27 KiB
CISP题库知识点
第一章 信息安全保障
-
2003年，中办发27号文件――我国信息安全保障工作取得了明显成效
-
"27号文"的主要任务（重点加强的安全保障工作）:
- 实行信息安全等级保护；
- 加强以密码技术为基础的信息保护和网络信任体系建设
- 建设和完善信息安全监控体系；
- 重视信息安全应急处理工作；
- 加强信息安全技术研究开发，推进信息安全产业发展；
- 加强信息安全法制建设和标准化建设；
- 加快信息安全人才培养，增强全民信息安全意识；
- 保证信息安全资金；
- 加强对信息安全保障工作的领导，建立健全信息安全管理责任制。
-
信息安全保障的原则：立足国情，以我为主，坚持管理与技术并重；明确国家、企业、个人的责任和义务，充分发挥各方面的积极性，共同构筑国家信息安全保障体系。
-
信息安全的保障要素：管理、工程、技术、人员；
-
安全特征：保密性、完整性、可用性。
-
信息安全保障深度防御模型：“从内而外，自上而下，从端到边界的防护能力”
-
PDR：Protection-Detection-Response
PPDR：Policy-Protection-Detection-Response
-
综合保障的观念：整体安全＼管理安全＼技术安全＼工程安全
-
信息安全保障工作的总体要求：坚持积极防御、综合防范的方针，全面提高信息安全防护能力，重点保障基础信息网络和重要信息系统安全，创建安全健康的网络环境，保障和促进信息化发展，保护公众利益，维护国家安全。
-
信息系统安全保障模型：保障要素、安全特征、生命周期
-
PPDR模型：策略-防护-检测-响应
第二章 信息安全监管
-
CISP-( Certified Information Security Professional ）注册信息安全专业人员
-
《中华人民共和国网络安全法（草案）》在正式发布前历经三次审议，两次公开征求意见。2015年6月，第十二届全国人大常委会第十五次会议初次审议了一部法律草案，并于7月6日起在网上全文公布，向社会公开征求意见。
-
自2004年1月起，国内各有关部门在申报信息安全国家标准计划项目时，必须经由全国信息安全标准化技术委员会（TC260）提出工作情况，协调一致后由该组织申报。
-
SP 800是美国NIST（National Institute of Standards and Technology）发布的一系列关于信息安全的指南（SP是Special Publications的缩写）。
-
GB/T 22240-2008 《信息系统安全保护等级定级指南》，该标准对如何进行信息系统定级做出指导。该标准已经被《GB/T 22240-2020 信息安全技术 网络安全等级保护定级指南》取代。
-
具有行政法律责任强制力的安全管理规定和安全制度包括：安全事件（包括安全事故）报告制度、安全等级保护制度、安全专用产品销售许可证制度
-
信息系统建设完成后，二级以上的信息系统的运营使用单位应当选择符合国家规定的测评机构进行测评合格后方可投入使用。
-
等保评测三级系统每年最少一次，四级系统每半年至少一次。
-
RFC系列标准由IETF发布【Internet工程任务组（Internet Engineering Task Force，IETF）】
-
国家科学技术秘密的密级
- 绝密级
- 国际领先，并且对国防建设或者经济建设具有特别重大影响的；
- 能够导致高新技术领域突破的；
- 能够整体反映国家防御和治安实力的。
- 机密级
- 处于国际先进水平，并且具有军事用途或者对经济建设具有重要影响的；
- 能够局部反映国家防御和治安实力的；
- 我国独有、不受自然条件因素制约、能体现民族特色的精华，并且社会效益或者经济效益显著的传统工艺。
- 秘密级
- 处于国际先进水平 ，并且与国外相比在主要技术方面具有优势，社会效益或者经济效益较大的；
- 我国独有、受一定自然条件因素制约，并且社会效益或者经济效益很大的传统工艺。
- 绝密级
-
《中华人民共和国电子签名法》第十三条电子签名同时符合下列条件的，视为可靠的电子签名：
（一）电子签名制作数据用于电子签名时，属于电子签名人专有；
（二）签署时电子签名制作数据仅由电子签名人控制；
（三）签署后对电子签名的任何改动能够被发现；
（四）签署后对数据电文内容和形式的任何改动能够被发现。
当事人也可以选择使用符合其约定的可靠条件的电子签名。
-
《保密法》第二十三条规定存储、处理国家秘密的计算机信息系统（以下简称涉密信息系统）按照涉密程度实行分级保护。涉密信息系统应当按照国家保密标准配备保密设施、设备。保密设施、设备应当与涉密信息系统同步规划、同步建设、同步运行《三同步》。涉密信息系统应当按照规定，经检查合格后，方可投入使用。
-
信息安全管理体系是按照ISO/IEC 27001标准《信息技术 安全技术 信息安全管理体系要求》的要求进行建立的，ISO/IEC 27001标准是由BS7799-2标准发展而来。
-
BS7799-1(ISO/IEC 1799:2000)《信息安全管理实施细则》是组织建立并实施信息安全管理体系的一个指导性的准则，主要为组织制定其信息安全策略和进行有效的信息安全控制提供了一个大众化的最佳惯例。
-
BS7799-2《信息安全管理体系规范》规定了建立、实施和文件化信息安全管理体系(ISMS)的要求，规定了根据独立组织的需要应实施安全控制的要求。
第三章 信息安全管理
-
管理评审的实施主体不局限于第三方
-
信息安全方针由管理层制定
-
信息安全管理体系（Information Security Management System，简称ISMS）
-
PDCA模型
-
规划与建立（Plan）
-
实施与运行（Do）
-
监视与评审（Check）
- “实施内部审核”属于监视和评审阶段
-
维护和改造（Act）
-
-
信息安全管理体系控制措施（14个控制类 ）
- 信息安全方针（1/2）
- 信息安全组织（2/7）
- 人力资源安全（3/6）
- 资产管理（3/10）
- 访问控制（4/14）
- 密码学（1/2）
- 物理与环境安全（2/15）
- 操作安全（7/14）
- 通讯安全（2/7）
- 信息的获取开发及维护（3/13）
- 供应商关系（2/5）
- 信息安全事件管理（1/7）
- 业务连续性管理（2/4）
- 符合性（2/8）
-
Information Security Management Systems－信息安全管理体系是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它是直接管理活动的结果，表示成方针、原则、目标、方法、过程、核查表(Checklists)等要素的集合。
-
安全风险管理基本过程
- 第一阶段 背景建立
- 第二阶段 风险评估
- 第三阶段 风险处理
- 第四阶段 批准监督
-
一级文件定目标、二级文件定措施、三级文件看执行、四级文件看结果
-
ISO 27001：2005 等同采用 GB/T 22080：2008
ISO 27001：2013 等同采用 GB/T 22080：2016
-
信息安全工程监理的信息安全工程监理模型由三部分组成，即
- 咨询监理支撑要素
- 监理咨询阶段过程
- 控制管理措施
-
监理职责之：四控三管一协调
- 四控：进度控制、质量控制、成本控制（投资控制）、变更控制。
- 三管：合同管理、安全管理、信息管理。
- 一协调：协调甲方、总包及设备材料供应方的关系
-
信息安全管理体系的作用：
- 保护信息安全，不受到恶意的侵犯；
- 保证组织业务的连续性，资产安全性。
-
信息安全管理体系的意义：
- 对国家，有利于国家的战略发展；
- 对组织，有利于业务的顺利展开；
- 对个人，有利于权益不受侵犯。
第四章 业务连续性
-
应急响应是指组织为了应对突发/重大信息安全事件的发生所做的准备，以及在事件发生后所采取的措施。
-
信息安全事件分类分级
- 信息安全事件的分级参考下列3个要素：①信息系统的重要程度、②系统损失、③社会影响。
- 信息系统划分为3级：①特别重要信息系统、②重要信息系统、③一般信息系统。
- 系统损失划分4个级别：①特别严重的系统损失、②严重的系统损失、③较大的系统损失、④较小的系统损失。
- 社会影响划分4个级别：①特别重大的社会影响、②重大的社会影响、③较大的社会影响、④一般的社会影响。
-
四种风险处置方式（必考）
-
风险降低
在BCP中，需要重点保护的3个对象是人力资源、IT基础设施和辅助性设施/场所。
-
风险转移
对于某些风险，最好的响应方式可能是转移风险。这可通过常规的保险或合同安排来实现风险转移，或通过向第三方支付费用以其他方式处理风险。
-
风险规避
- 变更、延缓或停止某种服务或业务功能
- 该措施只能在与组织目标、法律法规符合性以及利益相关方的期望不发生冲突时考虑
-
风险接受（风险自留）
- 采取措施的潜在收益与成本不成比例
- 对某些风险能够采取措施的能力有限
-
-
RTO和RPO都可以为0，而且可以同时为0。
-
RTO恢复时间目标（Recovery Time Objective）是系统发生故障到恢复业务所需要的时间。RPO=0，说明服务不会中断。
-
RPO恢复点目标（Recovery Point Objective）是指业务恢复后的数据与最新数据之间的差异程度，RPO=0，说明数据是实时备份的，不会出现数据丢失的情况。
两个值都为0的情况下，意味着系统永不中断服务，而且数据完全没有丢失。
-
BCP是为了保护关键业务功能。
-
业务特性可以从业务内容和流程中获取。
-
应急响应六阶段（PDCERF）
-
第一阶段：准备——让我们严阵以待
-
第二阶段：检测——对情况综合判断
-
第三阶段：遏制——制止事态的扩大
（1）关闭相关系统。
（2）拔掉网线。
（3）修改所有防火墙和路由器的过滤规则，拒绝来自发起攻击的嫌疑主机的所有流量；封锁或删除被攻破的登录账号。
（4）提高系统、服务和网络行为的监控级别。
（5）设置诱饵服务器作为陷阱；关闭服务。
（6）反击攻击者的系统等。 -
第四阶段：根除——彻底的补救措施
（1）消除或阻断攻击源；
（2）找到并消除系统的脆弱性/漏洞；
（3）修改安全策略；
（4）加强防范措施；
（5）格式化被感染恶意程序的介质。 -
第五阶段：恢复——系统恢复常态
-
第六阶段：跟踪总结——还会有第二次吗
-
-
计算机取证的过程可以分为准备、保护、提取、分析和提交5个步骤。
-
增量备份是每次备份的数据相当于上一次备份后增加或修改过的数据。
-
我国6个灾难恢复等级
- 第1级 基本支持
- 第2级 备用场地支持
- 第3级 电子传输和部分设备支持
- 第4级 电子传输及完整设备支持
- 第5级 实时数据传输及完整设备支持
- 第6级 数据零丢失和远程集群支持
-
《关于做好重要信息系统灾难备份工作的通知》--做好重要信息系统灾难备份工作的基本原则重要信息系统灾难备份建设工作要坚持“统筹规划、资源共享、平战结合”的原则，充分调动和发挥各方面的积极性，提高抵御灾难破坏能力和灾难恢复能力。
-
一般选址原则：避免灾难备份中心与生产中心同时遭受同类风险。
-
进行业务影响分析（BIA）时的步骤是
- 标识关键的业务过程
- 标识关键的 IT 资源
- 标识中断影响和允许的中断时间
- 开发恢复优先级
-
业务系统运行中异常错误处理合理的方法是：最小反馈原则。
第五章 安全工程与运营
-
系统工程思想具有普遍适用性，适用于复杂工程，目的是实现总体效果最优。
-
系统工程不属于基本理论，也不属于技术基础，它所研究的重点是方法论。
-
零日漏洞：刚被发现还未打补丁就被利用的漏洞。
-
项目目标要遵守SMART原则，即项目的目标要求具体（Specific）、可测量（Measurable）、需相关方的一致同意（Agree to）、现实（Realistic）、有一定的时限（Time-oriented）
-
建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。 ——《中华人民共和国网络安全法》
-
信息安全工程就是要解决信息系统生命周期的“过程安全”问题。
-
每个过程区域包括一组表示组织成功执行过程区域的目标。每个过程区域也包括一组集成的基本实施（BasePractice，BP）。基本实施定义了获得过程区域目标的必要步骤，它具有如下特性：
（1）应用于整个组织生命周期。
（2）和其他BP互不覆盖。
（3）代表安全业界“最好的实施”。
（4）在业务环境下不指定特定的方法或工具。 -
BP不限定于特定的方法工具，不同业务背景中可以使用不同的方法不限工具，必须按步骤执行。
BP是最佳实践，所以要根据广泛的现有资料和专家意见得出。 -
一个组织机构可随意以他们所选择的方式和次序来计划、跟踪、定义、控制和改进他们的过程。然而，由于一些较高级别的通用实施依赖于较低级别的通用实施，因此，组织机构在试图达到较高级别之前，应首先实现较低级别通用实施。
-
能力级别根据“公共特性”分级，公共特性由通用实施（GP）组成，这些通用实施可在过程中用于确定任何过程的能力，还可以帮助确定项目管理好坏的程度并可将每一个过程区域作为一个整体加以改进。
-
系统安全工程-能力成熟度模型（Systems Security Engineering-Capability maturity model，SSE-CMM）
风险过程：4个、工程过程 ：5个、保证过程：2个
-
能力成熟度模型（SSE-CMM）充分定义级的三个特征：
-
定义标准过程
-
执行已定义的过程
-
协调安全实施
-
-
SSE-CMM是一种面向工程过程的方法。
-
系统工程所包括的各要素之间是互相联系的，不能独立研究。
-
SSE-CMM不是孤立的工程，而是与其他工程并行且相互作用。
-
项目管理的三重约束：时间+成本+质量。
第六章 信息安全评估
-
CC没有强调独立性。
-
对信息安全建设工程实施的成熟度进行评估使用SSE-CMM。
-
定性风险分析具有主观性，但不能随意。
-
信息安全风险评估应以自评估为主，自评估和检查评估相互结合、互为补充。
-
如果残余风险没有降低到可接受的级别，要重新启动风险管理过程。
-
目前我国常见的信息系统安全测评包括：
- 信息系统风险评估
- 信息系统安全保障测评
- 等保测评
-
定性风险分析更具主观性，而定量风险分析更具客观性
-
《信息安全技术信息安全风险评估规范GB／T 20984-2007》
-
规划阶段风险评估的目的是识别系统的业务战略，以支撑系统安全需求及安全战略等。
-
设计阶段的风险评估需要根据规划阶段所明确的系统运行环境、资产重要性，提出安全功能需求。
-
实施阶段风险评估的目的是根据系统安全需求和运行环境对系统开发、实施过程进行风险识别，并对系统建成后的安全功能进行验证。
-
运行维护阶段风险评估的目的是了解和控制运行过程中的安全风险，是一种较为全面的风险评估。评估内容包括对真实运行的信息系统、资产、威胁、脆弱性等各方面。
-
-
造成威胁的因素：人为因素和环境因素。
-
确认已有安全措施包括：技术层面、组织层面和管理层面。
-
风险评估各阶段的输出文档
-
TCSEC（可信计算机系统评估标准）分级：
- D - 最小保护
- C - 选择保护（C1、C2）
- B - 强制保护（B1、B2、B3）
- A - 验证保护（A1）
-
EAL（评估保证级）
- EAL１：功能测试
- EAL 2：结构测试
- EAL 3：系统地测试和检查
- EAL 4：系统地设计、测试和复查
- EAL 5：半形式化设计和测试
- EAL 6：半形式化验证的设计和测试
- EAL 7：形式化验证的设计和测试
-
GB/T 20984-2007《信息安全风险评估规范》给出信息安全风险分析思路。
-
风险值=R（A，T，V）=R（L（T，V），F（Ia，Va））
- R 表示安全风险计算函数
- A 表示资产
- T 表示威胁
- V 表示脆弱性
- Ia 表示安全事件所作用的资产价值
- Va 表示脆弱性严重程度
- L 表示威胁利用资产的脆弱性导致安全事件的可能性
- F 表示安全事件发生后造成的损失
-
风险管理的目标就是把风险控制在可接受的范围之内。
-
风险评估与管理工具的类型：基于标准、基于知识、基于模型。
-
风险评估工具的类型：
-
风险评估与管理工具
-
系统基础平台风险评估工具
-
风险评估辅助工具
-
-
安全目标（ST）是所有的相关各方对TOE提供什么样的安全性达成一致的基础。
-
风险的基本属性
- 风险发生的概率；
- 风险一旦发生所带来的影响/后果。
-
风险评估要素之间关系
-
威胁识别定义
- 威胁识别：判断威胁出现的频率是威胁赋值的重要内容；
- 脆弱性识别：对脆弱性严重程度进行等级化处理；
- 确认已有的控制措施：建立在《信息系统的描述报告》、《信息系统的分析报告》、《信息系统的安全要求报告》来确认已有的安全措施，包括技术层面、组织层面、管理层面的安全对策，形成《已有安全措施列表》。
第七章 信息安全支撑技术
-
分组密码也称为块密码，序列密码也称为流密码。
-
分组密码也称块密码，是将明文分成固定长度的组，用同一密钥和算法对每一块加密，对每个输人块产生一个输出块，输出也是固定长度的密文。典型的分组密码算法有DES、AES等。
-
流密码也称序列密码，是将明文消息按字符逐位地加密，连续地处理输人明文，并随着该加密的进行，一次产生一个密文的输出，即一次加密一个比特或一个字节。典型的例子如一次一密（One-time padding）。
-
Whitfield Diffie 和 Martin Hellman在1976年第一个提出公钥密码算法，标志着密码学进入了现代密码阶段。
-
常见的访问控制模型包括自主访问控制模型、强制访问控制模型和基于角色的访问控制模型等。三种模型之间没有安全层级递进关系。
-
ACL可以决定任何一个特定的主体是否可对某一个客体进行访问，访问控制表是自主访问控制实现中比较好的一种方法。
-
BLP模型用于保证信息的机密性，下读上写。
-
访问控制方法可分为自主访问控制、强制访问控制和基于角色的访问控制。
-
基于角色的访问控制（RBAC）较好地支持最小特权原则，还能实施职责分离原则。
自主访问控制（DAC）是一种对单个用户执行访问控制的过程和措施。
-
访问控制模型中主体和客体的关系是相对的，角色可以互换。
-
Bell-LaPadula模型应用是MAC；ACL属于DAC模型；CL（能力表）在统计某个主体能访问哪些客体时比较方便。
-
ACL在增加客体时，增加相关的访问控制权限较为简单。
-
Kerberos可用于通信实体间的身份认证，即双向认证。
-
数字签名利用私钥加密、公钥解密 ，确认发件人，用于实现完整性，提供防抵赖等服务。
-
网络认证协议（Kerberos）使用对称密码算法实现通过可信第三方的认证服务；
网络认证协议（Kerberos）运行环境由KDC、应用服务器和客户端组成；
网络认证协议（Kerberos）需要时钟同步
-
转轮机的出现是古典密码学发展成熟的重要标志之一。
-
RA - 证书注册机构
-
国际标准X.509定义了电子证书的规范格式
CC标准以“ISO/IEC 15408-1999”编号正式列入国际标准系列
802.11 无线局域网标准
GB/T 20984-2007《信息安全风险评估规范》
-
PGP(英语:Pretty Good Privacy，中文翻译"优良保密协议")是一套用于消息加密、验证的应用程序，采用IDEA的散列算法作为加密与验证之用。
-
BLP模型：向下读、向上写 秘密->机密->绝密
-
Kerberos认证过程 - 三次通信
-
第一次：获得票据许可票据（TGT）
-
第二次：获得服务许可票据（SGT）
-
第三次：获得服务
-
-
能力表CL----表示每个主体可以访问的客体及权限。
第八章 物理环境与网络通信安全
-
VPN - Virtual Private Network
-
WPA-802.11i草案，WPA2-802.11i正式标准。
-
无论哪种IDS都是部署在网络的内部，不能部署在外网入口。
-
数据库的安全防护属于DBA的职责。
-
TCP/IP协议栈：应用层、传输层、互联网络层、网路接口层，数据封装，自上而下。
-
MD5用于完整性校验
AES 实现机密性
AH提供完整性和数据源认证
-
TCP协议工作在传输层，IP协议工作在网络层，TCP不能取代IP。
-
源IP地址和目标IP地址在IP包中。
-
UDP不提供重发机制，不提供流控功能。
-
PPTP、L2TP—数据链路层；IPSec----网络层；SSL----传输层。
-
ARP 协议是一个无状态的协议。
-
送风方式有三种：下送上回，上送上回，侧送侧回；（没有下回风）。
-
防火墙不能物理隔离，但是能逻辑隔离；网闸可以进行物理隔离。
-
状态检测防火墙也称为动态包过滤，是对静态包过滤技术的功能扩展，因为配置要比包过滤防火墙复杂。
-
流量型拒绝服务攻击：Land、UDP Flood、Smurf
碎片攻击：teardrop
-
UTM--United Threat Management 统一威胁管理
-
入侵检测系统（IDS）是对网络中传输的数据进行实时监测，发现其中存在的攻击行为并进行响应的网络安全设备，是一种主动的安全防护技术。IDS的主要作用是发现并报告系统中未授权或违反安全策略的行为，不能防止IP欺骗。
-
防范DNS劫持攻击需要加固DNS服务器。
-
防火墙不能防止发生SQL注入攻击。
-
IPSec是一组基于密码学的安全的开放网络安全协议，工作在IP层，提供访问控制、无连接的完整性、数据源认证、机密性防护、有限的数据流机密性保护以及抗重放攻击等安全服务。
-
终端访问控制器访问控制系统(TACACS+)是Cisco专属协议。
-
ICMP FLOOD是一种DDOS攻击，该攻击在短时间内向目的主机发送大量ping包，消耗主机资源，主机资源耗尽后就会瘫痪或者无法提供其他服务。
-
网络层和应用层可以提供保密性、身份鉴别、完整性、抗抵赖、访问控制服务。
-
IPS设备要串联到网络中，因此会影响网络性能也有可能造成单点故障。
-
防火墙可以防止网络攻击，但不能防病毒。
-
防火墙部署在内外网之间，交换机部署在防火墙的后面。
-
VTP-VLAN Trunk Protocal，VLAN干道协议是在交换机上运行的协议（思科专有协议）。