2024-10-18 15:15:00 +08:00
# CISP题库知识点
### 第一章 信息安全保障
- 2003年，
- "27号文"的主要任务（重点加强的安全保障工作）:
1. 实行信息安全等级保护；
2. 加强以密码技术为基础的信息保护和网络信任体系建设
3. 建设和完善信息安全监控体系；
4. 重视信息安全应急处理工作；
5. 加强信息安全技术研究开发，推进信息安全产业发展；
6. 加强信息安全法制建设和标准化建设；
7. 加快信息安全人才培养，增强全民信息安全意识；
8. 保证信息安全资金；
9. 加强对信息安全保障工作的领导，建立健全信息安全管理责任制。
2024-10-21 22:54:44 +08:00
- 信息安全保障的原则
1. 立足国情，以我为主，坚持管理与技术并重；
2. 正确处理安全和发展的关系，以安全保发展，在发展中求安全；
3. 统筹规划，突出重点，强化基础工作；
4. 明确国家、企业、个人的责任和义务，充分发挥各方面的积极性，共同构筑国家信息安全保障体系。
2024-10-18 15:15:00 +08:00
- 信息安全的保障要素：管理、工程、技术、人员；
- 安全特征：保密性、完整性、可用性。
- 信息安全保障深度防御模型：“从内而外，自上而下，从端到边界的防护能力”
- PDR：
2024-10-21 22:54:44 +08:00
2024-10-18 15:15:00 +08:00
PPDR：
2024-10-20 23:29:20 +08:00
- 综合保障的观念：整体安全＼管理安全＼技术安全＼工程安全
- 信息安全保障工作的总体要求：坚持积极防御、综合防范的方针，全面提高信息安全防护能力，重点保障基础信息网络和重要信息系统安全，创建安全健康的网络环境，保障和促进信息化发展，保护公众利益，维护国家安全。
- 信息系统安全保障模型：保障要素、安全特征、生命周期
- PPDR模型：
### 第二章 信息安全监管
- CISP-( Certified Information Security Professional ）注册信息安全专业人员
- 《中华人民共和国网络安全法（ ） ， ， ， ，
- 自2004年1月起， ， < span style = "color:red" > 全国信息安全标准化技术委员会（ ） </ span > 提出工作情况，协调一致后由该组织申报。
- SP 800是美国NIST（ ） （ ）
- GB/T 22240-2008 《信息系统安全保护等级定级指南》，
- 具有行政法律责任强制力的安全管理规定和安全制度包括：安全事件（包括安全事故）报告制度、安全等级保护制度、安全专用产品销售许可证制度
- 信息系统建设完成后，< span style = "color:red" > 二级以上</ span > 的信息系统的运营使用单位应当选择符合国家规定的测评机构进行测评合格后方可投入使用。
- 等保评测三级系统每年最少一次，四级系统每半年至少一次。
- RFC系列标准由IETF发布【Internet工程任务组（ ， ）
- 国家科学技术秘密的密级
- 绝密级
- 国际领先，并且对国防建设或者经济建设具有特别重大影响的；
- 能够导致高新技术领域突破的；
- 能够整体反映国家防御和治安实力的。
- 机密级
- 处于国际先进水平，并且具有军事用途或者对经济建设具有重要影响的；
- 能够局部反映国家防御和治安实力的；
- 我国独有、不受自然条件因素制约、能体现民族特色的精华，并且社会效益或者经济效益显著的传统工艺。
- 秘密级
- 处于国际先进水平 ，并且与国外相比在主要技术方面具有优势，社会效益或者经济效益较大的；
- 我国独有、受一定自然条件因素制约，并且社会效益或者经济效益很大的传统工艺。
- 《中华人民共和国电子签名法》第十三条电子签名同时符合下列条件的，视为可靠的电子签名：
当事人也可以选择使用符合其约定的可靠条件的电子签名。
- < span style = "color:red" > 《保密法》</ span > 第二十三条规定存储、处理国家秘密的计算机信息系统（以下简称涉密信息系统）按照< span style = "color:red" > 涉密程度</ span > 实行分级保护。< span style = "color:red" > 涉密信息系统</ span > 应当按照国家保密标准配备保密设施、设备。< span style = "color:red" > 保密设施</ span > 、设备应当与涉密信息系统同步规划、同步建设、同步运行《三同步》。涉密信息系统应当按照规定，经< span style = "color:red" > 检查合格</ span > 后，方可投入使用。
- 信息安全管理体系是按照ISO/IEC 27001标准《信息技术 安全技术 信息安全管理体系要求》的要求进行建立的，
- BS7799-1(ISO/IEC 1799:2000)《信息安全管理实施细则》是组织建立并实施信息安全管理体系的一个指导性的准则，主要为组织制定其信息安全策略和进行有效的信息安全控制提供了一个大众化的最佳惯例。
- BS7799-2《信息安全管理体系规范》规定了建立、实施和文件化信息安全管理体系(ISMS)的要求，规定了根据独立组织的需要应实施安全控制的要求。
### 第三章 信息安全管理
- 管理评审的实施主体不局限于第三方
- 信息安全方针由管理层制定
- 信息安全管理体系（ ， ）
- PDCA模型
1. 规划与建立（ ）
2. 实施与运行（ ）
3. 监视与评审（ ）
- “实施内部审核”属于监视和评审阶段
4. 维护和改造（ ）
- 信息安全管理体系控制措施（ ）
1. 信息安全方针（ ）
2. 信息安全组织（ ）
3. 人力资源安全（ ）
4. 资产管理（ ）
5. 访问控制（ ）
6. 密码学（ ）
7. 物理与环境安全（ ）
8. 操作安全（ ）
9. 通讯安全（ ）
10. 信息的获取开发及维护（ ）
11. 供应商关系（ ）
12. 信息安全事件管理（ ）
13. 业务连续性管理（ ）
14. 符合性（ ）
- Information Security Management Systems－ ， ，
- 安全风险管理基本过程
- 第一阶段 背景建立
- 第二阶段 风险评估
- 第三阶段 风险处理
- 第四阶段 批准监督
- 一级文件< span style = "color:red;" > 定目标</ span > 、二级文件< span style = "color:red;" > 定措施</ span > 、三级文件< span style = "color:red;" > 看执行</ span > 、四级文件< span style = "color:red;" > 看结果</ span >
- ISO 27001： ：
ISO 27001： ：
- 信息安全工程监理的信息安全工程监理模型由三部分组成，即
1. 咨询监理支撑要素
2. 监理咨询阶段过程
3. 控制管理措施
- 监理职责之：四控三管一协调
- 四控：进度控制、质量控制、成本控制（投资控制）、变更控制。
- 三管：合同管理、安全管理、信息管理。
- 一协调：协调甲方、总包及设备材料供应方的关系
- 信息安全管理体系的作用：
1. 保护信息安全，不受到恶意的侵犯；
2. 保证组织业务的连续性，资产安全性。
- 信息安全管理体系的意义：
1. 对国家，有利于国家的战略发展；
2. 对组织，有利于业务的顺利展开；
3. 对个人，有利于权益不受侵犯。
### 第四章 业务连续性
- 应急响应是指组织为了应对突发/重大信息安全事件的发生所做的准备，以及在事件发生后所采取的措施。
2024-10-23 10:37:09 +08:00
- 信息安全事件分为：有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件和其他信息安全事件。
2024-10-20 23:29:20 +08:00
- 信息安全事件分类分级
- < span style = "color:red;" > 信息安全事件</ span > 的分级参考下列3个要素： < span style = "color:red;" > ①</ span > 信息系统的重要程度、< span style = "color:red;" > ②</ span > 系统损失、< span style = "color:red;" > ③</ span > 社会影响。
- < span style = "color:red;" > 信息系统</ span > 划分为3级： < span style = "color:red;" > ①</ span > 特别重要信息系统、< span style = "color:red;" > ②</ span > 重要信息系统、< span style = "color:red;" > ③</ span > 一般信息系统。
- < span style = "color:red;" > 系统损失</ span > 划分4个级别： < span style = "color:red;" > ①</ span > 特别严重的系统损失、< span style = "color:red;" > ②</ span > 严重的系统损失、< span style = "color:red;" > ③</ span > 较大的系统损失、< span style = "color:red;" > ④</ span > 较小的系统损失。
- < span style = "color:red;" > 社会影响</ span > 划分4个级别： < span style = "color:red;" > ①</ span > 特别重大的社会影响、< span style = "color:red;" > ②</ span > 重大的社会影响、< span style = "color:red;" > ③</ span > 较大的社会影响、< span style = "color:red;" > ④</ span > 一般的社会影响。
- < span style = "background-color:yellow;color:red;" > 四种风险处置方式（必考）</ span >
1. **风险降低**
在BCP中， < span style = "color:red;" > 人力资源< / span > 、< span style = "color:red;" > IT基础设施< / span > 和< span style = "color:red;" > 辅助性设施/场所< / span > 。
2. **风险转移**
对于某些风险，最好的响应方式可能是转移风险。这可通过常规的< span style = "color:red;" > 保险< / span > 或< span style = "color:red;" > 合同< / span > 安排来实现风险转移，或通过向第三方支付费用以其他方式处理风险。
3. **风险规避**
- < span style = "color:red;" > 变更</ span > 、< span style = "color:red;" > 延缓</ span > 或< span style = "color:red;" > 停止</ span > 某种服务或业务功能
- 该措施只能在与组织目标、法律法规符合性以及利益相关方的期望不发生冲突时考虑
4. **风险接受（风险自留）**
- 采取措施的潜在收益与成本不成比例
- 对某些风险能够采取措施的能力有限
- RTO和RPO都可以为0，
- RTO恢复时间目标（ ） ，
- RPO恢复点目标（ ） ， ， ，
两个值都为0的情况下， ，
- BCP是为了保护关键业务功能。
- 业务特性可以从业务内容和流程中获取。
- 应急响应六阶段（ ）
- 第一阶段：< span style = "color:red;" > 准备</ span > ——让我们严阵以待
- 第二阶段：< span style = "color:red;" > 检测</ span > ——对情况综合判断
- 第三阶段：< span style = "color:red;" > 遏制</ span > ——制止事态的扩大
（ ） < br >
（ ） < span style = "color:red;" > 拔掉网线< / span > 。< br >
（ ） ， ； < br >
（ ） < br >
（ ） ； < br >
（ ）
- 第四阶段：< span style = "color:red;" > 根除</ span > ——彻底的补救措施
（ ） ； < br >
（ ） < br >
（ ） ； < br >
（ ） ； < br >
（ ） < span style = "color:red;" > 格式化被感染恶意程序的介质< / span > 。
- 第五阶段：< span style = "color:red;" > 恢复</ span > ——系统恢复常态
- 第六阶段：< span style = "color:red;" > 跟踪总结</ span > ——还会有第二次吗
2024-10-21 22:54:44 +08:00
- 应急响应管理过程分为：准备、检测、遏制、根除、恢复、跟踪总结。
2024-10-20 23:29:20 +08:00
- 计算机取证的过程可以分为< span style = "color:red;" > 准备</ span > 、< span style = "color:red;" > 保护</ span > 、< span style = "color:red;" > 提取</ span > 、< span style = "color:red;" > 分析</ span > 和< span style = "color:red;" > 提交</ span > 5个步骤。
- 增量备份是每次备份的数据相当于上一次备份后增加或修改过的数据。
2024-10-21 22:54:44 +08:00
- 我国< span style = "color:red;" > 6个</ span > 灾难< span style = "color:red;" > 恢复</ span > 等级
2024-10-20 23:29:20 +08:00
- 第1级 基本支持
- 第2级 备用场地支持
- 第3级 电子传输和部分设备支持
- 第4级 电子传输及完整设备支持
- 第5级 实时数据传输及完整设备支持
- 第6级 数据零丢失和远程集群支持
- 《关于做好重要信息系统灾难备份工作的通知》--做好重要信息系统灾难备份工作的基本原则重要信息系统灾难备份建设工作要坚持“< span style = "color:red;" > 统筹规划、资源共享、平战结合</ span > ”的原则，充分调动和发挥各方面的积极性，提高抵御灾难破坏能力和灾难恢复能力。
- 一般选址原则：避免灾难备份中心与生产中心同时遭受同类风险。
- 进行业务影响分析（ ）
1. 标识关键的业务过程
2. 标识关键的 IT 资源
3. 标识中断影响和允许的中断时间
4. 开发恢复优先级
- 业务系统运行中异常错误处理合理的方法是：< span style = "color:red;" > 最小反馈原则</ span > 。
### 第五章 安全工程与运营
- 系统工程思想具有普遍适用性，适用于复杂工程，目的是实现总体效果最优。
- 系统工程不属于基本理论，也不属于技术基础，它所研究的重点是方法论。
- 零日漏洞：刚被发现还未打补丁就被利用的漏洞。
- 项目目标要遵守SMART原则， （ ） （ ） （ ） （ ） （ ）
- 建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施< span style = "color:red;" > 同步规划</ span > 、< span style = "color:red;" > 同步建设</ span > 、< span style = "color:red;" > 同步使用</ span > 。
——《中华人民共和国网络安全法》
- 信息安全工程就是要解决信息系统生命周期的“过程安全”问题。
- 每个过程区域包括一组表示组织成功执行过程区域的目标。每个过程区域也包括一组集成的基本实施（ ， ） ， < span style = "background-color:yellow;" > 它具有如下特性：</ span >
（ ） < br >
（ ） < br >
（ ） < br >
（ ）
- BP不限定于特定的方法工具， ， < br >
BP是最佳实践，
- 一个组织机构可随意以他们所选择的方式和次序来计划、跟踪、定义、控制和改进他们的过程。然而，由于一些较高级别的通用实施依赖于较低级别的通用实施，因此，< span style = "background-color:yellow;" > 组织机构在试图达到较高级别之前，应首先实现较低级别通用实施</ span > 。
- 能力级别根据“公共特性”分级， （ ） ， ，
- 系统安全工程-能力成熟度模型（ ， ）
< span style = "background-color:red;" > 风险过程< / span > ： < span style = "background-color:yellow;" > 工程过程< / span > ： < span style = "background-color:lightgreen;" > 保证过程< / span > ：
- 能力成熟度模型（ ） ：
1. 定义标准过程
2. 执行已定义的过程
3. 协调安全实施
- SSE-CMM是一种面向工程过程的方法。
2024-10-21 22:54:44 +08:00
- SSE-CMM每个级别都具有几个公共特征
2024-10-20 23:29:20 +08:00
- 系统工程所包括的各要素之间是互相联系的，不能独立研究。
- SSE-CMM不是孤立的工程，
- 项目管理的三重约束：时间+成本+质量。
### 第六章 信息安全评估
- CC没有强调独立性。
- 对信息安全建设工程实施的成熟度进行评估使用SSE-CMM。
- 定性风险分析具有主观性，但不能随意。
- 信息安全风险评估应以自评估为主，自评估和检查评估相互结合、互为补充。
- 如果残余风险没有降低到可接受的级别，要重新启动风险管理过程。
- 目前我国常见的信息系统安全测评包括：
- 信息系统风险评估
- 信息系统安全保障测评
- 等保测评
- 定性风险分析更具主观性，而定量风险分析更具客观性
- 《信息安全技术信息安全风险评估规范GB／
1. 规划阶段风险评估的目的是识别系统的业务战略，以支撑系统安全需求及安全战略等。
2. 设计阶段的风险评估需要根据规划阶段所明确的系统运行环境、资产重要性，提出安全功能需求。
3. 实施阶段风险评估的目的是根据系统安全需求和运行环境对系统开发、实施过程进行风险识别，并对系统建成后的安全功能进行验证。
4. 运行维护阶段风险评估的目的是了解和控制运行过程中的安全风险，是一种较为全面的风险评估。评估内容包括对真实运行的信息系统、资产、威胁、脆弱性等各方面。
- 造成威胁的< span style = "color:red;" > 因素</ span > ：人为因素和环境因素。
- 确认已有安全措施包括：技术层面、组织层面和管理层面。
- 风险评估各阶段的输出文档
< img src = "https://picgo-noriu.oss-cn-beijing.aliyuncs.com/Images/PixPin_2024-09-21_18-07-50.png" alt = "PixPin_2024-09-21_18-07-50" style = "zoom: 80%;" / >
- TCSEC（ ） ：
- D - 最小保护
- C - 选择保护（ ）
- < span style = "color:red;" > B - 强制保护（ ） </ span >
- A - 验证保护（ ）
- EAL（ ）
- EAL１ ：
- EAL 2：
- EAL 3：
- EAL 4：
- EAL 5：
- EAL 6：
- EAL 7：
- GB/T 20984-2007《信息安全风险评估规范》给出信息安全风险分析思路。
- 风险值=R（ ， ， ） （ （ ， ） ， （ ， ） ）
- R 表示安全风险计算函数
- A 表示资产
- T 表示威胁
- V 表示脆弱性
- < span style = "color:red;" > Ia 表示安全事件所作用的资产价值</ span >
- < span style = "color:red;" > Va 表示脆弱性严重程度</ span >
- L 表示威胁利用资产的脆弱性导致安全事件的可能性
- F 表示安全事件发生后造成的损失
- 风险管理的目标就是把风险控制在可接受的范围之内。
- 风险评估与管理工具的类型：基于标准、基于知识、基于模型。
- 风险评估工具的类型：
1. 风险评估与管理工具
2. 系统基础平台风险评估工具
3. 风险评估辅助工具
- 安全目标（ ）
- 风险的基本属性
1. 风险发生的概率；
2. 风险一旦发生所带来的影响/后果。
- 风险评估要素之间关系
- 威胁识别定义
- 威胁识别：判断威胁出现的频率是威胁赋值的重要内容；
- 脆弱性识别：对脆弱性严重程度进行等级化处理；
- 确认已有的控制措施：建立在《信息系统的描述报告》、《信息系统的分析报告》、《信息系统的安全要求报告》来确认已有的安全措施，包括技术层面、组织层面、管理层面的安全对策，形成《已有安全措施列表》。
### 第七章 信息安全支撑技术
- 分组密码也称为块密码，序列密码也称为流密码。
- < span style = "background-color:yellow;" > 分组密码也称块密码，是将明文分成固定长度的组，用同一密钥和算法对每一块加密</ span > ， ，
- < span style = "background-color:yellow;" > 流密码也称序列密码</ span > ，是将明文消息按字符逐位地加密，连续地处理输人明文，并随着该加密的进行，一次产生一个密文的输出，即一次加密一个比特或一个字节。< span style = "background-color:yellow;" > 典型的例子如一次一密</ span > （ ）
- Whitfield Diffie 和 Martin Hellman在1976年第一个提出公钥密码算法，
- 常见的访问控制模型包括自主访问控制模型、强制访问控制模型和基于角色的访问控制模型等。三种模型之间没有安全层级递进关系。
- ACL可以决定任何一个特定的主体是否可对某一个客体进行访问，
- BLP模型用于保证信息的机密性，
- 访问控制方法可分为自主访问控制、强制访问控制和基于角色的访问控制。
- 基于角色的访问控制（ ） ，
自主访问控制（ ）
- 访问控制模型中主体和客体的关系是相对的，角色可以互换。
- Bell-LaPadula模型应用是MAC； ； （ ）
- ACL在增加客体时，
- Kerberos可用于通信实体间的身份认证，
- 数字签名利用私钥加密、公钥解密 ，确认发件人，用于实现完整性，提供防抵赖等服务。
- 网络认证协议（ ） ；
网络认证协议（ ） ；
网络认证协议（ ）
- 转轮机的出现是古典密码学发展成熟的重要标志之一。
- RA - 证书注册机构
- 国际标准X.509定义了电子证书的规范格式
CC标准以“ISO/IEC 15408-1999”编号正式列入国际标准系列
802.11 无线局域网标准
GB/T 20984-2007《信息安全风险评估规范》
- PGP(英语:Pretty Good Privacy， ，
- BLP模型：
- Kerberos认证过程 - 三次通信
1. 第一次： （ ）
2. 第二次： （ ）
3. 第三次：获得服务
- 能力表CL----表示每个主体可以访问的客体及权限。
### 第八章 物理环境与网络通信安全
- VPN - Virtual Private Network
- WPA-802.11i草案，
- 无论哪种IDS都是部署在网络的内部，
- 数据库的安全防护属于DBA的职责。
- TCP/IP协议栈： ， ，
- MD5用于完整性校验
AES 实现机密性
AH提供完整性和数据源认证
- TCP协议工作在传输层， ，
- 源IP地址和目标IP地址在IP包中。
- UDP不提供重发机制，
- PPTP、L2TP—数据链路层； ；
- ARP 协议是一个无状态的协议。
- 送风方式有三种：下送上回，上送上回，侧送侧回；（没有下回风）。
- 防火墙不能物理隔离，但是能逻辑隔离；网闸可以进行物理隔离。
- 状态检测防火墙也称为动态包过滤，是对静态包过滤技术的功能扩展，因为配置要比包过滤防火墙复杂。
- 流量型拒绝服务攻击：
碎片攻击：
- UTM--United Threat Management
- 入侵检测系统（ ） ， ， ，
- 防范DNS劫持攻击需要加固DNS服务器。
- 防火墙不能防止发生SQL注入攻击。
- IPSec是一组基于密码学的安全的开放网络安全协议， ，
- 终端访问控制器访问控制系统(TACACS+)是Cisco专属协议。
- ICMP FLOOD是一种DDOS攻击， ， ，
- 网络层和应用层可以提供保密性、身份鉴别、完整性、抗抵赖、访问控制服务。
- IPS设备要串联到网络中，
- 防火墙可以防止网络攻击，但不能防病毒。
- 防火墙部署在内外网之间，交换机部署在防火墙的后面。
- VTP-VLAN Trunk Protocal， （ ）
### 第九章 计算环境安全
2024-10-21 18:02:00 +08:00
- 账号锁定时间在账号锁定策略中
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- 账户策略
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- 密码必须符合复杂性要求
- 密码长度最小值
- 强制密码历史
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- Linux常用权限
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- **600**：只有文件所有者有读和写权限，组和其他用户没有任何权限。通常用于私人文件，如个人密码文件。
- **644**：这是文件的一个常见权限设置，表示所有者有读和写权限，组和其他用户只有读权限。适用于公共文档和配置文件。
- **664**： ，
- **700**：只有文件所有者有读、写和执行权限，组和其他用户没有任何权限。通常用于个人脚本或需要保密的目录。
- **755**：通常用于可执行文件和目录，表示所有者有读、写、执行权限，组和其他用户有读和执行权限。适用于公共脚本和目录。
- **775**： ，
- **777**：这是一个非常开放的权限设置，表示所有用户都有读、写、执行权限，通常不推荐使用，因为它会带来安全风险。只有在特殊情况下，例如公共可写临时目录中，才可能使用。
- **555**：所有用户都有读和执行权限，但没有写权限。通常用于公共可执行文件或脚本，但不需要写入权限。
- **655**：所有者有读、写权限，组和其他用户有读和执行权限。适用于所有者需要编辑的脚本或程序，但其他人只能执行。
- **754**：所有者有读、写、执行权限，组用户有读权限，其他用户有读和执行权限。适用于所有者需要编辑，但组用户不需要写权限的可执行文件。
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- 操作系统安全配置主要包括：操作系统安全策略、开启账户策略、关闭不必要的服务、关闭不必要的端口、开启审核策略、开启密码策略、开启账户策略、备份敏感文件、不显示上次登录名、禁止建立空链接和下载最新补丁。
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- 利用注册表关闭隐藏共享：
- HKEY_LOCAL_MACHINE/SYSTEM/currentcontrolset/services/lanmanserver/parameters
- 新建DWORD值autoshareserver=0
- 新建DWORD值autosharewks=0
- 在命令窗口中输入命令， ：
- 系统管理员不能剥夺超级用户的权能。
- 数据库完整性包括：
1. 实体完整性：确保每行数据都是有效的
2. 区域完整性：确保每列数据都是有效的
3. 参考完整性
4. 自定义完整性
- S/MIME： ，
- Apache服务器的配置信息全部存储在主配置文件/etc/httpd/conf/httpd.conf中。
- 恶意代码隐藏通常包括本地隐藏和通信隐藏
- 本地隐藏有文件隐藏、进程隐藏、网络连接隐藏、内核模块隐藏、编译器隐藏等；
- 网络隐藏主要包括通信内部隐藏和传输通道隐藏。
- Acunetix Web Vulnerability Scanner简称AWVS， ， ， ， ，
- 账户锁定策略对内置管理员账号不生效，
- -r-s--x--x 1 root test 10704 Apr 15 2002/home/test/sh
- 第一个字符-表示这是一个普通文件。
- 接下来的三个字符r-s表示文件所有者的权限： ，
- 接下来的三个字符--x表示与文件所有者同组的用户的权限：
- 最后三个字符--x表示其他用户的权限：
当一个文件设置了setuid位， ， ， ， ， ， ， ，
- FAT32文件系统不支持EFS加密。
- EFS以公钥加密为基础， ；
EFS加密过程对用户透明， ；
EFS采用加密算法实现透明的文件加密和解密，
- 数据库安全粒度要根据实际需要进行选择，称为最适粒度安全策略。
- 恶意代码可以分为三种传播方式：网络传播、文件传播、软件部署
- NTFS文件系统不兼容EXT2。
- “强制密码历史”需要设置记住密码的数量。
- SID的内容包括： ； ； ； ：
- SSH： ， ，
- 提供专用日志服务器实现远程日志备份可以有效应对攻击者获得系统权限后对日志进行修改。
- 影子口令系统把口令文件分成两部分:/etc/passwd和影子口令文件。
影子口令文件保存加密的口令；/etc/passwd中的coded-password域都被置为"X"或其他替代符号。
影子口令文件只能被root或像passwd这样的set_uid程序在需要合法访问时读取，
- setuid： ，
- root用户： ， ， ， ， ，
- passwd文件是保存Linux系统用户信息的文件
1. 用户名：它唯一的标志了一个用户，用户登录时就用户它。
2. 密码：以前用户的加密都是被保存在/etc/passwd文件中的第2个字段中， ， ， ， ， ， ， ， ，
3. 用户ID： ， ， ， ，
4. 用户组ID： ，
5. comment：
6. 主目录：用户的家目录
7. 登录的shell：
- -rwxr-xr-x 3 user admin 1024 Sep 13 11:58 test
第一个字符代表文件（-） （ ） ， （ ） ， （ ） ， （ ） （ ） （ ） ； ； ； ； ； ；
- iptables -A INPUT -p tcp -s 192.168.10.0/24 --dport 8080 -j ACCEPT
-A： ，
-s： ， ，
IP | IP/MASK | 0.0.0.0/0.0.0.0 而且地址可以取反，加一个“!”表示除了哪个IP之外
-d：
-p： （ ， ）
- 病毒不能感染文本文件。
- SMTP是个请求/响应协议，
- HTTPS（ ） ， ， ， ， （ ） ，
- 在数据库安全性控制中，授权的数据对象粒度越小 ，授权子系统就越灵活。
- 检测未经授权的信息处理活动需要查日志并启用时钟同步以实现日志关联。
2024-10-20 23:29:20 +08:00
2024-10-21 22:58:03 +08:00
2024-10-20 23:29:20 +08:00
### 第十章 软件开发安全
2024-10-21 18:02:00 +08:00
- 在软件保障成熟度模型（ ， ）
- 治理、构造、验证、部署
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- 软件安全问题越早解决成本越低。
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- 需求说明书属于开发文档。
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- 多项安全措施并用----纵深防御。
一项工作需多人协作共同完成---职责分离。
- SA是数据库最大用户权限，
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- BSI认为软件安全有三根支柱：
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- 模糊测试：通过提供非预期的输入并监视异常结果来发现软件故障的方法，强制软件程序使用畸形数据，并观察软件运行情况的一种测试方法。
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- 渗透测试：是一种模拟攻击者进行攻击的测试方法，从攻击的角度来测试软件系统，并评估系统安全性的一种测试方法。
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- 软件缺陷密度使用千行代码缺陷率来衡量。
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- 隐私保护原则：系统收集到的用户信息都必须实施妥善和安全的保护。
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- Core Impact提供专业的全方位的网络渗透测试功能。当增加或修改网络系统、发现新的漏洞， ，
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- Nessus 系统漏洞扫描与分析软件---针对类UNIX系统。
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- Web Vulnerability Scanner——Web漏洞扫描工具。
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- Metasploit是一款开源的安全漏洞检测工具。
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- FUZZ测试就是模糊测试。
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- 非预期的输入是模糊测试。
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- 威胁是一种不希望发生、对资产目标有害的事件。从本质上看，它有可能是恶意的，也可能不是恶意的。因此，威胁并不等于漏洞。
- STRIDE六类威胁
- STRIDE模型不是按严重程度排序的。
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- SDL的阶段和安全活动
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- < span style = "color:red;" > 七个阶段</ span >
- < span style = "color:red;" > 十七项必需的安全活动</ span >
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
2024-10-20 23:29:20 +08:00
2024-10-21 18:02:00 +08:00
- “信息安全保障技术框架（ ， ）
2024-10-23 00:13:02 +08:00
### 套卷
- 搜索引擎技术特点：索引器的主要功能是理解搜索器所采集的网页信息，并从中抽取索引项。
- OSI模型中IP层对应网络层。
- DOI的全称是digital object unique identifier， ， ，
- DOI具有唯一性、持久性、兼容性、互操作性、动态更新的特点
- DOI码由前缀和后缀两部分组成，
- DOI的体现形式主要包括： ， ， ，
- 混合模式支持两种类型用户： ， ， ，
- 信息安全风险管理过程的模型如图所示。按照流程，请问，信息安全风险管理包括< span style = "color:red;" > 背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询</ span > 六个方面的内容 。< span style = "color:red;" > 背景建立、风险评估、风险处理和批准监督</ span > 是信息安全风险管理的四个基本步骤，< span style = "color:red;" > 监控审查和沟通咨询</ span > 则贯穿于这四个基本步骤中。
- 一个安全区域可以是一个可上锁的办公室，或是被连续的物理安全屏障包围的几个房间。
- 门锁是广泛使用的边界防护措施之一。
- 闭路电视监控系统主要有前端数据采集设备以及后端控制设备组成。前端设备包括摄像机，通常布置在机房出入口，设备操作台位置，后端设备由数字式控制录像设备，监视器等中央控制设备组成，根据要求可在需要时对视频信号进行记录，同时引出监控视频信号在监视器上，供值班人员工作使用。
- 完全备份是指备份全部选中的文件夹，并不依赖文件的存档属性来确定备份哪些文件；增量备份是针对于上一次备份(无论是哪种备份)，备份上一次备份后，所有发生变化的文件；差异备份是针对完全备份，备份上一次的完全备份后发生变化的所有文件。三种备份方式在数据恢复速度方面由快到慢的顺序为完全备份、差异备份、增量备份。
- Web应用软件表示层的测试主要集中在客户端， ：
- V模型软件开发阶段包括：
- 所有与需求直接相关的活动统称为需求工程。
- 需求工程的活动可分为需求开发和需求管理两大类
- 需求开发的目的是通过调查与分析，获取用户需求并定义产品需求;
- 需求开发主要有需求获取、需求分析、需求定义和需求验证等4个过程
- 需求管理的目的是确保各方对需求的一致理解、管理和控制需求的变更，从需求到最终产品的双向跟踪。在需求管理中，要收集需求的变更和变更的理由，并且维持对原有需求和产品及构件需求的双向跟踪。
- 信息安全是通过实施一组合适的控制措施而达到的，包括策略、过程、规程、组织结构以及软件和硬件功能。在需要时需建立、实施、监视、评审和改进这些控制措施，以确保满足该组织的特定安全和业务目标。这个过程应与其他业务管理过程联合进行。
- 物联网的感知层安全技术主要包括RFID技术和传感器技术等， ： ， ，
- 1837年，
1906年，
- 瑕疵（ ） ， （ ） ， ，
- 自主访问控制(DAC)不能抵御特洛伊木马的攻击。
- 防病毒软件通过对有毒软件的检测，将软件行为与恶意代码为模型进行匹配。这种方式属于行为检测。
- 在可维护性的特性中相互促进的是可理解性和可测试性。
- PDCA循环由休哈特提出， ，
- 各层PDU(协议数据单元)如下：
- 传输层：数据段--Segment
- 网络层：数据包--Packet
- 数据链路层：
- 物理层：比特流--bits
- OSI七层模型
- 根据TTL的返回值可以判断目标主机的操作系统类型。
- 安全扫描器—自动检测远程或本地主机和网络安全性弱点的程序。
- 描述评估结果中不可接受的风险制定风险处理计划，选择适当的控制目标及安全措施，明确责任、进度、资源，并通过对残余风险的评价以确定所选择安全措施的有效性的《风险处理计划》。
- 《重要资产列表》属于评估过程文档。
- 扫描分为被动和主动两种。被动扫描对网络上流量进行分析， ， ， ，
- 审计无法发现感染的恶意代码的类型和名称。
- 加密分享是通过加密手段进行文件数据的分享，
- 国际标准化组织（ ） ： ，
- “实施内部审核”属于ISMS监视和评审阶段。
- 基于角色的访问控制（ ） ，
- DAC-自主访问控制是一种对单个用户执行访问控制的过程和措施
- Windows系统在重启后会自动重建驱动器盘符隐藏共享；
- 代替密码就是将明文中的每个字母由其它字母、数字或符号替代的一种方法。
- AES的密钥长度为128/192/256。
-
Windows服务的运行不需要用户的交互登陆
- 消息认证码是利用密钥来生成一个固定长度的短数据块，并将该数据块附加在消息之后。双方要使用同一个密钥，所以不可能使用公钥密码。
- hash算法的碰撞是指： ，
- Windows安全中心是windows系统的一个安全综合控制面板， ， ，
- DSA不能实现加密。
- Windows NT提供的分布式安全环境又被称为域（ ） ，
- netstat命令是一个监控TCP/IP网络的非常有用的工具，
- RSA是非对称式加密算法，
- kerckhoff准则： ，
- Windows XP中事件查看器中缺省有三种日志：
- 数字签名时发送方用自己的私钥进行加密，接收方用发送方的公钥进行解密。
- 消息认证码(MAC)利用密钥来生成一个短数据块，并将该数据块附加在消息之后。
- 符合性包括两个方面：符合法律和合同规定、信息安全审查。
- Linux内核2.1版本开始，系统管理员不能剥夺超级用户的权能。
- 信息安全的保障要素：管理、工程、技术、人员；
信息安全的安全特征：保密性、完整性、可用性。
