[從關鍵字認識資安 ] — Security Lingo

從關鍵字認識資安系列文

1. 網路威脅: Malware、Virus、Worm…
2. Zero-Day 零時差攻擊: Vulnerability、Exploit、Patch…
3. Cyber Risk
4. Security Lingo : Defense in Depth、CVE、CVSS…
5. Cyber Kill Chain

這一篇就要進入到更專業的資安單字了。我同事一天到晚在說 CVE、CVSS.. 不懂真的不行啊

Defense in Depth

Term frequently used to describe a policy of implementing multiple layers of security controls (defenses) throughout a computer network

中世紀古堡為了保護城內的人民、防禦敵人攻入，所以在堡壘周圍設計許多防禦系統與機關

資訊安全的保護機制其實也非常類似

Defense in Depth (這張圖畫了兩小時 orz)

Defense in Depth 就如封建時期的城堡由外而內關關保護堡壘，像洋蔥或高麗菜那般地一層一層地把核心包裹得密不透風才能提高攻堅的難度。實際上會用內網、Black/white List、防火牆、員工客戶資安相關教育訓練等等來保護公司重要資產。

這個影片也用封建時期的城堡解釋資安領域 Defense in Depth 覺得蠻好理解

CVEs

CVEs : Common vulnerabilities and exposure 列出了已公開的各種安全漏洞。通常我們談到的 CVE 指的是分配給每個安全漏洞的 CVE ID 編號。 (eg. CVE-2019–0001)