CISSP易混淆知识点 BCP 1.制定业务连续性规划策略声明。为制定业务连续性规划撰写提供必要指导的策略文档，并给权威机构分 配必要的职位来完成这些任务。 2.进行业务影响分析（BIA）。识别关键功能和系统，并允许组织根据功能和系统的必要性，对其进行优 先级排序。识别漏洞和威胁，并计算出风险。 3.制定预防性控制方法。一旦识别到威胁，需要确定并实施控制和对策，以较为经济的方式来降低组织的 风险级别。 4.制定连续性战略。制定方法，以确保系统和关键功能可以快速恢复。 m o .c 5.制订信息系统应急计划。制定组织在危急的状态下仍然可以保持业务正常运行的措施和指引。 6.确保对计划进行测试、培训与演练。测试计划，以确定业务连续性计划中的不足之处，进行培训以确保 个人对他们应该负责的任务做好充分的准备。 7.维护计划。把步骤安排得井井有条，确保BCP得到定期更新。 DRP 5 b 1、起始阶段 2、启动阶段 3、恢复阶段 4、再造阶段 5、附录 安全测试、评估、审计 1、安全测试 u th 安全测试是验证某项控制措施是否正常运行，这些测试包括自动化扫描、工具辅助的渗透测试、试图破坏 安全的手动测试。测试需要考虑的因素，对正常业务的影响需要控制最小。 2、安全评估 i g 安全评估是对系统、应用程序的安全性进行全面审查，需要进行风险评估，识别出可能造成危害的安全漏 洞，并提出修复建议。安全评估的主要工作成果，是向管理层提高评估报告。下面是我对内网虚拟机进行 的漏洞扫描的结果，使用的是nessus。 3、安全审计 审计是为了向第三方证明一些东西，比如控制措施的有效性等。最后出来的报告和安全评估报告很像，简 直就是一摸一样。  内部审计：组织内部审计人员执行，审计结果直接向高层管理者汇报。  外部审计：公司外的审计公司执行，需要没有利益冲突，且需要公信力。  第三方审计：一般是监管单位，依据法律对被监管单位进行审计。  审计标准：一流企业做标准，COBIT信息和相关技术控制目标就是一个审计通用框架。 软件能力成熟度CMM 初始级：小作坊乱作业，没有定义软件开发过程 可重复级：有基本的项目管理制度，控制费用和时间，管理人员可及时发现问题，采取措施 已定义级：有一套正式的、文档化的软件开发过程进行运作。所有开发项目都在标准管理模型约束下进 行。关键过程有：组织过程定义和焦点、培训大纲、软件集成管理、软件产品工程、组织协调、专家评 审； 已管理级：利用定量措施，以获得对开发过程的详细掌握和管控，包括定量过程管理和软件质量管理 优化级：开发过程不仅量化可控，还不断改进完善 ⽹络设备： ⽹关：⽀持IPv6与IPv4连接到⼀起，不同⽹络协议通信 路由器：使⽤IP地址来指导数据包的传输，⼯作在⽹络层/数据链路层 交换机：⼯作在第⼆层/第三层,VLAN ⼲扰：电噪声，或是其他破坏分组内容的中断 延迟：数据包从源地址到⽬的地址的递送延迟 抖动：不同数据包的延迟的变化 分组丢失：在传输中需要重传的数据包的消失； OSI： 传输层：添加了有关发送者和接受者之间逻辑连接的信息， 通信类型 OSI模型 TCP/IP模型 运⽤场景 数据流(应⽤消息)- Application Application 主机 Transport Host-to-host 逻辑连接 包-Packet Network Internet IP⽹ 帧-Frame。细分2层： Data link Network access 以太⽹ Data(Message) 数据类型-Format Presentation 应⽤连接-会话- Session Session 段Segment(TCP) 报⽂Datagram(UDP) 逻辑链路控制LLC+介 m o .c 通信⽹ 质访问控制MAC ⽐特/位-Bits Physical 承载⽹ 5 b ⽹络加密 链路加密：包含头、尾的所有数据都被加密，每⼀跳都要解密和加密，是底层加密 u th 端到端加密：不加密头、尾、地址和路由信息，是OSI模型中较⾼层次的加密，如SSH； ⽆线协议 WPA2：认证及加密，使⽤CCMP(AES加密)替代了TKIP i g 挑战握⼿身份认证协议（Challenge Handshake Authentication Protocol，CHAP）是 在PPP链接上使 ⽤的⼀种身份认证协议，CHAP对⽤户名密码加密，通过挑战响应防重放攻击，并且可以定期对远程系统 认证，这个活动对⽤户透明。 密码身份认证协议（Password Authentication Protocol，PAP）也适⽤于PPP的标 准身份认证协议， PAP以明⽂形式传递⽤户名密码，不提供加密。 可扩展身份认证协议（Extensible Authentication Protocol，EAP）是⼀种身份认 证架构，可以⽀持⾃ 定义身份认证的安全解决⽅案，如智能卡、令牌和⽣物测定 学。 受保护的可扩展认证协议（PEAP）将EAP封装在TLS⾥⾯。EAP假设信道已经被 保护，PEAP实施⾃⼰的 安全措施。PEAP可以应⽤在wifi的WPA和WPA2上。PEAP 优于LEAP，LEAP可以被Asleap破解。 IPSec： IPSec⼀般被⽤于连接两个⽹络，但也可以被⽤于连接两个单独 的计算机。IPSec不规定所有的实现细 节。IPSec主要被⽤于VPN，可以⼯ 作在运输模式或隧道模式中，通常和L2TP⼀起使⽤。 AH供消息完整性和不可否认性。ESP供机密性和完整性。都可以 防重放。 ESP可以在没有AH的情况下使⽤，但AH⼏乎不会单独使⽤。 传输模式下，包头不加密，只加密有效载荷，为peer to peer通信设 计。 隧道模式下，整个数据包都会被加密，外⾯加新包头，这种模式为⽹关间通信⽽设计。 测试类型 静态代码分析：检查代码本身是否存在缺陷，使⽤诸如流程图、词法分析和数据流分析等技术来评估代 码，⽽不运⾏它，可以⽣成控制流程图； 动态测试：⽤来确定程序运⾏中代码如何处理哪些变量； Fuzzing：将意外输⼊或⾮法输⼊提供给程序，检查程序对这些输⼊的处理 ⼿动分析：通过逐⾏读取代码，以识别错误或其他问题 误⽤案例测试：侧重的是软件被误⽤的情况，针对攻击者的⾏为对系统进⾏测试； 各种数据处理⻆⾊： ⾼级管理者：对任何资产损失负有最终的职责和义务，并定义安全策略，持续对组织负有最终ultimate责 任，制定长远规划、业务目标和目的，确保组织在信息安全方面采取适当的应尽关注和应尽职责 IT/安全⼈员：负责实现安全策略 系统所有者System owner:负责⼀个或多个系统对系统中的数据进标记，通过根据系统处理的最⾼数据的 最⾼级别进⾏适当标记，另外，他们必须确保实施适当的安全控制，与数据所有者Data owners 共享数据 保护的责任； 数据所有者Data owner:负责数据的分类和增加标签，通常是⼀名管理⼈员，负责管理某个业务部⻔，对 特定信息⼦集的保护和应⽤负最终责任，若所有者未能在订⽴及执⾏安全政策以保障敏感数据是做到谨慎 尽职，便可能担负疏忽的责任； 数据管理员Data Administartor：负责授予全体员⼯适当的访问权限，负责CIA保护、备份、存储、确认 完整性、部署安全解决⽅案，根据最⼩特权和知其所需原则，授予⽤户⼯作所需的权限 数据监管者 Data Custodian：负责为何安全环境和备份数据，数据的保护；直接负责组织内的数据 访问控制 RBAC：⽤户关联⻆⾊，⻆⾊关联权限 MAC：安全标签，格⼦，如军事上的最⾼机密、密码、机密，BLP访问控制模型 m o .c DAC：如微软的NTFS，系统会识别⽤户，然后根据被操作对象（Subject）的权限控制列表（ACL: Access Control List）或者权限控制矩阵（ACL: Access Control Matrix）的信息来决定⽤户的是否能对 其进⾏哪些操作，例如读取或修改；⽽拥有对象权限的⽤户，⼜可以将该对象的权限分配给其他⽤户，所 以称之为“⾃主（Discretionary）”控制。缺点是对权限控制⽐较分散，不便于管理 扩散与混淆： 5 b 扩散就是让明文中的每一位影响密文中的许多位，或者说让密文中的每一位受明文中的许多位的影响．这 样可以隐蔽明文的统计特性．当然，理想的情况是让明文中的每一位影响密文中的所有位，或者说让密文 u th 中的每一位受明文中所有位的影响． 混淆就是将密文与密钥之间的统计关系变得尽可能复杂，使得对手即使获取了关于密文的一些统计特性， 也无法推测密钥． i g 选择明文攻击与选择密文攻击： 你有了一定的权限，可以随便说点什么让人家加密以后再给你，这是选择明文攻击； 你有了另一种权限，可以选择一段密文让人家解密以后给你看，这是选择密文攻击。 防火墙类型： 状态包检测防火墙(动态包过滤防火墙)可跟踪会话状态，在网络层有一个检查引擎截获数据包，并抽取出 与应用层状态有关的信息，并以此为依据决定对该连接是接受还是拒绝；TCP和UDP 静态包过滤和电路级网关防火墙仅根据源地址、目的地址和端口进行过滤，无法跟踪不同数据包之间的连 接状态； 应用级网关防火墙一般是运行代理服务器的主机，它不允许流量在网络之间直接传输，会对通过它的流量 进行记录和审计，使用多个代理服务器，并通过分析每个服务使用的协议来过滤流量； 应尽关注与应尽职责： Due care is using reasonable care to protect the interests of an organzation. Due diligence is practing the activities that mantain the due care effort. 应尽关注：对企业信息安全具有直接作⽤的措施⽅法峰，如制定和实施IT安全政策⽅针、根据安全要求时 常监控服务器性能和状态、根据变更控制要求更新和打补丁、分析问题解决问题； 应尽职责：管理层对信息安全具有管理责任，⽇常⼯作是否尽责，增加安全信息审计，信息安全评估，尽 ⼒准确和及时地履⾏职责；定期维护安全策略 m o .c Kerberos： TGS(票据授予服务)从客户端接收TGT(票据授予票据)，它通常与KDC(密钥分发中⼼)处在同⼀个服务器 上。TGS会验证TGT和⽤户访问权限，然后TGS会向客户端发出票据和会话密钥。 AS即身份验证服务器，将⽤户名转发给KDC，客户端并不直接与KDC直接通向，⽽是与TGT和AS进⾏通 5 b 信； 欺骗Spoofing和伪装Masquerading攻击： 伪装或假冒攻