cisp考点整理资料.docx
《cisp考点整理资料.docx》由会员分享,可在线阅读,更多相关《cisp考点整理资料.docx(24页珍藏版)》请在冰豆网上搜索。
![cisp考点整理资料.docx](https://file1.bdocx.com/fileroot1/2023-6/24/18f99548-e161-4ed7-b3d0-b940a68838af/18f99548-e161-4ed7-b3d0-b940a68838af1.gif)
cisp考点整理资料
一.信息安全测评服务介绍
1.中国信息安全测评中心:
1)履行国家信息安全漏洞分析和风险评估职能2)对信息产品、系统和工程进行评估3)对信息安全服务,人员的资质进行审核
2.CISP以信息安全保障(IA)作为主线
二.信息安全测评认证体系介绍
1.由信息安全问题所引起的国家面临的主要威胁:
1)信息霸权的威胁2)经济安全3)舆论安全4)社会稳定
2.我国测评认证中心的建设过程:
1)1998.10国家质量技术监督局成立“中国国家信息安全测评认证中心”,1999.2该中心挂牌运行2)2001.5中编办“中国信息安全产品测评认证中心”(中编办【2001】51号)CNITSEC3)2007改名“中国信息安全测评中心”
3.认证要点
(1)一个目标:
TOE评估的正确性和一致性
(2)两种方法:
“质量过程核查”,“评估活动评价”
(3)三个阶段:
准备,评估,认证(4)四类活动
4.行业许可证制度
1)信息安全产品:
公安部3所检测,公安部11局颁发2)防病毒产品:
指定单位(天津市公安局)3)商用密码产品:
国密办颁发
5.商业性测评:
制定化,控制,量化
6.认证业务的范围:
服务商,专业人员,产品,系统
三.信息安全测评认标准
1.测评标准发展
1)美国TCSEC(桔皮书):
美国国防部1985年提出,军用机密性,D最小保护C1自主安全保护C2访问控制保护B1安全标签保护B2结构化保护B3安全域保护A1验证设计保护
2)欧共体ITSEC:
将安全性分为功能和保证;提出TOE;提出“安全目标”ST;E1-6
3)加拿大CTCPEC:
功能性要求分为机密性,完整性,可用性,可控性
4)美国联邦FC:
引入了保护轮廓PP;每个轮廓包括功能,保障和评测需求
5)通用评估准则CC:
1996年V1.0;1998年V2.0;1999年为ISO15408(GB/T18336);思想框架来源于FC和ITSEC;EAL1-7
2.CC的评估保证级EAL
EAL1功能测试;EAL2结构测试;EAL3系统地测试和检查;EAL4系统地设计、测试和复查;EAL5半形式化设计和测试(无隐蔽通道);EAL6半形式化验证的设计和测试;EAL7形式化验证的设计和测试
3.CC的结构:
1)简介和一般介绍,以及保护轮廓规范和安全目标规范2)第二部分:
安全功能需求3)第三部分:
安全保障需求
4.CC的范围不包括:
1)行政性管理安全措施的评估准则;2)物理安全方面(诸如电磁辐射控制)的评估准则;3)密码算法固有质量评价准则
包括:
信息系统产品和技术
5.保护轮廓PP(甲方)没有详细的设计方案,安全目标ST(乙方)方案
6.APE类:
保护轮廓的评估准则;ASE类:
安全目标的评估准则
7.CC的结构:
类,子类,组件
8.其他重要标准
1)ITIL:
IT服务框架2)Gobit:
ISACA协会IT内控审计、IT治理框架
四.我国标准
1.我国:
国家GB/T;行业:
GA,GJB;地方:
DB/T;企业:
Q
2.标准化:
最佳秩序,对实际的或潜在的问题制定共同的和重复使用的规则的活动。
目的:
获得最佳秩序和社会效益。
3.我国通行“标准化八字原理:
“统一”,“简化”,“协调”,“最优”
4.idt为等同采用,MOD(修改采用),NEQ(非等效采用)
5.1)IEC国际电工委员会(有TC77电磁兼容);2)ITU国际电信联盟(安全框架,安全联盟);IETF(英特网工程工作组)
6.1)GB/T5271.8-2001(idtISO2382.8);GJB2256-1994《军用计算机安全术语》
2)GB/T9387.2-1995(idtISO7498-2);RFC2401因特网安全体系结构
3)安全框架ISO/IEC10181-1~74)信息安全管理框架(ISO7498-4)5)信息安全保证框架(ISO/IECWD15443)
6)64位块加密算法操作方式(GB/T15277)(IdtISO8372)
7)鉴别的保准GB158438)数据完整性机制GB158529)计算站场地安全要求GB9361
10)机房适宜的湿度是40%-70%,GB28874.4.111)机房适宜的温度是15-30℃,见GB28874.4.1。
12)系统平台安全
参照标准:
1)TCSEC可信计算机评估准则;2)GB17859计算机信息系统安全保护等级划分准则;3)GJB2646军用计算机安全评估准则;4)TDI可信数据库解释
13)网络平台安全:
防火墙GB18019-1999,GB18020-199914)安全策略:
17799,13335
7.安全服务由安全机制来实现
8.密钥管理:
1)框架,2)使用对称技术,3)使用非对称技术
9.计算机安全等级分为A高,B,C
四.信息安全法律法规
1.当前我国现有的信息安全法律:
《中华人民共和国保守国家秘密法》《电子签名法》
其中规定:
国家秘密的级别分为:
绝密、机密、秘密三个级别
2.2003年7月22日,国家信息化领导小组第三次会议通过了《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)
3.党的十六届四中全会将信息安全与政治安全、经济安全、文化安全并列为国家安全的重要组成要素。
非传统安全问题日益得到重视
4.公通字[2007]43号-信息安全等级保护管理办法
5.《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》(发改高技[2008]2071号)
6.《关于加强政府信息系统安全和保密管理工作的通知》(国办发[2008]17号)
7.《国务院办公厅关于印发<政府信息系统安全检查办法>的通知》(国办发[2009]28号)
8.《国务院办公厅关于印发<国家网络与信息安全事件应急预案>的通知》(国办函[2008]168号)
CC
17859
ITSEC
TCSEC
E0
D(最低保护)
EAL1
EAL2
一(用户自主保护)
E1
C1(自主安全保护)
EAL3
二(安全审计保护)
E2
C2(访问控制保护)
EAL4
三(安全标记保护)
E3
B1(安全标签保护)
EAL5
四(结构化保护)
E4
B2(结构化保护)
EAL6
五(访问验证保护)
E5
B3(安全域保护)
EAL7
E6
A1(验证设计保护)
五.信息安全保障体系
1.信息安全发展历程:
通信保密,计算机安全(桔皮书),信息系统安全(CC),信息安全保障
2.安全保障在整个生命周期,风险和策略是核心,最终目标:
保障系统实现组织机构的使命
3.生命周期:
计划组织,开发采购,实施交付,运行维护,废弃
保障要素:
技术,工程,管理,人员。
安全特性CIA:
机密性,完整性,可用性
4.信息安全技术体系结构:
PDR:
Protection防护,Detection检测,Response响应PT>DT+RT。
如果防护时间为0,暴露时间=安全检测时间+安全响应时间
5.信息安全管理体系ISMS:
ISO17799实施细则,ISO27001管理指南
6.ISO13335风险管理框架,COSO风险内控框架,COBIT内控框架,ITIL框架
7.IATF信息保障技术框架
1)三个层面:
人员,技术,运行
2)技术框架:
本地计算环境,区域边界,网络和基础设施,支持性技术设施
十八。
信息安全管理体系
1.信息安全管理体系ISMS:
管理指南ISO27001,实施细则ISO17799
2.信息安全管理措施(实践准则)27002
3.基本安全管理措施:
策略、组织和人员
重要安全管理措施:
资产管理、通信和操作管理、访问控制和符合性
4.27001的核心内容为:
PDCA模型:
不断前进,循环
P(PLAN)计划;D(DO)做;C(CHECK)检查;A(ACT):
处置,改进
5.ISO27001来源于BS7799-2
ISO27002来源于ISO17799,17799来源于BS7799-1
1.信息安全管理措施27002,有11个安全控制措施的章节,共有39个主要安全类别
1安全策略,2信息安全组织,3资产管理,4人力资源安全,5物理和环境安全,6通信和操作管理,7访问控制,8系统的获取、开发和维护,9信息安全事故管理,10业务连续性管理,11符合性
2.策略的性质:
指导性,原则性(非技术性),可审核性,可实现性,动态性,文档化
3.策略的使用和维护:
管理层---制定,决策层---审批。
系统用户和维护人员---执行,审计人员---审计
4.内部组织:
8个控制措施。
外部各方:
3个控制措施
十九。
风险管理
1.参考资料:
ISO13335风险管理,17799安全管理措施,15408CC
2.安全风险的定义:
一种特定的威胁利用一种或一组脆弱性造成组织的资产损失或损害的可能性。
3.风险分析的目的:
识别资产、脆弱性并计算潜在的风险。
4.风险管理的控制方法有:
减低风险,转嫁风险,规避风险,接受风险
5.风险的四个要素:
资产及其价值,威胁,脆弱性,现有的和计划的控制措施。
6.1)ISO27002信息安全管理体系:
第一步,制定信息安全方;2定义ISMS范围,3进行风险评估,4实施风险管理,5选择控制目标措施,6准备使用声明
2)风险管理的一般过程(AS/NZS4360:
风险管理标准)
建立环境---识别风险---分析风险---评估和评价风险---处理风险
7.评估风险的方法:
1)定量分析:
年底风险损失ALE=单次损失*一年发生的频率2)定性分析3)混合分析
六.信息安全模型
1.分类
(1)信息流模型(机密性)
(2)访问控制模型
1)自主访问控制模型DAC---访问矩阵模型-----(实现):
访问控制列表ACL,权限列表
2)强制访问控制MAC
多级:
BLP(军事),Clark-Wilson(银行),BIBA(商业,涉及计算机完整性的第一个模型)
多边:
ChineseWall(金融),BMP(医疗)
3)基于角色访问控制RBAC
2.机密性(上读下写):
BLP(不能很好应对隐蔽通道问题),ChineseWall(主机只能访问那些与已经拥有的信息部冲突的信息),信息流
完整性(下读上写):
Clark-Wilson,BIBA
机密性和完整性:
BMP
3.多级安全模型:
绝密,机密,秘密,开放
4.1)参考监视器:
是对所有访问的主体和客体进行合法性监视的抽象概念。
2)安全核:
是可信计算基中用来实现参考监视器概念的软件硬件和固件。
3)可信计算基:
是计算机系统中实现安全策略的所有保护措施的总和,它包括安全核以及其他安全保护措施。
4)对安全核有以下三点基本要求:
使实现参考监视器的进程同其它进程隔离;所有访问活动都必须调用安全核,而不能绕过它;一定要足够小,以便于对其进行全面充分的测试和实现
七.信息安全工程
1.SSE-CMM系统安全工程能力成熟度模型,SSE-CMM2.0转为ISO21827
1)特性:
连续性,重复性,高效率性,保证
2)期待结果:
改进可预见性,可控制性,过程有效性
3)使用对象:
工程组织,采购组织,评估组织4)采用域维和能力维
5)适用于三种方式:
评定,改进,保证
2.能力维
1.基本执行,2.计划跟踪,3.充分定义,4.量化控制,5.连续改进(完美)
3.域维(22个PA)
1)工程过程(11个PA):
风险4工程5,保证2
2)项目和组织过程(11个PA):
项目6,组织5
4.4个风险过程:
PA04评估威胁,PA05评估脆弱性,PA02评估影响,PA03评估安全风险;
5个工程过程:
PA07协调安全,PA10明确安全需求,PA09提供安全输入,PA01管理安全控制,PA08监视安全态势;
2个保证过程:
PA11核实和确认安全,PA06建立保证论据;
5.信息安全工程监理参考模型
三控制,两管理,一协调。
质量控制,进度控制,成本控制,合同管理,信息管理,组织协调。
八.密码学
5.密码学发展
1)古典密码学(艺术)2)近代密码学(科学)3)现代密码学(公钥)
6.密码学包括:
密码编码和密码解码
7.基于密钥的算法分类
1)对称密钥算法:
速度快,密钥管理难
2)非对称密钥算法:
速度慢,密钥管理易
8.典型的攻击方法
1)唯密文攻击2)已知明文攻击3)选择明文攻击(明文到密文的对应关系)4)选择密文攻击5)软磨硬泡
6)社会工程
5.密码学作用:
机密性,完整性,鉴别,抗抵赖性
6.传统加密类型:
1)代替密码2)置换密码:
凯撒密码,用第三位密码置换
7.一次一密乱码本OPT:
加密时明文和密钥进行模26加法,理论上百分之百安全
要求:
1)明文,密钥一样长,一次只加密一个2)密钥为真随机序列
8.对称加密:
RES,IDEA,AES。
分为序列密码(RC4)和分组密码
非对称加密:
RSA,椭圆曲线
9.电子密码簿ECB,密码分组链接CBC,密码反馈CFB,输出反馈OFB
10.对称加密
1)DES密钥56位,8个奇偶校验位,8个SBOX加密,(陷阱),8个PBOX置换,16轮迭代。
应用:
Kerberos,SET
DOUBLEDES密钥2的57次方,TRIBEDES密钥2的168次方(应用为PGP,S/MIME)
2)IDEA密钥128位,有2的51次方个若密钥,嵌在PGP软件中
3)AES,原型是Rijndael,密钥可变位
4)RC4序列密码5)Blowfish6)SAFER
11.非对称加密
1)RSA:
基于大整数的难分解性,PD都为质数,加密和数字签名
2)椭圆曲线ECC:
椭圆曲线点群上的离散对数问题难
3)Diffie-Hellman4)ELGamal
12.单项散列函数(压缩,指纹,雪崩)
1)MD5,输出128位
2)SHA-1输出160位,PGP中用到
13.数字签名:
私钥加密,公钥解密。
数字信封:
用B的公钥加密对称密钥
机密信息包含:
密文,加密后的数字签名,数字信封
九.密码应用PKI/CA公钥基础设施
1.功能:
认证,授权,保密,完整,防抵赖性
2.PKI核心:
数字证书。
X.509数字证书,X..500目录。
CA认证中心,RA注册中心
3.PKI提供的安全服务包括:
身份认证,支持密钥管理,完整性和抗抵赖性
4.密钥管理体系包括的要素:
密钥的生成,密钥的备份和恢复,密钥的更新,密钥历史档案
9.证书服务主要包括:
证书申请、证书签发、证书更新和证书注销。
十.密码应用VPN
1.VPN分类
1)按协议层次:
二层VPN,三层,四层,应用层VPN
2)按体系结构:
网关到网关VPN,主机到主机,主机到网关
3)按实现方式:
自购VPN,外购VPN
2.二层VPN协议:
PPTP点到点隧道,L2TP隧道协议,L2F发送协议
三层:
IPSEC(由AH,ESP,IKE组成)四层:
SSL
3.VPN主要采用4类技术来保证安全:
隧道技术,密码技术,密钥管理技术,鉴别技术
4.IPsec协议
1)IETF为IP网络层制定的安全标准,强制包含在IPv6中,IPv4中可选,IPSec协议实际上是一个协议包而不是一个单个的协议。
2)IPSec目的:
IPsec用于为IPv4和IPv6提供互操作的、高质量的、基于密码技术的安全
3)所提供的安全服务包括:
访问控制、无连接完整性、数据源鉴别、重放保护(一种部分序列完整性的形式)、保密性(加密)和有限的流量流保密性
4)安全服务提供于IP层,为IP层和/或上层协议提供保护
5.IPsec包含三个主要协议:
1)鉴别头(AH):
是一个提供数据源发鉴别、数据完整性和重放保护的协议。
2)封装安全载荷(ESP):
加密功能。
3)互联网密钥交换(IKE)
6.IPsec运行于两种模式:
1)传输模式2)隧道模式
7.SSL协议
1)使用公钥体制和X.509数字证书2)位于TCP之上,应用层之下3)无需安装客户端
4)功能:
服务器认证、客户认证(可选)、SSL链路上的数据完整性和SSL链路上的数据保密性。
5)用途:
SSL通过在浏览器软件和web服务器之间建立一条安全通道,实现信息在Internet中传送的保密性。
6)包含:
SSL记录协议、SSL握手协议、SSL更改密码说明协议和SSL警告协议。
鉴别
3、4、7
访问控制
完整性
3、4、7
保密性
1、2、3、4、6、7
抗抵赖
7
十一。
网络安全
1.OSI模型
1)物理层:
比特流,设备:
HUB。
10BASEF光纤,10BASE5粗缆500m,10BASE2细缆180m,10BASET双绞线100m
2)数据链路层:
帧。
设备:
网桥,交换机,VLAN。
(纠错功能)
3)网络层:
IP包。
路由器(路由和寻址)
4)传输层:
段。
(重组和重发),端到端链接,流控制
5)会话层:
SQL
6)表示层:
编码压缩加密
7)应用层。
2.TCP/IP协议
1)网络接口层(物理层+数据链路层)(威胁:
硬件设备破坏):
X.25,ARPnet
2)网络层(威胁:
拒绝服务攻击):
IP,ICMP,ARP,RARP
3)传输层(威胁:
数据监听和窃取):
TCP,UDP(用于SMTP,DNS,TFTP简单文本传输)
4)应用层(威胁:
应用程序攻击):
TELNET远程,FTP文本传输,DNS域名,SMTP简单邮件,HTTP,SNMP简单网络管理
3.局域网:
以太网,CSMA/CD。
令牌技术,光纤分布数据接口FDDI技术
广域网:
X.25,ATM,ISDN,帧中继
4.端口号
(HTTP:
80),(HTTPS:
443),(控制/21数据),(TELNET:
23),(DNS:
(UDP53查询和解析,TCP53区域传输)),(BootP:
67/68),(T),(SMTP:
25),(POP3:
110),(TACACS:
UDP49),(LDAP:
UDP389),(SNMP:
UDP162),(FINGER:
TCP79),(RLOGIN:
TCP513)
5.安全服务5种:
鉴别服务,访问控制,数据保密性,数据完整性,抗抵赖性
安全机制8种:
加密,数字签名,访问控制,数据完整性,鉴别交换,通信业务填充,路由选择控制,公证
普通安全机制:
可信功能度,安全标记,事件检测,安全审计跟踪,安全恢复
6.A类:
1.0.0.0---126.0.0.0B类:
128.1.0.0----191.254.0.0C类:
192.0.1.0----223.255.254.0
D类:
224.0.0.0----239.255.255.254E类:
240.0.0.0----255.255.255.254保留
私有IP地址:
10.0.0.0----10.255.255.255;172.16.0.0----172.31.255.255;192.168.0.0----192.168.25.255
回路地址:
127.。
。
。
。
十六。
恶意代码(有害程序)
1.分类:
病毒,蠕虫,木马,恶意网页
2.病毒:
编制或在计算机程序中插入的代码
3.蠕虫:
不利用文件寄生。
红色代码,尼姆达,求职信
4.木马:
程序表面友好,实际恶意。
与合法程序绑定在一起。
有Rootkit技术
5.移动代码:
是从远处系统上传来的在本机系统上执行的软件,没有得到用户显示的指令
6.恶意内容的非恶意软件包括:
间谍软件。
网络钓鱼
7.主动防御措施:
•及时下载安装软件补丁•运行漏洞扫描程序•启用防火墙,关闭闲置端口•减小攻击面,停止不需要的应用程序或服务•使用最少特权帐户•正确使用口令
被动防御措施:
•安装使用防病毒软件•定期备份重要文件
8.恶意软件清除实践:
查看网络连接,识别恶意的进程和设备驱动程序,杀掉识别出的恶意的进程(Ctrl+Shift+Esc),识别并删除恶意软件的自动运行,删除磁盘上的恶意程序,重起并重复以上步骤
9.恶意代码:
1二进制文件;2脚本3宏
10.安全编程原则:
1.仔细检查程序错误;2.严格控制程序库;3.建立完整的与安全相关的程序文件;4.防止程序员非授权修改;5.采用冗余检测关键计算;6.正确选用程序开发工具
11.病毒分类:
1.按攻击的系统分类(Windows、DOS、Unix、OS/2);2.按传染方式分类(引导、文件、混合);3.按连接方式(源码、入侵、操作系统、外壳);4.按破坏性分类(良性、恶性);
十七。
安全攻防
1.缓冲区溢出危害:
程序崩溃;执行任意代码;提升权限
2.常见DOS攻击:
Smurf攻击(把源IP地址改为目标主机IP地址),Land攻击,Teardrop攻击
3.DDOS:
分布式拒绝攻击
4.数据库注入,跨占脚本,Rootkit技术(隐蔽文件),DNS劫持
5.嗅探与扫描:
sniffer,nessus
6.社会工程
7.黑客攻击流程(渗透性测试流程):
侦查-----定位/绘制目标-----拒绝服务或系统/网络渗透----扩大战果-----打扫战场
十二。
网络应用安全—防火墙;入侵检测系统IDS;漏洞扫描
1.防火墙平台分类
1)网络协议划分:
包过滤防火墙,代理防火墙,混合防火墙
2)其他划分:
网络/主机防火墙,硬件/软件防火墙
2.包过滤防火墙:
应用在网络层。
可能遭到的攻击:
IP地址伪装,源路由攻击,碎片攻击
优点:
简单,高速。
缺点:
设置包过滤规则难,缺少认证。
3.代理防火墙(应用级网关)
优点:
更安全。
缺点:
慢,设置不同的代理服务器
4.防火墙功能:
身份验证和授权,网络地址转换(NAT),动态主机配置协议(DHCP),VPN加密功能,应用内容过滤,VLAN的支持功能,网络监控和审计,IP和MAC地址绑定
5.防火墙的构造体系:
屏蔽路由器,屏蔽子网,屏蔽主机,双宿主主机
6.入侵检测系统功能:
监控,攻击识别和响应,安全审计
7.入侵检测分类:
1)按照分析方法:
异常检测,导致误报率高
误用检测,导致漏报率高
2)按系统结构:
集中式,分布式
3)按数据来源:
基于主机的HIDS,基于网络的NIDS,应用入侵
8.CIDF入侵检测系统的公共框架
组件:
事件发生器,事件分析器,响应单元,事件数据库
9.IDS的关键技术:
数据采集技术,数据检测,数据分析
10.典型IDS产品介绍(国外)
ISSRealSecure(WINNT),NFRSecurityNID,NAICyberCopIntrusionProtection,CisioNetRanger(UNIX),snort
11.漏洞扫描:
TCP连接:
如果端口处于监听,那么CONNECT就能返回值
TCP半连接:
应答是RST包(端口是关闭),应答是SYN和ACK包(端口处于监听)
UDP应答端口扫描:
如果端口打开,会返回一个UDP包
UDP端口不可达到扫描:
端口关闭,会返回一个包。
十三。
UNIX操作系统安全
1.目录
•/根文件系统,用于存储系统内核,启动管理和其他文件系统的装载点。
•/opt目录