CISSP公共知识体系学习指南Word下载.docx
《CISSP公共知识体系学习指南Word下载.docx》由会员分享，可在线阅读，更多相关《CISSP公共知识体系学习指南Word下载.docx（31页珍藏版）》请在冰豆网上搜索。
1、访问控制系统和方法论
概要
访问控制是一些机制的集合，这些机制允许系统的管理者们对系统的行为、使用和内容行使指导和限制等影响。
它允许管理人员指定用户可以做什么，他们可以访问什么资源和他们可以在系统上执行什么操作。
应试者应该完全理解访问控制的概念，方法论以及它在跨越企业计算机系统的集中和分散式环境中的实现。
应当研究访问控制技术，侦测和纠正方法以了解潜在的风险，脆弱性和暴露。
关键知识域
●可计帐性
●访问控制技术
自由访问控制（DiscretionaryAccessControl）
强制访问控制（MandatoryAccessControl）
基于格的访问控制（Lattice-basedAccessControl）
基于规则的访问控制（Rule-basedAccessControl）
基于角色的访问控制（Role-basedAccessControl）
访问控制列表（AccessControlLists）
●访问控制管理
帐户管理
帐户，日志和日记监控（JournalMonitoring）
访问权和许可
建立（授权）
文件和数据拥有者，管理人和用户
最小特权准则（PrincipleofLeastPrivilege）
责任和义务分离（SegregationofDutiesandResponsibilities）
维护
撤消
●访问控制模型
Bell-LaPadula
Biba
ClarkandWilson
无干扰模型（Non-interferenceModel）
状态机模型（StateMachineModel）
访问矩阵模型（AccessMatrixModel）
信息流模型（InformationFlowModel）
●识别和鉴别技术
●基于知识的口令，个人标识码（PINs），短语
●口令
●选择
●管理
●控制
●基于特征（生物测定学，行为）
●令牌（token）
●门票（ticket）
●一次口令
●基于令牌（智能卡，密钥卡）
●单点登录（SingleSignOn，SSO）
●访问控制方法论和实现
●集中/远程鉴别式的访问控制
●RADIUS
●TACACS
●分散式的访问控制（DecentralizedAccessControl）
●域
●信任
●文件和数据拥有和管理
●攻击方法
●强力攻击（BruteForce）
●服务拒绝（DenialofService）
●字典攻击
●欺骗
●中间人攻击（Man-in-the-middleattacks）
●垃圾邮件（Spamming）
●嗅探（Sniffers）
●Crackers
●监控
●入侵检测
●入侵类型
●入侵防护（识别，鉴别）
●入侵检测（数据提取，取样，识别，流量）
●攻击特征识别（AttackSignatureIdentification）
●入侵激活响应（IntrusionReactiveResponse）
●异常识别（AnomalyIdentification）
●入侵响应（IntrusionResponse）
●报警（Alarms）
●发信号（Signals）
●审计跟踪（AuditTrails）
●违例报告（ViolationReports）
●纠正（Corrections）
●穿透测试（PenetrationTesting）
2、电信和网络安全
概述
电信和网络安全域包括结构，传输方法，传输格式和用于为专用及公用通信网络和媒体的传输提供完整性、可用性、可鉴别性和机密性的安全措施（SecurityMeasure）。
应试者应能论证对通信和网络安全的理解，这涉及到语音通信；
本地，广域和远程访问的数据通信；
使用防火墙，路由器和TCP/IP的Internet/Intranet/Extranet；
以及运用防护、侦测和纠正等方法的通信安全管理和技术。
●ISO/OSI分层和特征
●物理层
●数据链接层
●网络层
●传输层
●会话层
●表示层
●应用层
●通信和网络安全
●物理介质特征（如，光纤/同轴电缆/双绞线）
●网络拓朴（例如，星型/总线/环型）
●IPSec鉴别和机密性
●TCP/IP特征和脆弱性
●局域网
●广域网
●远程访问/远程办公（Telecommuting）技术
●安全远程过程调用（SecureRemoteProcedurecall）（S-RPC）
●RADIUS/TACACS（RemoteAccessDial-InUserSystem/TerminalAccessControlAccessSystem）
●网络监控和PacketSniffers
●Internet/Intranet/Extranet
●防火墙
●路由器
●开关
●网关（Gateways）
●代理（Proxies）
●协议
●TransmissionControlProtocol/InternetProtocol（TCP/IP）
●网络层安全协议（IPSEC，SKIP，SWIPE）
●传输层安全协议（SSL）
●应用层安全协议（S/MIME，SSL，SET，PEM）
●ChallengeHandshakeAuthenticationProtocol（CHAP）和PasswordAuthenticationProtocol（PAP）
●点到点协议（PPP）/串行线路互联网协议（SLIP）
●服务
●HDLC
●帧中继
●SDLC
●ISDN
●X．25
●防护，侦测和纠正错误，以维护通过网络的事务的完整性，可用性和机密性的通信安全技术
●隧道（Tunneling）
●虚拟专用网（VPN）
●网络地址翻译（NetworkAddressTranslation）
●透明
●HashTotals
●记录顺序检查（RecordSequenceChecking）
●传输日志（TransmissionLogging）
●传输错误更正（TransmissionErrorCorrection）
●重传控制（RetransmissionControls）
●E－MAIL安全
●传真安全（FacsimileSecurity）
●安全语音通信
●安全边界和如何翻译安全政策到控制（SecurityBoundariesandHowtotranslatesecuritypolicytocontrols）
●网络攻击和对策
●ARP
●强力攻击
●蠕虫（worms）
●淹没（flooding）
●窃听（eavesdropping）
●嗅探（sniffers）
●Spamming
●PBX欺骗和滥用（PBXFraudandAbuse）
3、安全管理实践
安全管理承担组织信息资产的识别，以及那些确保机密性、完整性和可用性的政策，标准，规程和方针的开发，文档化和实现。
使用管理工具（如数据分级，风险评估和风险分析）来识别威胁，分级资产，鉴定脆弱性的等级以实现有效的安全控制。
风险管理是对不确定事件和风险相关损失的识别，度量，控制和最小化。
它包括全面的安全评审，风险分析；
安全措施的选择和评估，费用收获分析，管理决策，安全措施实现和有效性评审。
应试者应能理解在识别和安全组织的信息资产中的计划，组织和个人的角色；
陈述管理人员在特定课题上的观点和位置的政策的开发和使用，以及用以支持这些政策的方针、标准和规程的使用；
安全意识培训以使雇员懂得信息安全的重要性，它的意义与它们的职位相关的特定的安全需求；
机密性，专有和私有信息的重要性；
雇佣协议；
雇员录用和解聘准则；
以及用于识别，评估，降低对特定资源的风险的风险管理实践和工具。
●安全管理概念和原则
⏹隐私
⏹机密性
⏹完整性
⏹可用性
⏹授权
⏹识别和鉴别
⏹可计帐性
⏹抗抵赖
⏹文档（Documentation）
⏹审计
⏹CIA三元组（CIATriad）
⏹保护机制
◆分层
◆抽象
◆数据隐藏
◆加密
●变更控制/管理（ChangeControl/Management）
●硬件配置
●系统和应用软件
●变更控制过程（注：
ChangeControl变更控制）
●数据分级（DataClassification）
●分级方案的目标（ObjectiveofaClassificationScheme）
●数据分级标准
●商业数据分级
●政府数据分级
●信息/数据
●价值/估价（Worth/Valuation）
●收集和分析技术
●雇佣政策和实践（EmploymentPoliciesandPractices）
●背景检查/安全调查（BackgroundChecks/SecurityClearances）
●雇佣协议（EmploymentAgreement）
●解雇和中止实践（HiringandTerminationPractices）
●工作描述
●角色和职责
●义务和职责分离（SeparationofDutiesandResponsibilities）
●工作转换（JobRotations）
●政策，标准，方针和规程
●风险管理
●风险管理原则
●威胁和脆弱性
●概率确定（ProbabilityDetermination）
●资产评估
●风险评估工具和技术
●定性和定量的风险评估方法
●单一事件损失（SingleOccurrenceLoss）
●年度损失期望计算（AnnualLossExpectancy（ALE）Calculations）
●对策选择（CountermeasureSelection）
●对策评估（CountermeasureEvaluation）
●风险降低/分配/接受（RiskReduction/Assignment/Acceptance）
●角色和责任
管理
所有者
管理者
用户
IS/IT功能
其它人（otherindividual）
●安全意识培训
●安全管理计划
4、应用和系统开发安全（Applications&
SystemsDevelopmentSecurity）
应用和系统开发安全指包含在系统和应用软件的控制，以及开发它们的步骤。
应用软件指代理（agents），小程序（applets），软件，数据库，数据仓库，以及基于知识的系统。
这些应用软件可用于分布式或集中环境。
应试者应完全清楚安全和控制，这些安全和控制可用于系统开发过程，系统生命周期，应用控制，变更控制，以及用于确保数据和应用程序完整性，安全和可用性的数据仓库，数据挖掘，基于知识的系统，程序接口和概念。
●应用软件问题
●分布式环境
●代理
●小程序
●Active-X
●Java
●对象
●本地/非分布式环境
●病毒
●特洛伊木马
●逻辑炸弹
●蠕虫
●数据库和数据仓库
●聚集（Aggregation）
●数据挖掘
●推理（Inference）
●多实例（Poly-instantiation）
●多级安全
●数据库管理系统（DBMS）构架
●数据/信息存储
●首要的（Primary）
●其次的（Secondary）
●真实的（Real）
●虚拟的（Virtual）
●随机的（Random）
●可变的（Volatile）
●序列（Sequential）
●基于知识的系统
●专家系统
●神经网络
●系统开发控制
●系统开发生命周期
●概念定义（ConceptualDefinition）
●功能需求确定（FunctionalRequirementsDetermination）
●防护规范开发（ProtectionSpecificationsDevelopment）
●设计评审
●代码评审和走查
●系统测试评审
●认证（Certification）
●鉴定合格（Accreditation）
●维护
●安全控制/构架
●过程隔离（ProcessIsolation）
●硬件分割（HardwareSegmentation）
●权限分离（SeparationofPrivilege）
●分层
●抽象（Abstraction）
●数据隐藏
●SystemHigh
●安全内核（SecurityKernel）
●参考监控（ReferenceMonitors）
●运作模式（ModeofOperation）
●超级用户
●用户
●完整性级别（IntegrityLevels）
●网络/系统
●操作系统
●数据库
●文件
●服务等级协议（ServiceLevelAgreement）
●恶意代码
●定义
●术语（Jargon）
●Myths/hoaxes
●黑客，怪客，飞客和病毒作者的概念（Theconceptsofhackers,crackers,phreaksandviruswriters）
●防病毒保护
●防病毒软件
●计算机病毒的不同类型
●Multi-partite
●宏病毒
●引导扇区传染
●Macintosh
●文件传染
●陷门
●强力攻击或穷尽攻击（BruteForceorExhaustiveAttack）
●服务拒绝（Denialofservice）
●pseudoflaw
●授权代码改变（AlterationofAuthorizationCode）
●隐藏代码（HiddenCode）
●中断
●远程维护
●浏览（Browsing）
●流量分析
●Flooding
●Cramming
●TimeofCheck/TimeofUse（TOC/TOU）
5、密码学
密码学领域重点放在伪装信息以确保其完整性，机密性和可鉴别性的原理，手段和方法。
应试者应该了解密码学的基本概念；
公钥和私钥算法的应用软件和使用；
算法构造，密钥分发和管理，以及攻击方法；
数字签名的应用，构造和使用，它提供了电子交易的可鉴别性和当事人的抗抵赖性。
●使用密码学以得到（UseofCryptographytoAchieve）
●机密性
●完整性
●可鉴别性
●抗抵赖性
●密码学概念，方法论和实践
●对称算法
●非对称算法
●报文鉴别
●数字签名
●加密/解密
●密码学算法（包括DES，RSA，SHA，MD5，HMAC和DSA）的基本功能
●密码学算法的强度和弱点以及密钥长度的影响
●密钥管理汲及的基本功能，包括生成，分发、校验，撤消，破坏，存储，恢复和生存期以及这些功能如何影响密码学中的完整性
●密钥分发方法和算法（包括人工，Kerberos和ISAKMP）
●错误侦测/修正特性
●杂凑函数（HashFunction）
●报文摘要（包括MD5，SHA和HMAC）
●OneTimeCipherKeys（Pads）
●流密码和分组密码
●密钥托管（KeyEscrow）和密钥恢复
●私钥算法
●应用与使用
●算法方法学
●密钥分发和管理
●密钥生成/分发
●密钥恢复
●密钥存储和破坏
●密钥强度
●复杂性
●保密（Secrecy）
●弱密钥
●公钥算法
●密钥生成
●密钥存储与破坏
●公钥基础设施（PublicKeyInfrastructure，PKI）
●证书认证机关（CertificateAuthority）
●构件
●层次结构（HierarchicalStructure）
●证书
⏹类型和分级
⏹证书如何答署，验证，分发和吊销
⏹层次链（HierarchyChain）
●实现密码功能的系统构架（SystemArchitectureforImplementingCryptographicFunctions）
●应用软件和基于网络的协议的使用（包括PEM，S/MIME,SSL,HTTPS（alsoknownasSHTTP）,SET,IPSEC）
●硬件构件的应用（如智能卡和令牌）
●密码学构件的应用（如IPSEC结点/ISAKMP）
●COA
●KPA
●CTA包括CPA，ACPA和CCA
●Crack
●重演（Replay）
●MIM
●生日（Birthday）
6、安全构架和模型
安全构架和模型这一领域包括用于设计、实现、监控和安全（Secure）的概念，原理，结构和标准，以及执行不同级别机密性、完整性和可用性的操作系统，设备，网络，应用程序和控制。
应试者应该了解在机密性，完整性，信息流，商业与政府需求方面的安全模型；
在CC（CommonCriteria），国际性的（ITSEC），美国国防部（TCSEC），和互联网（IETF IPSEC）方面的系统模型；
在硬件，固件和软件方面的技术平台；
以及用于防护，侦测和修正控制的系统安全技术。
●公共计算机和网络组织，体系结构和设计的原理
●寻址－物理的和符号的（Addressing–physicalandsymbolic）
●与内存空间相对的地址空间（Addressspacecontrastedtomemoryspace）
●硬件，固件和软件
●机器类型（真实，虚拟，多状态，多任务，多程序，多进程，多处理器，多用户）
●网络协议功能（OSI七层模型）
●操作状态（单状态，多状态）
●操作模式（用户，超级用户和特权用户）
●资源管理器功能
●存储类型（首要的，次要的，真实的，虚拟的，易失的，不易失的，随机的，顺序的）
●保护机制（分层，抽象，数据隐藏，进程分离，硬件分割，最小特权原理，权限分离，可计帐性）
●使用防护，侦测和修正控制的系统安全技术
●公共安全模型、体系结构和评估标准的原理
●认证和鉴定合格（CertificationandAccreditation）
●封闭和开放系统
●限制，范围和隔离（Confinement，BoundsandIsolation）
●控制（强制的和自由的）
●IETF安全体系结构（IPSec）
●ITSEC级别和必需的保证和功能
●客体和主体（目的和关系）（Objectsandsubjects（purposeandrelationship）
●安全边界和DMZ
●参考监控和内核（目的和功能）
●可信计算基（TCB）
●用于机密性、完整性和信息流，以及商业和政府需求的安全模型（Bell-LaPadula,Clark-Wilson,Biba）
●TCSEC分级和必需功能
●令牌，能力和分类（labels）（目的和功能）
●与系统体系结构和设计相关的普遍性缺陷和安全问题
●转换通道（内存，存储和通信）
●初始化和失败状态
●输入和参数检查
●维护“钩子（Hook）”和特权程序（superzap/su）
●程序设计（技巧，编译器，APIs，和库问题）
●Timing（TOC/TOU），状态改变，通信断开
●电磁辐射
7、运作安全（OperationSecurity）
操作安全用于识别加在硬件，媒介（media）和有权限访问这些资源的操作员之上的控制。
审计和监控是一些方法、工具和手段，这一切允许对确定关键元素的安全事件和跟
升级会员 