##安全港协议（Safe Harbor）
是2000年12月美国商业部跟欧洲联盟建立的协议，它用于调整美国企业出口以及处理欧洲公民的个人数据（例如名字和住址）。该协议不同于美国跟欧洲之间的传统商业过程，是响应欧洲的意图而建立的折衷政策。
安全港协议要求：收集个人数据的企业必须通知个人其数据被收集，并告知他们将对数据所进行的处理，企业必须得到允许才能把信息传递给第三方，必须允许个人访问被收集的数据，并保证数据的真实性和安全性以及采取措施保证这些条款得到遵从。
安全港协议（Safe Harbor）确立了折衷处理美国和欧联之间隐私手续的框架。15个成员国都服从该协议，这意味着可不经个人授权而进行数据转移，而未加入安全港的美国企业必须单独从各个欧洲国家获取授权。
NIST SP800系列标准
SP800是美国NIST（National Institute of Standards and Technology）发布的一系列关于信息安全的指南（SP是Special Publications的缩写）。文档很多，也很细，值得大家学习。
在NIST的标准系列文件中，虽然NIST SP并不作为正式法定标准，但在实际工作中，已经成为美国和国际安全界得到广泛认可的事实标准和权威指南。NIST SP800系列（成为了指导美国信息安全管理建设的主要标准和参考资料。
目前，NIST SP 800系列已经出版了近90本同信息安全相关的正式文件，形成了从计划、风险管理、安全意识培训和教育以及安全控制措施的一整套信息安全管理体系。例如
·NIST SP800-53和SP800-60描述了信息系统与安全目标及风险级别对应指南，
·NIST SP800-26和SP800-30分别描述了自评估指南和风险管理指南。
·NIST SP800-51描述通用缺陷和暴露（CVE）缺陷命名方案的使用。
·NIST SP800-30分别描述了自评估指南和风险管理指南。
·NIST SP800-34信息技术系统应急计划指南。
·NIST SP800-34安全内容自动化协议（SCAP）指南，用来组织、表达和测量安全相关信息的标准化方法以及参考数据，如经过编译的软件缺陷和安全配置问题的标识符。
NIST SP800下载地址：http://csrc.nist.gov/publications/PubsSPs.html
COBIT与ITIL
(Control Objectives for Information and related Technology) 是目前国际上通用的信息系统审计的标准，由信息系统审计与控制协会在1996年公布。这是一个在国际上公认的、权威的安全与信息技术管理和控制的标准，目前已经更新至5.0版。它在商业风险、控制需要和技术问题之间架起了一座桥梁，以满足管理的多方面需要。该标准体系已在世界一百多个国家的重要组织与企业中运用，指导这些组织有效利用信息资源，有效地管理与信息相关的风险。
即IT基础架构库(Information Technology Infrastructure Library, ITIL，信息技术基础架构库)由
英国政府部门CCTA(Central Computing and Telecommunications Agency)在20世纪80年代末制订，现由英国商务部OGC(Office of Government Commerce)负责管理，主要适用于IT服务管理（ITSM）。ITIL为企业的IT服务管理实践提供了一个客观、严谨、可量化的标准和规范。
风险
风险规避是风险应对的一种方法，是指通过计划的变更来消除风险或风险发生的条件，保护目标免受风险的影响。风险规避并不意味着完全消除风险，我们所要规避的是风险可能给我们造成的损失。一是要降低损失发生的机率，这主要是采取事先控制措施；二是要降低损失程度，这主要包括事先控制、事后补救两个方面。
认证协议
Diameter
协议被IETF的AAA工作组作为下一代的AAA协议标准。Diameter（为直径，意为着Diameter协议是RADIUS协议的升级版本）协议包括基本协议，NAS（网络接入服务）协议，EAP（可扩展鉴别）协议，MIP（移动IP）协议，CMS（密码消息语法）协议等。Diameter协议支持移动IP、NAS请求和移动代理的认证、授权和计费工作，协议的实现和RADIUS类似，也是采用AVP，属性值对（采用Attribute-Length-Value三元组形式）来实现，但是其中详细规定了错误处理, failover机制,采用TCP协议，支持分布式计费，克服了RADIUS的许多缺点，是最适合未来移动通信系统的AAA协议
watchdog是Linux看门狗。
Linux 自带了一个 watchdog 的实现，用于监视系统的运行，包括一个内核 watchdog module 和一个用户空间的 watchdog 程序。内核 watchdog 模块通过 /dev/watchdog 这个字符设备与用户空间通信。用户空间程序一旦打开 /dev/watchdog 设备，就会导致在内核中启动一个 1分钟的定时器，此后，用户空间程序需要保证在 1分钟之内向这个设备写入数据，每次写操作会导致重新设定定时器。如果用户空间程序在 1分钟之内没有写操作，定时器到期会导致一次系统 reboot 操作。看门狗,又叫 watchdog timer,是一个定时器电路, 一般有一个输入,叫喂狗,一个输出到MCU的RST端,MCU正常工作的时候,每隔一段时间输出一个信号到喂狗端,给 WDT 清零,如果超过规定时间不喂狗(一般在程序跑飞时),WDT 定时超过,就会给出一个复位信号到MCU,使MCU复位. 防止MCU死机. 看门狗的作用就是防止程序发生死循环或者说程序跑飞
TACACS+(Terminal Access Controller Access Control System)终端访问控制器访问控制系统。
与我们IDsentrie的Radius协议相近。不过TACACS+用的是TCP协议，Radius用的是UDP,不知道各有什么优点和缺点呢。它们的重要作用就是3A。 所谓3A, 即Authentication认证,Authorization授权, Accounting计费. 在测试Radius时，我对authentication已经比较了解，但是对authorization还比较模糊,这次测试tacacs+,使我对authorization也开始了解了.授权简单的说就是给用户开放某些资源
RADIUS
是一种完全开放的协议，分布源码格式，这样，任何安全系统和厂商都可以用。cisco支持在其AAA安全范例中支持RADIUS。
RADIUS可以和在其它AAA安全协议共用，如TACACS+，Kerberos，以及本地用户名查找。
CISCO所有的平台都支持RADIUS，但是RADIUS支持的特性只能运行在cisco指定的平台上。RADIUS协议已经被广泛实施在各种各样的需要高级别安全且需要网络远程访问的网络环境。
评价标准
ITSEC
是Information Technology Security Evaluation Criteria的简称，指欧洲的安全评价标准，是欧洲多国安全评价方法的综合产物，应用领域为军队、政府和商业。
###通用标准（CC,Common Criteria）
是一组国际准则和规范说明，它们能用来评估信息安全产品，特别是保证这些产品符合政府部署商定的安全标准。通用标准的正式称谓是“信息技术安全评估通用标准”。
通用标准（CC,Common Criteria）包括两项主要内容：保护轮廓和评估保护等级。保护轮廓（PPro）为具体产品规定一套标准的安全要求，如防火墙。评估保护等级（EAL）规定产品检测的彻底程度。评估保护等级从1级到7级，1级为最低级别，7级为最高级别。高级别的评估并不表示被检测的产品安全性更高，它只能说明这些产品接受了更多的检测。提交评估产品之前，供应商首先要完成一项安全目标(ST)描述，这其中所括产品概述与安全特征、潜在安全威胁评估和供应商在已选评估保护等级(EAL)基础上详述产品与相关保护轮廓相符程度的自我评价。接着，检验室通过核实产品安全特征、评估它与保护轮廓（PPro）规定标准的相符程度来检测产品。积极的评估结果是构成产品官方认证的基础。通用标准（CC,Common Criteria）认证的目的是向消费者保证他们购买的产品已经经过评估，商家的产品声明也已经过不偏袒商家的第三方证实。
红皮书
橘皮书主要解决了单个系统的安全问题，不过网络由许多系统组合而成。虽然不必完全信任组成网络的每个系统，但每个网络必须安全可靠。可信网络解释（TrustedNetworkinterpretation,TNI，由于其封面为红色，因此也称为红皮书（RedBook)）解决了网络和网络组件的安全评估问题，它主要针对独立局域网和广域网系统。与橘皮书一样，红皮书也没有提供如何实施安全机制的特殊细节。相反，它为保障各种网络的安全提供了一个架构。像操作系统一样，网络也具有安全策略、体系结构和设计，同样需要对在网络上访问客体的主体进行控制、监控和审计。在网络中，主体可能是个工作站，客体可能为一台服务器＿卜的网络服务。
红皮书为数据的机密性以及在网络和网络产品上发生的操作评定级别。数据和标签需要得到保护，以免遭到未经授权的修改；在传输信息时，也要求确保信息的完整性；信息使用的信源和信宿机制也需要进行评估和测试，以确保修改不被允许。
加密和协议是网络内提供大量安全性的组件，红皮书可衡量它们的功能、强度和保证。
下面简要概述红皮书中涉及的安全项：
．通信完整性
###橘皮书
C2是俗称橘皮书(Orange Book)规格中的一个安全级别。橘皮书(The Orange Book)是美国国家安全局(NSA)的国家计算机安全中心(NCSC)于1983年8月颁发的官方标准，其正式名称是“受信任计算机系统评量基准（Trusted Computer System Evaluation Criteria)”,其封面为橘黄色,以此得名.橘皮书是目前颇具权威的计算机系统安全标准之一,NCSC也负责进行计算机系统及相关产品的安全测试.橘皮书中对可信任系统的定义是这样的：一个由完整的硬件及软件所组成的系统,在不违反访问权限的情况下,它能同时服务于不限定个数的用户,并处理从一般机密到最高机密等不同范围的信息。更进一步,橘皮书将一个计算机系统可接受的信任程度加以分级,凡符合某些安全条件、基准、规则的系统即可归类为某种安全等级。橘皮书将计算机系统的安全性能由高而低划分为A、B、C、D四大等级，特别是较高等级的安全范围涵盖较低等级的安全范围，而每个大等级又以安全性高低依次编号细分成数个小等级，其中：
D–最低保护（Minimal Protection)，凡没有通过其他安全等级测试项目的系统即属于该级，如IBM-PC、Apple Macintosh等个人计算机的系统虽未经安全测试，但如果有，很可能属于此级。
C–自定式保护（Discretionary Protection)，该等级的安全特点在于系统的对象（如文件、目录）可由西的主题（如系统管理员、拥护、应用程序）自定义访问权。例如管理员可以决定某个文件仅允许一特定用户读取、另一用户写入。张三可以决定他的某个目录可公开给其他用户读、写等等。在Unix、Windows NT等操作系统都可以见到这种属性。该等级又依安全低、高分为C1、C2两个安全等级。
B–强制式保护（Mandatory Protection)，该等级的安全特点在于由系统强制的安全保
护，在强制式保护模式中，每个系统对象（如文件、目录等资源）及主题（如系统管理员、用户、应用程序）都有自己的安全标签（Security Label），系统即依据用户的安全等级赋予他对各对象的访问权限。
A–可验证之保护（Verified Protection),虽然橘皮书仍可能定义比A1高的安全等级，但目前此级仅有A1等级，A等级的功能基本上与B3的相同，而其特点在于A等级的系统拥有正式的分析及数学式方法可完全证明该系统的安全策略及安全规格的完整性与一致性。Windows NT 3.51+号称具有C2安全等级，但Windows NT 4.0及以上版本目前具有C2安全等级是毫无疑问的。换句话说，它的安全特性就是在于自定式保护（Discretionarytection)，NT未来可能提高到B2安全等级
Zachman框架
第一个最有影响力的框架方法论就是Zachman框架，它是John Zachman首次在1987年提出的。
在理解Zachman框架之前，我们需要了解的是，它并不是一个框架，至少从框架的定义上严格地来看，它不是。从《美国传统词典》上，我们可以找到框架的定义如下：
支持或封装其他事情的一种结构，尤其是作为其他的一些已经创建的东西的基础给予其骨架支持；一种外部的工作平台；脚手架；一种基本结构；组成观察显示的一系列的假想、内容、价值和实践。
而在分类学中，它是这样定义的：
在显示自然关系的有序系统中的有机分类；科学、法律或者理论的分类；系统化；划分成有序的组或类别。
Zachman”框架”实际上是一种组织构架工具（用来设计文档、需求说明和模型的工具）的一种分类学。包括工具的目标（例如，商业拥有者、创建者）是谁，哪些特殊的问题（例如，数据、功能）需要阐明。
框架
DODAF 是一个控制“EA开发、维护和决策生成”的组织机制，是统一组织“团队资源、描述和控制EA活动”的总体结构。
CMMI全称是Capability Maturity Model Integration，即软件能力成熟度模型集成（也有称为：软件能力成熟度集成模型），是美国国防部的一个设想，是由美国国防部（United States Department of Defense）与卡内基-梅隆大学（Carnegie-Mellon University）下的软件工程研究中心（Software Engineering Institute，SEISM）和美国国防工业协会（National Defense Industrial Association）共同开发和研制的，他们计划把现在所有现存实施的与即将被发展出来的各种能力成熟度模型，集成到一个框架中去。
开放组体系结构框架（TOGAF）是一个行业标准的体系架构框架，它能被任何希望开发一个信 息系统体系架构在组织内部使用的组织自由使用。TOGAF 企业版v8 是为开发企业架构 的一个详细的方法和相关支持资源的集合。
安全模型
Brewer and Nash model 是一种为了提供可动态改变的信息安全访问控制的安全模型，这种模型又叫做Chinese Wall model（中国墙模型），运用它进行信息访问控制，能减轻在商业组织中的利益冲突。在这个模型中，如果一个主体和客体在某种方式下能产生利益冲突，那么在它们之间的信息流将是被禁止的。举个例子，如果一个项目经理在多家企业同时实施同一领域的工程，那么在每个企业中他只能看见有限的信息，如果某个信息对其他企业有利，那么他将被禁止访问。
