第1章.     实现安全治理的原则和策略

理解由保密性、完整性和可用性组成的CIA 三元组。保密性原则是指客体不会被泄露给未经授权的主休。完整性原则是指客体保持真实性且只被经过授权的主体进行有目的的修改。可用性原则指被授权的主体能实时和不间断地访问客体。了解这些原则为什么很重要，并了解支待它们的机制，以及针对每种原则的攻击和有效的控制措施。

能够解释身份标识是如何工作的。身份标识是下属部门承认身份和责任的过程。主体必须为系统提供标识，以便启动身份验证、授权和问责制的过程。

理解身份验证过程。身份验证是验证或测试声称的身份是否有效的过程。身份验证需要来自主体的信息，这些信息必须与指示的身份完全一致。

了解授权如何用于安全计划。一旦对主体进行了身份验证，就必须对其访问进行授权。授权过程确保所请求的活动或对象访问是可能的，前提是赋予已验证身份的权利和特权。

理解安全治理。安全治理是与支持、定义和指导组织安全工作相关的实践集合。

能够解释审计过程。审计（或监控追踪和记录）主体的操作，以便在验证过的系统中让主体为其行为负责。审计也对系统中未经授权的或异常的活动进行检测。需要实施审计来检测主体的恶意行为、尝试的入侵和系统故障，以及重构事件、提供起诉证据、生成问题报告和分析结果。

理解问责制的重要性。组织安全策略只有在有问责制的情况下才能得到适当实施。换句话说，只有在主体对他们的行为负责时，才能保持安全性。有效的问责制依赖于检验主体身份及追踪其活动的能力。

能够解释不可否认性。不可否认性确保活动或事件的主体不能否认事件的发生。它防止主体声称没有发送过消息、没有执行过动作或没有导致事件的发生。

理解安全管理计划。安全管理基于三种类型的计划：战略计划、战术计划和操作计划。战略计划是相对稳定的长期计划，它定义了组织的目的、任务和目标。战术计划是中期计划，为实现战略计划中设定的目标提供更多细节。操作计划是基于战略和战术计划的短期和高度详细的计划。

了解规范化安全策略结构的组成要素。要创建一个全面的安全计划，需要具备以下内容：安全策略、标准／基线、指南和程序。这些文件清楚地说明安全要求，并促使责任各方实施尽职审查。

了解关键的安全角色。主要的安全角色有高级管理者、组织所有者、上层管理人员、安全专业人员、用户、数据所有者、数据托管员和审计人员。通过创建安全角色的层次结构，可以全面限制风险。

了解如何实施安全意识培训。在进行实际培训前，必须使用户树立安全意识，此后就可以开始培训或教育员工去执行工作任务并遵守安全策略。所有新员工都需要一定程度的培训，以便他们遵守安全策略中规定的所有标准、指南和程序。教育是一项更细致的工作，学生／用户学习的内容远远超过他们完成实际工作所需要了解的内容。教育最常与身份验证考试或寻求工作晋升的用户关联。

了解分层防御如何简化安全。分层防御使用一系列控制中的多个控制。使用多层防御解决方案允许使用许多不同的控制措施来抵御威胁。

能够解释抽象的概念。抽象用于将相似的元素放入组、类或角色中，作为集合被指派安全控制、限制或许可。抽象增加了安全计划的实施效率。

理解数据隐藏。顾名思义，数据隐藏指将数据存放在主体无法访问或读取的逻辑存储空间以防数据被泄露或访问。数据隐藏通常是安全控制和编程中的关键元素。

理解加密的必要性。加密是对非预期的接收者隐藏通信的真实含义和意图的艺术与科学。加密有多种形式，适用于各种类型的电子通信，包括文本、音频和视频文件及应用程序。加密是安全控制中的重要内容，特别是在系统间传输数据时。

第2章.     人员安全和风险管理的概念

理解雇用新员工对安全的影响。为实施恰当的安全计划，必须为职责描述、职位分类、工作任务、工作职责、防止串通、候选人筛选、背景调查、安全许可、雇佣协议和保密协议等设立标准。通过采用这些机制，可确保新员工了解所需的安全标准，从而保护组织的资产。

能够解释职责分离。职责分离的概念是将关键的、敏感的工作任务划分给多个人员。通过以这种方式划分职责，可确保没有能够危害系统安全的个人。

理解最小特权原则。最小特权原则要求在安全的环境中，用户应获得完成工作任务或工作职责所需的最小访问权限。通过将用户的访问限制在他们完成工作任务所需的资源上，就可以限制敏感信息的脆弱性。

了解岗位轮换和强制休假的必要性。岗位轮换有两个功能。它提供了一种知识备份，岗位轮换还可以降低欺诈、数据修改、盗窃、破坏和信息滥用的风险。

为了审计和核实员工的工作任务和特权，可使用一到两周的强制休假。强制休假能够轻易发现特权滥用、欺诈或疏忽。

理解供应商、顾问和承包商的控制。供应商、顾问和承包商的控制用来确定组织主要的外部实体、人员或组织的绩效水平、期望、薪酬和影响。通常，这些控制条款在SLA文档或策略中规定。

能够解释恰当的解雇策略。解雇策略规定解雇员工的程序，应该包括有现场证人、禁用员工的网络访问权限和执行离职面谈等内容。解雇策略还应包括护送被解雇员工离开公司，并要求归还安全令牌、徽章和公司财产。

了解隐私如何适合于安全领域。了解隐私的多重含义／定义，为什么保护隐私很重要，以及工作环境中与隐私相关的问题。

能够讨论第三方安全治理。第三方安全治理是由法律、法规、行业标准、合同义务或许可要求强制规定的监督制度。

能够定义整体的风险管理。风险管理过程包括识别可能造成数据损坏或泄露的因素，根据数据价值和控制措施的成本评估这些因素，并实施具有成本效益的解决方案来减轻风险。通过执行风险管理，为全面降低风险奠定基础。

理解风险分析和相关要素。风险分析是向高层管理人员提供详细信息以决定哪些风险应该缓解，哪些应该转移，哪些应该接受的过程。要全面评估风险并采取适当的预防措施，必须分析以下内容：资产、资产价值、威胁、脆弱性、暴露、风险、已实现风险、防护措施、控制措施、攻击和侵入。

知道如何评估威胁。威胁有许多来源，包括人类和自然。以团队形式评估威胁以便提供最广泛的视角。通过从各个角度全面评估风险可降低系统的脆弱性。

理解定量风险分析。定量风险分析聚焦于货币价值和百分比。全部使用定量分析是不可能的，因为风险的某些方面是无形的。定量风险分析包括资产估值和威胁识别，然后确定威胁的潜在发生频率和造成的损害，结果是防护措施的成本／效益分析。

能够解释暴露因子(EF)概念。暴露因子是定量风险分析的一个元素，表示如果已发生的风险对组织的某个特定资产造成破坏，组织将因此遭受的损失百分比。通过计算风险暴露因子，就能实施良好的风险管理策略。

了解单一损失期望(SLE)的含义和计算方式。SLE 是定量风险分析的一个元素，代表已发生的单个风险给特定资产带来的损失。计算公式为：SLE＝资产价值(AV)＊暴露因子(EF)。

理解年度发生率(ARO)。ARO是量化风险分析的一个元素，代表特定威胁或风险在一年内发生（或实现）的预期频率。进一步了解可帮助计算风险并采取适当的预防措施。

了解年度损失期望(ALE)的含义和计算方式。ALE是定量风险分析的一个元素，指的是针对特定资产的所有可发生的特定威胁，在年度内可能造成的损失成本。计算公式为：ALE＝单一损失期望(SLE)＊年度发生率(ARO)。

了解评估防护措施的公式。除了确定防护措施的年度成本外，还需要为资产计算防护措施实施后的ALE。可使用这个计算公式：防护措施实施前的ALE－防护措施实施后的ALE－防护措施的年度成本＝防护措施对公司的价值，或(ALE1-ALE2)-ACS 。

理解定性风险分析。定性风险分析更多的是基于场景而不是基于计算。这种方式不用货币价值表示可能的损失，而对威胁进行分级，以评估其风险、成本和影响。这种分析方式可帮助那些负责制定适当的风险管理策略的人员。

理解Delphi 技术。Delphi技术是一个简单的匿名反馈和响应过程，用来达成共识。这样的共识让各责任方有机会正确评估风险并实施解决方案。

了解处理风险的方法。风险降低（即风险缓解）就是实施防护措施和控制措施。风险转让或风险转移是将风险造成的损失成本转嫁给另一个实体或组织；购买保险是风险转移的一种形式。风险接受意味着管理层已经对可能的防护措施进行了成本／效益分析，并确定了防护措施的成本远大于风险可能造成的损失成本。这也意味着管理层同意承担风险发生后的结果和损失。

能够解释总风险、残余风险和控制间隙。总风险是指如果不实施防护措施，组织将面临的风险。可用这个公式计算总风险：威胁＊脆弱性＊资产价值＝总风险。残余风险是管理层选择接受而不再进行减轻的风险。总风险和残余风险之间的差额是控制间隙，即通过实施防护措施而减少的风险。残余风险的计算公式为：总风险－控制间隙＝残余风险。

理解控制类型。术语“控制”指广泛控制，执行诸如确保只有授权用户可以登录和防止未授权用户访问资源等任务。控制类型包括预防、检测、纠正、威慑、恢复、指示和补偿控制。控制也可分为管理性、逻辑性或物理性控制。

了解如何实施安全意识培训。在接受真正的培训前，必须让用户树立己认可的安全意识。一旦树立了安全意识，就可以开始培训或教导员工执行他们的工作任务并遵守安全策略。所有新员工都需要一定程度的培训以便他们遵守安全策略中规定的所有标准、指南和程序。教育是一项更详细的工作，学生／用户学习的内容比他们完成工作任务实际需要知道的要多得多。教育通常与用户参加认证或寻求工作晋升关联。

理解如何管理安全功能。为管理安全功能，组织必须实现适当和充分的安全治理。通过风险评估来驱动安全策略的实施是最明显、最直接的管理安全功能的实例。这也与预算、测量、资源、信息安全策略以及评估安全计划的完整性和有效性相关。

了解风险管理框架的六个步骤。风险管理框架的六个步骤是：安全分类、选择安全控制、实施安全控制、评估安全控制、授权信息系统和监视安全控制。

第3章.     业务连续性计划

了解BCP 过程的四个步骤。BCP 包括四个不同阶段：项目范围和计划，业务影响评估，连续性计划，计划批准和实施。每项任务都有助于确保实现在紧急情况下业务保持持续运营的总体目标。

描述如何执行业务组织分析。在业务组织分析中，负责领导BCP 过程的人员确定哪些部门和个人参与业务连续性计划。该分析是选择BCP 团队的基础，经BCP 团队确认后，用于指导BCP 开发的后续阶段。

列出BCP 团队的必要成员。BCP 团队至少应包括：来自每个运营和支持部门的代表， IT部门的技术专家，具备BCP 技能的物理和IT 安全人员，熟悉公司法律、监管和合同责任的法律代表，以及高级管理层的代表。其他团队成员取决于组织的结构和性质。

了解BCP 人员面临的法律和监管要求。企业领导必须实施尽职审查，以确保在灾难发生时保护股东的利益。某些行业还受制于联邦、州和地方法规对BCP 程序的特定要求。许多企业在灾难发生前后都有履行客户合约的义务。

解释业务影响评估过程的步骤。业务影响评估过程的五个步骤是：确定优先级、风险识别、可能性评估、影响评估和资源优先级排序。

描述连续性策略的开发过程。在策略开发阶段，BCP团队确定要减轻哪些风险。在预备和处理阶段，设计可降低风险的机制和程序。然后，该计划必须得到高级管理层的批准并予以实施。人员还必须接受与他们在BCP过程中角色相关的培训。

解释对组织业务连续性计划进行全面文档化的重要性。将计划记录下来，可在灾难发生时给组织提供一个可遵守的书面程序。这可确保在紧急情况下有序实施计划。

第4章.     法律法规和合规

了解刑法、民法和行政法的区别。刑法保护社会免受违反我们所信仰的基本原则的行为的侵害。违反刑法的行为将由美国联邦和州政府进行起诉。民法为人与组织之间的商业交易提供了框架。违反民法的行为将通过法庭，由受影响的当事人进行辩论。行政法是政府机构有效地执行日常事务的法律。

能够解释旨在保护社会免受计算犯罪影响的主要法律的基本条款。《计算机欺诈和滥用法案》（修正案）保护政府或州际贸易中使用的计算机不被滥用。《电子通信隐私法案》(ECPA)规定侵犯个人的电子隐私是犯罪行为。

了解版权、商标、专利和商业秘密之间的区别。版权保护创作者的原创作品，如书籍、文章、诗歌和歌曲。商标是标识公司、产品或服务的名称、标语和标志。专利为新发明的创造者提供保护。商业秘密法保护企业的经营秘密。

能够解释1998 年颁布的《数字千年版权法》的基本条款。《数字千年版权法》禁止绕过数字媒体中的版权保护机制，并限制互联网服务提供商对用户活动的责任。

了解《经济间谍法案》的基本条款。《经济间谍法案》对窃取商业机密的个人进行惩罚。当窃取者知道外国政府将从这些信息中获益而故意为之时，会受到更严厉的惩罚。

了解不同类型的软件许可协议。合同许可协议是软件供应商和用户之间的书面协议。开封生效协议写在软件包装上，当用户打开包装时生效。单击生效许可协议包含在软件包中，但要求用户在软件安装过程中接受这些条款。

理解对遭受数据破坏的组织的通告要求。加州颁发的SB 1386 是第一个在全州范围内要求

通知当事人其信息被泄露的法律。美国目前大多数州通过了类似法律。目前，联邦法律只要求受HIPAA 约束的实体，当其保护的个人健康信息被破坏时，通知到个人。

理解美国和欧盟对管理个人信息隐私的主要法律。美国有许多隐私法律会影响政府对信息的使用以及特定行业的信息使用，例如处理敏感信息的金融服务公司和医疗健康组织。欧盟有非常全面的《通用数据保护条例》来管理对个人信息的使用和交换。

解释全面合规程序的重要性。大多数组织都受制于与信息安全相关的各种法律和法规要求。构建合规性程序可确保你能实现并始终遵守这些经常重叠的合规需求。

了解如何将安全纳入采购和供应商管理流程。许多组织广泛使用云服务，需要在供应商选择过程中以及在持续供应商管理过程中对信息安全控制进行审查。

 

第5章.     保护资产安全

了解数据和资产分类的重要性。数据所有者负责维护数据和资产分类，并确保数据和系统被正确标记。此外，数据所有者还提出了在不同的分类信息中保护数据的新要求，比如在静止和传输中加密敏感数据。数据分类通常在安全策略或数据策略中定义。

了解PII 和PHI 。个人身份信息(PII)是能够识别个人的任何信息。受保护的健康信息(PHI)是特定的人的任何与健康相关的信息。许多法律法规规定了PII 和PHI 的保护。你需要知道如何管理敏感信息。敏感信息是任何类型的机密信息，适当的管理有助于防止未经授权的泄露导致机密损失。正确的管理包括对敏感信息的标识、处理、存储和销毁。组织经常遗漏的两个方面是充分保护保存敏感信息的备份介质，并在其生命周期结束时对介质或设备进行净化。

理解记录保存。记录保留策略确保数据在需要时保持可用状态，在不再需要时销毁它。许多法律法规要求在特定时段内保存数据，但在没有正式规定的情况下，组织根据策略确定保留期。审计踪迹数据需要保待足够长的时间以重构过去的事件，但组织必须确定他们要调查多久之前的事。许多组织目前的趋势是通过实现电子邮件短保留策略来减少法律责任。

了解不同角色之间的差异。数据所有者负责分类、标记和保护数据。系统所有者负责处理数据的系统。业务／任务拥有者负责过程并确保系统为组织提供价值。数据使用者通常是处理数据的第三方实体。管理员根据数据所有者提供的指南授予数据的访问权限。用户在执行任务时访问数据。托管员有责任保护和存储数据。

了解GDPR 安全控制。GDPR 规定了隐私数据的保护方法。GDPR 中提到的两个关键安全控制是加密和假名。假名是用化名替换某些数据元素的过程。这使得识别个人身份更加困难。

了解安全控制基线。安全控制基线提供了组织可作为基线应用的控件列表。并非所有基线都适用于所有组织。然而，组织可应用范围界定和按需定制技术使基线适应自己的需求。

第6章.     密码学和对称秘钥算法

了解保密性、完整性和不可否认性在密码系统中扮演的角色。保密性是密码学追求的主要目标之一。它保护静止和传输中的数据的秘密。完整性向消息接收者保证，数据从创建之时起到访问之时止，不曾有过改动（不管是有意的还是无意的）。不可否认性则提供不可辩驳的证据证明，消息发送者确实授权了消息。这可防止发送者日后否认自己发送过原始消息。

理解密码系统实现身份验证目标的方式。身份验证可提供用户身份保障。挑战－应答协议是执行身份验证的一种方案，要求远程用户用一个只有通信参与方知道的密钥给一条消息加密。对称和非对称密码系统都能执行身份验证。

熟知密码学基本术语。一个发送者若要将一条私密消息发送给一个接收者，他首先要提取明文（未经加密的）消息，然后用一种算法和一个密钥给其加密。这将生成一条密文消息传送给接收者。接收者随后将用同一种算法和密钥解密密文，重建原始明文消息以便查看。

了解代码和密码的差异，讲出密码的基本类型。代码是作用在单词或短语上的符号密码系统有时是保密的，但不会始终提供保密性安全服务。而密码则始终会隐藏消息的真实含义。

搞清以下几类密码的工作原理：移位密码、替换密码（包括单次密本）、流密码和块密码。

了解成功使用单次密本的要求。单次密本若想成功，密钥必须随机生成且不带任何可为人知的模式。密钥必须至少与被加密消息一样长。密本必须严防物理泄需，每个密本必须使用一次后废弃。

掌握零知识证明概念。零知识证明是一个通信概念。其间交换一种特定类型信息，但是不传递真实数据，情况与数字签名和数字证书类似。

了解分割知识。分割知识指将执行某个操作所要求的信息或权限拆分给多个用户。这样做可以确保任何一个人都没有足够的权限破坏环境安全。”N 分之M“ 控制是分割知识的一个例子。

了解代价函数（代价因子）。代价函数或代价因子从耗费成本和／或时间的角度测量解密一条消息需要付出的努力，以此来衡量密码系统的强度。针对一个加密系统完整实施一次蛮力攻击所花费的时间和精力，通常就是代价函数评定所表达的内容。一个密码系统提供的保护与它的代价函数／因子值呈正比例关系。

了解密钥安全的重要性。密码密钥为密码系统提供必要的保密元素。现代密码系统用至少128 位长的密钥提供适当的安全保护。业界一致认为，数据加密标准(DES) 的56 位密钥在长度上已不足以提供安全保障。

了解对称和非对称密码系统的差异。对称密钥密码系统（或秘密密钥密码系统）依靠使用一个共享秘密密钥。对称密钥密码系统的运算速度比非对称密码系统快很多，但是它们不太支持可扩展性、密钥的简便分发和不可否认性。非对称密码系统为通信两方之间的通信使用公钥－私钥对，但运行速度比对称算法慢得多。

理解数据加密标准(DES)和三重DES(3DES)的基本运行模式。数据加密标准有5 种运行模式：电子密码本(ECB)模式、密码块链接(CBC)模式、密码反馈(CFB)模式、输出反馈(OFB)模式和计数器(CTR)模式。ECB 模式被认为最不安全，只用于传送简短消息。3DES 用两个或三个不同的密钥对DES 进行三次迭代，把有效密钥强度分别提升至112 或168 位。

了解高级加密标准(AES) 。高级加密标准(AES)使用了Rijndael 算法，是安全交换敏感但未分类数据的美国政府标准。AES 用128 、192 和256 位密钥长度和128 位固定块大小来实现比旧版DES 算法高得多的安全保护水平。

第7章.     PKI和密码应用

了解非对称加密法所用密钥类型。公钥可在通信参与方之间自由共享，而私钥必须保密。给消息加密时使用接收者的公钥。给消息解密时使用自己的私钥。给消息签名时使用自己的私钥。验证签名时使用发送者的公钥。

熟知三种主要公钥密码系统。RSA 是最著名的公钥密码系统，由Rivest、Shamir 和Adleman千1977 年开发。该密码系统所依赖的素数乘积很难被因式分解。El Gamal 是Diffie-Hellman 密钥交换算法的一种扩展，所依赖的是模运算。椭圆曲线算法依靠椭圆曲线离散对数题，如果所用的密钥与其他算法使用的密钥相同，它会比其他算法安全性更高。

了解散列函数的基本要求。优质散列函数有五点要求。它们必须接受任何长度输入、提供固定长度输出、方便地为任何输入计算散列函数、提供单向功能以及不存在冲突。

熟知主要散列算法。安全散列算法(SHA)的后继者SHA-1 和SHA-2 构成了政府标准消息摘要功能。SHA-1 生成160 位消息摘要SHA-2 支持可变长度最高到512 位。SHA-3 提高了SHA-2 的安全性，支待相同散列长度。

了解密码盐提高口令散列安全性的原理。如果对口令直接进行散列运算后保存到口令文件中，攻击者可用预先算好数值的彩虹表来识别常用口令。但在进行散列运算前给口令加上盐，则可以降低彩虹表攻击的效果。一些常用口令散列算法还用密钥拉伸技术进一步增加了攻击难度， PBKDF2 、Bcrypt 和Scrypt 是其中的三种。

了解数字签名的生成和验证过程。你若给消息写数字签名，首先用散列函数生成一个消息摘要，然后用自己的私钥给摘要加密。你若验证消息的数字签名，首先用发送者的公钥解密摘要，然后将消息摘要与自己生成的摘要进行比较。如果二者匹配，则消息真实可信。

了解数字签名标准(DSS)的成分。数字签名标准使用了SHA-1 、SHA-2 和SHA-3 消息摘要函数外加以下三种加密算法中的一种：数字签名算法(DSA), RSA(Rivest 、Shamir 、Adleman)算法或椭圆曲线DSA(ECDSA)算法。

了解公钥基础设施(PKI)。在公钥基础设施中，发证机构(CA)生成内含系统用户公钥的数字证书。用户随后将这些证书分发给他们要与之通信的人。证书接收者用CA 的公钥验证证书。

了解密码用于保护电子邮件的常见做法。S/MIME 协议是新涌现的邮件消息加密标准。另一个流行的电子邮件安全工具是Phil Zimmerman 的PGP 。电子邮件加密的大多数用户都给自己的电子邮件客户端或基于Web 的电子邮件服务配备了这一技术。

了解密码用于保护Web 活动的常见做法。保护Web 通信流的事实标准是在TLS 或较老的SSL 的基础上使用HTTP 。大多数Web 浏览器都支持这两个标准，但是许多网站出于安全方面的考虑，如今已取消对SSL 的支待。

了解密码用于保护网络连接的常见做法。IPsec 协议标准为加密网络通信流提供了一个通用框架，被配备到许多流行操作系统中。在IPsec 传输模式下，数据包内容会被为对等通信加密。在隧道模式下，整个数据包（包括报头信息），会为网关到网关通信加密。

要能描述IPsec。IPsec 是支持IP 安全通信的一种安全架构框架。IPsec 会在传输模式或隧道模式下建立一条安全信道。IPsec 可用来在计算机之间建立直接通信或在网络之间建立一个虚拟专用网(VPN) 。IPsec 使用了两个协议：身份验证头(AH)和封装安全载荷(ESP) 。

能说明常见密码攻击。蛮力攻击尝试随机发现正确的密码密钥。已知明文、选择密文和选择明文攻击要求攻击者除了拿到密文以外，还必须掌握一些附加信息。中间相遇攻击利用进行两轮加密的协议。中间人攻击欺骗通信双方，使他们都与攻击者通信，而不是相互直接通信。生日攻击试图找到散列函数的冲突点。重放攻击试图重新使用鉴别请求。

了解使用数字版权管理(DRM)的使用情况。数字版权管理(DRM)解决方案允许内容拥有者限制他人对内容的使用。DRM 解决方案通常用于保护娱乐内容，如音乐、电影、电子书等，不过偶尔也会有企业用它们来保护存储在文档中的敏感信息。

第8章.     安全模型设计和能力的原则

了解每种访问控制模型的细节。了解访问控制模型及其功能。状态机模型确保访问客体的所有主体实例都是安全的。信息流模型旨在防止未经授权、不安全或受限制的信息流。非干扰模型防止一个主体的动作影响另一个主体的系统状态或动作。Take-Grant 模型规定了权限如何从一个主体传递到另一个主体或从主体传递到客体。访问控制矩阵是主体和客体组成的表，规定了每个主体可以对每个客体执行的动作或功能。Bell-LaPadula 模型的主体具有一个许可级别，仅能访问具有相应分类级别的客体，这实现了保密性。Biba 模型能够防止安全级别较低的主体对安全级别较高的客体执行写入操作。Clark-Wilson 模型是一种依赖于审计的完整性模型，能够确保未经授权的主体无法访问客体且已授权用户可以正确地访问客体。Biba 模型和Clark-Wilson 模型实现了完整性。Goguen-Meseguer 模型和Sutherland 模型专注于完整性。Graham-Denning 模型专注于安全地创建和删除主体和客体。

了解认证和鉴定的定义。认证是对计算机系统各部分的技术评估，以评估其与安全标准的一致性。鉴定是指定机构正式接受认证配置的过程。

能够描述开放和封闭的系统。开放系统采用行业标准设计，通常易于与其他开放系统集成。封闭系统通常是专有硬件和/或软件。它们的规范通常不会公开，并且通常难以与其他系统集成。

知道什么是限制、界限和隔离。对进程读取或写入某些内存地址进行限制。界限是进程在读取或写入时不能超过的内存地址限制范围。隔离是通过使用内存界限将一个进程进行限制的一种运行模式。

能够从访问控制的角度定义客体和主体。主体是发出访问资源请求的用户或进程。客体是用户或进程想要访问的资源。

了解安全控制的工作原理及功能。安全控件使用访问规则来限制主体对客体的访问。

能够列出TCSEC 、ITSEC 和通用准则(CC)的类别。TCSEC 的类别包括已验证保护、强制保护、自主保护和最小保护。表8.4 涵盖并比较了TCSEC 、ITSEC 和CC 的等效和适用的评级（记住， ITSEC 中从F7 到FlO 的功能评级在TCSEC 中没有相应的评级）。

定义可信计算基(TCB) 。TCB 是硬件、软件和控件的组合，它们构成了一个执行安全策略的可信基础。

能够解释安全边界。安全边界是将TCB 与系统其余部分分开的假想边界。TCB 组件使用可信路径与非TCB 组件通信。

了解参考监视器和安全内核。参考监视器是TCB 的逻辑部分，用于在授予访问权限之前确认主体是否有权使用资源。安全内核是实现参考监视器功能的TCB 组件的集合。

了解信息系统的安全功能。常见的安全功能包括内存保护、虚拟化和可信平台模块(TPM) 。

第9章.     安全漏洞威胁和对策

能够解释多任务、多线程、多处理和多程序设计之间的差异。多任务处理是在计算机上同时执行多个应用程序，并由操作系统管理。多线程允许在单个进程中执行多个并发任务。多处理使用多个处理器来提高计算能力。多道程序设计类似于多任务处理，但在大型机系统上进行，需要特定的编程。

了解单一状态处理器和多状态处理器之间的差异。单一状态处理器一次只能在一个安全级别运行，而多状态处理器可同时在多个安全级别运行。

描述美国联邦政府批准的用于处理机密信息的四种安全模式。专用模式要求所有用户对存储在系统上的所有信息都有适当的许可、访问权限、“知其所需“要求。系统高级模式消除了“知其所需＂的要求。分隔模式消除了“知其所需＂的要求和访问权限要求。多级模式消除了所有三个要求。

解释大多数现代处理器使用的两种操作模式。用户应用程序在称为用户模式的有限指令集环境中运行。操作系统在特权模式下执行受控操作，也称为系统模式、内核模式和监管模式。

描述计算机使用的不同类型的内存。ROM 是非易失性的，不能由最终用户写入。最终用户只能将数据写入PROM 芯片一次。可通过使用紫外光擦除EPROM/UVEPROM 芯片，然后写入新的数据。EEPROM 芯片可以用电流擦除，然后写入新的数据。RAM 芯片是易失性的，当计算机断电后其内容会丢失。

了解内存组件相关的安全问题。存储器组件存在一些安全问题：断电后数据可能保留在芯片上，并且控制多用户系统中的存储器访问。

描述计算机使用的存储设备的不同特征。主存储器与内存相同。辅助存储器由磁性、闪存和光学介质组成，在CPU 可使用数据之前必须先将其读入主存储器。随机存取存储设备可以在任何点读取，而顺序存取设备需要在访问所需位置之前扫描物理存储的所有数据。

了解关于辅助存储设备的安全问题。关于辅助存储设备存在三个主要的安全问题：可移动介质可用来窃取数据，必须应用访问控制和加密来保护数据，即使在文件删除或介质格式化之后数据也可以保留在介质上。

理解输入和输出设备可能带来的安全风险。输入输出设备可能受到偷听和窃听，用于将数据带出组织，或用于创建未经授权的、不安全的进入组织系统和网络的入口点。准备好识别并缓解这些漏洞。

理解固件的用途。固件是存储在ROM 芯片上的软件。在计算机层面，它包含启动计算机所需的基本指令。固件还可用于诸如打印机之类的外围设备中，为其提供操作指令。

能够描述进程隔离、分层、抽象、数据隐藏和硬件分隔。进程隔离确保各个进程只能访问自己的数据。分层在一个过程中创建了不同的安全领域，并限制了它们之间的通信。抽象为程序员创建了“黑盒“接口，不必了解算法或设备的内部工作原理。数据隐藏可防止从不同的安全级别读取信息。硬件分隔使用物理控件强制执行进程隔离。

理解安全策略如何推动系统设计、实施、测试和部署。安全策略的作用是通知和指导某些特定系统的设计、开发、实施、测试和维护。

理解云计算。云计算是一种流行的术语，是计算的概念，指的是通过网络连接在其他地方而不是本地执行处理和存储的计算概念。云计算通常被认为是基于互联网的计算。

理解与云计算和虚拟化相关的风险。云计算和虚拟化，特别是结合使用时，会产生严重风险。一旦敏感、机密或私有数据离开了组织的范围，也就离开了组织安全策略和组合的基础设施所给予的保护。云服务供应商及其人员可能不遵守与你的组织相同的安全标准。

理解虚拟机管理程序。虚拟机管理程序（也称为虚拟机监视器(VMM))是创建、管理和操作虚拟机的虚拟化组件。

理解Type-I 虚拟机管理程序。Type-I 虚拟机管理程序是原生或裸机管理程序。在此配置中，没有主机操作系统；相反，虚拟机管理程序直接安装到通常主机操作系统安装的硬件上。

Type-II 虚拟机管理程序。Type-II 虚拟机管理程序是托管管理程序。在这种配置中，在硬件上安装一个标准的常规OS, 然后将虚拟机管理程序作为一个软件应用程序安装。

定义CASB 。云访问安全代理(CASB)是一种实施安全策略的解决方案，可以在本地安装也可以基于云。

理解SECaaS 。安全即服务(SECaaS)是一个云提供商概念，其中通过在线实体或由在线实体向组织提供安全性。

理解智能设备。智能设备是一系列移动设备，通常通过安装应用程序为用户提供大量的自定义选项，并可利用设备上或云端的人工智能(Al)处理。

理解loT。物联网(loT)是一个新的子类别，甚至是一类新的智能设备，它们通过互联网连接，以便为家庭或办公室环境中的传统或新装置或设备提供自动化、远程控制或AI 处理。

理解移动设备安全。设备安全性涉及可用于移动设备的一系列潜在安全选项或功能。并非所有便携式电子设备(PED)都具有良好的安全功能。PED 安全功能包括全设备加密、远程擦除、锁定、锁屏、GPS、应用控制、存储分隔、资产跟踪、库存控制、移动设备管理、设备访问控制、可移动存储以及关闭不使用的功能。

理解移动设备应用安全。需要保护移动设备上使用的应用程序和功能。相关概念包括密钥管理、凭据管理、身份验证、地理标记、加密、应用程序白名单和可传递信任。

理解BYOD 。BYOD(Bring Your Own Device)是一项策略，允许员工将自己的个人移动设备投入工作，并使用这些设备或通过公司网络连接到业务资源和／或互联网。尽管BYOD 可提高员工士气和工作满意度，但它会增加组织的安全风险。相关问题包括数据所有权、支持所有权、补丁管理、反病毒管理、取证、隐私、入职／离职、遵守公司策略、用户接受度、架构／基础架构考虑因素、法律问题、可接的使用策略以及机载摄像头／视频。

理解嵌入式系统和静态环境。嵌入式系统通常是围绕一组有限的特定功能设计的，这些特定功能是与其作为组件的较大产品相关的。静态环境是为特定需求、能力或功能配置的应用程序、操作系统、硬件集或网络，然后设置为保持不变。

理解嵌入式系统和静态环境安全问题。静态环境、嵌入式系统和其他有限或单一用途的计算环境需要安全管理。这些技术可以包括网络分段、安全层、应用防火墙、手动更新、固件版本控制、包装器以及控制冗余和多样性。

理解最小特权原则、特权分离和问责制原则如何适用于计算机体系结构。最小特权原则确保只有最少数量的进程被授权在监督模式下运行。权限分离增加了安全操作的粒度。问责制确保存在审计踪迹以追溯操作的来源。

能够解释什么是隐蔽通道。隐蔽通道是一种用于在通常不用于通信的路径上传递信息的方法。

理解缓冲区溢出和输入检查是什么。当程序员在将数据写入特定内存位置之前未能检查输入数据的大小时，会发生缓冲区溢出。事实上，任何验证输入数据的失败都可能导致安全受到破坏。

描述安全架构的常见缺陷。除了缓冲区溢出之外，程序员还可以在部署后在系统上留下后门和特权程序。即使设计很好的系统也容易受到TOCTTOU 攻击的影响。任何状态更改都可能成为攻击者破坏系统的潜在机会之窗。

 

第10章.物理安全要求

理解为什么没有物理安全就无安全可言。没有对于物理环境的控制，再多的管理类或技术类逻辑类访问控制也形同虚设。如果有恶意的人员能够获得设施或设备的物理访问，他们可以破坏设备、窃取更改数据，肆意妄为。

能够列出管理类物理安全控制。举出设施建造与选择、场所管理、人员控制、认知培训以及应急响应与程序的例子。能够列出技术类物理安全控制。技术类物理安全控制有访问控制、入侵检测、警报、CCTV 、监视、HVAC 、电力供应以及火灾探测与消防。

能够说出物理安全的现场控制。物理安全的现场控制有围栏、照明、门锁、建筑材料、捕人陷阱、警犬及警卫。

了解控制的功能顺序。首先是威慑，其次是阻挡，然后是监测，最后是延迟。

了解选择站点及设计建造设施的要素。选择站点的关键要素有可见性、周围环境的构成、区域的便利性以及自然灾害的影响等。设施设计建造的关键要素，是在建造前要理解组织需要的安全级别，并为此制定周详的计划。

了解如何设计与设置安全工作区。设施中的所有区域不会是相同的访问等级。区域中所放置资产价值或重要度越高，对该区域的访问就应受到越严格的限制。高价值及保密资产应位于设施保护的核心或中心。同时，中央服务器或计算机房应不适宜人常驻。

理解配线间的安全要点。配线间是放置整栋或单层网络电缆的地方，这些电缆将其他重要的设备，如配线架、交换机、路由器、LAN 扩展器以及主干通道连接起来。配线间安全的重点是防止非法进入。如果非法入侵者进入该区域，他们可能会偷盗设备，割扯电缆，甚至会植入监听设备。

理解在安全设施中如何应对访客。若设施中划分了限制区域控制物理安全，就有必要建立访客处理机制。通常是为访客指派一个陪护人员，随身监视访客的出入与活动。如果允许外来者进入保护区域，却没有对其活动进行有效跟踪控制，可能会损害受保护资产的安全。

了解用于管理物理安全的三大类安全控制，并能举出每一类的例子。管理物理安全的安全控制分为三类：管理类、技术类和现场类。理解每一类的使用场合和方法，能够列出每一种的例子。

理解介质存储的安全要求。应设计介质存储设施来安全存储空白介质、可重用介质以及安装介质。需要防护的重点是偷盗、腐蚀以及残余数据恢复。介质存储设施保护措施包括：带锁的柜子或保险箱，指定保管员／托管员，设置检入／检出流程，进行介质净化。

理解证据存储的重点。证据存储常用于保存日志、磁盘镜像、虚拟机快照以及其他恢复用数据、内部调查资料及取证调查资料。保护手段包括专用／单独的存储设施、离线存储、活动追踪、hash 管理、访问限制及加密。

了解对于物理访问控制的常见威胁。无论采用哪种形式的物理访问控制，都必须配备安全保卫或其他监视系统，以防止滥用、伪装及捎带。滥用物理访问控制包括打开安全门、绕开门锁或访问控制。伪装是使用其他人的安全ID进入设施。捎带则是尾随在其他人身后通过安全门或通道，以躲避身份识别和授权。

理解审计踪迹与访问日志的要求。审计踪迹与访问日志是一种对物理访问控制非常有用的工具。它们既可以由安全保卫手工进行填写，也可以由访问控制设备（智能卡、接近式读卡器）自动记录。同时，还要考虑在入口处安装监视CCTV。通过CCTV 可将审计踪迹记录、访问曰志与视频监控资料进行对比。这些信息对于重建入侵、破坏与攻击事件全过程至关重要。

理解对于洁净电力的需求。电力公司的电力供应并不一直是持续与洁净的。大多数电子设备需要洁净的电力才能正常工作。因为电力波动而导致的设备损坏时有发生。很多组织采用多种形式来管理各自的电力供应。UPS 是一种自充电电池，能为敏感设备提供持续洁净的电源。甚至在主要电力供应中断的情况下，依然能够持续供电，供电时间从几分钟到几小时不等，时间的长短主要依靠UPS 的容量及所接设备的数量。

了解与电力相关的常用术语。知道下列术语的定义：故障、停电、电压骤降、低电压、尖峰、浪涌、合闸电流、噪声、瞬态、洁净及接地。

理解对环境的控制。除了电力供应，环境的控制还包括对HVAC 的控制。主要计算机房的温度应保持在华氏60--75 度之间（摄氏15~23 度）。机房的湿度应保持在相对湿度40%~60%）。湿度太高可能腐蚀机器，湿度太低可能产生静电。

了解静电的有关知识。即使在抗静电地毯上，如果环境湿度过低，依然可能会产生20000伏的静电放电电压。即使是最低级别的静电放电电压也足以摧毁电子设备。

理解对漏水与洪水管理的要求。在环境安全策略及程序中，应包含对漏水与洪水问题的解决方法。虽然管道漏水不会天天发生，可是一旦发生带来的后果则是灾难性的。水电不容，如果计算机系统进了水，特别是在运行状态，注定会损坏系统。任何可能的情况下，本地服务器机房及关键计算机设备都应远离水源或输水管道。

理解火灾探测及消防系统的重要性。不能忽视火灾探测及消防。任何安保系统的首要目标都是保护人员不受伤害。除了保护人，火灾探测与消防系统还应将由火、烟、高温以及灭火材料造成的损坏降到最低，尤其要保护IT 基础设施。

理解火灾探测及消防系统可能带来的污染与损害。火灾的破坏因素不但包括火和烟，还有灭火剂，例如水或碳酸钠。烟会损坏大多数存储设备。高温则会损坏任何电子及计算机部件。灭火剂会导致短路、初级腐蚀或造成设备失效。在设计消防系统时，这些因素必须考虑进去。

理解人员隐私与安全。任何情况和任何条件下，安全最重要的方面都是保护人。因此，防止人身伤害是所有安全工作的首要目标。

第11章.安全网络架构和保护网络组件

了解OSI 模型层以及每个层中对应的协议。OSI 模型七层中每层支待的协议如下：

• 应用层： HTTP 、FTP 、LPD 、SMTP 、Telnet 、TFTP 、EDI 、POP3 、IMAP 、SNMP 、NNTP 、S-RPC 和SET 。

• 表示层：加密协议和格式类型，如ASCII、EBCDICM、TIFF、JPEG 、MPEG 和MIDI 。

• 会话层： NFS 、SQL 和RPC 。. 传输层： SPX 、SSL 、TLS 、TCP 和UDP 。

• 网络层： ICMP 、RIP 、OSPF 、BGP 、IGMP 、IP 、IPsec 、IPX 、NAT 、SKIP 。

• 数据链路层： SLIP 、PPP 、ARP 、L2F 、L2TP 、PPTP 、FDDI 、ISDN 。

• 物理层： EIA／TIA-232 、EIA／TIA-449 、X.21 、HSSI 、SONET 、V.24 和V.35 。

熟悉TCP/IP 。了解TCP 和UDP 之间的区别；熟悉四个TCP/IP 层（应用层、传输层、互联网层和链路层）以及它们与OSI 模型的对应关系。此外，了解众所周知的端口的用途并熟悉子协议。

了解不同的布线类型及其有效距离和最大吞吐率。这包括STP 、10BaseT(UTP)10Base2（细网）、10Base5（粗网）、100BaseT、1000BaseT 和光纤。你还应该熟悉UTP 1 到7的类别。

熟悉常见的LAN 技术。最常见的LAN 技术是以太网。熟悉模拟与数字通信；同步与异步通信；基带与宽带通信；广播、多播和单播通信； CSMA 、CSMA/CA 和CSMA/CD; 令牌传递和轮询。

了解安全的网络架构和设计。网络安全应考虑IP 和非IP 协议、网络访问控制、使用安全服务和设备、管理多层协议以及实现端点安全性。

了解网络分段的各种类型和目的。网络分段可用于管理流量、提高性能和实现安全性。网段或子网的示例包括内联网、外联网和非军事区(DMZ) 。

了解不同的无线技术。手机、篮牙(802.15)和无线网络(802.11)都称为无线技术。注意它们的差异、优点和缺点。了解保护802.11 网络的基础知识。

了解光纤通道。光纤通道是一种网络数据存储解决方案（即SAN 或NAS) ，支持高速文件传输。

了解FCoE 。FCoE 用千封装以太网上的光纤通信通道。

了解iSCSI 。iSCSI 是一种基于IP 的网络存储标准。

了解802.11 和802.lla、b 、g 、n 和ac 。802.11 是用于无线网络通信的IEEE 标准。版本包括802.11 (2Mbps) 、802.11a(54Mbps) 、802.11b(llMbps) 、802.11g(54Mbps) 、802.11n(600Mbps)和802.11ac(l.3+ Mbps) 。该802.11 标准还定义了WEP 。.

了解站点调查。站点调查是调查环境中部署的无线接入点的存在、强度和范围的过程。此任务通常涉及使用便携式无线设备走动，记录无线信号强度，并将其绘制到建筑物的图纸上。

了解WPA2. 。WPA2 是一种新的加密方案，称为计数器模式密码块链接消息身份验证码协议(CCMP)的计数器模式，它基于AES 加密方案。

了解EAP 。EAP 不是特定的身份验证机制；相反，它是一个身份验证框架。实际上， EAP允许新的身份验证技术与现有的无线或点对点连接技术兼容。

了解PEAP 。PEAP 将EAP 方法封装在提供身份验证和加密的TLS 隧道中。

了解LEAP 。LEAP 是针对WPA 的TKIP 的思科专有替代方案。这是为了在802.11i/WPA2系统被批准为标准之前消除TKIP 的缺陷。

了解MAC 过滤MAC 过滤器是授权无线客户端接口MAC 地址的列表，无线接入点使用该MAC 地址来阻止对所有未授权设备的访问。

了解SSID 广播。无线网络传统上在称为信标帧的特殊分组内定期宣告其SSID 。广播SSID时，任何具有自动检测和连接功能的设备不仅可看到网络，还可启动与网络的连接。

了解TKIP 。TKIP 被设计为WEP 的替代品，不需要替换传统的无线硬件。TKIP 以WPA（Wi-Fi保护访问）的名称实施到802.11 无线网络中。

了解CCMP 。创建CCMP 以替换WEP 和TKIP/WPA 。CCMP 使用带有128 位密钥的AES（高级加密标准）。

了解强制网络门户。强制网络门户是一种身份验证技术，可将新连接的无线Web 客户端重定向到门户网站访问控制页面。

了解天线类型。各种天线类型可用于无线客户端和基站。这些包括全向极天线以及许多定向天线，例如八木天线、平板天线和抛物线天线。

了解标准网络拓扑。包括环形、总线、星形和网状。

了解常见的网络设备。包括防火墙、路由器、集线器、网桥、调制解调器、中继器、交换机、网关和代理。

了解不同类型的防火墙。防火墙有几种类型：静态数据包过滤、应用级网关、电路级网关、状态检查、深度数据包检测和下一代防火墙。

了解用于连接LAN 和WAN 通信技术的协议。包括帧中继、SMDS 、X.25 、ATM 、HSSI、SDLC 、HDLC 和ISDN 。

第12章.安全通信与网络攻击

理解远程访问安全管理的有关问题。远程访问安全管理，要求安全系统设计者需按照安全策略、工作任务及加密的要求，来选择硬件与软件组件。

熟悉LAN 及WAN 中使用的各种数据通信协议和技术。主要包括SKIP 、SWIPE、SSL 、SET 、PPP 、SLIP 、CHAP 、PAP 、EAP 、S-RPC, 此外还有VPN 、TLS/SSL 和VLAN 。

了解什么是隧道。隧道就是用第二种协议封装另一种传输协议的消息。第二种协议经常利用加密来保护消息内容。

理解VPN 。VPN 基于加密隧道。能提供具备身份验证及数据保护功能的点对点连接。常见的VPN 协议有PPTP 、L2F 、L2TP 及IPsec 。

能够解释什么是NAT 。NAT为私有网络提供寻址方案，允许使用私有IP 地址，并支持多个内部用户，通过较少的公网IP 地址来访问互联网。很多安全边界设备都支待NAT, 如防火墙、路由器、网关及代理服务器。

理解分组交换与电路交换之间的差异。在电路交换中，通信双方之间建立专用的物理路径。分组交换中，消息或通信内容要分成很多小段，然后通过中间网络传送到目的端。分组交换系统有两种通信路径或虚电路：永久虚电路(PVC)及交换式虚电路(SVC) 。

理解专线与非专用线路之间的差异。专线是一直连通、保留给特定用户使用的线路。专线的例子包括Tl 、T3 、El 、E3 及有线调制解调器。非专用线路需要在数据传输前建立连接。使用相同类型非专用线路的远程系统间能够建立连接。标准的调制解调器， DSL 、ISDN 都是非专用线路的例子。

了解与远程访问安全相关的各种问题。熟悉远程访问、拨号连接、屏幕捕捉、虚拟应用／桌面及普通远程办公的安全重点。

了解各种类型的WAN 技术。了解大多数WAN 技术需要一个通道服务单元／数据服务单元(CSU/DSU) ，有时也称为WAN 开关。WAN 连接技术种类很多，如X.25 、帧中继、ATM、SMDS 、SDH 及SONET。有些WAN 连接技术要求附加一些专用协议，以支待各种类型的专业系统及设备。

理解PPP 及SLIP 之间的差异。点对点协议(PPP)是一种封装协议，支持在拨号或点对点线路上传输IP 流量。PPP 包含范围广泛的通信服务，例如， IP 地址的分配及管理、同步通信的管理、标准化封装、多路复用、链路配置、链路质量测试、错误检测以及功能与选项协商（如是否使用压缩）。PPP 最初支持CHAP 、PAP 身份验证。现在版本的PPP 也支持MS-CHAP 、EAP 、SPAP 。PPP 取代了SLIP 。SLIP 不提供身份验证，只支持半双工通信，没有错误检测功能，需要手工完成链路的建立与拆解。

理解安全控制的共同特征。安全控制对用户应该是透明的（不可见）。Hash 值与CRC 校验能够用千验证消息的完整性。记录序列号用于确保传输的顺序完整。传输日志有助于检测通信滥用。

理解邮件安全的工作机理。互联网邮件基于SMTP 、POP3 及IMAP 协议。存在固有的不安全性。为使邮件变得安全，需要在安全策略中加入一些安全手段。解决邮件安全的技术包括：SIMIME 、MOSS 、PEM 或PGP 。

了解传真安全的工作机理。传真安全主要使用加密传输，或加密通信线路来保护传真内容的安全。主要目的是防拦截。活动日志及异常报告能够检测出传真过程的异常，这可能反映有攻击行为发生。

了解与PBX 系统有关的威胁以及针对PBX 欺骗的应对措施。针对PBX 欺骗与破坏的防范措施与保护计算机网络的方法相同：逻辑、技术控制、管理控制及物理控制。

理解与VoIP 有关的安全问题。VoIP 面临的安全风险包括：改号欺诈、语音钓鱼、SPIT、拨号管理软件／固件攻击、电话硬件攻击、DoS 、MitM、欺诈及交换机跳跃攻击。

理解飞客攻击的内容。飞客攻击(Phreaking)是一种特定类型的攻击，此类攻击使用各种技术，绕过电话系统的计费功能，以便能免费拨打长途电话；或更改电话服务的功能；或盗用专业化服务；或直接导致服务崩溃。常见的飞客工具包括：黑盒、红盒、蓝盒、白盒。

理解语音通信安全。语音通信易受多种攻击的威胁，尤其随着语音通信成为网络服务的一个重要部分。使用加密通信能够提高保密性。需要采取一些技术手段来防止拦截、窃盺、tapping以及其他类型的攻击。熟悉与语音通信相关的主题，如POTS 、PSTN 、PBX 及VoIP 。

能够解释什么是社会工程。社会工程是一种手段，攻击者通过让雇员相信自己与高级管理层、技术支持或前台有联系，来获取组织内部人员的信任。然后怂恿受害者更改系统的个人账号，如重置密码，攻击者可借此获得对网络的访问权。针对此类攻击，最好的防护手段就是加强培训。

解释安全边界的概念。安全边界是不同安全区间的分界线。也是安全区与非安全区间的分界线。这两点在安全策略中要进行明确。

理解各种类型的网络攻击以及与通信安全有关的应对措施。通信系统易受多种攻击的威胁，这些攻击包括分布式拒绝服务(DDoS)、窃听、假冒、重放、修改、欺骗、ARP 攻击与DNS 攻击。要能针对每种攻击提出有效的应对措施。

第13章.管理身份和身份验证

了解主体和客体之间的区别。你会发现CISSP 问题和安全文档通常使用术语“主体”和“客体“，因此了解它们之间的区别非常重要。主体是访问被动客体（如文件）的活动实体（如用户）。用户是在执行某些操作或完成工作任务时访问客体的主体。

了解各种类型的访问控制。你应能识别任何给定访问控制的类型。访问控制可能是预防性的（阻止不必要或未经授权的活动发生）、检测性的（发现不需要的或未经授权的活动）或纠正性的（在不需要或未经授权的活动发生之后将系统恢复正常）。威慑访问控制试图通过鼓励人们不采取行动来阻止违反安全策略。恢复控制尝试在违反安全策略后修复或恢复资源、功能和能力。指示控制试图指导、限制或控制主体的行为以强制或鼓励遵守安全策略。补偿控制提供现有控制的选项或替代方案，以帮助实施和支持安全策略。

了解访问控制的实现方法。通过管理、逻辑／技术或物理手段实现访问控制。行政（或管理）控制包括实施和执行整体访问控制的策略或过程。逻辑／技术控制包括用于管理资源和系统访问的硬件或软件机制，并为这些资源和系统提供保护。物理控制包括部署的物理屏障，以防止与设施内的系统或区域直接接触和访问。

了解身份识别和身份验证之间的区别。访问控制依赖于有效的身份识别和身份验证，因此了解它们之间的差异非常重要。主体声明身份，并且标识可像用户名那样简单。主体通过提供身份验证凭据（例如与用户名匹配的密码）来证明其身份。

了解授权和问责制之间的区别。对主体进行身份验证后，系统会根据已证实的身份授予对客体的访问权限。审计日志和审计踪迹记录事件，包括执行操作的主体的身份。有效身份识别、身份验证和审计的结合提供了问责制。

了解主要身份验证因素的详细信息。验证的三个主要因素是你知道什么（例如密码或PIN)、你拥有什么（例如智能卡或令牌）以及你是谁（基于生物识别）。多因素身份验证包括两个或多个身份验证因素，使用它比使用单个身份验证因素更安全。密码是最弱的身份验证形式，但密码策略通过强制执行复杂性和历史记录要求来帮助提高安全性。智能卡包括微处理器和加密证书，令牌创建一次性密码。生物识别方法基于诸如指纹的特征来识别用户。交叉错误率体现生物识别方法的准确性。它显示了错误拒绝率等于错误接受率的位置。

了解单点登录。单点登录(SSO)是一种允许主体进行一次身份验证即可访问多个对象而不必再次执行身份验证的机制。Kerberos 是组织中最常用的SSO 方法，它使用对称加密和票据来证明身份并提供身份验证。当多个组织想要使用通用sso 系统时，通常使用联合身份管理系统，其中联盟或组织同意一种通用的身份验证方法。安全断言标记语言(SAML)通常用于共享联合身份信息。其他SSO 方法是脚本访问、SESAME 和KryptoKnight。OAuth 和OpenID 是互联网上使用的两种较新的SSO 技术。许多大型组织（如Google)建议优先使用OAuth2.0 而不是OAuth 1.0 。

了解AAA 协议的目的。多种协议提供集中式身份验证、授权和问责服务。网络访问（或远程访问）系统使用AAA 协议。例如，网络访问服务器是RADIUS 服务器的客户端， RADIUS 服务器提供AAA 服务。RADIUS 使用UDP 并仅加密密码。TACACS ＋使用TCP 并加密整个会话。Diameter 基于RADIUS 并消除了RADIUS 的许多弱点，但Diameter 与RADIUS 不兼容。Diameter越来越受到智能手机等移动IP 系统的欢迎。

了解身份和访问配置生命周期。身份和访问配置生命周期是指账户的创建、管理和删除。配置账户可确保根据任务要求拥有适当的权限。定期审核可确保账户没有过多权限，并遵循最小特权原则。撤消包括员工离开公司时尽快停用账户，以及在不再需要账户时删除账户。

第14章.控制和监控访问

识别常见授权机制。授权确保所请求的活动或客体是可访问的，前提是赋予已经验证的身份应有的权限。例如，它确保具有适当权限的用户可访问文件和其他资源。常见授权机制包括隐式拒绝、访问控制矩阵、能力表、约束接口、依赖内容的控制和依赖上下文的控制。这些机制执行诸如知其所需、最小特权和职责分离等安全原则。

了解每个访问控制模型的详细信息。使用自主访问控制(DAC)模型，所有客体都有所有者，所有者可修改权限。管理员集中管理非自主访问控制。基于角色的访问控制(RBAC)模型使用基于任务的角色，并且用户在管理员将其账户置于角色中时获得权限。基于规则的访问控制模型使用一组规则、限制或过滤器来确定访问权限。强制访问控制(MAC)模型使用标签来标识安全域。主体需要匹配标签才能访问客体。

了解基本风险要素。风险是威胁可能利用漏洞并对资产造成损害的可能性。资产评估确定资产的价值，威胁建模识别针对这些资产的威胁，漏洞分析识别组织的宝贵资产中的弱点。访问聚合是一种攻击，它结合或聚合非敏感信息以学习敏感信息，并用于侦察攻击。

了解暴力和字典攻击是如何工作的。针对被盗密码数据库文件或系统的登录提示执行暴力破解和字典攻击。它们旨在发现密码。在暴力攻击中，使用键盘字符的所有可能组合，而字典攻击使用预定义的可能密码列表。账户锁定控制可以有效抵御在线攻击。

了解强密码的必要性。强密码降低了密码破解成功的概率。强密码包括多种字符类型，而不是字典中包含的单词。密码策略可确保用户创建强密码。密码在存储时应加密，并在通过网络发送时加密。通过使用除密码之外的其他因素，可强化身份验证。

了解盐和胡椒如何阻止密码攻击。在加盐前，盐会为密码添加额外的位，并有助于阻止彩虹表攻击。某些算法（如Bcrypt 和PBKDF2)会添加盐并重复多次散列函数。盐与散列密码存储在同一数据库中。胡椒是一个大的常数，用于进一步提高散列密码的安全性，它存储在散列密码数据库之外的某个地方。

了解嗅探器攻击。在嗅探器攻击（或窥探攻击）中，攻击者使用数据包捕获工具（如嗅探器或协议分析器）来捕获、分析和读取通过网络发送的数据。攻击者可轻松读取通过网络发送的明文数据，但将传输中的数据加密可防止此类攻击。

了解欺骗攻击。欺骗假装是某种东西或某个人，它用于许多类型的攻击，包括访问控制攻击。攻击者经常试图获取用户的凭据，以便他们可欺骗用户的身份。欺骗攻击包括电子邮件欺骗、电话号码欺骗和IP 欺骗。许多网络钓鱼攻击都使用欺骗方法。

了解社会工程。社会工程攻击是攻击者企图说服某人提供信息（如密码）或执行他们通常不会执行的操作（例如点击恶意链接），从而导致安全性受损。社会工程师经常尝试访问IT 基础设施或物理设施。用户培训是防止社会工程攻击的有效手段。

了解网络钓鱼。网络钓鱼攻击通常用于试图欺骗用户放弃个人信息（例如用户账户和密码）、点击恶意链接或打开恶意附件。鱼叉式网络钓鱼针对特定的用户群，网络钓鲸的目标是高级管理人员、语音网络钓鱼使用VoIP 技术。

第15章.安全评估和测试

理解安全评估和测试方案的重要性。安全评估和测试方案为安全控制措施是否持续有效提供一种重要的验证机制。安全评估和测试方案包括各种工具，如漏洞评估、渗透测试、软件测试、审计和安全管理任务，从而验证控制措施的有效性。每个组织都应该具备一套可定义和可操作的安全评估和测试方案。

开展漏洞评估和渗透测试。漏洞评估使用自动化工具，检测系统、应用程序及网络上存在的已知漏洞。这些漏洞可能包括遗漏的补丁、错误配置或错误代码，导致组织面临安全风险。虽然渗透测试也使用与漏洞扫描相同的工具，但会将攻击技术作为工具的补充，评估人员尝试借助这些攻击技术利用漏洞，并获取系统权限。

执行软件测试来验证部署到生产环境的代码。软件测试技术验证代码功能是否符合设计要求，且不存在安全缺陷。代码审查使用同行评审流程在部署到生产环境之前以正式或非正式方式验证代码。接口测试通过API 测试、用户界面测试和物理接口测试，评估组件和用户之间的交互。

理解静态软件测试和动态软件测试之间的差异。静态测试技术，如代码审查，在未运行软件的清况下通过分析源代码或分析编译后的程序，评估软件的安全性。动态测试技术在软件运行状态下评估软件的安全性，通常是评估部署其他方开发的应用程序的唯一选择。

解读模糊测试的概念。模糊测试使用修改过的输入来测试软件在意外情况下的表现。突变模糊测试通过修改已知的输入来产生合成的输入，进而可能触发软件的异常行为。预生成模糊测试根据预期输入模型来生成输入，完成与突变模糊测试相同的任务。

执行安全管理任务，监督信息安全方案的实施。安全管理人员必须执行各种活动，确保对信息安全方案的适度监控。日志审查，特别是针对管理员的活动，确保系统不会被误用。账户管理审查保证仅有授权用户可保留对信息系统的访问权限。备份验证确保组织的数据保护流程正常运行。关键绩效和风险指标为安全方案有效性提供高层次的视角。

开展或促进内部审计和第三方审计。当第三方对组织保护信息资产的安全控制进行评估时，便出现安全审计。内部审计由组织内部人员执行，适用于管理用途。外部审计由第三方审计公司实施，通常适用于企业的理事机构。

第16章.安全运营管理

理解“知其所需”和“最小特权原则”。这两个原则是安全网络遵循的两个标准IT安全原则。知其所需和最小特权原则限制了对数据和系统的访问，以便用户和其他主体只能访问所需内容。这种受限的访问可以预防安全事件，并限制事件发生时的影响范围。如果不遵循这些原则，安全事件会对组织造成更大的破坏。

理解职责分离和岗位轮换。职责分离是一项基本安全原则，确保单人无法掌握关键职能或关键系统的所有要素。通过岗位轮换，员工可以轮换到不同的工作岗位，或者任务可以分配给不同员工。串通(Collusion)是多人串通来执行一些未经授权的或非法的行为。在没有出现串通的情况下，执行这些策略可以通过限制个人行为来预防欺诈。

理解监控特权操作的重要性。虽然特权用户是受信任的，但可能滥用其权限。因此，监控所有权限的分配及使用是非常重要的。监控特权操作的目的是确保受信任的员工不会滥用被授予的特权。因为攻击者通常在攻击时使用特权，监视特权操作还可以检测到大量攻击。

理解信息生命周期。数据需要在整个生命周期过程得到保护。首先，正确分类和标记数据。还包括正确处理、存储和销毁数据。

理解服务水平协议。组织与供应商等外部实体签订服务水平协议(SLA) 。SLA 规定了性能期望，例如最大停机时间。如果供应商达不到期望， SLA 通常会包括处罚条款。

理解安全配置的概念。安全配置资源包括确保资源通过安全方式部署，并在整个生命周期中以安全方式维护。例如，使用安全映像方式来部署台式个人计算机(PC)。

理解虚拟资产。虚拟资产包括虚拟机、虚拟桌面基础架构、软件定义网络和虚拟存储区域网络。虚拟机管理程序是管理虚拟资产的主要软件组件，但也为攻击者提供新的攻击目标。让托管虚拟资产的物理服务器保待操作系统和虚拟机管理程序更新至最新补丁，这点非常重要。

此外，所有虚拟机都必须保持更新。

认识到云资产的安全问题。云资产是指可从云中访问的所有资源。因为云上存储数据会增加风险，因此需要基于数据价值，采取额外措施来保护数据。租用云服务时，你必须了解哪方负责维护和安全。在IaaS 服务模型中，云服务供应商提供最小限度的维护和安全。

解读配置和变更控制管理。通过有效的配置和变更管理计划，可以预防许多中断及事件。配置管理确保系统采用相近配置，并且系统配置可知悉和可记录。基线(Baseline)确保部署系统有相同基线或相同启动点，而镜像是一种常见的基线技术。变更管理有助于预防未经授权的变更，进而减少业务中断或安全削弱。变更管理流程规定了变更的请求、批准、测试和记录。版本控制使用标签或编号系统来跟踪软件版本的变更。

理解补丁管理。补丁管理可以确保系统更新到最新补丁。应该了解有效的补丁管理计划包括补丁评估、测试、批准和部署。此外，注意系统审核将验证已批准的补丁是否部署到系统。补丁管理通常与“变更和配置管理”结合在一起，确保文档内容可以显示变更。当缺少有效补丁管理计划时，组织往往因已知问题导致出现中断及事件，虽然对这些问题已经采取预防措施。

解读漏洞管理。漏洞管理包括例行漏洞扫描和定期漏洞评估。漏洞扫描器可以检测已知的安全漏洞和脆弱点，如未打补丁或弱密码。漏洞管理可以生成报告，报告可以指出系统存在的漏洞，并对补丁管理计划进行有效检查。漏洞评估不仅涉及技术扫描，还包括漏洞的审查和审核。

第17章.事件的预防和响应

了解事件响应步骤。CISSP 的“安全运营＂域将事件响应分为检测、响应、抑制、报告、恢复、补救和总结教训等7个步骤。检测并证明有事件发生后，第一反应是限制或控制事件的范围，同时保护把证据保护起来。根据相关法律，机构可能需要把事件上报相关部门，如果个人身份信息(PII)受到影响，则还需要把情况通知相关个人。补救和总结教训阶段包括进行根本原因分析，以确定原因和建议解决方案，以防事件再次发生。

了解基本预防措施。基本的预防措施可以防止许多事件发生。这些措施包括保持系统即时更新、移除或禁用不需要的协议和服务、使用入侵检测和预防系统、使用配备了最新签名的反恶意软件程序以及启用基于主机和基于网络的防火墙。

了解拒绝服务(Dos)攻击。DoS 攻击阻止系统响应合法服务请求。破坏TCP 三次握手的SYN洪水攻击是一种常见DoS 攻击手段。即便比较老式的攻击因基本预防措施的拦截而在今天已不太常见，你依然会遇到这方面的考题，因为许多新式攻击手段往往只是旧方法的变种而已。Smurf攻击利用一个放大网向受害者发送大量响应包。死亡之ping 攻击向受害者发送大量超大ping包，导致受害者系统冻结、崩溃或重启。

了解僵尸网、僵尸网控制者和僵尸牧人。僵尸网由于可调动大量计算机发动攻击而形成一种重大威胁，因此，搞清僵尸网到底是怎么回事至关重要。僵尸网是由已遭破坏的计算设备（通常被称作傀儡或僵尸）组成的集合体，它们形成一个网络，由被称作僵尸牧人的犯罪分子操控。僵尸牧人通过指挥控制服务器远程控制僵尸，经常利用僵尸网对其他系统发起攻击，或发送垃圾邮件或网络钓鱼邮件。僵尸牧人还把僵尸网的访问权出租给其他犯罪分子使用。

了解零日利用。零日利用是指利用一个除攻击者以外其他任何人都不知道或只有有限的几个人知道的漏洞的攻击。从表面上看，这像是一种无从防范的未知漏洞，但基本安全实践规范还是能对预防零日利用提供很大帮助的。移除或禁用不需要的协议和服务可以缩小系统的受攻击面，启用防火墙能堵死许多访问点，而采用入侵检测和预防系统可帮助检测和拦截潜在的攻击。此外，使用蜜罐、填充单元等工具也可帮助保护活跃的网络。

了解中间人攻击。当一名恶意用户能够在通信线路的两个端点之间获得一个逻辑位置时，便是发生了中间人攻击。尽管要想完成一次中间人攻击，攻击者需要做相当多的复杂事情，但他从攻击中获得的数据量也是相当大的。

了解蓄意破坏和间谍活动。恶意的内部人员如果由于某种原因心怀不满，有可能蓄意对机构造成破坏。间谍活动是指竞争对手试图窃取信息的行为，这个过程可能会利用内部员工来完成。执行最小特权原则、员工离职后立即禁用其账号等基本安全措施可以限制这些攻击造成的损害。

了解入侵检测和入侵预防。IDS 和IPS 是抵御攻击的重要检测和预防手段。你需要了解基于知识的检测（使用了一个与反恶意软件签名数据库类似的数据库）和基于行为的检测之间有什么区别。基于行为的检测先建立一条基线，用这条基线标识正常行为，然后把各种活动拿来与基线比较，从中找出异常活动。如果网络发生改动，基线可能会过时，因此环境一旦发生变化，基线必须马上更新。

认识IDS/IPS 响应。IDS 可通过日志记录和发送通知来被动做出响应，也可通过更改环境来主动做出响应。有人把主动IDS 叫作IPS（入侵预防系统）。但是，重要的是要知道， IPS 安放在承载通信流的线路上，可赶在恶意流量到达目标之前把它们拦住。

了解HIDS 与NIDS 的区别。基于主机IDS(HIDS)只能监测单个系统上的活动。缺点是攻击者可发现并禁用它们。基于网络IDS(NIDS)可监测网络上的活动，而且是攻击者不可见的。

了解蜜罐、填充单元和伪缺陷。蜜罐是通常用伪缺陷和假数据来引诱入侵者进入的一种系统。管理员可在攻击者进入蜜罐后观察他们的活动，攻击者只要在蜜罐里，他们就不会跑到活跃网络中。有些IDS 能够在检测到攻击后把攻击者转移到填充单元里。尽管蜜罐与填充单元很像，但是你应该注意，蜜罐是引诱攻击者进入的，而攻击者是被转移到填充单元中的。

了解拦截恶意代码的方法。几种工具配套使用可拦截恶意代码。其中反恶意软件程序安装在每个系统、网络边界和电子邮件服务器上，配有最新定义。不过，基于最小特权原则等基本安全原则的策略也会阻止普通用户安装潜在恶意软件。此外，就风险和攻击者惯常用来传播病毒的方法对用户开展教育，也可以帮助用户了解和规避危险行为。

了解渗透测试。渗透测试从找出漏洞入手，然后通过模拟攻击来确定哪些漏洞可以被人恶意利用。请务必记住，渗透测试不可在未经管理层知情和明确批准的情况下进行。此外，由于渗透测试可能造成破坏，只要可能，就应该在隔离的系统上进行。你还应了解黑盒测试（零知识）、白盒测试（全知识）和灰盒测试（部分知识）之间有什么区别。

了解日志文件的类型。日志数据被记录在数据库和各类日志文件里。常见的日志文件包括安全日志、系统日志、应用程序日志、防火墙日志、代理日志和变更管理日志。对于日志文件，应该通过集中存储，以许可权限制访问等方式施加保护，而归档日志应设置为只读，以防有人篡改。

了解监测以及监测工具的用途。监测是侧重于主动申查日志文件数据的一种审计形式。监测用于使行事主体对自己的行为负责以及检测异常或恶意活动。监测还用千监控系统性能。IDS、SIEM等监测工具可自动进行监测并提供对事件的实时分析。

了解审计踪迹。审计踪迹是将有关事件和事件方式情况的信息写进一个或多个数据库或日志文件的过程中创建的记录。审计踪迹可用于重建事件、提取事件信息、证明罪责或反驳指控。使用审计踪迹是执行检测性安全控制的一种被动形式。审计踪迹还是起诉犯罪分子的基本证据。

了解抽样。抽样也叫数据提取，是指从庞大数据体中提取特定元素，构成有意义的整体表述或归纳的过程。统计抽样利用精确的数学函数从大量数据中提取有意义的信息。剪切是非统计抽样的一种形式，只记录超过阈值的事件。

了解如何保持问责。通过使用审计，可保待对个人行事主体的问责。日志记录用户活动，用户可对记录在案的操作负责。这对用户形成良好行为习惯、遵守机构安全策略有着直接的促进作用。

了解安全审计和审查的重要性。安全审计和审查有助于确保管理方案行之有效并落到实处。它们通常与账户管理实践规范配套使用，以防出现违反最小特权或知其所需原则的情况。不过，安全审计和审查还可用来监督补丁管理、漏洞管理、变更管理和配置管理方案的执行情况。

了解审计和以某一频率进行安全审计的必要性。审计是指对环境进行的系统化检查或中查，旨在确保法规得到遵守以及检测出异常情况、未经授权事件或公然犯罪。安全的IT环境在很大程度上依赖审计。总体来说，审计是安全环境采用的一种主要检测性控制。IT 基础设施进行安全审计或安全审查的频率由设施面临的风险决定。机构需要确定，所面临的风险是否大得足以值得为一次安全审计支付费用和中断运行。风险的大小还影响进行审计的方式。明确定义审计审查的频率并严格执行至关重要。

了解审计是应尽关心的一个方面。安全审计和效果审查是展现应尽关心的关键元素。机构高管必须按规定定期执行安全审查，否则他们可能会因为没有尽职尽责而造成的任何资产损失而被追究责任。

了解控制审计报告访问的必要性。审计报告通常会阐明审计目的、审计范围以及审计发现或揭示的结果等常见概念。此外，审计报告往往还包含环境特有的其他细节，以及问题、标准、原因、建议等敏感信息。内含敏感信息的审计报告应该贴上分类标签并得到妥善处置。只有拥有足够权限的人员才可访问它们。审计员可以为不同的目标对象编制不同版本的审计报告，每个版本都只包含特定对象需要掌握的细节。例如，提交给高级安全管理员的报告可能需要面面俱到，涉及所有相关细节，而提交给执行官的报告将只提供概括性信息。

了解访问审查和用户权限审计。访问审查审计确保对象访问和账户管理工作将安全策略落到实处。用户权限审计主要针对特权账号，确保最小特权原则得到严格遵守。

审计访问控制。对访问控制流程的定期审查和审计有助于评价访问控制的效果。例如，审计可跟踪任何账号登录的成功和失败。入侵检测系统可以监测这些日志，轻而易举就能把攻击识别出来并通知管理员。

第18章.灾难恢复计划

了解可能威胁组织的常见自然灾难。包括地震、洪水、暴风雨、火灾、海啸和火山爆发。

了解可能威胁组织的常见人为灾难。包括爆炸、电气火灾、恐怖行为、电力中断、其他公共设施故障、基础设施故障、硬件／软件故障、罢工、盗窃和故意破坏。

熟悉常见的恢复设施。常见的恢复设施包括冷站点、温站点、热站点、移动站点、服务局以及多站点。必须理解每种设施的优缺点。解释相互援助协议的潜在优点及没能在当今商业活动中普遍实现的原因。虽然相互援助协议(MAA)提供了相对廉价的灾难恢复替代场所，但由于它们无法强制实施，因而不能被普遍使用。参与MAA的组织可能会由于相同的灾难而被迫关闭，并且MAA还会引发保密性问题。

了解数据库备份技术。数据库得益于三种备份技术。电子链接用于将数据库备份传输到远程站点，作为批量传输的一部分。远程日志处理则用于更频繁的数据传输。借助远程镜像技术，数据库事务在实时备份站点镜像。

了解灾难恢复计划测试的5 种类型和每种测试对正常业务运营的影响。这5 种类型是通读测试、结构化演练、模拟测试、并行测试和完全中断测试。通读测试完全是文书工作练习，而结构化演练涉及项目组会议。两者都不会影响业务运营。模拟测试可能会暂停非关键的业务。并行测试涉及重新部署人员，但不会影响日常运营。完全中断测试包括关闭主要系统以及将工作转移到恢复设施。

第19章.调查与道德

了解计算机犯罪的定义。计算机犯罪是指直接针对或直接涉及使用计算机，违反法律或法规的任何行为。

能够列出并解释计算机犯罪的6 个类别。这些类别是军事和情报攻击、商业攻击、财务攻击、恐怖攻击、恶意攻击和兴奋攻击。能够解释每种攻击的动机。

了解证据收集的重要性。只要发现事件，就必须开始收集证据并尽可能多地收集事件相关信息。证据可在后来的法律活动中使用，或用于确定攻击者的身份。证据还可帮助确定损失的范围和程度。

了解电子发现过程。相信他们将成为诉讼目标的组织有责任在一个被称为电子发现的过程中保存数字证据。电子发现过程包括信息治理、识别、保存、收集、处理、检查、分析、产生和呈现活动。

了解如何调查入侵，以及如何从设备、软件和数据中收集足够的信息。你必须拥有设备、软件或数据来分析，并将其作为证据。你必须获取证据而不得修改它，也不允许任何人修改它。

了解三种基本的没收证据的选择方案，并知道每种方案适用的情况。第一种，拥有证据的人可能会自愿交出证据。第二种，使用法院传票强迫嫌疑人交出证据。第三种，如果需要没收证据，但不给嫌疑人破坏证据的机会，那么搜查证是最有用的。

了解保存调查数据的重要性。因为在事故发生后，总会发现某些蛛丝马迹，所以除非保证关键的日志文件被保存一段合理的时间，否则将失去有价值的证据。可在适当的地方或档案文件中保留日志文件和系统状态信息。

了解法庭可采纳证据的基本要求。能够被采纳的证据必须与案件事实相关，事实必须以材料形式呈现，证据的收集方式应在能力范围内，且符合法律规定。

解释各种可能在刑事或民事审判中使用的证据。实物证据由可以被带进法庭的事实物件组成。文档证据由能够说明事实的书面文件组成。言辞证据包括证人陈述的口头证据或书写的言论证据。

理解安全人员职业道德的重要性。安全从业者被赋予非常高的权利和责任，以履行其工作职责。这便存在权利滥用的情形。没有严格的准则对个人行为进行限制，我们可认为安全从业人员具有不受限制的权利。遵守道德规范有助于确保这种权利不被滥用。

了解ISC)2 的道德规范和RFC 1087“ 道德规范和互联网”。所有参加CISSP 考试的人都应该熟悉(ISC)2 的道德规范，因为他们必须签署遵守这一准则的协议。此外，他们还应该熟悉RFC1087 的基本要求。

第20章.软件开发安全

解释关系数据库管理系统(RDBMS)的基本体系结构。了解关系数据库的结构。能够解释表（关系）、行（记录／元组）和列（字段／属性）的含义。知道如何在表和各种键类型的角色间定义关系。描述由聚合和推理形成的数据库安全威胁。

知道各种存储器类型。能分清主存储器、虚拟内存、辅助存储器、虚拟存储器、随机访问存储器、顺序访问存储器、易失性存储器和非易失性存储器。

解释专家系统和神经网络如何工作。专家系统包括两个主要组件：包含一系列if/then 规则的知识库；使用知识库信息得到其他数据的推理引擎。神经网络模拟人类大脑的运作，在有限的范围内通过安排一系列的分层计算来解决问题。神经网络需要针对特定问题进行大量训练，才能提供解决方案。

理解系统开发的模型。瀑布模型描述了一个连续的开发过程，导致最终产品的开发。如果发现错误，开发人员只能回退到上个阶段。螺旋模型反复使用了几个瀑布模型，从而生成许多详细说明的和经过完全测试的原型。敏捷开发模型将重点放在客户的需求上，快速开发新功能，以迭代方式满足这些需求。

描述软件开发成熟度模型。知道成熟度模型能帮助组织通过实施从临时的、混乱的过程到成熟的、有纪律的软件开发过程的进化路径，从而提高软件开发过程的成熟度和质量。能够描述SW-CMM 和IDEAL 模型。

理解变更和配置管理的重要性。知道变更控制的三个基本组件——请求控制、变更控制、发布控制，以及它们对安全的贡献。解释配置管理如何控制在组织中使用的软件版本。

理解测试的重要性。软件测试应当被设计为软件开发过程的一部分。软件测试应当作为改善设计、开发和产品化过程的管理工具。

第21章.恶意代码和应用攻击

理解病毒使用的传播技术。病毒使用4 种主要的传播技术来渗透系统并传播恶意载荷，这4 种技术是文件程序感染、服务注入、主引导记录感染和宏病毒，从而渗透系统和扩散它们的病毒载体。我们需要理解这些技术以有效地保护网络上的系统免受恶意代码侵犯。

知道反病毒软件如何检测已知病毒。大多数反病毒软件使用特征型检测算法寻找已知病毒的指示模式。为防止新产生的病毒，定期更新病毒定义文件是必不可少的。基于行为的检测技术也变得越来越普遍，反病毒软件监视目标系统中的异常活动，或者阻止或标记目标以进行调查，即使软件不匹配已知的恶意软件签名。

解释攻击者使用的破坏密码安全的攻击技术。密码是目前最常见的访问控制机制，也是必不可少的，所以需要知道如何保护它们，以防止攻击者破坏它们的安全性。知道如何进行密码破解、字典攻击和社会工程学攻击，诸如钓鱼攻击也可以打败密码的安全性。

熟悉各类应用程序攻击，攻击者使用这些攻击来攻击编写拙劣的软件。应用程序攻击是现代最大的威胁之一。攻击者还利用后门、rocrrou 漏洞以及rootkit 来获得对系统的非法访问。安全专家必须对每种攻击和相关控制措施有清晰的理解。

理解常见Web 应用程序的漏洞及对策。由于许多应用程序转移到Web 上，开发人员和安全专业人员必须了解存在于当今环境中的新攻击类型，以及如何防范它们。两个最常见的例子是跨站脚本(XSS)攻击和SQL 注入攻击。

知道攻击者准备攻击网络时使用的侦察技术。在发起攻击前，攻击者用1P 扫描寻找网络中存活的主机。这些主机随后会遭到端口扫描和漏洞探测，从而使攻击者能够定位目标网络中有可能被攻击的脆弱点。应该在理解这些攻击后帮助网络抵御这些攻击，限制攻击者可能收集的信息。

最后

以上就是体贴冷风为你收集整理的CISSP-OSG-要点总结梳理第2章.     人员安全和风险管理的概念第3章.     业务连续性计划第4章.     法律法规和合规第5章.     保护资产安全第6章.     密码学和对称秘钥算法第7章.     PKI和密码应用第8章.     安全模型设计和能力的原则第9章.     安全漏洞威胁和对策第10章.物理安全要求第11章.安全网络架构和保护网络组件第12章.安全通信与网络攻击第13章.管理身份和身份验证第14章.控制和监控访问第15章.安全评估和测试第16章.安全运营管的全部内容，希望文章能够帮你解决CISSP-OSG-要点总结梳理第2章.     人员安全和风险管理的概念第3章.     业务连续性计划第4章.     法律法规和合规第5章.     保护资产安全第6章.     密码学和对称秘钥算法第7章.     PKI和密码应用第8章.     安全模型设计和能力的原则第9章.     安全漏洞威胁和对策第10章.物理安全要求第11章.安全网络架构和保护网络组件第12章.安全通信与网络攻击第13章.管理身份和身份验证第14章.控制和监控访问第15章.安全评估和测试第16章.安全运营管所遇到的程序开发问题。

如果觉得靠谱客网站的内容还不错，欢迎将靠谱客网站推荐给程序员好友。