Часть 6

В этой части рассмотрены следующие вопросы:

• Модели управления доступом
• Дискреционное управление доступом
• Мандатное управление доступом
• Метки критичности
• Ролевое управление доступом
• Ядро RBAC
• Иерархический RBAC

ISSP \ Домен 02. Управление доступом. Часть 5

В этой части рассмотрены следующие вопросы:

• Авторизация
• Критерии доступа
• Отсутствие доступа «по умолчанию»
• Принцип «необходимо знать»
• Единый вход
• Kerberos
• SESAME
• Домены безопасности
• Службы каталогов
• Тонкие клиенты

ISSP \ Домен 02. Управление доступом. Часть 4

В этой части рассмотрены следующие вопросы:

• Пароли
• Управление паролями
• Проверка паролей
• Хэширование и шифрование паролей
• Устаревание паролей
• Ограничение количества попыток регистрации
• Когнитивные пароли
• Одноразовые пароли
• Токены
• Синхронные токены
• Асинхронные токены
• Криптографические ключи
• Парольные фразы
• Карты памяти
• Смарт-карты
• Атаки на смарт-карты

ISSP \ Домен 02. Управление доступом. Часть 3

В этой части рассмотрены следующие вопросы:

• Биометрия
• Отпечаток пальца
• Сканирование ладони
• Геометрия руки
• Сканирование сетчатки глаза
• Сканирование радужной оболочки глаза
• Динамика подписи
• Динамика работы на клавиатуре
• Штамп голоса
• Сканирование лица
• Топография кисти

ISSP \ Домен 02. Управление доступом. Часть 2

В этой части рассмотрены следующие вопросы:

• Идентификация и аутентификация
• Управление идентификацией
• Каталоги
• Роль каталогов в Управлении идентификацией
• Управление паролями
• Синхронизация паролей
• Система самообслуживания для сброса паролей
• Сброс паролей с дополнительной помощью
• Функциональность единого входа
• Управление учетными записями
• Инициализация
• Обновление профиля
• Интеграция
• Управление доступом и языки разметки

Терминология \ ISSP

Термины и определения, используемые в книге Shon Harris "CISSP All-In-One Exam Guide".

ISSP \ Домен 02. Управление доступом. Часть 1

В этой части рассмотрены следующие вопросы:

• Обзор управления доступом
• Принципы безопасности 
• Идентификация, аутентификация, авторизация и подотчетность

Краеугольный камень, лежащий в основе информационной безопасности – это управление доступом к ресурсам, их защита от несанкционированного изменения и разглашения. Управление доступом может осуществляться на техническом (логическом), физическом или организационном уровне.

ISSP \ Домен 01. Информационная безопасность и управление рисками. Содержание

Домен 01. Информационная безопасность и управление рисками

1. Управление безопасностью

• 1.1. Распределение обязанностей по управлению безопасностью
• 1.2. Подход "сверху-вниз"

2. Администрирование безопасности и защитные меры

• 2.1. Основные принципы безопасности
• 2.2. Определения безопасности
• 2.3. Безопасность посредством неизвестности

3. Организационная модель безопасности

• 3.1. Компоненты программы безопасности
• 3.2. Стандарты безопасности
• 3.3. Управление безопасностью на стратегическом уровне

4. Управление информационными рисками

• 4.1. Кто действительно разбирается в управлении рисками?
• 4.2. Политика управления информационными рисками
• 4.3. Группа управления рисками (IRM-группа)

5. Анализ рисков

• 5.1. Группа анализа рисков
• 5.2. Ценность информации и активов
• 5.3. Определение стоимости и ценности
• 5.4. Идентификация угроз
• 5.5. Анализ сбоев и дефектов
• 5.6. Количественный анализ рисков
• 5.7. Качественный анализ рисков
• 5.8. Количественный или качественный
• 5.9. Защитные механизмы
• 5.10. Обобщая сказанное ранее
• 5.11. Общий риск и Остаточный риск
• 5.12. Обработка риска

6. Политики, стандарты, базисы, руководства и процедуры

• 6.1. Политика безопасности
• 6.2. Стандарты
• 6.3. Базисы
• 6.4. Руководства
• 6.5. Процедуры
• 6.6. Внедрение

7. Классификация информации

• 7.1. Управление классифицированными данными

8. Уровни ответственности

• 8.1. Совет Директоров
• 8.2. Высшее исполнительное руководство
• 8.3. Владелец данных
• 8.4. Ответственный за хранение данных
• 8.5. Владелец системы
• 8.6. Администратор безопасности
• 8.7. Аналитик по безопасности
• 8.8. Владелец приложения
• 8.9. Супервизор
• 8.10. Аналитик управления изменениями
• 8.11. Аналитик данных
• 8.12. Владелец процесса
• 8.13. Поставщик решения
• 8.14. Пользователь
• 8.15. Менеджер по технологиям
• 8.16. Аудитор
• 8.17. Зачем так много ролей?!

9. Персонал

• 9.1. Структура
• 9.2. Правила приема на работу
• 9.3. Контроль сотрудников
• 9.4. Увольнение

10. Обучение (тренинги) по вопросам безопасности

• 10.1. Различные типы обучения (тренинга) по вопросам безопасности
• 10.2. Оценка результатов обучения
• 10.3. Специализированное обучение по безопасности

11. Резюме

12. Тест

Терминология \ Российское законодательство и стандарты

Терминология из российского законодательства и стандартов.

Терминология \ Международные стандарты и ГОСТы на их основе

Часто при разработке очередного документа нужно найти определение того или иного термина. Иногда это не так просто и на поиски уходит значительное время... Чтобы избежать этого, в разделе Терминология буду выкладывать определения терминов различных российских и международных документов, касающихся информационной безопасности. Содержимое постов этого раздела будет периодически обновляться.
Итак, начнем с международных стандартов.

В двух словах \ VISA. PCI: PIN Security Requirements 2.0

Краткое изложение целей и основных требований стандарта безопасности VISA Payment Card Industry: PIN Security Requirements 2.0. Это полный набор обязательных требований по безопасному управлению, обработке и передаче PIN-кодов, применяемых в процессе выполнения любых транзакций с банковскими картами в банкоматах и POS-терминалах.

В двух словах \ РС БР ИББС-2.2-2009

Краткое изложение нового Стандарта Банка России, вступающего в действие с 01.09.2009 г.
С полной версией можно ознакомиться на сайте ABISS.

ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ (БАНК РОССИИ)

РЕКОМЕНДАЦИИ В ОБЛАСТИ СТАНДАРТИЗАЦИИ БАНКА РОССИИ

ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
ОРГАНИЗАЦИЙ БАНКОВСКОЙ СИСТЕМЫ
РОССИЙСКОЙ ФЕДЕРАЦИИ

МЕТОДИКА ОЦЕНКИ РИСКОВ НАРУШЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

РС БР ИББС-2.2-2009

ISSP \ Домен 01. Обновление

На днях стал обладателем новой 4-й редакции книги Shon Harris "CISSP All-In-One Exam Guide". В ней появилось много интересных дополнений. Так как в 3-ю редакцию мы углубились еще не очень сильно, решил сразу добавить в свой перевод все изменения 4-й редакции. В отношении первого домена это почти готово, так что на днях обновлю предыдущие посты.

P.S. Кстати, добрый Google дает возможность безвозмездно полистать эту интереснейшую книгу.

ISSP \ Домен 01. Информационная безопасность и управление рисками. Тест

Вопросы экзамена CISSP являются концептуальными, поэтому они сформулированы соответствующим образом. Задачей кандидата является выбор наилучшего из всех представленных вариантов ответа. Среди вариантов ответа может не быть идеального ответа на поставленный вопрос - кандидат должен выбрать лучший ответ из имеющихся вариантов.

ISSP \ Домен 01. Информационная безопасность и управление рисками. Резюме

В этой части рассмотрены следующие вопросы:

• Резюме

ISSP \ Домен 01. Информационная безопасность и управление рисками. Часть 12

В этой части рассмотрены следующие вопросы:

• Персонал
• Структура
• Правила приема на работу
• Контроль сотрудников
• Увольнение
• Обучение (тренинги) по вопросам безопасности
• Различные типы обучения (тренинга) по вопросам безопасности
• Оценка результатов обучения
• Специализированное обучение по безопасности

ISSP \ Домен 01. Информационная безопасность и управление рисками. Часть 11

В этой части рассмотрены следующие вопросы:

• Уровни ответственности
• Совет Директоров
• Высшее исполнительное руководство
• Директор по ИТ
• Директор по защите конфиденциальной информации
• Директор по безопасности
• Руководящий комитет по безопасности
• Владелец данных
• Ответственный за хранение данных
• Владелец системы
• Администратор безопасности
• Аналитик по безопасности
• Владелец приложения
• Супервизор
• Аналитик управления изменениями
• Аналитик данных
• Владелец процесса
• Поставщик решения
• Пользователь
• Менеджер по технологиям
• Аудитор

ISSP \ Домен 01. Информационная безопасность и управление рисками. Часть 10

В этой части рассмотрены следующие вопросы:

• Классификация информации
• Управление классифицированными данными

ISSP \ Домен 01. Информационная безопасность и управление рисками. Часть 9

В этой части рассмотрены следующие вопросы:

• Политики, стандарты, базисы, руководства и процедуры
• Политика безопасности
• Стандарты
• Базисы
• Руководства
• Процедуры
• Внедрение

В двух словах \ 242-П

Перечень основных требований Положения 242-П.
С полной версией документа можно ознакомиться на сайте Консультант Плюс.

ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ

16 декабря 2003 г. N 242-П

ПОЛОЖЕНИЕ

ОБ ОРГАНИЗАЦИИ ВНУТРЕННЕГО КОНТРОЛЯ

В КРЕДИТНЫХ ОРГАНИЗАЦИЯХ И БАНКОВСКИХ ГРУППАХ

(в редакции Указаний ЦБ РФ от 05.03.2009 N 21У94-У)

ISSP \ Домен 01. Информационная безопасность и управление рисками. Часть 8

В этой части рассмотрены следующие вопросы:

• Общий риск и Остаточный риск
• Обработка риска

ISSP \ Домен 01. Информационная безопасность и управление рисками. Часть 7

В этой части рассмотрены следующие вопросы:

• Количественный или качественный
• Защитные механизмы
• Выбор защитных мер
• Функциональность и эффективность защитных мер

ISSP \ Домен 01. Информационная безопасность и управление рисками. Часть 6

В этой части рассмотрены следующие вопросы:

• Качественный анализ рисков
• Техника DELPHI

ISSP \ Домен 01. Информационная безопасность и управление рисками. Часть 5

В этой части рассмотрены следующие вопросы:

• Количественный анализ рисков 
• Автоматизированные методы анализа рисков 
• Шаги процесса анализа рисков 
• Результаты анализа рисков

ISSP \ Домен 01. Информационная безопасность и управление рисками. Часть 4

В этой части рассмотрены следующие вопросы:

• Анализ рисков
• Группа анализа рисков
• Владельцы рисков
• Ценность информации и активов
• Определение стоимости и ценности
• Идентификация угроз
• Анализ сбоев и дефектов

ISSP \ Домен 01. Информационная безопасность и управление рисками. Часть 3

В этой части рассмотрены следующие вопросы:

• Управление информационными рисками
• Кто действительно разбирается в управлении рисками?
• Политика управления информационными рисками
• Группа управления рисками (IRM-группа)

ISSP \ Домен 01. Информационная безопасность и управление рисками. Часть 2

В этой части рассмотрены следующие вопросы:

• Организационная модель безопасности
• Компоненты программы безопасности
• Стандарты безопасности
• Управление безопасностью на стратегическом уровне
• Разработка программы безопасности

В двух словах \ PCI DSS 1.2

Краткое описание основных положений стандарта PCI DSS версии 1.2, который в настоящее время является необходимым для соблюдения всеми банками (и не только ими), выпускающими и обслуживающими банковские карты.
Краткое описание позволит быстро сориентироваться в требованиях и найти нужные. Разумеется, это не заменяет изучение полной версии стандарта, с которой можно ознакомиться по следующим ссылкам:
- PCI Data Security Standard 1.2 (оригинал на английском языке)
- PCI DSS 1.2 (перевод на русский язык компанией "Информзащита")

Итак. Стандарт PCI DSS 1.2 содержит 12 требований. Вот они:

ISSP \ Домен 01. Информационная безопасность и управление рисками. Часть 1

В этой части рассмотрены следующие вопросы:

• Управление безопасностью
• Распределение обязанностей по управлению безопасностью
• Подход "сверху-вниз"
• Администрирование безопасности и защитные меры
• Основные принципы безопасности (AIC-триада)
• Доступность
• Целостность
• Конфиденциальность
• Определения безопасности (уязвимость, угроза, риск, воздействие, контрмеры)
• Безопасность посредством неизвестности

ISSP \ Введение

Некоторое время назад начал на досуге читать книгу Shon Harris “CISSP All-in-One Exam Guide” (подготовка к сдаче экзамена на получения сертификата CISSP). Книга, на мой взгляд, крайне интересная и полезная для любого защитника информации. Несмотря на некоторый имеющийся у меня опыт (все-таки я работаю в направлении ИБ уже около 10 лет), я нашел для себя много интересного и полезного. Рекомендую к обязательному прочтению всем профессионально занимающимся вопросом ИБ и до сих пор не ознакомившимся :)

Однако для тех, кто страдает повышенной тягой к знаниям, но английский пока изучить не успел, я буду выкладывать слегка сокращенный русский перевод книги. Заодно это позволит мне попрактиковаться с английским, что будет не лишним (ведь делать перевод, да еще и более-менее литературный, совсем не то же самое, что просто читать английский текст). Надеюсь что затраченное на перевод время принесет пользу кому-нибудь из коллег и сделает информацию в этом мире чуточку безопаснее :)

Так как чтение представленного в блоге материала без дополнительной подготовки вряд ли позволит сдать экзамен CISSP, то первый раздел моего блога я назову ISSP ;)

Предупреждение:
Если Вы намерены получить сертификат CISSP, представленные в этом блоге части перевода книги Shon Harris “CISSP All-in-One Exam Guide” ни в коей мере не заменят для Вас чтение оригинала и обучение на подготовительных курсах. Подробнее узнать о сертификации, проведении курсов и экзаменов можно на сайтах RISSPA и Микроинформ.