学习黑客风险Risk

一眼纵览
今天 Day 5 我们用 60 分钟打通「风险管理快闪副本」——先用漫画式视角速读两个国际标准（NIST & ISO/IEC 27005），再把抽象概念变身为炫彩 Risk Heat Map，最后亲手填一张迷你 风险登记簿。学完你将能：

• 讲出 NIST SP 800-30 “Frame-Assess-Respond-Monitor” 四步与 RMF 六步。(如何应用风险管理框架(RMF))

• 画出 ISO 27005 的 PDCA 风险循环。

• 用 Likelihood × Impact 热力图把威胁彩虹化，并优先级一秒洞穿。

• 写出 5 行可执行的风险缓解动作，塞进自己的风险登记簿。(Reddit)

---

① 框架速读：把“风险”装进两台机器

NIST 视角：两台“黑盒”

模块	核心动作	记忆彩蛋
RMF 6 步	分类→选择→实施→评估→授权→监控	“C-S-I-E-A-M像在打 CS: IEM！”
SP 800-30	Frame → Assess → Respond → Monitor	用📸 Frame 镜头框住 → 🔍 Assess → 🛡️ Respond → 🔄 Monitor 循环

实战记忆法：把 RMF 六步当作一次 HW 攻防项目的甘特图——“分类”=划范围，“授权”=拿测试委托书，“监控”=交付后持续跟踪。

ISO/IEC 27005：PDCA 的安全味

• Plan：定义上下文、风险准则；
• Do：风险识别 → 风险分析 → 风险评价；
• Check：比较剩余风险与接受度；
• Act：决定减少 / 接受 / 转移 / 规避。
  用循环形象化，就像永动的“安全陀螺”。

---

② 视觉化神器：Risk Heat Map 3 步出图

上方轮播的彩色格子就是典型 5 × 5 Heat Map。你也可以用 3 × 3、4 × 4 —— 刻度全靠业务需求。

1. 列风险：挑 10 条来自 Day 3 ATVR 脑图的“威胁-漏洞”组合。
2. 双轴打分：Likelihood 1-5、Impact 1-5。使用 NIST 定义的“VERY-LOW → VERY-HIGH”因子表辅助量化。([NIST 计算机安全资源中心][1])
3. 配色：绿色接受、黄色监控、橙色缓解、红色立即行动。参考 Balbix 的示例配色可读性高。(Balbix)

小技巧：如果觉得 25 格太细，可改用 3 × 3（高/中/低）版本，Safe Security 给了 4 步“精简热力图”的方法。(Safe Security)

---

③ 风险登记簿：把彩格写进表格

#	风险描述	L	I	等级	对策	责任人	截止
1	云服务器 22 端口弱口令	4	4	红	立即强密+双因子	自己	今晚
2	家用路由固件过期	3	3	橙	周末升级固件	自己	本周日

资料：CyberSaint 与 Reddit 贴出了多种模板，从 Excel 到 GRC 平台一应俱全。(Reddit)

---

④ 10-分钟闯关：Risk-Rush Mini Game

1. 骰子：掷 2 D6，当作 L 与 I 的随机值。
2. 填格：把新生成的风险点涂进你的 Heat Map。
3. 策略：红色＝写缓解行动；黄色＝安排监控；绿色＝记录接受理由。
4. 奖励：连消 3 个红格 → 升级“风险炼金师 I”。

---

⑤ 今日 Checklist

• 说出 NIST RMF 6 步与 SP 800-30 四环。
• 画一张 5 × 5 Heat Map 并贴 3 条真风险。
• 建立个人风险登记簿（≥5 行）。
• 拍图或截图发我——我会给色彩与优先级建议。
• 预习 Day 6：黑客五阶段 & ATT&CK 标签，准备“攻防连连看”！

---

更多深挖

• NIST 官网 RMF 项目页面
• Investopedia 风险管理框架五构件，理解企业视角。
• TechTarget 对 Risk Map 的定义与示例。

---

一小时快闪完成？ 如果时间不足，可先做 3 × 3 Heat Map + 3 行登记簿；剩余内容明晚补票。乐在其中、颜色要炫——明天继续打怪！