web security Note

[wsxk]

https://wsxk.github.io/web_learn/

前言

1. 安全的本质

   1.1 安全三要素 1.2 安全评估

     1.2.1 资产等级划分
     1.2.2 威胁分析
     1.2.3 风险分析
     1.2.4 确认解决方案

前言 记录一下学习web安全的旅程，不过话又说回来，主要是看《白帽子讲web安全》的书，做一下自己感觉有用的记录（🦑

1. 安全的本质 从安全的角度来看，我们将不同重要程度的区域划分出来：

通过一个安全检查（过滤、净化）的过程，可以梳理未知的人或物，使其 变得可信任。被划分出来的具有不同信任级别的区域，我们称为信任域， 划分两个不同信任域之间的边界，我们称为信任边界。 数据从高等级的信任域流向低等级的信任域，是不需要经过安全检查的； 数据从低等级的信任域流向高等级的信任域，则需要经过信任边界的安全 检查。 安全问题的本质是信任的问题 一切的安全方案设计的基础，都是建立在信任关系上的。我们必须相信一 些东西，必须有一些最基本的假设，安全方案才能得以建立；如果我们否 定一切，安全方案就会如无源之水，无根之木，无法设计，也无法完成

1.1 安全三要素 机密性(confidentiality)：即要求数据不会被泄露 完整性(integrity): 即要求数据不会被篡改 可用性（avaliablity）：即服务可用，不会被打挂

1.2 安全评估 分析安全问题，主要分为四个阶段 资产等级划分、威胁分析、风险分析、确认解决方案。

1.2.1 资产等级划分

1.2.2 威胁分析

1.2.3 风险分析

1.2.4 确认解决方案