Jason的電腦健身房

好消息! 好消息!
微軟MCP考試第二發不用錢的優惠又來了，這次的優惠期間是由美國時間2010/1/13開始到2010/6/30日止，
更好的是不只是只有考試前代碼070的考試，連083, 072還有094都是在這次的優惠範圍喔…

這個問題，其實在資安團隊班傑明的文章([筆記]HTTP標頭洩露內部IP資安問題解決方法)中就有了，只是大家都不太注意到，而會再度貼這張帖主要的原因，是因為在微軟上面的KB，確實是無法完整的修補這個弱點…

近年來隨著商業間碟的滲透，竊取個資、商業機密的事件不斷，保護文件的安全就成了現在企業一個很重要的課題，當然…微軟也提出了相關的對策，透過 RMS(Windows Rights Management Services)的保護，可讓重要的資訊不會因為誤用，或是刻意的偷竊造成企業莫大的損失…

最近大家很火紅的話題都是你看了阿凡達了沒，今天Jason也跟女友Silvia去看了阿凡達，
一位學設計的同事特別的跟我說，要去看他的場景、配色、音效…等等的周邊特色，
但是…看完了之後，其實Jason有很深的感觸，從小就是一個很熱愛大自然的超外向小孩 …

在Exchange 2010的OWA預設的站台是以表單驗證，但如果希望在內部使用者有JOIN AD的狀態之下，若是員工在外面收信可以透過OWA並採用SSL加密登入，若內部的使用者則可以直接以AD帳號達成SSO不用再做第二次的驗證，那麼，這個就是將內部的OWA及外部的OWA做個切割，這個需求只要下面的幾個程序...

操作安全是一個綜合三個控制類型(實體、科技、行政)的領域，而對於台灣的IT環境，一個MIS同時是Operator也是Administrator也是Security Administrator，有沒有搞錯，這樣玩的話一個人走就變成什麼都帶走了，那麼，在這樣的環境之下，是不是人就成了一個公司服務品質的最大主因，大家還記得嗎?我們在前面有討論到，做職責分割，職務輪調的用意是為了確保防止共謀、相互監控及達成人員的可用度…

Operation Security其中一個很重要的一環就是Change Control Management(變更控制管理)，這個部份讓我不禁將ITIL的內容連結，
在ITIL也就是ISO-20000的Best Practices，其中最難做的就是變更管理(組態管理)，透過ITIL的觀念中，整合商務與IT的變更控制，
是變更管理中應該要注意的部份，導入這個控制重點是在於降低變更或是維護時，造成的風險衝擊，…

對於伺服器在各項Redundant的設計中，尤其是在於power、Disk Array，是針對Operation的可用性提高可用的彈性，
而對磁碟陣列的規劃中，各家想法不同，例如對於檔案伺服器在有限的資金下，希望做到系統高可用度與資料磁碟備援，
以最少的資金規劃，又不希望系統的效能太差，那麼系統碟用2顆硬碟做RAID 1，資料碟則以3顆硬碟做RAID5，若預算夠的話 …

操作安全似乎是一種很抽像的東西，與資訊安全的邊似乎沾不上，但是呢?!因為操作安全最大的鋌主體就是人，
人左右了所有的安全的政策，並且透過教育訓練降低人為的因素，而在於最大的洩密問題就是承載資訊的媒體，
而媒體的管理就成了操作安全中的一個重點，操作安全中，對於媒體安全管理是一個不能間斷的流程 …

啥!Operation 還有啥Security呀! Operations Security可嚴重了，根據統計(好幾年了，還在根據統計)Human-Made佔整個資安事件中的85%，
那您認為人為因素有沒有關係呀!這個領域算是一個綜合領域，跨越了實體、科技、行政三個類型，
而這個章節主要的目的有控制及保護資料處理的資源(像是媒體管理、備份及還原、變更控制)、保護的進入端點控制(避免授權或未經授權的人 …

BCP走到這裡也要接近尾聲了，經過了演練與檢討後，也要開始進收尾善後的步驟了，那麼也要再次強調Recovery及Restoration的不同，
Recovery是整個回復的過程而Restoration是回到原站點的過程，包含有撒離的內容，當撒離完成後，也隨著各項的資料回復，
並將所有業務回到原站點，最經由EOC Team宣布災難結束，並向相關利害關係者宣佈災難結束，並報告整個回復過程中的內容 …

經過一連串的規劃設計，包含備援點的屬性、備援點的選定都只是完成了DRP的回復及BCP的永續的部份，
若這部計劃光說不練，只是規劃好看的，那麼有和沒有又有什麼差別呢?然而一部計劃不是擺好看的，
就有如軍人、警察一般，若沒有平常沒有做演練、演習，那麼在真的遇到兇神惡煞，不要說槍怎麼開 …

前面有討論到相關的備援備援政策及相的程序選擇，但是這備都只能說是做了安全控制，但若無經過確認備份的有效性，
那麼這個備份就等於是沒有做，因為無法確認備份的有效性，那麼再好的備援政策也是空談，那麼最常見的就是應用於off site，
首先在執行一個有效的備份政策後，應該必須經過另一者的確認，以驗證這個備份是有效的，而備份的過程中，有分為幾項程序 …

透過了BIA找到了最Critical Business Process後，定義了RTO, RPO, MTD，針對以上三者設定對映的Continuity and Recovery Strategy，
那這個就算是完成了BCP了嗎?充其量只有完成了DRP，而BCP的部份不可能只是規劃完災難處理方法的映對後就告一個段落，
更重要的是在於計劃的持續改善，接下來還有緊急回應的程序、人員的訓練…一托拉庫的事情要做呢…

RTO決定了復原政策，RPO決定了備份政策，那麼，沒有有效的備份政策，怎麼在災難發生或是備援需求產生時，
如何確保每個策政的執行是正確的，隨著MTD的數值愈小，可以選擇的方案RTO及RPO的數值也必須愈小，
上篇筆記本中介紹了RTO所需要的復原政策，那麼復原政策也必須與備份政策環環相扣，那麼備份政策有那些可供選擇呢…

上篇文章中已經將BIA所分析出來的最重要的商業流程找出來了，那接下來呢?與RM的處理方法相同嗎?
如果和RM相同，那幹嘛還搞一個BCP&DRP呢?所以呀!你嘛幫幫忙，都有給你新玩具了，也搞一些新的玩法嘛!!!
BCP&DRP最重要的是讓商業流程能不中斷的永續運作下去，那麼該做的就不會像RM做風險的處理 …

從前面兩篇一直在提到BIA、BIA、BIA…講個不停的，前面不斷的說企業最重要的流程或商業命脈是透過BIA來找出來，
那麼BIA到底如何做，又有那一些目標?即然BIA是一種衝擊的分析、假想，那麼還是得要有個目標來做分析吧!
分析的流程可以從威脅分析(Threat Analysis;與RM相同嗎?)、緊急事件評估(Emergency Assessment;從過往的記錄取出?)…

BCP&DRP是一門分析企業重要命脈，並且在發生衝擊前先加以預防及突發事件造成流程中斷的永續規劃，
而風險管理與BCP最大的差別是在於RM是以全面性的風險視別、降低、規避…等等方法來找到降低衝擊的方法，
也可以說，風險管理是先處理可以預期的到的衝擊，而BCP則是當衝擊產生，且無法抵禦時，馬上使流程延續下去的計劃 …

Business Continuity Plan叫做企業永續計劃，又稱為BCP; Disater Recovery Plan叫做災後復原計劃，又稱為DRP，
企業永續的部份在近期內有相當多的企業都在推展，而這個計劃在資訊安全之中，IT人只重視DRP，
其實這個是一個相當錯誤的觀念，多數的人員在導入BCP&DRP時，只有觀注在DRP的部份…

延續上一個章節的內容，針對基礎建置支援系統(Infrastructure support systems)的部份，可以說與BCP的內容息息相關，
一個基本的基礎建置支援系統像包含有水、電等系統，在規劃的時侯沒有考慮周延可能造成無法捥回的錯誤，
而這些基礎建設包含有：電力、水/配管、蒸氣管、瓦斯管線、暖氣管線、通風管、污水管線…等等