CISSP考点拾遗——介质净化

一、不同安全级别和净化后去向的介质净化要求：

Clear：应用逻辑技术清除所有用户可寻址存储位置的数据，以防范简单的非侵入式数据恢复技术；通常通过标准读写命令作用于存储设备，例如通过用新值覆写或使用菜单选项将设备重置为出厂状态(如不支持覆写的话)。 

Purge：应用物理或逻辑技术清除数据残留，目标是期望即使使用最先进的实验室技术，恢复目标数据也是不可行。 

Destroy：使得即便用最先进的实验室技术也不可能恢复目标数据，并导致随后无法使用介质存储数据。

二、介质的分类

介质分两大类，硬拷贝介质和电子介质（软拷贝介质）。

1）硬拷贝hard copy

硬拷贝指的是信息的物理呈现，最常见的硬拷贝介质是打印/复印/传真的纸件。其次是微缩胶卷、光学照片底片等微缩件 microforms。另外，打印机和传真机的色带、鼓和平压式印刷机的压印板都是硬拷贝介质的例子，这些为纸质打印输出提供支持的物品往往未得到应有的重视。包含敏感数据的硬拷贝介质如果没有经过有效的净化，会暴露给“垃圾搜索者 dumpster divers”和过于好奇的员工 overcurious employees 。

2）电子electronic

与硬拷贝相对应的自然是软拷贝 soft copy，即电子 electronic，指的以比特形式存储的信息。电子介质也就是各种容纳着bits和bytes的设备。信息在电子介质中往往存在顽固的残留 remanence。

三、各类介质推荐净化方法：

1）硬拷贝 hard copy

硬拷贝材料没办法clear或purge，只能destroy。

对于纸件

• 使用横切碎纸机 cross cut shredders将纸切碎 shred为足够小的碎片；
• 或者使用配有安全筛security screen的粉碎机disintegrator devices，研磨Pulverize或分解Disintegrate纸张；

微缩件由于其信息密度太大，切碎不足以消除隐患。只能采取焚烧 burn的方法，要求烧到只剩下白灰 white ash。

打印机色带也一样，烧成白灰就行。

纸件（尤其大量纸件）不要直接烧，容易烧不彻底，实在有需要先碎了再烧。

打印/复印/多功能机中的硒鼓、定影器等有可能残留最近打印过的信息，如果机器功能正常，可以依次打印一张空白页、一张全黑页、再一张空白页，将信息抹除；支持彩色的话，需要按墨盒对应的纯单色，依次打印空白页、所有纯单色页、全黑页、再一张空白页。如果机器已不能工作，应将硒鼓、定影器等拆下，根据适用的法律、环境和健康要求等进行物理销毁（可能的方法包括分解Disintegrate, 研磨Pulverize或使用具备许可的设备焚烧burning them in a licensed incinerator及上述的组合，不同的材料和处置方法产出的废弃物有可能涉及环境领域的管控）。

2）CD、DVD和BD（蓝光）

clear或purge不适用，只能destroy。​

对于CD，可以使用专门的光盘研磨设备去除CD介质的信息承载层。但要注意，这仅适用于CD，不适用于DVD或蓝光盘。 

使用许可的设施将需废弃的CD、DVD和BD烧成灰。 

使用shredders或disintegrator devices将盘片处理成标准规格以下的碎片。

3）磁带

clear：使用组织认可的模式，使用与最初记录数据的系统具有相似特征的系统，覆写overwrite（或re-record）磁带上的所有数据。例如用非敏感的视频信号覆写原先存有敏感视频信息的磁带。磁带的所有部分都应该用已知的非敏感信号覆盖一次。通过覆写overwrite来清除磁带对于大多数应用来说可能是不切实际的，因为该过程占用磁带传输的时间过长。

purge：使用机构认可的消磁器中对磁带进行消磁Degauss，消磁后的磁带是仍然可用的(reusable)。

destroy：切碎shred，或者使用许可的设施将其焚毁。

4）机械硬盘hard driver

clear：使用组织批准和验证的覆写overwrite技术/方法/工具覆写overwrite介质。至少使用具有固定数据值(例如全零或全1)的将所有可写入bit的位置都写一遍。

purge：可选以下三种方法之一

• 多次的覆写overwrite（国内要求7次以上），使用伪随机模式写入，并启用反转选项，使偶数轮的写入值是上一轮的反转版本（补码）；
• 符合条件的话可以加密擦除Cryptographic Erase
• 使用机构认可的消磁器中对磁带进行消磁Degauss，消磁后的硬盘将不再可用。注意虽然消磁后硬盘不能reuse了，但NIST并未将消磁Degauss归入destroy，看来消磁的结果是不那么让人放心的。

destroy：切碎shred、分解Disintegrate、研磨Pulverize或在具有许可的焚烧炉中将其焚毁。

5）固态硬盘SSD（Solid State Drive）

clear：使用组织批准和验证的覆写overwrite技术/方法/工具覆写overwrite介质。至少使用具有固定数据值(例如全零或全1)的将所有可写入bit的位置都写一遍。注意覆写会影响flash的寿命，以及SSD硬盘中通常存在未标记为“活跃”的数据块，这些位置可能不能按预期被覆写(即旧数据可能仍保留在介质上)。

purge：可选以下两种方法之一

• 块擦除block erase，这是专用于闪存类介质的方法。为确保效果可采用如下增强方案，执行块擦除block erase之后，在存储介质的用户可寻址区域全部写入二进制1，然后执行第二次块擦除。
• 符合条件的话可以加密擦除Cryptographic Erase

destroy：切碎shred、分解Disintegrate、研磨Pulverize或在具有许可的焚烧炉中将其焚毁。

6）可移动的flash闪存类介质

USB接口的闪存盘、SD卡、SDHC等等。

clear：使用组织批准和验证的覆写overwrite技术/方法/工具覆写overwrite介质。覆写至少执行两遍，在第二遍中写入第一遍的补码。

purge：基于执行成本、执行失败的信息泄露成本和介质利旧的收益之间的对比，不建议为这类物件走到需要purge的这一步~~，当然实在要玩的话对SSD有效的方法基本可移植过来。

destroy：切碎shred、分解Disintegrate、研磨Pulverize或在具有许可的焚烧炉中将其焚毁。

7）电路板和设备上的嵌入式闪存

clear：如果设备支持，请将状态重置为原始出厂设置。如果不支持或设备故障，不必考虑clear，直接destroy；

purge：不考虑，直接destroy；

destroy：切碎shred、分解Disintegrate、研磨Pulverize或在具有许可的焚烧炉中将其焚毁。如果闪存可以容易地被识别并从板上移除，可以单独销毁。否则，整个主板一起销毁。

8）手机、平板、PDA等移动设备

clear：手动删除所有信息，然后执行完整的厂商预置的重置功能，将移动设备重置为出厂状态，并且需要手动浏览设备的多个区域(如通话记录、浏览器记录、文件、照片等)，验证设备上没有保留任何个人信息。注意设备遗失后的远程擦除可被视为Clear级别的操作，但无法验证结果。

purge：多数移动设备只提供Clear级别的(而不是Purge)的能力。有些移动设备可能提供purge功能，但这些功能是特定于设备的硬件和软件的，应谨慎使用。即使执行了Purge（如可能）功能以后，仍需要手动浏览设备的多个区域(如通话记录、浏览器记录、文件、照片等)，验证设备上没有保留任何个人信息。注意，由于缺乏对设备中的存储介质进行全面调试的工具和接口，对于智能手机等移动设备，如果应该purge但又做不到（或缺乏保证），不能用多轮的clear（重置为出厂设置）替代，而应该上升到destroy。

destroy：切碎shred、分解Disintegrate、研磨Pulverize或在具有许可的焚烧炉中将其焚毁。

9）网络设备

clear：执行完整的厂商预置的重置功能，将设备重置为出厂状态。

purge：多数网络设备只提供Clear级别的(而不是Purge)的能力。有些设备可能提供purge功能，但这些功能是特定于设备的硬件和软件的，应谨慎使用。注意，由于缺乏对设备中的存储介质进行全面调试的工具和接口，对于各种网络设备，如果应该purge但又做不到（或缺乏保证），不能用多轮的clear（重置为出厂设置）替代，而应该上升到destroy。

destroy：切碎shred、分解Disintegrate、研磨Pulverize或在具有许可的焚烧炉中将其焚毁。

另外，如果网络设备包含有可移动（可拆卸）的存储介质，可以拆卸下来单独的按特定介质类型适用的方法执行净化。

10）打印/复印/传真/多功能一体机等办公室设备

clear：执行完整的厂商预置的重置功能，将设备重置为出厂状态。

purge：多数办公室设备只提供Clear级别的(而不是Purge)的能力。有些设备可能提供purge功能，但这些功能是特定于设备的硬件和软件的，应谨慎使用。注意，由于缺乏对设备中的存储介质进行全面调试的工具和接口，对于办公室设备，如果应该purge但又做不到（或缺乏保证），不能用多轮的clear（重置为出厂设置）替代，而应该上升到destroy。

destroy：切碎shred、分解Disintegrate、研磨Pulverize或在具有许可的焚烧炉中将其焚毁。

另外，如果办公室设备包含有可移动（可拆卸）的存储介质，可以拆卸下来单独的按特定介质类型适用的方法执行净化。

11）动态随机存取内存Dynamic Random Access Memory (DRAM)

clear/purge：

• 关闭包含DRAM的设备的电源，拔掉电源线，如果有备用电池则取出电池，保持这个状态5分钟以上；
• 或者，将DRAM从设备中拆下来，保持不带电状态5分钟以上；

destroy：切碎shred、分解Disintegrate、研磨Pulverize。

12）电子可变可编程只读存储器Electronically Alterable PROM (EAPROM)

clear/purge：根据制造商的说明书data sheet进行全面的芯片清理chip purge。

destroy：切碎shred、分解Disintegrate、研磨Pulverize。

13）电子可擦可编程只读存储器Electronically Erasable PROM (EEPROM)

clear/purge：使用组织批准和验证的覆写overwrite技术/方法/工具覆写overwrite介质。

destroy：切碎shred、分解Disintegrate、研磨Pulverize或在具有许可的焚烧炉中将其焚毁。