CISSP备考系列指南.docx

资源描述

CISSP备考系列指南.docx

《CISSP备考系列指南.docx》由会员分享，可在线阅读，更多相关《CISSP备考系列指南.docx（105页珍藏版）》请在冰豆网上搜索。

CISSP备考系列指南.docx

CISSP备考系列指南

2011年8月5日

14:

CISSP备考系列之可问责性与访问控制[10-47]

访问控制的类型

1，预防性（Preventive）墙，锁，灯光，监视，加密等

2，威慑性/阻止性（Deterrent）墙，锁，防火墙等

3，检测性（Detective）保安，监视，IDS等

4，纠正性（Corrective）IPS，反病毒，终止访问，重启系统等。

5，恢复性（Recovery）备份/还原，容错系统，集群等。

6，补偿性（Compensation）替代品

7，指令性（Directive）保安，策略，通告，标志，意识培训等

8，行政管理性（Administrative）策略，过程，准则，休假等。

9，逻辑性/技术性（Logical/Technical）加密，访问控制，防火墙，IDS等。

10，物理性（Physical）围墙，锁，保安，线缆保护等。

实现问责制的四个步骤：

1，身份标识（Identification）用户名，登录ID，个人身份号码，智能卡等

2，身份验证（Authentication）

几种类型：

*somethingyouknow如密码，PIN，问题的答案等。

*somethingyouhave如智能卡，令牌设备等。

*somethingyouare如指纹，掌纹等

*somethingyoudo如签名，说话的语调等

*somewhereyouare如地址，电话号码等

*multiplefactorauthentication 多因子验证的安全性要强于单因子验证

3，授权（Authorization）

4，审计与可问责制（AuditingandAcountable）对于已经通过验证并取得授权的用户，持续地监视和审计以实现可问责。

生物验证技术

*生物识别技术最重要的技术指标是精确度。

灵敏度太低，则误接受率（FalseAcceptanceRate=FAR）升高

灵敏度太高，则误拒绝率（FalseRejectionRate=FRR）升高

FRR和FAR的等值点被称为CER=CrossoverErrorRate。

*视网膜（Retina）验证技术很不方便，可接受度较差。

支持SSO的三种协议

1，Kerberos

2，KryptoKnight

3，SESAME

访问控制技术

1，自主访问控制（DiscretionaryAccessControl）允许管理员或资源的所有者来控制资源的访问。

通常利用ACL来实现。

2，非自主访问控制（NondiscretionaryAccessControl）即规则型访问控制，访问控制完全基于规则，而不决定于管理员或客体拥有者的主观意愿。

3，强制访问控制（MandatoryAccessControl）基于分类标签，级别控制。

采用"needtoknow"型的访问控制，某个访问没有明确被许可，就是禁止的。

MAC比DAC更安全，但是灵活性和扩展性不如DAC。

强制访问控制又可分为三种应用环境：

层次环境，间隔环境，混合环境

4，角色型访问控制（Role-basedAccessControl）

5，格型访问控制（Lattice-BasedAccessControl）相当于密级制度，将主体和客观划分到不同的密级，然后定义每级主体的访问上限（LeastUpperBound）和下限（GreatestLowerBound）

访问控制管理

1，账户管理

*创建新账户严格按照人事部门的通知进行处理

*账户维护要根据变化及时更改账户信息

2，监控账户，记录与日志

3，访问权限与特权

*最小特权原则（Pricipleofleastprivilege）

*知其所需（Needtoknow）

*用户，所有者与管理员（User,Owner,Custodian）

*任务与职责的分离相互制约和平衡，确保任何一个主体都不能执行明显的恶意活动。

入侵检测系统IDS

入侵检测可以通过监视网络流量，进程活动，系统日志等信息来发现攻击行为，是对防火墙组件很好的补充。

1，响应方式

*主动式IPS系统。

*被动式日志，告警，通知。

*混合式结合上述两种方式

2，主机IDS与网络IDS

*主机

缺点：

占资源，管理成本高，检测网络攻击不全面，易受破坏

优点：

可以更好地洞察主机内部的变化，发现进程的异常活动，系统的异常变化。

*网络

缺点：

不了解主机层面的变化，流量太大时处理能力不足。

优点：

易管理，可靠性高，隐蔽性强，不影响系统性能。

3，知识型与行为分析型

*知识型（Knowledge-Based）也称为基于签名（Signature-Based）或模式匹配（Pattern-Matching）通过比对特征库来发现攻击行为。

这种方式的缺点是只对己知的攻击有效。

*行为型（Behavior-Based）也称为统计型（Statistical-Based）或异常检测（AnomalyDetection）或启发型（Heuristics-Based）它是一个专家系统，通过监视和学习来找出系统中的正常活动情况，进而发现异常行为和恶意活动。

缺点是会存在一定的误报。

源文档<

CISSP备考系列之网络架构与安全[10-46]

从OSI模型说起

七层协议就不介绍了，封装也不说了，TCP/IP的四层也不讲了。

跳过跳过直接跳过，毕竟是搞了多年网络的CCNP。

。

IPv4的问题挺多的，相比之下，IPv6确实好很多，不过安全性的需求还不足以促使IPv4的用户大规模迁移到IPv6。

线缆，不讲了，现在也就是双绞线和光纤了。

无线通讯

1，扩频（SpreadSpectrum）将数据片段通过不同频率同时发送，实际上相当于并行通讯了。

2，跳频扩频（FHSS=FrequencyHoppingSpreadSpectrum）频繁转换通讯频率，为了降低干扰，但是任意时刻只使用一个频率通讯。

3，直接序列扩频（DSSS=DirectSequenceSpreadSpectrum）同时使用所有可用频率进行通讯，并带有类似RAID5的校验机制。

4，正交频分复用（OFDM=OrthogonalFrequency-DivisionMultiplexing）数据经过压缩调制再传送，正交信号不存在干扰，频段更小，吞吐率更高。

无线通讯技术

1，蜂窝电话

2，蓝牙（802.15）

3，无绳电话

4，无线网络连接（802.1x）

无线网络的部署方式

1，Adhoc或P2P没有无线接入点的情况下直接连接客户端。

2，Infrastructure基础架构模式

*单机（Stand-Alone）连接多个无线客户端

*有线扩展（WiredExtension）连接有线和无线网络。

*企业外延（EnterpriseExtension）允许多个访问点使用同一个SSID，以实现漫游功能。

*桥（Bridge）用无线设备连接两个有线网络，通常使用专用的无线桥。

无线网络安全

1，将SSID更改为独特的标识，禁用SSID广播

2，启用MAC地址过滤。

3，考虑使用静态IP地址，或有保留地配置DHCP

4，启用身份验证的最高级形式，WEP，WAP或WAP-2。

WEP已经不安全。

5，将无线视为远程访问，结合RADIUS，TACACS或802.1x管理。

6，使用防火墙进行隔离，使用IDS进行监控。

7，要求所有通信都要加密，建议采用VPN连接。

防火墙的种类

1，静态包过滤（StaticPacket-Filtering）主要检查地址和端口，容易被骗，属于第一代防火墙。

2，应用网关（ApplicationLevelGateway）也叫代理（Proxy）每一种应用都需要一个代理，安全性高但是性能差，属于第二代防火墙。

3，电路网关（CircuitLevelGateway）也称电路代理（CircuitProxy）基于电路（地址和端口）来管理通信，同属第二代防火墙。

4，状态检测（StatefulInspaction）对网络通信的状态和环境进行综合评估，属于第三代防火墙。

5，多宿主具有多个网络接口的防火墙，也称为堡垒（Bastion）主机或屏蔽（Screened）主机，通常会构建DMZ区。

安全通信协议

1，IP简单密钥管理（SKIP=SimpleKeyManagementforIP）保护UDP数据的工具，与IPSec相结合。

2，软件IP加密（SWIPE=SoftwareIPEncryption）使用封装来提供机密性，完整性和身份验证功能。

3，安全远程过程调用（SRPC=SecureRPC）身份验证服务

4，安全套接层（SSL=SecureSocketLayer）用于保护Web通信的加密协议，SSL是面向会话的协议，可以用来保护Web，电子邮件，FTP和Telnet等，支持40位或128位密钥。

5，安全电子交易（SET=SecureElectronicTransaction）结合RSA和DES技术来实现。

主要用于金融行业，如信用卡等。

Tunnel隧道技术的缺点

1，通讯协议都有纠错，确认和会话管理机制，功能重复。

2，一次使用多个协议增加了开销。

3，点对点协议，不支持广播。

VPN协议

1，PPTP微软开发，初始通信没有加密，已经被L2TP替代。

2，L2F思科首创，不提供加密，没有广泛应用，被L2TP取代。

3，L2TP前两者的结合体，没有内置的加密方案，常与IPSec结合使用。

L2TP支持RADIUS和TACACS，PPTP不支持。

4，IPSec目前应用最广泛的协议，提供安全的身份验证和加密的数据传输。

VPN协议比较表

协议

自带身份验证

自带数据加密

支持的协议

支持拔号链路

并发连接数

PPTP

L2F

L2TP

N（可用IPSec）

Any

IPSec

多个

网络攻击及对策

1，偷听（Eavesdropping）

2，第二级攻击（Second-TierAttack）

*假冒/伪装（Impersonation/Masquerading）

*重放（Replay）

*修改（Modification）

*地址解释欺骗ARP攻击

*DNS欺骗（DNSSpoofing）

*超链接欺骗（HyperlinkSpoofing）

*网络钓鱼/假冒身份（Phishing/Pretexting）

源文档<

CISSP备考系列之安全管理的概念与原则[10-45]

CIA=私密性（Confidentiality），完整性（Integrity），可用性（Availability）

私密性防护手段：

加密，流量填充，访问控制，身份验证，数据分类，人员培训。

私密性依赖完整性。

完整性要求:

1，禁止未授权主体访问资源

2，禁止授权主体执行未授权操作

3，保持数据一致性

CIA优先顺序

1，政府和军队机密性优先

2，私人公司则是可用性优先。

可用性手段：

1，正确设计传输系统

2，使用访问控制

3，对性能和网络进行监控

4，使用防火墙和路由器阻止攻击

5，冗余。

其他安全概念

1，隐私性（Privacy）保护个人隐私信息。

2，身份标识（Identification）为安全主体分配唯一的标识。

3，身份验证（Authentication）提供身份标识并证实的过程。

4，授权（Authorization）为主体指派权力和特权。

5，审计（Auditing）记录授权行为和非授权行为。

6，可问责制（Accountability）检验身份并跟踪活动。

7，不可否认性（Nonrepudiation）靠数字签名，会话标识，事务日志等机制实现。

保护机制

1，层次法（Layering）多层安全，以线性方式被执行，单个安全控制的失效不会导致整个解决方案失效。

2，抽象（Abstraction）

3，数据隐藏（DataHiding）

4，加密（Encryption）

政府和军队的数据分类

1，绝密（TopSecret）泄密将导致灾难性的后果，导致对国家安全的毁灭性破坏。

2，机密（Secret）泄密将导致严重后果，对国家安全造成重大破坏。

3，秘密（Confidential）泄密将导致严重后果，对国家安全造成严重破坏。

4，敏感（SensitivebutUnclassified）敏感或私有数据，泄露不会造成重大损失。

5，非秘密（Unclassified）不敏感无需分类，泄露不会造成明显损失。

商业企业的分类级别

1，秘密（Confidential）也称为专有的（Proprietary），多用于公司数据。

2，隐私（Private）多用于个人数据。

3，敏感（Sensitive）泄露会造成负面影响。

4，公开（Public）泄露无明显影响。

信息及相关技术控制目标（ControlObjectivesforInformationandRelatedTechnology,CobiT）是IT最佳安全实践文档集。

包括：

1，计划与组织（PlanningandOrganization）

2，获得与实现（AcquisitionandImplementation）

3，交付与支持（DeliveryandSupport）

4，监控（Monitoring）

源文档<

CISSP备考系列之资产价值，策略与角色[10-44]

雇佣策略与实现

在任何安全解决方案中，人都是最薄弱的环节。

人总能发现避免受到控制，回避或消除控制以及禁用控制的方法。

雇佣新职员的步骤：

1，创建工作描述（JD）

*责任分离权力分隔，防止共谋（Collusion）

*工作职责细化权限，最小权限原则

*岗位轮换人员流动可以减少伪造，数据更改，偷窥，阴谋破坏和信息滥用的风险

2，筛选候选人

*背景调查

*安全检查

3，雇佣和培训合适的人选。

*组织的规则和限制

*安全策略，可接受的使用和行为准则

*工作描述，破坏活动及后果

*保密协议NDA（NondisclosureAgreement）

*竞业禁止协议NCA（NoncompeteAgreement）

4，解雇员工

大多数情况下，应该在通知员工被解雇的同时或之前就禁止或删除此员工对系统的访问权限。

安全角色

高级管理者批准策略

安全专家制定和实现安全策略

数据拥有者通常会将实际的数据管理任务委派给数据管理员

数据管理员执行必要的措施为数据提供安全保证，如备份数据，检查数据完整性，部署安全解决方案以及分类管理数据存储

用户具有数据访问权限的人

审计人员测试和验证安全策略是否被执行。

编制安全管理计划

1，采用自上而下的方式进行

2，如果没有高级管理层的批准，最好的安全计划也是无用的。

3，应该制定三种计划

*战略计划相当稳定的长期计划，定义组织的目的，使命和目标。

每年更新，五年有效。

*战术计划战略计划的具体实现，有效期为一年，规定和调度实现目标所需的任务。

*操作计划短期计划，非常周祥。

包括：

资源分配，预算要求，人员分配，进度安排等内容。

策略，标准，基准，指导原则及措施

安全策略（SecurityPolicy）规范化的最高层次。

通过文档定义组织机构所需的安全范围。

安全策略可分为三个大的类别：

规章式策略（RegulatoryPolicy），建议式策略（Advisory）和信息式策略（Informative）

安全标准，基准和指导原则（Standards，Baselines，Guidelines）

安全措施（Procedures）

风险管理

达到风险管理主要目标的过程称为风险分析（RiskAnalysis）