《白帽子讲安全》笔记-1
安全的三要素-CIA
- 机密性-Confidentiality
保证数据内容不泄露，加密是常用手段。 - 完整性-Integrity
数据内容是完整的，没有被篡改的，常用手段是数字签名。 - 可用性-Availability
可以提供服务，DoS破坏的是安全的可用性。
实施安全评估
- 资产等级划分
- 威胁分析
- 风险分析
- 确认解决方案
可能造成危害的来源称为威胁，可能会出现的损失称为风险。
威胁建模 - STRIDE
风险分析模型 - DREAD
安全方案设计原则
- Security by Default：白名单、黑名单、最小权限原则。
- 纵深防御：也就是说在不同的层面上进行安全防御。
- 数据与代码分离，以防注入攻击。
- 不可预测性，不要让攻击者抓到规律性的可攻击点，如防止id为递增整数。