IPAS中級資訊安全工程師範圍與配分比重如下，我整理自己學習時一些要點以供補充參考。

  • 弱點、威脅分類與攻擊手法 (20%)
  • 防護與應變實務 (30%)
  • 安全維運(20%)  
  • 滲透測試、源碼測試、資安健診(30%)

弱點、威脅分類與攻擊手法

弱點是指資訊系統、網路、或相關週邊事物中存在的安全漏洞，這些漏洞可能被惡意利用來獲取未授權的存取、造成系統損害、資料洩露或其他安全威脅。而失去資訊安全三要素 – 機密性、完整性、可用性。而這些弱點可以存在於軟體、硬體、網絡架構，甚至是組織的政策和程序中。

資安弱點原因可來自於以下方面

  1. 技術實作造成弱點：
    • 因為疏忽或失誤造成的弱點，這類弱點通常存在於軟體或硬體中，如程式碼錯誤、配置錯誤或不安全的預設設置。
  2. 設計上的缺陷：
    • 涉及系統設計階段未能充分考慮安全因素，包含了不當的資料保護設計、身份驗證機制設計不完善或較弱的演算法。
  3. 運營和管理上的弱點：
    • 與組織的運營和管理流程相關的安全弱點，比如不完善的安全政策、缺乏適當的安全培訓或監控不足。
  4. 人為因素：
    • 員工的疏忽或人性弱點也可造成資安弱點，如未經授權地分享敏感資訊、未妥善保管密碼及連結與工作無關的娛樂網站等。

資安弱點經惡意利用後，可能會造成一些不良結果，如：取得更高權限、資料外洩、資料破壞竄改、程式錯誤、服務阻斷、植入惡意軟體、勒索、公眾信任度下降等。

CVSS弱點評分系統

CVSS（Common Vulnerability Scoring System，共同漏洞評分系統）是一種公開的、免費的標準，用於評估和量化資訊安全漏洞的嚴重性。CVSS 提供了一種方式來確定漏洞的重要性，這是基於一系列度量標準的一個數字分數，這個分數範圍從0到10，其中10表示最嚴重的風險。在CVSS version 3.1 是以3個群組來進行判斷，分別為

  • 基本度量群（Base Metrics）
  • 時間度量群（Temporal Metrics）
  • 環境度量群（Environmental Metrics）

在基本度量評估漏洞本身的嚴重性，不考慮任何特定環境的因素。以這8個面向來進行評分，並算出分數。包括了攻擊向量、攻擊複雜度、是否需要特權等級、是否需要使用者操作、影響範圍、機密性影響、完整性影響、可用性影響。

在CVSS也將嚴重程度分成4個級距，包括了 Low（分數1.0～3.9）、Medium（分數4.0～6.9）、High（分數7.0～8.9）、Critical（分數9.0～10.0）。

CVSS 4.0在2023年10月31日公告。

弱點管理

有效的弱點管理包括識別、評估、處理和監控資訊系統的安全弱點，以減少潛在的風險。這包括定期進行安全評估和弱點掃描，及時安裝安全更新和修補，以及加強員工的安全意識培訓。弱點管理是資訊安全管理中的核心部分，對保護組織免受攻擊和資料保全有相當大的助益。

以下是一些著名的弱點掃描工具，廣泛用於企業和個人環境中：

  1. Nessus：
    • 由Tenable Network Security開發，Nessus是市場上最著名的弱點掃描工具之一。它提供廣泛的漏洞檢測庫和強大功能。
  2. Qualys Vulnerability Management：
    • Qualys VM是一個雲基礎的服務，提供全面的弱點管理解決方案。它可以連續掃描並提供即時的全球威脅情報。
  3. OpenVAS：
    • OpenVAS是一個開源的弱點評估系統，提供多種服務來掃描網路的安全漏洞。它是Nessus的一個分支，在Nessus變成專有軟體後發展而來。
  4. Burp Suite：
    • 主要用於測試Web應用程序的安全性，Burp Suite提供了一整套Web應用安全掃描工具。它不僅限於弱點掃描，還包括攻擊模擬和應用程序調試。
  5. Acunetix：
    • 專注於Web應用，Acunetix是一個強大的工具，能夠識別SQL注入、跨站腳本(XSS)等常見的Web應用漏洞。
  6. Nmap：
    • 雖然Nmap通常用於網路探索和安全稽核，但它也包含了用於漏洞掃描的功能。Nmap的腳本引擎允許使用者執行對服務和應用程序的特定檢查。
  7. Rapid7 Nexpose：
    • Nexpose是一個實時的弱點管理和風險評估解決方案，提供全面的視角來檢視整個企業的安全漏洞。
  8. Metasploit：
    • 雖然更常見於滲透測試，Metasploit也包括用於發現弱點的功能。它可以用來驗證漏洞的存在，執行模擬攻擊以確認弱點。
最後修改日期: 9 9 月, 2024