CISSP知识点汇总(已完结并通过考试)
CISSP知识点汇总
- 第零章--- 考试心得与攻略
- 第一章---安全与风险管理
- 第二章---资产安全
- 第三章---安全工程
- 第四章---通信与网络安全
- 第五章---访问控制
- 第六章---安全评估与测试
- 第七章---安全运营
- 第八章---应用安全开发
- 攻击汇总
第零章— 考试心得与攻略
1、考前的晚上 看一遍我这篇文章!!! 嘻嘻嘻嘻,黄婆卖瓜。
2、考前10天 重新做模拟题 练手 练手感 练思维 (和高考一样)
3、最好 用一个东西(OneNote,印象笔记等) 做自己的笔记,列出重点
4、考前一天去摸点,还有要早点睡.
5、书的话 看3遍够了. 重点还是 练习题,模拟题,思维导图,培训讲义.
6、不要断断续续学习,一把通过最好.
7、考前20天,每天复习一章思维导图(自己弄),反复看,反复看,反复看。
第一章—安全与风险管理
机密性:确保信息在存储、使用、传输过程中不会泄露给非授权用户或实体.
完整性:防止非授权篡改,防止授权用户不恰当修改,保证内外部一致性.
可用性:确保系统能正常使用.
IT治理的定义:把在IT各个方面的最佳实践从公司战略的角度加以有机的融合,从而使企业能够最大化IT在企业中的价值,并能够抓住IT赋予的际遇与竞争优势。
RPO:必须恢复哪些应用程序数据才能恢复业务事务的时间点.
RTO:在系统的不可用性严重影响到机构之前所允许消耗的最长时间
SOC报告:
①SOC1-财务报告
②SOC2-运维相关
③SOC3-大面积用户并且不需要披露具体细节的控制与测试结果—SOC3是SOC2-type2的摘要版GLBA:Gramm-Leach-Billey规则了客户财务信息隐私的条款,特别适用于金融。
PCI DSS:针对信用卡
ISO 27000 系统:
①ISO 27001 信息安全管理体系建设
②ISO 27002 信息安全管理体系最佳实践
③ISO 27003 信息安全管理体系实施指南
④ISO 27004 信息安全管理测量
⑤ISO 27005 信息安全风险管理威胁建模-STRIDE:
①假冒-Spoofing
②篡改-Tampering
③抵赖-Repudiation
④信息泄露-Information disclosure
⑤拒绝服务-Denial of service
⑥提权-Elevation of privilege定量计算例子:
威胁潜在损失:EF(0-100%)
年发生率:(ARO)
单一损失期望:(SLE)
年度损失期望:(ALE)
SLE=Asset x EF
ALE=SLE x ARO
总价值:value = ALE1-ALE2-Cost
COBIT:IT控制与IT治理
COSO:企业内部控制的定义
①运营有效性和高效性 ②财务报告的有效性 ③符合适用的法律和法规 ④SOX 404法案ITIL:IT服务管理最佳实践 (ISO 20000)
信息安全管理:ISO (27001) ---- PDCA模型
渗透测试的步骤:侦查、枚举、脆弱性分析、执行、文档化发现
渗透测试最常发生在哪个阶段:操作和维护阶段
BCP的最佳实践与标准:
Due care:尽职关注,应尽关心–:应该制定安全策略,应该采取安全措施
Due Diligence:尽职调查,尽职勤勉–:风险,信息收集,对外包,供应商评估,检查该做的事情有没有做
.
第二章—资产安全
数据残留:当数据以某种形式删除后,磁盘还会有剩磁,可以进行物理恢复。
云存储的数据安全和数据残留问题: 数据加密与隔离
数据清除:
①删除与格式化:最low 的方式
②Clearing:通过实验室可恢复—覆写>3次
③Purging(sanitizing):根除
④加密:加密云数据
⑤SSD:消磁不适用于SSD,最佳方式-物理破坏移动设备:加密所有数据,使用 AES算法.
介质区别:
A:Marking: 指使用人类可读的安全属性
B:Labeling: 指在系统内部数据结构中使用安全属性双人规则控制:两个操作员互相审查和批准对方的工作
第三章—安全工程
BLP模型:信息流模型,关注机密性
A、简单安全规则 :不上读,可以下读
B、星规则 * :不下写,可以上写
C、强星规则 :只能在同一级别上读写.Biba模型:信息流模型,关注完整性
A、简单安全规则 :不下读,可以上读
B、星规则 * :不上写,可以下写
C、强星规则 :只能在同一级别上读写.Clark-Wilson模型:
①关注完整性,只允许主体通过程序对客体访问,应用于商务财务等商业场景.
②使用了良好的形式交易和职责分离的机制格子模型:最大上界与下界.
矩阵模型:关注每个主体与客体之间一对一的关系.
Take-Grant model取予模型:使用定向关系图指定权限.
TCB(可信计算基础):
1、引用监视器:验证主体与客体的权限与关系。
2、安全内核:
①实现参考监视器的功能集合,由TCB内的软硬与固件构成,安全内核仲裁主体与客体之间的所有访问和功能
②所有访问必须被考虑,防止修改并验证其正确性
3、安全边界:将TCB的信任组件与非信任组件隔离
4、系统的其他部分与TCB进行通信的安全通道TPM(可信平台模块):加密磁盘
密码算法的基本手段:1、替代 2、换位
对称密钥:发件人与收件人使用共同拥有的单个密钥。既用于加密与解密,速度快。但密钥交换不安全,密钥就会丧失安全性。用户较多时,密钥计算方式 “N*(N-1)/2”
非对称密钥:发件人与收件人能安全的交换公钥,但速度慢。 2N
对称密钥算法的类型:DES、AES、CCMP、IEDA、Blowfish、RC4
非对称密钥算法的类型:Diffie-Hellman、RSA、ECC、EIGamal
ECC:
①利用椭圆曲线上离散对线的计算的困难性EIGamal:
①基于Diffie-Hellman 工作的离散对数计算
②既能用于数据加密也能用于数字签名
③以定义在任何循环群G上,其安全性取决于G上的离散对数难题RSA:即可以加密又可以做数据签名
SET:用作信用卡传输数据的协议
S/MIME:基于公钥的混合加密算法方案
SHA-1:信息摘要的长度为160,SHA-256:用可变长度的输入信息生成固定长度的信息摘要.
数字证书PKI:姓名,归属人的公钥,公钥算法,主体唯一身份信息,CA的名称,并用CA的数字签名签署该证书
交叉认证的定义:CA之间建立通信,彼此信任.
IDEA加密标准:实施了 “分组加密”
在线证书状态协议(OCSP)的作用:及时提供对证书查询的及时响应
数字签名算法:容易遭到“窃听”攻击
非对称密钥算法:
对称密钥算法:
混合加密算法:
安全门:①fail-safe:供电失效时,门处于开放状态,保证人员安全。②fail-secure:供电失效也能安全锁死,保证物品安全。 ③:door-delay:出处于开的状态超过一定时限时,则告警.
电磁干扰EMI:
A、EMI是由中火地线之间的不平衡以及他们产生的磁场造成的。
B、分为传导干扰与辐射干扰。 传导干扰:通过导电介质把一个网络上的信号干扰到另外一个网络。 辐射干扰:干扰源通过空间把其信号干扰到另外一个网络上。射频干扰RFI:任何发射无线电波的设备都可能产生。荧光照明是建筑物产生RFI的主要因素。
火灾:A、普通易燃物、B、液体、C、电子电器类、D、可燃金属、化学物、E、K级火绒:醋酸钾
(针对厨房)Aero-K(灭火):钾化合物喷雾、无污染、对人体无害。
CPTED:①自然访问控制 ②自然监视 ③自然区域加固
第四章—通信与网络安全
SSL:工作在会话层与传输层 ,主要用于客户端验证服务器。
可信CA签发TLS证书的目的:用于客户端验证服务器
SSL:客户端与服务器通信之间的SSL会话,客户端浏览器负责生成主密钥作为种子生成对称密钥进行加密
SSL/TLS:工作在应用层与传输层之间。
SSL中消息验证码(MAC)的作用:验证消息的完整性。
IPsec VPN:
①、AH :完整性,真实性,适用于无NAT环境,免受重放攻击(数据包有序列号字段)
②、ESP:机密性,完整性,数据源验证,适用于有NAT环境PPTP VPN:数据链路层工作,使用MPPE加密
L2TP VPN:数据链路层工作,不对数据加密.
VOIP:
①.SIP(会话发起协议):应用层协议,UAC-应用程序用于创建启动一个通信会话的SIP请求。 UAS-是SIP服务器用于处理VOIP呼叫设计的所有路由和信令
②业务网与语音网需要通过 Vlan 进行隔离光纤:光信号衰减是判断是否遭到窃听的方法之一.
PAP:①明文方式发送账户密码. ②二次握手机制 ③容易遭受暴力破解
CHAP:①挑战应答-三次握手机制. ②传输哈希值保证完整性 ③抗重放攻击
EAP:
①MD5:弱验证,单向验证–服务器验证客户端
②TLS:使用数字证书,双向验证,服务器与客户端都需要数字证书,
③PEAP:使用了TLS
④TTLS:扩展了TLS的功能
③与④只需要服务器端证书,客户端不需要证书洋葱路由网络:隐匿通信技术,使用非对称加密.
大蒜路由网络:大蒜路由是洋葱路由的一种变体,其结合了I2P网络并将多份消息加密打包在一起,使其更难被攻击者以流量分析的方式破解,即洋葱路由的加强版。
WPA2:使用 CCMP算法,使用AES 进行加密.
WPA:使用 TKIP 算法
WEP最易受什么类型攻击:密钥恢复,RC4算法
哪个因素导致WEP有弱点:WEP使用了小范围初始化向量(IV)
DNS sec:使用数字签名 来保障 完整性
应用代理防火墙的缺点:使用规则导致性能下降
第五章—访问控制
视网膜扫描:扫描眼球后方视网膜的血管图案,视网膜扫描时,识别设备距离眼睛太近,用户感受最差。
虹膜扫描:虹膜是眼睛中位于瞳孔周围的一圈彩色部分
1类错误-(FRR):错误拒绝率,拒绝已获授权的个人.(假阳性)
2类错误-(FAR):错误接受率,接受本应被拒绝的冒名顶替者.(假阴性)
交叉错误率-(EER/CER):错误拒绝率和错误接受率的等值点.
Kerberos:基于对称密钥技术
Kerberos:包含了所有用户的密钥
SESAME:基于混合加密
Kryptoknight:不需要同步时钟,使用一次性随机数
访问控制列表与能力表的区别:访问控制列表与一个客体绑定,能力表与一个主体绑定.
LDAP的弱点:密码以明文传输
MAC—强制访问控制模型:
①基于安全分级与安全许可
②机密性被优先考虑
第六章—安全评估与测试
- CVE:漏洞描述的命名系统
- CVSS:描述漏洞严重性的标准化评分系统-7分以上是严重漏洞
- SCAP:
①常见漏洞与披露(CVE)
②通用漏洞评分系统(CVSS)
③通用配置枚举(CCE)
④通用平台枚举(CPE)
⑤可扩展配置清单说明格式(XCCDF)
⑥公开漏洞评估语言(OVAL) - 管理评审:管理评审是高级组织领导者决定管理体系是否有效地实现其目标而周期性展开的正式会议。
- CC-信息系统安全评估模型: ISO 15408 对应为CC的国际标准
①PP 产品标准
②TOE 评估对象
③ST 产品的落地方案 - 渗透测试:
①发现阶段==>信息收集
②枚举阶段==>端口扫描
③脆弱性勘探
④利用
⑤向管理层报告
EAL-1 功能检测
EAL-2 结构化测试及检查
EAL-3 系统化测试及检查
EAL-4 系统化设计、测试及审查
EAL-5 半形式化测试及检查
EAL-6 半形式化查证,设计及测试
EAL-7 形式化查证、设计及测试
- 合成交易: 关注于可用性与性能
- ISCM-信息安全持续监控:
第七章—安全运营
TCP/IP 三次握手原理:客户端向服务端发送一个SYN请求,服务端向客户端回应SYN+ACK请求,客户端在返回ACK给服务端
SYN泛洪攻击:黑客向服务端发起多个SYN包,但不返回ACK给服务端,导致服务器资源耗尽
RAID-0 :不使用奇偶校验的情况下,用条带方式写入文件。 提高读写,不提供冗余
RAID-1 :镜像,冗余
RAID-2 :汉明纠错码
RAID-3 and 4 :3为字节级,4为块级,需要3个磁盘及以上,条带化,奇偶检验都写在一个盘上
RAID-5:奇偶校验分散在每个盘上,条带化
RAID-10:至少4个磁盘.
数据库恢复—电子链接:通过较慢的方式将数据库备份文件恢复到备份站点
数据库恢复—远程日志:实时传输日志
数据库恢复—远程镜像:即数据库热备份
完整备份:完全备份,每个文件的归档位都会变为0
增量备份:只复制那些自最近一次完整备份或增量备份以来修改过的文件,增量备份只复制归档位为1的文件,备份完成后,归档位变为0
差异备份:差异备份复制那些最近一次完整备份以来修改过的所有文件。差异备份只复制归档位为1的文件,但备份完成后归档位不变,即为1
IaaS(基础架构即服务):提供存储设备,网络和其他基本计算资源
PaaS(平台即服务):提供操作系统.
SaaS(软件即服务):软件、如365 Office
IDaaS(身份即服务):基于云端的身份代理和访问管理服务,身份管理,访问控制
互惠协议:问题点:协议难以执行
GDPR:
SLA:SLA通常不解决数据机密性问题,由NDA(保密协议)解决
知其所需:不能被授予完成其工作所需的访问权限之外的权限。
最小特权:应该被授予完成其工作所需的最小访问权限。
ISC2 道德规范:
①保护社会,公共利益与基础设施,赢得必要的公众信心与信任.
②行事端正、诚实、公正、负责、守法.
③勤奋尽责,专业胜任.
④推动行业发展,维护职业声誉.桌面演练/结构化穿行演练测试:会议室演练,低成本,确保关键人员熟悉BCP/DRP
并行测试:备用站点的运行结果与主站点的运行结果进行对比.
模拟测试:参加者选择具体的事件场景应用在BCP中
功能性测试:确认关键系统能否在备用站点中恢复使用.
完全中断/全面测试:切换到备用站点运行.
30.数据中心分类:
数据中心分类 | 应用最多的为T3 |
---|---|
Tier 1级别 | 正常运行时间为99.671%(每年停机时间为28.8小时),无冗余 |
Tier 2级别 | 正常运行时间为99.741%(每年停机时间为22小时),冗余N+1,有UPS等 |
Tier 3级别 | 正常运行时间为99,98%(每年停机时间为1.6小时),双冗余 |
Tier 4级别 | 正常运行时间为99.995%(每年停机时间为26.3分钟),冗余2N+1,96小时断电保护 |
第八章—应用安全开发
高内聚低耦合:
①高内聚:一个模块内执行多个不同的任务.
②低耦合:一个模块执行任务时与其他模块交互.联机事务处理-OLTP:
①原子性:要么所有修改都提交,要么所有数据库都回滚
②一致性:遵循数据库完整性,保证不同数据库中数据一致性
③隔离性:交易之间互不影响
④持久性:一旦提交无法进行回滚原型法:
螺旋模型:
瀑布模型:
(引用参照)完整性:任何数据库记录都不能引用一个不存在的主键,如果一个包含有主键的记录被删除了,所有被引用的外键都必须删除掉
范式化:
①范式化===>去冗余,提高完整性,范式化程度越高,完整性越好
②去范式化===>增加冗余,提高读写速度,但是会破坏完整性数据库视图:用来限制用户可以访问的数据库数据,动态生成的一个逻辑的或者虚拟的表.
SAML:用于不同安全域之间交换认证和授权数据
SPML:允许公司之间传递服务请求,接受公司为这些服务开通访问授权
XACML:
①通过Web服务与其他应用程序来实现用安全策略及访问权限来实现对资产管控
②允许共享应用安全策略,来保证所有应用能遵循同一个安全原则OAuth2.0:第三方无需使用用户的用户名与密码就可以申请获得该用户资源的授权,使用访问令牌访问
软件能力成熟度模:
CMM | CMMI |
---|---|
初始级 | 初始级 |
可重复级 | 已管理级 |
已定义级 | 已定义级 |
已管理级 | 量化管理级 |
优化级 | 优化级 |
- SwA软件保障:目的为确保开发或购置的软件达到要求或目标,关注软件层面
- 冒烟测试:冒烟测试是在软件开发过程中的一种针对软件版本包的快速基本功能验证策略,是对软件基本功能进行确认验证的手段,并非对软件版本包的深入测试。
攻击汇总
SYN泛洪攻击:黑客向服务端发起多个SYN包,但不返回ACK给服务端,导致服务器资源耗尽。
TOC/TOU:利用系统检查执行操作的权限与实际执行操作的时间差异进行攻击。
smurf 攻击:攻击者向网络广播地址发送ICMP应答数据包,并将回复地址设置成受害网络的广播地址,最终导致该网络的所有主机都对此ICMP应答包进行回复,导致网络阻塞
生日攻击:针对散列函数的攻击
智能卡-旁路攻击:差分功率功分析,电磁分析,时序分析,故障生成
智能卡-直接攻击:微区勘探-使用超声震动去除智能卡点路上的外部保护涂料,探针直接连接智能卡ROM芯片来访问和操作其中的数据。
针对加密硬件模块最有效的攻击手法:功耗分析
流量填充:也称“业务填充机制”,是指在数据流中嵌入一些虚假信息,来掩盖正常的通信特征,从而阻止对手企图使用流量分析,保护业务流的机密性。
蜜罐:
①:诱捕Entrapment------非法
②:引诱Enticement-------合法XSS-跨站脚本攻击:
①反射型-非持久型:攻击者诱使用户点击特定的包含XSS代码的URL链接,恶意脚本通过URL返回给服务器,服务器直接转发给浏览器后执行相应的脚本.
②存储型-持久型:恶意代码被服务器存储到数据库中,当用户访问页面时,将恶意脚本从数据库中取出并返回给浏览器执行。只要访问了这个页面的访客,都有可能会执行这段恶意脚本。
③DOM型-用DOM函数去执行访问XSS平台的目的CSRF-跨站请求伪造:
A、原理: 攻击者通过强制将经过身份验证的请求提交给第三方站点来利用站点对用户浏览器的信任
B、防御:①在请求地址中添加token并验证 ②验证http referer字段 ③在http头中自定义属性并验证推理的防范:
①单元抑制-用于隐藏特定的单元技术
②数据库分割-将数据库分成不同的部分
③噪声和扰动-在数据库中插入伪造信息的技术
④ 数据库视图
⑤多实例聚合:
定义:一些信息片段分开并不敏感,但放在一起就敏感
解决方案:
①严格控制聚合函数的访问
②数据库视图隐秘通道:定义-隐蔽通道是为躲过信息系统的访问控制和标准监测系统而隐藏起来的通信机制。
①存储信道:窃取主体访问授权
②计时信道:时间差
Loki 攻击:使用ICMP协议进行隐蔽通道攻击。
网络层协议的保留字段被利用会带来隐蔽通道的问题DOS攻击:
①TCP协议----syn泛洪攻击
②ICMP协议—ping of death–发送畸形>64K的icmp包
②ICMP协议—Smurf–发送海量广播包导致死机
③UDP协议----fraggle–发送海量udp的echo包
③UDP协议----teardrop–UDP重组时重叠导致死机判断一个系统是否具有识别恶意代码的能力:使用EICAR文件进行测试.
水坑攻击:
①攻击者首先通过猜测(或观察)确定这组目标经常访问的网站,并入侵其中一个或多个,植入恶意软件,最后,达到感染该组目标中部分成员的目的。
② 依赖于先攻破次要目标,在攻破主要目标
CISSP知识点汇总(已完结并通过考试)相关推荐
- 交管12123手机APP怎么查询已完结的科目考试成绩?
一.打开手机"交管12123"软件,进入首页,如图 二.点击首页下方"网办进度",进入页面如图 三.点击上方第四个分项"全部",得到上图 四 ...
- 计算机二级java素材百度云,某道精品课 2020全国计算机二级等级考试【已完结】百度云......
QQ截图20200906224334.png (184.72 KB) 2020-9-6 22:45 上传 某道精品课 2020全国计算机二级等级考试[已完结] 详解报名流程 梳理二级高频考点 高效完整 ...
- 信息系统项目管理师考试大纲知识点汇总
信息系统项目管理师考试大纲知识点汇总 一.信息系统项目管理师考试说明 1.考试目标 通过本考试的合格人员能够掌握信息系统项目管理的知识体系,具备管理大型.复杂信息系统项目和多项目的经验和能力:能根据 ...
- 计算机软件水平考试程序员之程序设计知识点汇总,软考程序员常考知识点汇总.docx...
软考程序员常考知识点汇总软考程序员常考知识点汇总 2015年软考程序员考试知识点FoxPro程序设计 1.命令文件的建立.修改和运行 (1)命令文件的建立与修改MODIFYCOMMAND[/?][IN ...
- 原生 遍历_细品原生JS从初级到高级知识点汇总(三)
作者:火狼1 转发链接:https://juejin.im/post/5daeefc8e51d4524f007fb15 目录 细品原生JS从初级到高级知识点汇总(一) 细品原生JS从初级到高级知识点汇 ...
- 八年级计算机知识点总结,人教版|八年级上册各单元必考知识点汇总,收藏!...
原标题:人教版|八年级上册各单元必考知识点汇总,收藏! 今天小简老师给大家总结了人教版八年级上册各单元所有重难点和必考点,包括重点单词.短语.句型及其用法和语法考点,快期中考试了大家收藏起来好好学吧! ...
- 英语八年级上册计算机的事实,人教版英语|八年级上册各单元必考知识点汇总,收藏!...
原标题:人教版英语|八年级上册各单元必考知识点汇总,收藏! 今天颜老师给大家总结了人教版八年级上册各单元所有重难点和必考点,包括重点单词.短语.句型及其用法和语法考点,快期中考试了大家收藏起来好好学吧 ...
- 关于代码家(干货集中营)共享知识点汇总系列——瞎推荐
关于代码家(干货集中营)共享的所有知识点其他方面的汇总,后续每周会对其进行更新 更多内容请选择以下入口 关于代码家(干货集中营)共享知识点汇总系列--Android 关于代码家(干货集中营)共享知识点 ...
- mysql 事物状态有几种_MySQL知识点汇总:亿级高并发数据库运转原理大公开!
- 点击上方"中国统计网"订阅我吧!- 做业务,要懂基本的SQL语句: 做性能优化,要懂索引,懂引擎: 做分库分表,要懂主从,懂读写分离... 数据库的使用,是开发人员的基本功,对 ...
- python拷贝是什么知识点_python闭包、深浅拷贝、垃圾回收、with语句知识点汇总...
1.1 闭包 1.闭包概念 1. 在一个外函数中定义了一个内函数,内函数里运用了外函数的临时变量,并且外函数的返回值是内函数的引用,这样就构成了一个闭包 2. 一般情况下,在我们认知当中,如果一个函数 ...
最新文章
- 生命科学领域颠覆性技术——基因测序
- 扯淡设计模式之装饰者模式
- 深度学习模型参数量/计算量和推理速度计算
- php memcache扩展的一个细节
- 删除顺序表指定下标的元素
- oracle insert两个关联表
- 消息队列:RabbitMQ和Kafka的比较
- PyCharm社区版支持深度学习_深度学习,大家都看哪些社区论坛?
- windows系统下修改mysql时区_Linux与Windows下修改MySql时区的方法
- Iconfont的引用与在伪元素中的图标引用
- 电子计算机的速度快精确度,都21世纪了,还不来了解了解什么叫compute?
- Mac terminal 清屏快捷键
- 解决虎牙、斗鱼网页端P2P上传&增强虎牙、斗鱼网页端功能!
- 计算机五笔打字员,mac五笔打字软件 五笔打字员mac
- 【JAVASCRIPT】使用ztree树,实现右键增加,修改,删除节点。带有复选框。
- uniapp 公众号 微信授权登录
- TCP/IP重传超时--RTO - SRTT (Smoothed Round Trip Time)
- thought works培训总结
- DelphiX 组件
- C语言错误 error C2059
热门文章
- 怪物之心无法触发_《异度之刃2》稀有异刃力男怪物之心支线任务攻略
- Windows python pip换源不生效(window11系统),以及pip下载库包报错 because normal site-packages is not writeable
- boder sizing:boder-box的使用意义
- 动作捕捉和面部捕捉解决
- VS Code报错:Java 11 or more recent is required to run. Please download and install a recent JDK
- HTML特殊字符符号大全
- word如何弄成两竖列_Word中怎么将文字改成竖排显示
- yapi 权限_yapi部署
- 三级网络技术--宽带接入技术--无线接入技术、光纤接入技术
- 使用D3.js进行Neo4j数据的前端展示