آموزش کارشناس امنیت ابری (CCSO)

سرفصل ها و درس ها

فصل 1 - مقدمه ای بر رایانش ابری و مفاهیم معماری Chapter 1 - Introduction to Cloud Computing and Architectural Concepts

• معرفی دوره Course Introduction

• مقدمه ای بر رایانش ابری و مفاهیم معماری Introduction to Cloud Computing and Architectural Concepts

• ما کجا هستیم؟ Where are we?

• چه چیزی را پوشش می دهیم؟ What are we covering?

بخش 1: اصطلاحات رایانش ابری Section 1: Cloud Computing Terminology

• اصطلاحات کلیدی رایانش ابری Key Cloud Computing Terminology

• اصطلاحات کلیدی رایانش ابری Key Cloud Computing Terminology

• اصطلاحات نقشه برداری شده در ابر Terminology Mapped to the Cloud

• سایر شرایط Other Terms

بخش 2: تعریف رایانش ابری Section 2: Cloud Computing Definition

• رایانش ابری تعریف شده است Cloud Computing Defined

• NIST پنج ویژگی اساسی NIST Five Essential Characteristics

• سه مدل خدمات NIST NIST Three Service Models

• مزایا و معایب SaaS SaaS Pros and Cons

• مزایا و معایب SaaS SaaS Pros and Cons

• مزایا و معایب IaaS IaaS Pros and Cons

• NIST چهار مدل استقرار NIST Four Deployment Models

• ویژگی های رایانش ابری Cloud Computing Characteristics

بخش 3: مزایای رایانش ابری Section 3: Cloud Computing Benefits

• چرا به سمت ابر حرکت کنیم؟ Why move to the Cloud?

• تجزیه و تحلیل سود هزینه Cost Benefit Analysis

• تجزیه و تحلیل سود هزینه Cost Benefit Analysis

• تجزیه و تحلیل سود هزینه Cost Benefit Analysis

• محاسبه ROI ROI Calculation

• محاسبه TCO TCO Calculation

• سهولت استقرار - خطرات امنیتی Ease of Deployment – Security Risks

• خطرات و مزایای امنیتی مقدماتی Introductory Security Risks and Benefits

بخش 4: مدل مرجع محاسبات ابری Section 4: Cloud Computing Reference Model

• معماری رایانش ابری Cloud Computing Architecture

• مشکلات احتمالی و سردرگمی Potential Pitfalls and Confusion

• مدل های استقرار رایانش ابری Cloud Computing Deployment Models

• مدل مکعب ابر جریکو Jericho Cloud Cube Model

• نمونه ای از مدل سرویس نگاشت شده به کنترل ها Example of Service Model Mapped to Controls

بخش 5: امنیت برای ابر چیست؟ Section 5: What is Security for the Cloud

• تاثیر امنیت معماری ابری The Security Impact of Cloud Architecture

• امنیت کجا اضافه شده است؟ Where is the security added?

• نقشه راه فناوری ابر Cloud Technology Road Map

• نقشه راه فناوری ابر Cloud Technology Road Map

• نقشه راه فناوری ابری NIST NIST Cloud Technology Road Map

• جنبه های برش ابری Cloud Cross-Cutting Aspects

• نمای کلی معماری Architecture Overview

• معماری امنیت کسب و کار Business Security Architecture

• معماری امنیت کسب و کار Business Security Architecture

• معماری امنیت کسب و کار Business Security Architecture

• اصول کلیدی جریکو (11 فرمان) Jericho Key Principles (11 Commandments)

• اصول کلیدی جریکو (11 فرمان) Jericho Key Principles (11 Commandments)

• ENISA - Cloud Computing Guidance ENISA - Cloud Computing Guidance

• سوالات Questions

• آزمون فصل 1 Chapter 1 Quiz

فصل 2 - خطرات ابر Chapter 2 - Cloud Risks

• خطرات ابری Cloud Risks

• طرح کلی دوره Course Outline

• چه چیزی را پوشش می دهیم؟ What are we covering?

بخش 1: ارزیابی امنیت مهاجرت ابری Section 1: Cloud Migration Security Evaluation

• چالش ها در فرآیند تصمیم گیری حرکت به ابر Challenges in Decision Making Process of Moving to the Cloud

• روش سریع برای ارزیابی Quick Method for Evaluation

• دارایی را ارزیابی کنید Evaluate the Asset

• دارایی را در فضای ابری نگاشت کنید Map the Asset to Cloud

• نهایی کردن تصمیم Finalizing the Decision

بخش 2: ارزیابی ریسک ENISA Section 2: ENISA Risk Evaluation

• ENISA – ارزیابی ریسک امنیت محاسبات ابری ENISA – Cloud Computing Security Risk Assessment

• ENISA - مزایای امنیتی برتر ENISA – Top Security Benefits

• ENISA - مزایای امنیتی برتر ENISA – Top Security Benefits

• احتمال در مقابل تأثیر ریسک های شناسایی شده Probability vs. Impact of Identified Risks

• ENISA - خطرات امنیتی برتر ENISA – Top Security Risks

• ریسک های برتر شماره 1 Top Risks No. 1

• ریسک های برتر شماره 2 Top Risks No. 2

• ریسک های برتر شماره 3 Top Risks No. 3

• ریسک های برتر شماره 9 Top Risks No. 9

• ریسک های برتر شماره 10 Top Risks No. 10

• ریسک های برتر شماره 21 Top Risks No. 21

• ریسک های برتر شماره 22 Top Risks No. 22

• ریسک های برتر شماره 23 Top Risks No. 23

• ریسک های برتر شماره 26 Top Risks No. 26

• دارایی های Assets

بخش 3: ماتریس کنترل های ابری Section 3: Cloud Controls Matrix

• ماتریس کنترل‌های ابری (CCM) Cloud Controls Matrix (CCM)

• دامنه های کنترلی The Control Domains

• مثال Example

• مثال ادامه دارد Example Continued

بخش 4: کنترل های CCM مربوطه Section 4: Relevant CCM Controls

• AAC-01 - برنامه ریزی حسابرسی AAC-01 – Audit Planning

• AAC-02 - حسابرسی مستقل AAC-02 – Independent Audits

• AAC-03 - نقشه برداری نظارتی سیستم اطلاعات AAC-03 – Information System Regulatory Mapping

• سوالات Questions

• آزمون فصل 15 Chapter 15 Quiz

فصل 3 - ERM و حاکمیت Chapter 3 - ERM and Governance

• ERM و Governan ERM and Governan

• چه چیزی را پوشش می دهیم؟ What are we covering?

بخش 1: کاربرد حاکمیت و مدیریت ریسک در ابر Section 1: Application of Governance and Risk Management to the Cloud

• حاکمیت شرکتی Corporate Governance

• حاکمیت شرکتی Corporate Governance

• انتظارات مشتری Customer Expectations

• چهار منطقه تحت تأثیر Four Areas Impacted

• ابزارهای تجارت Tools of the Trade

• چه کسی مسئول است؟ پاسخگو نیست! Who is responsible? Not Accountable!

• منابع حاکمیت رایانش ابری Cloud Computing Governance Resources

• انواع حاکمیت اطلاعات/داده Information/Data Governance Types

• مدیریت ریسک شرکت Enterprise Risk Management

• پاسخ به ریسک در فضای ابری Risk Response in the Cloud

• از کجا شروع کنیم؟ Where do we start?

• موارد باید انجام شود Must do items

بخش 2: اهمیت SLA Section 2: Importance of the SLA

• قراردادها/SLAs Contracts/SLAs

• قراردادها/SLA ها: تفکر خود را تغییر دهید Contracts/SLAs: Change Your Thinking

• اجزای مهم SLA Important SLA Components

• معیارهای توافقنامه مدیریت ریسک/سطح خدمات (SLA) Metrics for Risk Management/Service Level Agreement (SLA)

بخش 3: کنترل های مربوطه CCM Section 3: CCM Relevant Controls

• GRM-01 - الزامات پایه GRM-01 – Baseline Requirements

• GRM-02 - ارزیابی ریسک تمرکز داده ها GRM-02 – Data Focus Risk Assessments

• GRM-03 - نظارت مدیریت GRM-03 – Management Oversight

• GRM-04 - برنامه مدیریت GRM-04 – Management Program

• GRM-05 – پشتیبانی/مشارکت مدیریت GRM-05 – Management Support/Involvement

• GRM-06 - سیاست GRM-06 – Policy

• GRM-07 - اجرای سیاست GRM-07 – Policy Enforcement

• GRM-08 - تأثیر سیاست بر ارزیابی ریسک GRM-08 – Policy Impact on Risk Assessments

• GRM-09 - بررسی سیاست GRM-09 – Policy Reviews

• GRM-10 - ارزیابی ریسک GRM-10 – Risk Assessments

• GRM-11 - چارچوب مدیریت ریسک GRM-11 – Risk Management Framework

• سوالات Questions

• آزمون فصل 3 Chapter 3 Quiz

فصل چهارم - مفاهیم حقوقی Chapter 4 - Legal Implications

• پیامدهای قانونی Legal Implications

• طرح کلی دوره Course Outline

• چه چیزی را پوشش می دهیم؟ What are we covering?

بخش 1: درک خطرات منحصر به فرد در ابر Section 1: Understanding Unique Risks in the Cloud

• الزامات قانونی و خطرات منحصر به فرد در محیط ابر را درک کنید Understand Legal Requirements & Unique Risks Within the Cloud Environment

بخش 2: قوانین بین المللی و تعارضات احتمالی Section 2: International Legislation and Potential Conflicts

• تعارضات قوانین بین المللی International Legislation Conflicts

• تعارضات قوانین بین المللی International Legislation Conflicts

• GDPR GDPR

• تعارضات قوانین بین المللی International Legislation Conflicts

• تعارضات قوانین بین المللی International Legislation Conflicts

• ارزیابی ریسک‌های قانونی ویژه رایانش ابری Appraisal of Legal Risks Specific to Cloud Computing

• کنترل های قانونی Legal Controls

بخش 3: کشف الکترونیکی Section 3: eDiscovery

• کشف الکترونیکی eDiscovery

• مسائل ویژه Special Issues

• مسائل ویژه Special Issues

• کشف الکترونیکی eDiscovery

• الزامات پزشکی قانونی Forensics Requirements

بخش 4: ملاحظات قرارداد Section 4: Contract Considerations

• ملاحظات قرارداد Contract Considerations

• PII قراردادی و تنظیم شده: تفاوت ها Contractual & Regulated PII: The Differences

• PII قراردادی و تنظیم شده: تفاوت ها Contractual & Regulated PII: The Differences

• PII قراردادی و تنظیم شده: شباهت ها Contractual & Regulated PII: The Similarities

• قوانین خاص کشور مربوط به PII/حریم خصوصی داده/حفاظت از داده ها Country-specific Legislation Related to PII/Data Privacy/Data Protection

بخش 5: کنترل های مربوطه CCM Section 5: Relevant CCM Controls

• IAM-01 - دسترسی به ابزارهای حسابرسی IAM-01 – Audit Tools Access

• IAM-02 - چرخه حیات اعتبارنامه/مدیریت ارائه IAM-02 – Credential Lifecycle / Provision Management

• سوالات Questions

• IAM-02 - ادامه دارد IAM-02 – Continued

• IAM-02 - ادامه دارد IAM-02 – Continued

• IAM-03 - دسترسی به پورت تشخیصی/پیکربندی IAM-03 – Diagnostic /Configuration Port Access

• IAM-04 - سیاست ها و رویه ها IAM-04 – Policies and Procedures

• IAM-05 - تفکیک وظایف IAM-05 – Segregation of Duties

• IAM-06 - محدودیت دسترسی به کد منبع IAM-06 – Source Code Access Restriction

• IAM-07 - دسترسی شخص ثالث IAM-07 – Third Party Access

• IAM-08 - منابع مورد اعتماد IAM-08 – Trusted Sources

• IAM-09 - مجوز دسترسی کاربر IAM-09 – User Access Authorization

• IAM-10 - بررسی های دسترسی کاربران IAM-10 – User Access Reviews

• IAM-11 - لغو دسترسی کاربر IAM-11 – User Access Revocation

• IAM-12 - شناسه کاربر IAM-12 – User ID-Credentials

• IAM-13 - دسترسی به برنامه های کاربردی IAM-13 – Utility Programs Access

• آزمون فصل 14 Chapter 14 Quiz

فصل پنجم - مجازی سازی و طراحی فنی Chapter 5 - Virtualization and Technical Design

• مجازی سازی و طراحی فنی Virtualization and Technical Design

• طرح کلی دوره Course Outline

• چه چیزی را پوشش می دهیم؟ What are we covering?

بخش 1: اصول مجازی سازی Section 1: Virtualization Principles

• تعریف مجازی سازی Virtualization Definition

• مجازی سازی چگونه کار می کند؟ How Does Virtualization Work?

• ماشین مجازی (VM) چیست؟ What is a Virtual Machine (VM)?

• هایپروایزر چیست؟ What is a Hypervisor?

• هایپروایزر نوع 1 و نوع 2 Type 1 and Type 2 Hypervisors

• لایه مجازی سازی Virtualization Layer

• مجازی سازی سخت افزار CPU CPU Hardware Virtualization

بخش 2: اجزای کلیدی نگاشت شده به لایه ابری Section 2: Key Components Mapped to Cloud Layer

• سوئیچ های مجازی vSphere 6.x vSphere 6.x Virtual Switches

• اصطلاحات VMware vSwitch VMware vSwitch Terminology

• اصطلاحات ذخیره سازی Storage Terminology

• مروری بر لوازم مجازی Overview of Virtual Appliances

• کلون ها و قالب ها Clones and Templates

• مدیر مشخصات سفارشی سازی Customization Specifications Manager

• کتابخانه های محتوای vSphere vSphere Content Libraries

• عکس های فوری VM VM Snapshots

• vMotion – Hot Migration vMotion – Hot Migration

• ذخیره سازی vMotion Storage vMotion

• مروری بر زمانبندی منابع توزیع شده Distributed Resource Scheduler Overview

• مدیریت توان توزیع شده (DPM) Distributed Power Management (DPM)

• مکان فایل VM Swap VM Swapfile Location

• نمایه های میزبان Host Profiles Overview

• نمای کلی ذخیره سازی DRS (SDRS). Storage DRS (SDRS) Overview

• نمای کلی فضای ذخیره‌سازی مبتنی بر نمایه Profile Driven Storage Overview

• معماری VSAN VSAN Architecture

• بررسی اجمالی استخرهای منابع Resource Pools Overview

• بررسی اجمالی در دسترس بودن بالا High Availability Overview

• تحمل خطا Fault Tolerance

بخش 3: نگرانی های امنیتی کلیدی Section 3: Key Security Concerns

• خطرات و چالش های مجازی سازی Virtualization Risks and Challenges

• امنیت شبکه و محیط Network Security and Perimeter

• امنیت مجازی سازی Virtualization Security

• نگرانی های رایج معماری Common Architecture Concerns

• راهنمای سخت شدن vSphere vSphere Hardening Guide

بخش 4: سایر فناوری های مورد استفاده در ابر Section 4: Other Technologies Used in the Cloud

• امنیت شبکه Network Security

• شبکه و ارتباطات در فضای ابری Network and Communications in the Cloud

• شبکه ابری - VXLAN Cloud Networking - VXLAN

بخش 5: لایه ها Section 5: The Layers

• ملاحظات طراحی منطقی Logical Design Considerations

• لایه های فیزیکی، مجازی و vCloud Physical, Virtual and vCloud Layers

• مرکز داده های نرم افزاری تعریف شده (SDDC) - مؤلفه ها Software-Defined Data Center (SDDC) - Components

• SDDC - پیکربندی فیزیکی SDDC – Physical Configuration

• SDDC – vCenter Cluster Layout SDDC – vCenter Cluster Layout

• SDDC - تصویر بزرگ زشت SDDC – The Big Ugly Picture

• SDDC - تصویر بزرگ زشت اما نه به آن بد! SDDC – The Big Ugly Picture but not as bad!

بخش 6: کنترل های مربوطه CCM Section 6: Relevant CCM Controls

• IVS-01 - گزارش حسابرسی/تشخیص نفوذ IVS-01 – Audit Logging / Intrusion Detection

• IVS-02 - تشخیص تغییر IVS-02 – Change Detection

• IVS-03 - همگام سازی ساعت IVS-03 – Clock Synchronization

• IVS-04 - اسناد سیستم اطلاعاتی IVS-04 – Information System Documentation

• IVS-05 – مدیریت آسیب پذیری IVS-05 – Vulnerability Management

• IVS-06 - امنیت شبکه IVS-06 – Network Security

• IVS-07 - سخت شدن سیستم عامل و کنترل های پایه IVS-07 – OS Hardening and Base Controls

• IVS-08 - محیط های تولیدی/غیر تولیدی IVS-08 – Production / Non-Production Environments

• IVS-09 - بخش بندی IVS-09 – Segmentation

• IVS-10 – VM Security – حفاظت از داده ها IVS-10 – VM Security – Data Protection

• IVS-11 - Hypervisor Hardening IVS-11 – Hypervisor Hardening

• IVS-12 - امنیت بی سیم IVS-12 – Wireless Security

• IVS-13 – معماری شبکه IVS-13 – Network Architecture

• سوالات Questions

• آزمون فصل 5 Chapter 5 Quiz

فصل 6 - مدیریت اطلاعات و ایمن سازی داده ها Chapter 6 - Managing Information and Securing Data

• مدیریت اطلاعات و ایمن سازی داده ها Managing Information and Securing Data

• طرح کلی دوره Course Outline

• چه چیزی را پوشش می دهیم؟ What are we covering?

بخش 1: چرخه حیات ابر/داده Section 1: Cloud/Data Life Cycle

• چرخه حیات امنیت داده Data Security Lifecycle

• مکان ها و دسترسی ها Locations and Access

• توابع، بازیگران و کنترل ها Functions, Actors, and Controls

بخش 2: معماری ها و استراتژی های امنیت داده ها Section 2: Data Security Architectures and Strategies

• ستون های عملکرد Pillars of Functionality

• انواع ذخیره سازی IaaS Storage Types IaaS

• انواع ذخیره سازی PaaS Storage Types PaaS

• انواع ذخیره سازی SaaS Storage Types SaaS

• تهدیدات اصلی برای ذخیره سازی Top Threats to Storage

• فن آوری های موجود برای مقابله با تهدیدات Technologies available to address the threats

• پراکندگی داده ها Data Dispersion

• پیشگیری از از دست دادن داده (DLP) Data Loss Prevention (DLP)

• پیشگیری از از دست دادن داده (DLP) Data Loss Prevention (DLP)

• پیشگیری از از دست دادن داده (DLP) Data Loss Prevention (DLP)

• رمزگذاری Encryption

• چالش های رمزگذاری Encryption Challenges

• معماری رمزگذاری Encryption Architecture

• رمزگذاری داده های IaaS IaaS Data Encryption

• رمزگذاری داده های IaaS IaaS Data Encryption

• رمزگذاری پایگاه داده Database Encryption

• رمزگذاری پایگاه داده Database Encryption

• بررسی رمزگذاری Encryption Review

• مدیریت کلیدی Key Management

• ملاحظات کلیدی مدیریت Key Management Considerations

• ذخیره سازی کلیدها در فضای ابری Storing keys in the cloud

• پوشاندن داده ها/مبهم سازی Data Masking/Obfuscation

• ناشناس سازی داده ها Data Anonymization

• توکن سازی Tokenization

• استراتژی های امنیت داده ها Data Security Strategies

• فناوری های نوظهور Emerging Technologies

بخش 3: کشف و طبقه بندی داده ها Section 3: Data Discovery and Classification

• کشف داده ها Data Discovery

• کشف داده ها Data Discovery

• کشف داده ها Data Discovery

• طبقه بندی داده ها Data Classification

• دسته بندی داده ها Data Classification Categories

• چالش های داده های ابری Cloud Data Challenges

بخش 4: حفاظت از داده های قضایی برای اطلاعات قابل شناسایی شخصی Section 4: Jurisdictional Data Protection for Personally Identifiable Informatio

• مقررات Terms

• پیاده سازی داده های کشف Implementation of Data Discovery

• نهادهای ورودی اصلی Main Input Entities

• توافقنامه سطح حریم خصوصی Privacy Level Agreement

• کنترل برای PII Controls for PII

• اقدامات امنیتی معمولی Typical Security Measures

بخش 5: مدیریت حقوق داده/اطلاعات Section 5: Data/Information Rights Management

• مدیریت حقوق داده ها Data Rights Management

• مدیریت حقوق اطلاعات Information Rights Management

• مشکلات ابری IRM IRM Cloud Difficulties

• راه حل های IRM IRM Solutions

بخش 6: سیاست های حفظ، حذف و آرشیو داده ها Section 6: Data Retention, Deletion, and Archival Policies

• سیاست های حفاظت از داده ها Data Protection Policies

• سیاست های حفظ داده ها Data Retention Policies

• حذف داده ها Data Deletion

• آرشیو داده ها Data Archiving

بخش 7: پاسخگویی رویدادهای داده Section 7: Accountability of Data Events

• منابع رویداد بالقوه SaaS SaaS Potential Event Sources

• منابع رویداد بالقوه PaaS PaaS Potential Event Sources

• منابع رویداد بالقوه IaaS IaaS Potential Event Sources

• ثبت رویداد داده ها و ویژگی های رویداد Data Event Logging and Event Attributes

• با رویدادهای داده چه کنیم؟ What to do with data events?

• اطلاعات امنیتی و مدیریت رویداد Security Information and Event Management

• پشتیبانی از عملیات مستمر Supporting Continuous Operations

بخش 8: کنترل های مربوطه CCM Section 8: Relevant CCM Controls

• DSI-01 - طبقه بندی مدیریت DSI-01 – Management Classification

• DSI-02 - جریان موجودی داده ها DSI-02 – Data Inventory Flows

• DSI-03 - معاملات تجارت الکترونیک DSI-03 – eCommerce Transactions

• DSI-04 - مدیریت/برچسب گذاری/سیاست امنیتی DSI-04 – Handling / Labeling / Security Policy

• DSI-05 - داده های غیر تولیدی DSI-05 – Non-Production Data

• DSI-06 - مالکیت/سرپرستی DSI-06 – Ownership / Stewardship

• DSI-07 - دفع ایمن DSI-07 – Secure Disposal

• سوالات Questions

• امتحان فصل 6 Chapter 6 Quiz

فصل 7 - عملیات مرکز داده Chapter 7 - Data Center Operations

• عملیات مرکز داده Data Center Operations

• طرح کلی دوره Course Outline

• چه چیزی را پوشش می دهیم؟ What are we covering?

بخش 1: زیرساخت منطقی Section 1: The Logical Infastructure

• نکات طراحی زیرساخت منطقی Logical Infastructure Design Notes

• پیکربندی ایمن نیازمندی های سخت افزاری Secure Configuration of Hardware Requirements

• پیکربندی شبکه امن Secure Network Configuration

• سخت شدن سیستم عامل و برنامه ها Hardening OS and Apps

• در دسترس بودن سیستم عامل مهمان Availability of Guest OS

• مدیریت زیرساخت منطقی Managing the Logical Infrastructure

• مدیریت خدمات فناوری اطلاعات (ITSM) IT Service Management (ITSM)

• مدیریت امنیت اطلاعات Information Security Management

• فرآیند مدیریت پیکربندی Configuration Management Process

• پیکربندی، تغییر و مدیریت در دسترس بودن Configuration, Change and Availability Management

• سایه IT Shadow IT

• اهداف مدیریت تغییر Change Management Objectives

• سیاست ها و رویه های مدیریت تغییر Change Management Policies and Procedures

• مدیریت مشکل Problem Management

• اهداف مدیریت انتشار و استقرار Release and Deployment Management Objectives

• مدیریت انتشار و استقرار Release and Deployment Management

• مدیریت سطح خدمات Service Level Management

• سایر حوزه های مدیریتی Other Management areas

بخش 2: مدیریت ارتباطات با همه طرفین Section 2: Manage Communications with all Parties

• 5 Ws و H 5 Ws and the H

• فروشندگان Vendors

• مشتریان Customers

• شرکا Partners

بخش 3: کنترل های CCM مربوطه Section 3: Relevant CCM Controls

• SEF-01 - قرارداد/تعمیر و نگهداری مقامات SEF-01 – Contract / Authority Maintenance

• SEF-02 - مدیریت حوادث SEF-02 – Incident Management

• SEF-03 - گزارش رویداد SEF-03 – Incident Reporting

• SEF-04 - آماده سازی قانونی SEF-04 – Legal Preparation

• SEF-05 - معیارهای واکنش به حادثه SEF-05 – Incident Response Metrics

• آزمون فصل 11 Chapter 11 Quiz

• سوالات Questions

فصل 8 - قابلیت همکاری و قابلیت حمل Chapter 8 - Interoperability and Portability

• قابلیت همکاری و حمل و نقل Interoperability and Portability

• طرح کلی دوره Course Outline

• چه چیزی را پوشش می دهیم؟ What are we covering?

بخش 1: قابلیت همکاری Section 1: Interoperability

• قابلیت همکاری Interoperability

• دلیل اینکه ممکن است تغییری رخ دهد Reason a change may happen

• چرا این مهم است Why is this important

• مثال Example

• توصیه ها Recommendations

• توصیه ها Recommendations

• توصیه ها Recommendations

بخش 2: قابلیت حمل Section 2: Portability

• قابل حمل بودن Portability

• قابلیت همکاری و حمل و نقل به کاهش کمک می کند Interoperability and Portability Helps to Mitigate

• قانون طلایی Golden Rule

• توصیه های اساسی Basic Recommendations

• توصیه های اساسی Basic Recommendations

• توصیه های IaaS IaaS Recommendations

• توصیه های IaaS IaaS Recommendations

• توصیه های IaaS IaaS Recommendations

• توصیه های PaaS PaaS Recommendations

• توصیه های PaaS PaaS Recommendations

• توصیه های SaaS SaaS Recommendations

• توصیه های SaaS SaaS Recommendations

• توصیه های ابر خصوصی Private Cloud Recommendations

• توصیه های عمومی ابر Public Cloud Recommendations

• توصیه های ابر ترکیبی Hybrid Cloud Recommendations

فصل نهم - امنیت سنتی Chapter 9 - Traditional Security

• امنیت سنتی Traditional Security

• طرح کلی دوره Course Outline

• چه چیزی را پوشش می دهیم؟ What are we covering?

بخش 1: محیط فیزیکی Section 1: The Physical Environment

• محیط فیزیکی Physical Environment

• از نظر فیزیکی یکی از این جانوران چه شکلی است؟ Physically. What does one of these beasts look like?

• عوامل اصلی در ساخت یک دیتاسنتر عالی Major Factors in building a great datacenter

• 10 برتر گوگل Google’s Top 10

• طراحی دیتاسنتر Datacenter Design

• شبکه و ارتباطات در فضای ابری Network and Communications in the Cloud

• محاسبه کنید Compute

• ذخیره سازی Storage

• کنترل های فیزیکی و محیطی Physical and Environmental Controls

• حفاظت از امکانات مرکز داده Protecting Datacenter Facilities

• سیستم و حفاظت از ارتباطات System and Communication Protections

بخش 2: فرآیند برنامه ریزی برای طراحی مرکز داده Section 2: Planning Process for the Data Center Design

• از برنامه ریزی حمایت کنید Support the Planning

• ملاحظات طراحی فیزیکی Physical Design Considerations

• استانداردهای طراحی DC DC Design Standards

• بررسی استاندارد ردیف Tier Standard Review

• خلاصه مدل ردیفی Tiered Model Summary

• طراحی محیطی Environmental Design

• طراحی محیطی Environmental Design

• ملاحظات طراحی Design Considerations

• اتصال مسیر چند فروشنده (MVPC) Multi-Vendor Pathway Connectivity (MVPC)

بخش 3: پیاده سازی و ایجاد زیرساخت های فیزیکی Section 3: Implement and Build Physical Infrastructure

• عملیات سازمانی Enterprise Operations

• الزامات امنیتی برای سخت افزار Security Requirements for Hardware

• اشتراک بیش از حد Oversubscription

• ملاحظات پیاده سازی iSCSI iSCSI Implementation Considerations

بخش 4: امنیت معمولی برای اجزای مرکز داده Section 4: Typical Security for the Datacenter Components

• کنترل های دسترسی Access Controls

• کنترل دسترسی (KVM) Access Control (KVM)

• کنترل های دسترسی Access Controls

• ایمن سازی تنظیمات شبکه Securing Network Configurations

• سخت شدن سیستم عامل OS Hardening

• همه چیز در مورد سیستم عامل Everything about the OS

• ملاحظات در دسترس بودن میزبان مستقل Stand-alone Host Availability Considerations

• در دسترس بودن هاست های خوشه ای Availability of Clustered Hosts

• معماری های ذخیره سازی خوشه ای Clustered Storage Architectures

• نظارت بر عملکرد Performance Monitoring

• معماری سیستم اضافی Redundant System Architecture

• پشتیبان گیری و بازیابی هاست؟ Backup and Restore of Hosts?

• توصیه های مدیریت لاگ Log Management Recommendations

• مدیریت ورود به سیستم Log Management

• برنامه ریزی مدیریت شامل Management Planning Includes

• تداوم کسب و کار و بازیابی بلایا Business Continuity & Disaster Recovery

• عناصر تداوم کسب و کار Business Continuity Elements

فصل 10 - BCM و DR Chapter 10 - BCM and DR

• BCM و DR BCM and DR

• طرح کلی دوره Course Outline

• چه چیزی را پوشش می دهیم؟ What are we covering?

بخش 1: بازیابی بلایا و مدیریت تداوم کسب و کار Section 1: Disaster Recovery and Business Continuity Management

• مفهوم مدیریت تداوم کسب و کار The Business Continuity Management Concept

• چرخه حیات BCM BCM Lifecycle

• بازیابی فاجعه تداوم کسب و کار Business Continuity Disaster Recovery

• BCDR مربوط به ویژگی های ابر BCDR Relevant Cloud Characteristics

• تحلیل تاثیر کسب و کار Business Impact Analysis

• الزامات BCDR BCDR Requirements

• خطرات BCDR که نیاز به حفاظت دارند BCDR Risks Requiring Protection

• خطرات استراتژی BCDR BCDR Strategy Risks

• استراتژی های BCDR BCDR Strategies

• ایجاد طرح BCDR Creating the BCDR Plan

• برنامه ریزی، تست و بررسی Planning, Testing and Review

بخش 2: مثال ها Section 2: Examples

• مجازی سازی عبور از طریق Virtualization Pass Through

• نرم افزار پشتیبان گیری و DR Backup and DR Software

فصل 11 - واکنش به حادثه Chapter 11 - Incident Response

• پاسخ حادثه Incident Response

• طرح کلی دوره Course Outline

• چه چیزی را پوشش می دهیم؟ What are we covering?

بخش 1: مدیریت حوادث Section 1: Incident Management

• مدیریت حوادث Incident Management

• طرح مدیریت حوادث Incident Management Plan

• طبقه بندی حوادث Incident Classification

• رویدادهای امنیتی Security Events

• سیاههها Logs

• هشدارها Alerts

• حادثه چیست؟ What is an Incident?

• حادثه امنیتی Security Incident

• نشانه سازش Indication of Compromise

• مدیریت حادثه چیست؟ What is Incident Handling?

• تفاوت بین IH و IR Difference between IH and IR

• تفاوت بین IH و IR Difference between IH and IR

• تفاوت بین IH و IR Difference between IH and IR

• ابزارهای رایج Common Tools

• IPS در مقابل WAF IPS vs WAF

• SOC SOC

• رویکرد شش مرحله ای برای رسیدگی به حوادث Six Step Approach to Incident Handling

بخش 2: پزشکی قانونی Section 2: Forensics

• چالش های پزشکی قانونی ابری Cloud Forensics Challenges

• روش شناسی برای پزشکی قانونی Methodology for Forensics

• دسترسی به داده ها بر اساس مدل سرویس Access to Data by Service Model

• ملاحظات آمادگی پزشکی قانونی Forensic Readiness Considerations

• مواردی که باید در جمع آوری شواهد در نظر گرفته شوند Items to consider when collecting evidence

فصل 12 - امنیت برنامه Chapter 12 - Application Security

• امنیت برنامه Application Security

• طرح کلی دوره Course Outline

• چه چیزی را پوشش می دهیم؟ What are we covering?

بخش 1: اجزای مؤثر بر امنیت Section 1: Components affecting Security

• امنیت برنامه های وب Web Application Security

• مبانی برنامه Application Basics

• رابط برنامه نویسی کاربردی (API) Application Programming Interface (API)

• WS-* دارای خدمات وب است WS-* Features Web Services

• دام های رایج Common Pitfalls

• وابستگی های رمزگذاری Encryption Dependencies

بخش 2: چرخه عمر توسعه نرم افزار (SDLC) Section 2: Software Development Life Cycle (SDLC)

• چرخه عمر توسعه نرم افزار (SDLC) Software Development Lifecycle (SDLC)

• چرخه عمر توسعه نرم افزار امن Secure Software Development Lifecycle

• S-SDLC S-SDLC

• چرخه عمر توسعه نرم افزار Software Development Lifecycle

• آغاز پروژه Project Initiation

• فاز نیازمندی ها Requirements Phase

• فاز نیازمندی ها Requirements Phase

• طراحی امن Secure Design

• طراحی امن Secure Design

• توسعه Development

• توسعه Development

• تست واحد Unit Testing

• آزمایش کردن Testing

• اجرای تولید Production Implementation

• چرخه عمر توسعه نرم افزار (SDLC) Software Development Lifecycle (SDLC)

بخش 3: آسیب پذیری ها، تهدیدات و خطرات Section 3: Vulnerabilities, Threats and Risks

• خلاصه Summary

• OWASP 10 OWASP Top 10

• A1 - تزریق A1 – Injection

• A2 - احراز هویت شکسته A2 – Broken Authentication

• A3 - قرار گرفتن در معرض داده های حساس A3 – Sensitive Data Exposure

• A4 - موجودیت های خارجی XML (XXE) A4 – XML External Entities (XXE)

• A5 - کنترل دسترسی شکسته A5 – Broken Access Control

• A6 - پیکربندی اشتباه امنیتی A6 – Security Misconfiguration

• A7 - اسکریپت بین سایتی A7 – Cross-Site Scripting

• A8 - غیر ایمن سازی سریال A8 – Insecure Deserialization

• A9 - استفاده از مؤلفه هایی با آسیب پذیری های شناخته شده A9 – Using Components with Known Vulnerabilities

• A10 - ثبت و نظارت ناکافی A10 – Insufficient Logging and Monitoring

• ریسک های خاص ابر Cloud Specific Risks

• مدل تهدید استراید STRIDE Threat Model

• توصیه ها Recommendations

بخش 4: مدیریت هویت و دسترسی (IAM) Section 4: Identity and Access Management (IAM)

• مدیریت هویت و دسترسی Identity and Access Management

• مدیریت هویت فدرال Federated Identity Management

• Security Assertion Markup Language 2.0 (SAML 2.0) Security Assertion Markup Language 2.0 (SAML 2.0)

• ادعای SAML SAML Assertion

• SAML Assertion Child Elements SAML Assertion Child Elements

• پروتکل های SAML SAML Protocols

• اتصالات SAML SAML Bindings

• باز کردن شناسه اتصال (OIDC) Open ID Connect (OIDC)

• OIDC جریان دارد OIDC Flows

• مقایسه جریان OIDC OIDC Flow Comparison'

• بهترین روش های JSON Web Tokens JSON Web Tokens Best Practices

• از کدام سیستم هویت فدرال استفاده کنیم؟ Which Federated Identity System to use?

• احراز هویت چند عاملی Multi-Factor Authentication

• هویت ها و ویژگی ها Identities and Attributes

• مثال ها Examples

• مدیریت هویت Identity Management

بخش 5: تضمین و اعتبار سنجی نرم افزار Section 5: Software Assurance and Validation

• تضمین، تأیید، و اعتبارسنجی Assurance, Verification, and Validation

• مدیریت داده ها Handling of Data

• ISO/IEC 27034-1 ISO/IEC 27034-1

• چارچوب هنجاری سازمان (ONF) Organization Normative Framework (ONF)

• چارچوب ها Frameworks

• تست امنیت برنامه Application Security Testing

• سوالات Questions

• آزمون فصل 12 Chapter 12 Quiz

فصل 13 - رمزگذاری و مدیریت کلید Chapter 13 - Encryption and Key Management

• رمزگذاری و مدیریت کلید Encryption and Key Management

• طرح کلی دوره Course Outline

• چه چیزی را پوشش می دهیم؟ What are we covering?

بخش 1: مروری از فصل های دیگر Section 1: Review from other chapters

• تو الان معلمی! You are the teacher now!

• رمزنگاری Cryptography

• رمزگذاری/حفاظت از داده ها Encryption / Data Protection

• رمزگذاری و مدیریت کلید Encryption & Key Management

• فناوری های نوظهور Emerging Technologies

بخش 2: مدیریت کلید در خدمات ابری امروزی Section 2: Key Management in today’s cloud services

• پروتکل قابلیت همکاری مدیریت کلید (KMIP) Key Management Interoperability Protocol (KMIP)

• KMIP KMIP

• فروشندگان ارائه KMIP Vendors offering KMIP

• فروشندگانی که از KMIP پشتیبانی می کنند Vendors that support KMIP

• کارگزار امنیتی Cloud Access (CASB) Cloud Access Security Broker (CASB)

• ماژول امنیت سخت افزار (HSM) Hardware Security Module (HSM)

بخش 3: توصیه ها Section 3: Recommendations

• توصیه های عمومی General Recommendations

• توصیه ها - رمزگذاری با پایگاه های داده Recommendations – Encryption with Databases

فصل 14 - مدیریت هویت، استحقاق و دسترسی Chapter 14 - Identity, Entitlement and Access Management

• مدیریت هویت، استحقاق و دسترسی Identity, Entitlement and Access Management

• طرح کلی دوره Course Outline

• چه چیزی را پوشش می دهیم؟ What are we covering?

بخش 1: مقدمه ای بر مدیریت هویت و دسترسی Section 1: Introduction to Identity and Access Management

• اصطلاحات استفاده شده Terms Used

• اصطلاحات استفاده شده Terms Used

• مدیریت هویت و دسترسی Identity and Access Management

• مدیریت هویت، استحقاق و دسترسی Identity, Entitlement, & Access Management

• نکات کلیدی که باید در نظر گرفته شود Key points to consider

• تفاوت های معماری هویت Identity Architecture Differences

• تفاوت های معماری هویت Identity Architecture Differences

• مثال عمومی Generic Example

• فدراسیون هویت Identity Federation

• کاربرد عمومی فدراسیون General Usage of Federation

بخش 2: هویت ها و ویژگی ها Section 2: Identities and Attributes

• تامین Provisioning

• نمونه هایی از هویت ها و صفات Examples of Identities and Attributes

• فرآیند تصمیم گیری بالقوه Potential Decision Making Process

• هویت و صفت Identity and the Attribute

• فرآیند استحقاق Entitlement Process

• رویکردهای خودکار Automated Approaches

• مکان های تفسیر Interpretation Locations

• مجوز و مدیریت دسترسی Authorization and Access Management

بخش 3: گزینه های معماری Section 3: Options for Architectures

• مدل هاب و اسپک Hub and Spoke Model

• مدل مش یا فرم آزاد Mesh or Free Form Model

• مدل فرم رایگان Free Form Model

• مدل هیبریدی Hybrid Model

• پل یا مرکز فدراسیون Bridge or Federation Hub

• تامین حساب ها Provisioning Accounts

• تامین هویت و ویژگی Identity and Attribute Provisioning

بخش 4: هویت Section 4: The Identity

• هویت و حفاظت از داده ها Identity and Data Protection

• چالش مصرف کننده Consumerization Challenge

فصل 15 - حسابرسی و انطباق Chapter 15 - Auditing and Compliance

• حسابرسی و انطباق Auditing and Compliance

• طرح کلی دوره Course Outline

• چه چیزی را پوشش می دهیم؟ What are we covering?

بخش 1: انطباق و مسائل ابر حسابرسی Section 1: Compliance and Audit Cloud Issues

• اکوسیستم ارزش GRC GRC Value Ecosystem

• تضمین توسط CSP Assurance by CSP

• تضمین توسط CSP - چارچوب اطمینان Assurance by CSP – Assurance Frameworks

• چالش های تضمینی مجازی سازی و ابر Assurance Challenges of Virtualization and Cloud

• چالش های تضمینی مجازی سازی و ابر Assurance Challenges of Virtualization and Cloud

• چالش های تضمینی مجازی سازی و ابر Assurance Challenges of Virtualization and Cloud

• چالش های تضمینی مجازی سازی و ابر Assurance Challenges of Virtualization and Cloud

• سیاست های Policies

• سیاست های Policies

• مکانیزم های حسابرسی ریسک Risk Audit Mechanisms

بخش 2: چارچوب های تضمین Section 2: Assurance Frameworks

• تضمین توسط CSP - چارچوب اطمینان Assurance by CSP – Assurance Frameworks

• گواهی بر خلاف معیارها Certification Against Criteria

• چارچوب های اطمینان - ISO 2700X Assurance Frameworks – ISO 2700X

• دامنه های ISO/IEC 27001 ISO/IEC 27001 Domains

• چارچوب تضمین +A736– AICPA SOC 1 Assurance Frameworks +A736– AICPA SOC 1

• SOC II و SOC III SOC II and SOC III

• چارچوب تضمین - NIST SP 800-53 Assurance Frameworks – NIST SP 800-53

• PCI-DSS Merchant Level PCI-DSS Merchant Level

• الزامات PCI-DSS 12 PCI-DSS 12 Requirements

• الزامات PCI-DSS 12 PCI-DSS 12 Requirements

• چارچوب های اطمینان - COBIT Assurance Frameworks – COBIT

• چارچوب های اطمینان – خدمات اعتماد AICPA/CICA Assurance Frameworks – AICPA/CICA Trust Services

• چارچوب های اطمینان - ماتریس امنیت ابری Assurance Frameworks – Cloud Security Matrix

• چارچوب تضمین - فدرال رامپ Assurance Frameworks – FedRamp

• NIST SP 800-144 NIST SP 800-144

• NIST SP 800-144 - فعالیت های مقدماتی NIST SP 800-144 – Preliminary Activities

• NIST SP 800-144 – شروع و فعالیت های همزمان NIST SP 800-144 – Initiating & Coincident Activities

• NIST SP 800-144 - فعالیت های پایانی NIST SP 800-144 – Concluding Activities

• چارچوب تضمین – HITRUST Assurance Frameworks – HITRUST

• چارچوب های اطمینان - BITS Assurance Frameworks – BITS

• چارچوب تضمین - جریکو SAS Assurance Frameworks – Jericho SAS

• گواهی محصول سیستم/زیر سیستم System/Subsystem Product Certification

• نمایه های حفاظت از معیارهای رایج (PP) Common Criteria Protection Profiles (PP)

بخش 3: حسابرسی Section 3: The Audit

• اهداف حسابرسی ابری Cloud Audit Goals

• تاثیر برنامه های مورد نیاز با استفاده از ابر Impact of Requirements Programs by the Use of Cloud

• انواع گزارش های حسابرسی Types of Audit Reports

• انواع گزارش های حسابرسی Types of Audit Reports

• محدودیت دامنه حسابرسی Restrictions of Audit Scope

• تجزیه و تحلیل فاصله Gap Analysis

• الزامات استاندارد (ISO/IEC 27018، GAPP) Standards Requirements (ISO/IEC 27018, GAPP)

• ISMS داخلی Internal ISMS

• سیستم کنترل امنیت اطلاعات داخلی ISO 27002:2013 Internal Information Security Control System ISO 27002:2013

• ویژگی های حسابرسی رایانش ابری Cloud Computing Audit Characteristics

• کنترل های حسابرسی داخلی و خارجی Internal and External Audit Controls

• کنترل های حسابرسی داخلی و خارجی Internal and External Audit Controls

• برنامه ریزی و محدوده حسابرسی Planning & Scoping the Audit

• برنامه ریزی و محدوده حسابرسی Planning & Scoping the Audit

• برنامه ریزی و محدوده حسابرسی Planning & Scoping the Audit

• برنامه ریزی و محدوده حسابرسی Planning & Scoping the Audit

• برنامه ریزی و محدوده حسابرسی Planning & Scoping the Audit