Module 03 · 对应课件 sld3
安全规划、策略与生物识别：先定规矩，再验明正身
Cyber Security Planning and Policies · Biometric-based Security Approaches
这一章分前后两半。前半讲“管理”：安全不是 IT 部门自己的事，需要计划、策略和高层支持。这正是期末大题最爱考的论述题（Q&A Q18：为什么只靠技术或只靠策略一定失败）。后半讲一种具体技术：用指纹、虹膜、人脸来确认“你是你”，以及它的错误率怎么衡量。
学完这一章，你应该能：
- 说出安全计划的目标和好处，知道规划的第一步是评估现状；
- 解释技术与管理两个维度，用 3–4 段写出“为什么只靠一边会失败、该怎么办”；
- 分清 policy、procedure、standard、guideline；
- 比较自上而下和自下而上两种做法，背出 DLM 四层防御；
- 说出三类认证因素，分清 identification 与 verification、authentication 与 authorization；
- 比较指纹、虹膜、视网膜、人脸的优缺点；
- 解释 FAR、FRR、CER，以及调高灵敏度会发生什么。
- 真题可能问：没认证能不能授权？不能。先 authentication，再 authorization。
- 老师口径：top-down 总是有效；zero trust 连总裁的设备也要认证；FRR 是 Type I，FAR 是 Type II。
1安全计划：先想清楚，再动手
Cyber security plan 是一份书面文件，写明组织在安全上采用的策略、战略、流程和技术（P3-2）。它的目标有四个：保护 CIA、管理网络风险、保证业务连续、满足法律和监管要求。
装修房子先画图纸：哪里放保险柜、门锁装几道、谁有钥匙、着火了从哪逃。没有图纸就开工，钱花了不少，该防的地方却没防到。
安全计划的 5 个好处（P3-3、P3-4）
- 更好地理解风险：云、手机、IoT、可穿戴设备让暴露面越来越大，计划帮你看清现在的 IT 环境；
- 主动防护：很多组织吃亏在“出事了才补”；计划里包括漏洞分析、渗透测试、漏洞扫描、业务连续性和灾难恢复；
- 快速响应：没有 100% 安全，总有攻击会成功，计划让你事先知道出事后该做什么；
- 满足合规：GDPR、PCI DSS、HIPAA 等；
- 预防内部威胁：让安全成为组织文化，员工参与培训，内部威胁就会减少。
第一步做什么
样题 Q3-1：制定计划时首先应该做什么？答案是先评估当前的安全状况，而不是先买最先进的设备。Q&A Q19 也说规划的第一步是 Identification：识别要保护什么（资产）、要防什么（威胁）；第二步是理解脆弱性（人为错误、软件复杂度）。
一家初创公司拿到一笔安全预算，第一件事应该是？
不先评估就买设备，钱可能花在错误的地方。顺序是：识别资产与威胁 → 理解脆弱性 → 再选技术。
2技术与管理：安全的两个维度
课件 P3-5 把网络安全分成两个维度：
| Technical 技术 | Managerial 管理 | |
|---|---|---|
| 关注点 | 开发技术能力和安全技术 | 制定安全政策和流程 |
| 例子 | 加密、防火墙、生物识别 | 政策与机制、运营问题、人的问题 |
| 谁负责 | 工程师、系统管理员 | 管理层、合规团队 |
为什么只靠一边一定失败（Q&A Q18，期末高频）
问题在于这两拨人互相不理解、不欣赏对方的工作，而没有对方的配合，谁都成功不了。
- Technology-centric（只重技术）：没有强有力的政策和实践，技术再强也很脆弱。防火墙买了，没人规定谁能改规则，员工照样把密码写在便利贴上；
- Policy-centric（只重政策）：没有技术去监控和执行，政策就是一纸空文。规定“密码 90 天必须改”，系统却不强制，没人会改。
解决办法：全面、多方面的方法，四要素缺一不可：
- 高层管理支持（Senior management support）；
- 强有力且合理的政策（Strong and sensible policies）；
- 切实可行的流程（Practical procedures）；
- 现代安全技术（Modern security technologies）。
结论句：“Information security is a management issue, a people issue.”
① 两个方面：Technical 与 Managerial，各举 2 个例子；② 失败原因：两拨人互不理解；③ 只重技术没有政策会怎样，只重政策没有技术会怎样；④ 解决：四要素 + “management issue, people issue”；⑤ 加分：引用 DLM 四层防御（第 4 节），再举 Equifax 为例：政策规定 48 小时打补丁，实际拖了 5 个月（模块 6）。
某公司规定“所有员工的密码必须每 90 天更换”，但系统不强制，也没人检查。这体现了哪种失败？
政策写得再好，没有技术强制和监控就会被忽略。
3策略体系：Policy、Procedure、Standard、Guideline
Cybersecurity policy 是一套正式的规则和实践，规定信息和系统如何被管理、保护和分发，还写明员工各自的角色和责任（P3-6）。这几个词容易混，用一张表分清：
| 名称 | 回答什么 | 是否强制 | 例子 |
|---|---|---|---|
| Policy 策略/政策 | 在特定情况下应该做什么（what） | 是 | “所有远程访问必须加密” |
| Procedure 流程 | 怎样把政策落地（how），具体步骤 | 是 | “第 1 步打开 VPN 客户端，第 2 步……” |
| Standard 标准 | 统一的具体要求 | 强制（mandatory） | “密码至少 12 位” |
| Guideline 指南 | 建议和最佳实践 | 酌情（discretionary），但决策者必须认真考虑 | “建议使用密码管理器” |
- 样题 Q3-4：“Policies are statements about what should be done”是 policy；“describe the actions taken to place policy guidance into operation”是 procedure，不选。
- 样题 Q3-6：standards mandatory，guidelines discretionary。干扰项“guidelines can be completely ignored”是错的。
- 样题 Q3-7：对 guideline，什么是强制的？答案是“决策者必须认真考虑它们”。可以不照做，但不能不考虑。
政策必须被用户接受
样题 Q3-5：如果政策不合理，用户就会绕过它，这是很危险的趋势。比如强制每周换一个 20 位密码，员工只会把密码写在纸上。所以课件建议制定政策时让员工参与。
常见的政策类型（P3-6、P3-7）
可接受使用政策（AUP，规定允许怎样使用系统）、访问控制政策、事件响应政策、数据分类政策、加密政策、密码政策、远程访问政策，还有物理安全、灾难恢复与业务连续、数据保留等。
怎样实施、怎样执行
| 实施（P3-8） | 执行（P3-9） |
|---|---|
| 识别风险；借鉴别人的经验；符合法律；让员工参与制定；培训员工；设定明确的处罚；执行政策；安装必要的工具 | 沟通：让每个人清楚自己的责任；访问控制：用认证、授权、MFA 限制访问；监控与审计：发现违规；后果：违规必须有处罚，否则员工会以为“没事” |
治理（Governance）还包括：设立网络安全委员会做监督，由 CISO（首席信息安全官）负责安全战略。
“Standards are mandatory while guidelines are discretionary.”这句话是否正确？
正确（样题 Q3-6）。“可以完全忽略”说过头了，决策者必须考虑 guideline。
4谁来推动：自上而下、DLM 四层防御、零信任
自下而上 vs 自上而下（P3-10）
| Bottom-up 自下而上 | Top-down 自上而下 | |
|---|---|---|
| 谁发起 | 系统管理员自己想改进安全 | 高层管理发起：发布政策、流程和步骤，确定目标、预期结果和每件事的责任人 |
| 优点 | 管理员懂技术 | 强有力的高层支持、专门的预算、清晰的计划、有机会影响组织文化 |
| 缺点 | 很少成功：缺少参与者的支持，缺少组织层面的持续力（staying power） | （课件推荐这种做法） |
一个普通员工想推动“全公司开会都要准时”，没人听；如果是 CEO 发通知、自己带头准时、迟到要扣绩效，事情就办成了。
样题 Q3-2、Q3-3：高层支持在项目的整个过程中都重要（不只是开头）；高层要确保足够的预算，并且自己也遵守安全流程。Q&A Q20：员工看不到上级尊重安全，就不会改变自己的行为。
老师的说法很绝对：top-down 总是有效，bottom-up 不行。因为没有高层支持，就没有预算，也推不动政策。
DLM：数字责任管理的四层防御（P3-12、P3-13）
Digital Liability Management 也叫“政策与技术的交汇”，体现了自上而下的思想。四层从上到下：
DLM 的目标：防止入侵和事件发生；一旦发生，能做好防御。
DLM 第 1–3 层都是非技术的（约占 75%），只有第 4 层是技术措施。这正说明安全主要是管理问题和人的问题。
零信任与纵深防御（P3-14、P3-15）
- Zero Trust 零信任：never trust, always verify。不因为“在公司内网”就默认可信，每次访问都要验证身份和权限；
- Defense in depth 纵深防御：层层叠加防御，像城堡有护城河、外墙、内墙、守卫，一层被攻破还有下一层。
大多数安全战略的目的可以概括成五个动作：identify、protect、detect、respond、recover（识别、保护、检测、响应、恢复）。
DLM 四层防御的第 1 层是？
领导第一，工具最后。这和“安全是管理问题”的主线一致。
自下而上做法的主要缺点是？
技术能力恰恰是它的优点。它缺的是权力和持续性。
Zero trust：谁都不默认信任，连总裁（CEO）的设备也要认证。
5认证基础：怎么证明“你是你”
后半章进入技术部分。所有门禁和登录系统都要解决一个问题：怎么确认来者就是他声称的那个人？课件 P3-18 给出三种证明方式：
| 因素 | 含义 | 例子 | 弱点 |
|---|---|---|---|
| Something you know | 你知道的东西 | 密码、PIN | 会被猜、被偷看、被钓鱼 |
| Something you have | 你拥有的东西 | 令牌、智能卡、手机验证码 | 会丢、会被偷 |
| Something you are | 你本身 | 指纹、虹膜、人脸（生物特征） | 泄露后无法更换 |
多因素认证（MFA）就是组合不同类别的因素，比如密码（know）+ 手机验证码（have）。两个密码加起来不算 MFA，因为它们属于同一类。
样题 Q3-8：“Which is NOT an authentication factor?” 答案是 Something you see，这是编造的。
两组容易混的概念
| 概念 | 问的是 | 比对方式 |
|---|---|---|
| Identification 识别 | “你是谁？” | 一对多：拿你的特征去整个数据库里找 |
| Verification 验证 | “你是你声称的那个人吗？” | 一对一：只和你声称身份的那份模板比 |
另外，Authentication 认证是确认你的身份（样题 Q3-9：“assessing the identity of each individual”），Authorization 授权是确认身份之后，决定你能做什么。先认证，后授权。
机场 e-Gate：你先刷护照说“我是张三”，闸机再拍你的脸只和张三的照片比对，这是一对一的验证。警察拿监控里的一张脸去全国数据库里找人，是一对多的识别。闸机打开后，你只能去登机口，不能进驾驶舱，这是授权。
- “真题可能会问：can a person be authorized without authentication？答案是 No。”
- identification（你是谁？）是一对多比对，例子是犯罪现场的指纹去库里找人；verification（你是不是你说的那个人？）是一对一，例子是生物识别护照过关。
为什么还需要生物识别
样题 Q3-10：短而简单、反复使用的密码总是容易被破解吗？是的。模块 1 算过，6 位数字 2 秒就能穷举。课件 P3-18 也说，处理器变快、密码分析进步，让密码成了较弱的保护。
手机解锁时，系统把你的指纹只和机主的指纹模板比对，这是？
手机只有一个机主，只和这一个人的模板比，所以是一对一的验证。
6生物识别怎么工作：注册、采集、比对、判决
Biometrics 指利用一个人独特的生理特征或行为特征来识别和认证身份。
四个步骤（P3-24）
① Enrollment 注册：第一次使用时，系统扫描你的指纹，提取关键特征（不是存整张图片），存成一份模板（template），例如一串编码 01101001。
② Capture 采集：下次登录时，再扫描一次你的手指。
③ Comparison 比对：从新扫描中提取特征（比如得到 01111001），和存储的模板 01101001 比较。两次扫描永远不会完全一样（按压力度、角度、手指干湿都会变），只能算一个相似度分数。
④ Decision 判决：相似度超过阈值，就认为“足够接近”（close enough），放行；否则拒绝。课件 P3-46 的图就是在问 “Close enough?”。
正因为只能看“够不够像”，才会出现下一节的两种错误：把别人判成你，或者把你判成别人。
生理特征 vs 行为特征（P3-21）
| Physiological 生理特征（身体） | Behavioral 行为特征（习惯） |
|---|---|
| 指纹、虹膜、视网膜、人脸、手形、DNA | 声音、击键动态（打字节奏、速度、力度）、步态、签名 |
| 通常更稳定 | 会随情绪、身体状态变化 |
应用：门禁和设备登录、多因素认证、机场 e-Gate 和生物护照、手机 Face ID 和指纹解锁、银行的 e-KYC（线上身份核验）、员工考勤。样题 Q3-11：生物识别能增强客户信任、打击欺诈。
优点与局限（P3-23）
| 优点 | 局限 |
|---|---|
| 方便（不用记密码）；难伪造；不会忘、不会丢；速度快；不能转让给别人 | 隐私问题（属于敏感个人数据）；可能被伪造（spoofing）；不可撤销（泄露了没法“改指纹”）；受伤或生病会影响识别；成本高 |
7四种主要生物特征：指纹、虹膜、视网膜、人脸
| 类型 | 原理 | 优点 | 缺点 | 记忆点 |
|---|---|---|---|---|
| Fingerprint 指纹 | 识别指尖的脊（ridge）和谷（valley），以及细节点 minutiae（脊线的终点和分叉，约 30 个） | 便宜、快、容易集成、非侵入 | 容易被偷（摸过的东西上到处都是）；可以做出高质量复制品（明胶假指纹、高清照片还原）；受环境影响；泄露后无法重置 | 最常用 |
| Iris 虹膜 | 瞳孔周围彩色环的复杂纹理；用近红外光拍摄 | 可测量的信息多，误识率和拒识率都很低；1–3 英尺外即可采集；纹理终身稳定 | 不太好用；系统集成复杂；贵；受光线、睫毛、反光影响；高清照片或隐形眼镜有时能骗过 | 最准确；1939 年提出，1990 年 Daugman 实现（Gabor 小波 + 汉明距离） |
| Retina 视网膜 | 眼底血管的分布图案，用低强度红外光照射 | 极准、极难伪造（图案在眼球内部） | 要贴近镜头、盯住一点几秒钟；设备贵；有人觉得不适；戴眼镜或有白内障效果差 | 很准但不是主流 |
| Face 人脸 | 眼距、鼻宽、眼窝深度、颧骨形状、下颌线长度等 | 人们习惯拍照；可远距离、无接触 | 不如指纹准确；光线、角度、表情影响大；可以用照片或模型骗过 | 3D 人脸不受光线影响；最好算法误差约 0.08% |
人脸识别算法课件列了很多：PCA（Eigenfaces）、LDA、LBP、HOG、CNN、FaceNet、ArcFace 等。小白记住一点就够：早期是人工设计特征，现在主流是深度学习（CNN），后者对姿态、光照、表情的变化更鲁棒。
- 样题 Q3-12：最常见的生物识别设备是？指纹扫描器。
- 样题 Q3-15：哪句话准确描述了指纹识别？容易被欺骗（easily deceived）。它不贵，也不是很少用。
课件认为哪种生物特征“最准确”，理由是可测量的信息多得多？
虹膜：“iris is considered the most accurate biometric”。指纹是最常用的，别搞混。
以下哪个是行为生物特征？
“做出来的”是行为特征，“长出来的”是生理特征。
8FAR、FRR、CER：生物识别的两种错误
上一节说过，比对只能得到一个“相似度分数”，再用阈值决定放不放行。于是有两种可能的错误（P3-47）：
| 错误 | 别名 | 发生了什么 | 后果 |
|---|---|---|---|
| FRR False Rejection Rate 错误拒绝率 | Type I error | 合法用户被拒（把你判成别人） | 烦人：用户要反复刷 |
| FAR False Acceptance Rate 错误接受率 | Type II error | 非法用户被放行（把别人判成你） | 危险：坏人进来了 |
| CER Crossover Error Rate 交叉错误率 | — | FAR = FRR 的那一点 | 用来比较不同系统：CER 越低越好 |
记忆法：FRR 拒绝（Reject）好人 → Type I；FAR 接受（Accept）坏人 → Type II。考试最常考的就是这两个编号别配反。
动手看：拖动阈值，FAR 和 FRR 怎么变
FAR / FRR 互动图
蓝色曲线是合法用户的相似度分布，红色曲线是冒充者的相似度分布。竖线是阈值：分数在线右边放行，在线左边拒绝。
你会看到：阈值调高（更严格、更“灵敏”），冒充者更难通过，FAR 下降；但合法用户也更容易被拒，FRR 上升。这就是课件 P3-47 的原话：“As we increase the sensitivity of the biometrics sensors, the FRR increases, and the FAR decreases.” 两者此消彼长，在中间某处相等，那就是 CER。
看应用场景：金库、核电站宁可让员工多刷几次，也不能放进一个坏人，阈值调高（低 FAR）；手机解锁更在乎体验，阈值稍低（低 FRR），再配合其他保护。课件：“choose the one that fits the specific application”。
FRR（把真人拒掉）是 Type I；FAR（把冒充者放进来）是 Type II。样题 Q3-13 “false acceptance occurs when a person is improperly matched” 选 Yes。
错误 vs 欺骗（P3-49）
- Errors：被识别的人没有想骗系统，只是系统判错了；
- Deception：被识别的人故意想骗系统，比如用假指纹（样题 Q3-14）。
另外：厂商宣称的 FAR/FRR 往往被夸大，因为是在理想条件下测的；FTE（Failure to Enroll，注册失败）指有人根本注册不进系统，比如建筑工人、文员或老人的指纹磨损严重。影响识别效果的还有：人口特征、模板老化、生理变化（受伤、生病）、外表（眼镜、化妆、绷带）、行为（紧张、口音、姿势）。
“A false acceptance occurs when a person is improperly matched to a template.”
Yes（样题 Q3-13）。错误接受就是把一个人错误地匹配到了（别人的）模板上。
提高生物识别传感器的灵敏度，会怎样？
更严格就更难通过：坏人进不来（FAR↓），好人也常被拒（FRR↑）。在上面的互动图里把阈值往右拖，就能看到。
攻击者故意用明胶假指纹去骗系统，这叫？
“故意”就是 deception。它造成的结果可能是一次错误接受，但题目问的是这种行为叫什么。
9生物识别会被怎样攻击，它能取代密码吗
五种攻击方式（P3-50）
- Presentation attack 呈现攻击：在传感器前出示人造物（假指纹、照片、面具）；
- Sensor output interception：截获传感器的输出或参考模板，之后用来攻击；
- Reference & database：利用漏洞直接访问模板数据库；
- Integrity of enrollment：攻击者用自己的特征替某个授权用户注册；
- Insider threats：内部人员偷取或滥用模板。
生物识别 vs 密码（P3-52）
| 因素 | 生物识别 | 密码 |
|---|---|---|
| 安全性 | 高（难偷） | 中（可被猜到） |
| 方便性 | 高（不用记） | 低（容易忘） |
| 可撤销性 | 不可以 | 可以 |
| 伪造 | 费点功夫可以做到 | 泄露后很容易被冒用 |
| 成本 | 高 | 低 |
其他风险：太方便会让人大意；生物特征比门卡更容易被复制，因为我们到处留下指纹，社交媒体上的照片可以拿来做人脸模型。
生物识别提供了便利和额外一层安全，但不是万无一失：不可更改、可能被滥用、可能被伪造。所以它最好和密码一起用，而不是取代密码：“Biometrics can enhance, but not replace, passwords.”
未来趋势：无接触生物识别（人脸、虹膜、声音）、AI 提高准确率、基于行为的持续认证、用区块链去中心化存储生物数据。
老师的结论：生物识别要做到 100% 匹配才能取代密码，现在做不到，所以只能增强密码，不能取代。3D 人脸识别大约在 90° 范围内有效。
10本章小结
- 安全计划：书面文件；第一步评估现状（识别资产和威胁 → 理解脆弱性）；好处是理解风险、主动防护、快速响应、合规、防内鬼。
- 两个维度：Technical + Managerial；只靠技术或只靠政策都会失败；解决靠高层支持 + 合理政策 + 可行流程 + 现代技术。
- Policy 说 what，procedure 说 how；standard 强制，guideline 酌情但必须考虑；政策要合理，否则会被绕过。
- Top-down 胜过 bottom-up（后者缺支持、缺持续力）；高层要给预算并以身作则，全程支持。
- DLM 四层：高层支持 → 使用政策 → 安全流程 → 技术工具；零信任：never trust, always verify。
- 认证因素：know / have / are；identification 一对多，verification 一对一；先认证（AuthN）后授权（AuthZ）。
- 指纹最常用、易被骗；虹膜最准；视网膜很准但不普及；人脸方便但不如指纹准。
- FRR = Type I（拒好人），FAR = Type II（放坏人），CER 是两者相等处，越低越好；灵敏度↑ → FRR↑、FAR↓。
- Error 无意，Deception 故意；厂商数据常被夸大；FTE 是注册失败。
- 生物识别增强而不取代密码，因为它不可撤销。
本章对应 Sample Quiz Part 3（15 题）、刷题本 P3 的 13 道自编题，以及 Q&A Q18–Q20 三道论述题。去刷题本的问答题页写一遍 Q18。