cisp考点整理.docx
《cisp考点整理.docx》由会员分享，可在线阅读，更多相关《cisp考点整理.docx（19页珍藏版）》请在冰豆网上搜索。
cisp考点整理
一．信息安全测评服务介绍
1.中国信息安全测评中心：
1）履行国家信息安全漏洞分析和风险评估职能2）对信息产品、系统和工程进行评估3）对信息安全服务，人员的资质进行审核
2.CISP以信息安全保障（IA）作为主线
二．信息安全测评认证体系介绍
1．由信息安全问题所引起的国家面临的主要威胁：
1）信息霸权的威胁2）经济安全3）舆论安全4）社会稳定
2．我国测评认证中心的建设过程：
1）1998.10国家质量技术监督局成立“中国国家信息安全测评认证中心”，1999.2该中心挂牌运行2）2001.5中编办“中国信息安全产品测评认证中心”（中编办【2001】51号）CNITSEC3）2007改名“中国信息安全测评中心”
3．认证要点
（1）一个目标：
TOE评估的正确性和一致性
（2）两种方法：
“质量过程核查”，“评估活动评价”
（3）三个阶段：
准备，评估，认证（4）四类活动
4．行业许可证制度
1）信息安全产品：
公安部3所检测，公安部11局颁发2）防病毒产品：
指定单位（天津市公安局）3）商用密码产品：
国密办颁发
5.商业性测评：
制定化，控制，量化
6.认证业务的范围：
服务商，专业人员，产品，系统
三．信息安全测评认标准
1.测评标准发展
1）美国TCSEC（桔皮书）：
美国国防部1985年提出，军用机密性，D最小保护C1自主安全保护C2访问控制保护B1安全标签保护B2结构化保护B3安全域保护A1验证设计保护
2）欧共体ITSEC：
将安全性分为功能和保证；提出TOE；提出“安全目标”ST；E1-6
3）加拿大CTCPEC：
功能性要求分为机密性，完整性，可用性，可控性
4）美国联邦FC：
引入了保护轮廓PP；每个轮廓包括功能，保障和评测需求
5）通用评估准则CC：
1996年V1.0；1998年V2.0；1999年为ISO15408（GB/T18336）；思想框架来源于FC和ITSEC；EAL1-7
2.CC的评估保证级EAL
EAL1功能测试；EAL2结构测试；EAL3系统地测试和检查；EAL4系统地设计、测试和复查；EAL5半形式化设计和测试（无隐蔽通道）；EAL6半形式化验证的设计和测试；EAL7形式化验证的设计和测试
3.CC的结构：
1）简介和一般介绍，以及保护轮廓规范和安全目标规范2）第二部分：
安全功能需求3）第三部分：
安全保障需求
4.CC的范围不包括：
1）行政性管理安全措施的评估准则；2）物理安全方面（诸如电磁辐射控制）的评估准则；3）密码算法固有质量评价准则
包括：
信息系统产品和技术
5.保护轮廓PP（甲方）没有详细的设计方案，安全目标ST（乙方）方案
6.APE类：
保护轮廓的评估准则；ASE类：
安全目标的评估准则
7.CC的结构：
类，子类，组件
8.其他重要标准
1）ITIL：
IT服务框架2）Gobit：
ISACA协会IT内控审计、IT治理框架
四．我国标准
1.我国：
国家GB/T;行业：
GA,GJB;地方：
DB/T;企业：
Q
2.标准化：
最佳秩序，对实际的或潜在的问题制定共同的和重复使用的规则的活动。
目的：
获得最佳秩序和社会效益。
3.我国通行“标准化八字原理：
“统一”，“简化”，“协调”，“最优”
4.idt为等同采用，MOD（修改采用），NEQ（非等效采用）
5.1）IEC国际电工委员会（有TC77电磁兼容）；2）ITU国际电信联盟（安全框架，安全联盟）；IETF（英特网工程工作组）
6.1）GB/T5271.8-2001（idtISO2382.8）；GJB2256-1994《军用计算机安全术语》
2）GB/T9387.2-1995（idtISO7498-2）；RFC2401因特网安全体系结构
3）安全框架ISO/IEC10181-1~74）信息安全管理框架（ISO7498-4）5）信息安全保证框架（ISO/IECWD15443）
6）64位块加密算法操作方式（GB/T15277）（IdtISO8372）
7）鉴别的保准GB158438）数据完整性机制GB158529）计算站场地安全要求GB9361
10）机房适宜的湿度是40%-70%，GB28874.4.111）机房适宜的温度是15-30℃，见GB28874.4.1。
12）系统平台安全
参照标准：
1）TCSEC可信计算机评估准则；2）GB17859计算机信息系统安全保护等级划分准则；3）GJB2646军用计算机安全评估准则；4）TDI可信数据库解释
13）网络平台安全：
防火墙GB18019-1999,GB18020-199914）安全策略：
17799，13335
7.安全服务由安全机制来实现
8.密钥管理：
1）框架，2）使用对称技术，3）使用非对称技术
9.计算机安全等级分为A高，B，C
四．信息安全法律法规
1．当前我国现有的信息安全法律：
《中华人民共和国保守国家秘密法》《电子签名法》
其中规定：
国家秘密的级别分为：
绝密、机密、秘密三个级别
2.2003年7月22日，国家信息化领导小组第三次会议通过了《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）
3.党的十六届四中全会将信息安全与政治安全、经济安全、文化安全并列为国家安全的重要组成要素。
非传统安全问题日益得到重视
4.公通字[2007]43号-信息安全等级保护管理办法
5.《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》（发改高技[2008]2071号）
6.《关于加强政府信息系统安全和保密管理工作的通知》（国办发[2008]17号）
7.《国务院办公厅关于印发<政府信息系统安全检查办法>的通知》（国办发[2009]28号）
8.《国务院办公厅关于印发<国家网络与信息安全事件应急预案>的通知》（国办函[2008]168号）
CC
17859
ITSEC
TCSEC
E0
D（最低保护）
EAL1
EAL2
一（用户自主保护）
E1
C1（自主安全保护）
EAL3
二（安全审计保护）
E2
C2（访问控制保护）
EAL4
三（安全标记保护）
E3
B1（安全标签保护）
EAL5
四（结构化保护）
E4
B2（结构化保护）
EAL6
五（访问验证保护）
E5
B3（安全域保护）
EAL7
E6
A1（验证设计保护）
五．信息安全保障体系
1.信息安全发展历程：
通信保密，计算机安全（桔皮书），信息系统安全（CC），信息安全保障
2.安全保障在整个生命周期，风险和策略是核心，最终目标：
保障系统实现组织机构的使命
3.生命周期：
计划组织，开发采购，实施交付，运行维护，废弃
保障要素：
技术，工程，管理，人员。
安全特性CIA：
机密性，完整性，可用性
4.信息安全技术体系结构：
PDR：
Protection防护，Detection检测，Response响应PT>DT+RT。
如果防护时间为0，暴露时间=安全检测时间+安全响应时间
5.信息安全管理体系ISMS：
ISO17799实施细则，ISO27001管理指南
6.ISO13335风险管理框架，COSO风险内控框架，COBIT内控框架，ITIL框架
7.IATF信息保障技术框架
1）三个层面：
人员，技术，运行
2）技术框架：
本地计算环境，区域边界，网络和基础设施，支持性技术设施
十八。
信息安全管理体系
1.信息安全管理体系ISMS：
管理指南ISO27001，实施细则ISO17799
2.信息安全管理措施（实践准则）27002
3.基本安全管理措施：
策略、组织和人员
重要安全管理措施：
资产管理、通信和操作管理、访问控制和符合性
4.27001的核心内容为：
PDCA模型：
不断前进，循环
P（PLAN）计划；D（DO）做；C（CHECK）检查；A（ACT）:
处置，改进
5.ISO27001来源于BS7799-2
ISO27002来源于ISO17799，17799来源于BS7799-1
1.信息安全管理措施27002，有11个安全控制措施的章节，共有39个主要安全类别
1安全策略，2信息安全组织，3资产管理，4人力资源安全，5物理和环境安全，6通信和操作管理，7访问控制，8系统的获取、开发和维护，9信息安全事故管理，10业务连续性管理，11符合性
2.策略的性质：
指导性，原则性（非技术性），可审核性，可实现性，动态性，文档化
3.策略的使用和维护：
管理层---制定，决策层---审批。
系统用户和维护人员---执行，审计人员---审计
4.内部组织：
8个控制措施。
外部各方：
3个控制措施
十九。
风险管理
1.参考资料：
ISO13335风险管理，17799安全管理措施，15408CC
2.安全风险的定义：
一种特定的威胁利用一种或一组脆弱性造成组织的资产损失或损害的可能性。
3.风险分析的目的：
识别资产、脆弱性并计算潜在的风险。
4.风险管理的控制方法有：
减低风险，转嫁风险，规避风险，接受风险
5．风险的四个要素：
资产及其价值，威胁，脆弱性，现有的和计划的控制措施。
6.1）ISO27002信息安全管理体系：
第一步，制定信息安全方；2定义ISMS范围，3进行风险评估，4实施风险管理，5选择控制目标措施，6准备使用声明
2）风险管理的一般过程（AS/NZS4360：
风险管理标准）
建立环境---识别风险---分析风险---评估和评价风险---处理风险
7.评估风险的方法：
1）定量分析：
年底风险损失ALE=单次损失*一年发生的频率2）定性分析3）混合分析
六．信息安全模型
1.分类
（1）信息流模型（机密性）
（2）访问控制模型
1）自主访问控制模型DAC---访问矩阵模型-----（实现）：
访问控制列表ACL，权限列表
2）强制访问控制MAC
多级：
BLP（军事），Clark-Wilson（银行），BIBA（商业，涉及计算机完整性的第一个模型）
多边：
ChineseWall（金融），BMP（医疗）
3）基于角色访问控制RBAC
2.机密性（上读下写）：
BLP（不能很好应对隐蔽通道问题），ChineseWall（主机只能访问那些与已经拥有的信息部冲突的信息），信息流
完整性（下读上写）：
Clark-Wilson，BIBA
机密性和完整性：
BMP
3．多级安全模型：
绝密，机密，秘密，开放
4.1）参考监视器：
是对所有访问的主体和客体进行合法性监视的抽象概念。
2）安全核：
是可信计算基中用来实现参考监视器概念的软件硬件和固件。
3）可信计算基：
是计算机系统中实现安全策略的所有保护措施的总和，它包括安全核以及其他安全保护措施。
4）对安全核有以下三点基本要求：
使实现参考监视器的进程同其它进程隔离；所有访问活动都必须调用安全核，而不能绕过它；一定要足够小，以便于对其进行全面充分的测试和实现
七．信息安全工程
1.SSE-CMM系统安全工程能力成熟度模型，SSE-CMM2.0转为ISO21827
1）特性：
连续性，重复性，高效率性，保证
2）期待结果：
改进可预见性，可控制性，过程有效性
3）使用对象：
工程组织，采购组织，评估组织4）采用域维和能力维
5）适用于三种方式：
评定，改进，保证
2.能力维
1.基本执行，2.计划跟踪，3.充分定义，4.量化控制，5.连续改进（完美）
3.域维（22个PA）
1）工程过程（11个PA）：
风险4工程5，保证2
2）项目和组织过程（11个PA）
升级会员 