《白帽子讲Web安全》知识点概括

基础

安全三要素CIA

  机密性Confidentiality 保护数据不能泄露

  完整性Integrity 保护数据内容是完整的，没有被篡改的

  可用性Avaliability 保证资源‘随需可得’

实施安全评估

  评估过程 资产等级划分-》威胁分析-》风险分析-》确认解决方案

威胁分析：

  把可能照成危害的来源称为威胁，威胁分析就是把所有威胁找出来，比较全面的方法就是使用威胁建模

  STRIDE模型

• 1.伪装身份（Spoofing identity），对应安全认证（鉴权）如中间人攻击，特洛伊木马
• 2.篡改数据（Tampering with data），对应数据完整性如数据包注入攻击，篡改或损坏文件数据
• 3.抵赖（Repudiation），对应不可抵赖性不被信任的用户在非法操作时无法被跟踪
• 4.信息泄露（Information disclosure），对应机