CISP学习要点资料

《CISP学习要点资料》由会员分享，可在线阅读，更多相关《CISP学习要点资料（11页珍藏版）》请在金锄头文库上搜索。

1、、体系与模型 （12-15 道题 ）1、技术体系， ISO8498-2OSI 七层，各层对应的服务描述语言 CC 基于风险管理，解决普通性和特殊性的问题。CC中的各个基本的概念，如PP（产品），ST （厂商），EAL各级的含义。IATF， 5 个服务，安全功能， 18810?-18817? 把系统分为四类，是粗 粒度的结构。 CC 是细的。OSI 参考模型：应用层、表示层、会话层、传输层、网络层、数据链 路层、物理层。 与 TCP/IP 的对应关系：应用层表示层会话层：Telnet, FTP, TFTP, SMTP, DNS传输层：TCP,UDP, ICMP?网络层： IP, ARP, RAR

2、P数据链路层，物理层： Ethernet, Token Ring安全四性：保密性、完整性、可用性、可控性。信息安全三性：机密性 （Confidentiality） 、完整性 （Integrity） 、可用性（Availability）。CC:Common Criteria（ 通用准则 ）, TOE: 评估对象 , PP: 保护轮廓 , ST: 安 全目标 , EAL: 评估保证级别 , TSF:TOE 的安全功能 , FDP: 用户数据 保护, FIA: 标识和鉴别。系统安全等级： D、C1、C2、B1、B2、B3、 A1。CC 有 11 类，66 族，135 个组件。用于 TOE 勺七个安全

3、保证要求类：ACM类：配置管理，ADO类：分发和操作，ADV类：开发，AGD类：指导性文件，ALC类：生命周期支持，ATE类：测试，AVA类：脆弱性评定。以下的重点：EAL2-4三者之间如何提高。20050313的PPT的第120-135左右。EAL功能测试* EAL2 结构测试* EAL3 系统地测试和检查* EAL4 系统地设计、测试和复查EAL5-半形式化设计和测试EAL6-半形式化验证的设计和测试EAL7-形式化验证的设计和测试安全服务：鉴别服务、访问控制、数据机密性、数据完整性、抗抵赖。安全机制： 加密、数字签名、访问控制、数据完整性、鉴别交换、通 信业务填充、路由选择控 制、公证。

4、IATF：信息保障技术框架。有四个层次：网络与基础设施，边界/外部连接，计算环境，支撑基础设施（PKI/KMI、检测与响应）。安全架构能力成熟 度级别：能力级别 0：未实施。能力级别 1：非规范化设计、基本执行级。能力级别 2：文档化设计、规范定义级。能力级别 3：结构化设计、正式执行级。能力级别 4：半形式化设计、测试验证级。能力级别 5：形式化设计、审计优化级。2、安全管理：ISO17799, PDCA模型，含义，三层或五层的体系文件， 管理能力成熟度，各级，知道一下就可以了。ISO17799 包含 10 大类共 36 个控制目标和 127 个控制措施。ISMS （信息安全管理体系）有6个

5、要求（实现方法）：ISMS总则、建立ISMS 管理框架、 ISMS 实施、 ISMS 文档化、文件的控制、记录。ISMS 的 6 个重要原则： PDCA 循环、过程方法、领导重视、全员参与、 持续改 进、文件化。 ISMS 有 6 个步骤：确定安全方针、确定范围、风险评估、风险管理、选择控制目 标和控制措施、准备适用申明。3、工程：SSE-CMM5级的含义，11 + 11个过程域，某些域各做什么，风险过 程，工程过程，保证过程。SSE-CMM 系统安全工程能力成熟模型。 代表安全工程组织的成熟级别： 0：未 实施， 1 ：非正式实施， 2：计 划和跟踪， 3：充分定义， 4：定量控制， 5：

6、连续改进。4、攻防， 5 类攻击，常见的攻击、威胁、漏洞，哪些是威胁，哪些 是漏洞。5 类攻击：被动攻击、主动攻击、物理临近攻击、内部人员攻击、软 硬件装配分发 攻击。PPDR 模型： Policy, Protection, Detection, Response。5、保障体系：要素，三维的图。信息安全保障：技术保障、过程保障、管理保障。 信息系统安全保障的要素是：技术、工程、管理、人员。ISPP:信息系统安全保障要求6、模型（3-4道）：多级，多边，哪些是多级， 哪些是多边；哪些是 保密性，哪些是完整性；访问控制，自主，强制，基于角色， 各自的 特点。多级安全模型： BLP（ Bell-La

7、Padula） , Clark-Wilson, Biba 多边安全模型： Chinese Wall, BMA机密性安全模型： BLP, Chinese Wall ；包括访问控制类和信息流类 （非 干扰 性、非观察性 ） 。完整性安全模型： Biba, Clark-WilsonMAC 强制访问控制）：BLP, Chinese WallDAC 自主访问控制） ：RBAC 基于角色的访问控制） ：二、密码技术及其应用算法，常见算法，三类，对称、非对称、 h as h ,特点及用于什么场合， 强度比较。美国制定的用于数字签名的HASHff密算法：SHA-1。2、体制，对称与非对称的区别，大概的工作原理

8、。3、协议，比较不会考。端口： FTP/21, TACACS/UDP49,LDAP/389, FINGER/79, DNS 查询/UDP53 区域传输 /TCP53, SNMP Trap/162RST-RESET, URG-URGENT, ACK-ACKNOWLEDGE, PSH-PUSH, SYN-SYNCHRONIZATION, FIN-FINISH4、应用，面比较广，在不同层次上的应用，如链路上，IP层的应用，IPSEC SSL 的应用，PKI的应用，标识与鉴别（I&A），基于口令的鉴别，等等，以及其强度。三、网络安全防火墙，基本原理及分类ACL 使用包过滤技术，在路由器上读取第三层及第

9、四层包头中的信 息，如源地址、 目的地址、源端口、目的端口等，根据预先定义好的 规则对包进行过滤，从而达到 访问控制的目的。2、IDS ，基本几点的分类方法，异常检测等等。3、审计与监控。4、TCP/IP基础，私有地址，公有，三次握手A 类地址：0.0.0.0 - 127.255.255.255 mask: 255.0.0.0B 类地址：12800.0 - 191 255255255 mask: 255.25500C 类地址：19200.0 - 223255255255 mask: 255.255.255.0D 类地址：224.0.0.0 - 239255255255 mask:255.255

10、.255.255E 类地址： 240.0.0.0 - 240.保留给私人网络的地址：10.0.0.0 - 10.255.255.255 ； 172.16.0.0 - 172.31.255.255 ； 192.168.0.0 -192.168.255.255VPN：IKE :密钥交换协议。IPsec 的两个安全机制： AH（ IP 验证头 Authentication Header ）和 ESP（IP 封装安全负载 Encapsulating Security Payload ）都有两种 模式:传输模式和隧 道模式。两个模式的区别在于是不是新增了IP头，隧道模式对整个IP数据项提供认证保护， 并

11、可用于安全网关； 传输模式只对上层协议数据提供 认证保护。 当 AH 在安全网关上实现时，必须采用隧道模式。IPsec 工作在网络层， 实现的安全服务为: 访问控制、无连接完整性、 数据源验 证、抗重播、机密性。典型的VPN的标准有哪些：层2发送协议L2F、层2隧道协议L2TP点到点隧道 协议 PPTP、 IP 安全性 IPsec 。身份认证的方法：口令验证、通行证验证和人类特征验证四、系统安全1、windows 安全，常见的操作命令，缺省的日志存放位置，系统目 录；2、UNIX 安全，常见的操作命令，文件存放的地方，看进程的命令， 看端口的命 令，查找可疑的东东的命令。3、数据库： SQL

12、命令。五、应用安全1、恶意代码，病毒，蠕虫（主动攻击，如 REDCOD）， E 木马，逻辑炸 弹，管理。2、安全编程，注意事项。六、安全工程工程过程，各阶段做什么，风险评估在什么时候做，设计的时候、变 更的时候怎么 处理。安全工程：风险，工程，安全。安全工程过程成熟度级别： 非正式执行级， 计划跟踪级， 充分定义级， 量化控 制级，持续改进级。安全工程生命周期：挖掘安全需求，定义安全要求，设计体系结构，详细安全设计， 实现系统安全，有效性评估。安全工程重点：1. 安全工程的含义，PA （过程区）的内容。2. 过程方法： ?七、安全管理（ 20 题左右） * 黑皮书的第 6、 9、 10 章不

13、用 看。物理安全， 人的安全：最威胁的是内部的人员，当前的人，培训、教育；3、资产，分类，重要性的划分，4、运行管理：攻击次数，检测成功次数，漏洞（脆弱性）跟踪，攻击次数及检测 成功的次数。5、 BCP DRP 故障，容错，6、 安全策略。 重要的安全技术：加密机，访问控制装置，入侵检测，防火墙等。安全策略：访问控制，加密通信，身份认证，备份恢复，等等。7、 风险管理，知道不同风险的含义，可接受，残余风险，年度损失 的计算公式OCTAV 风险评估实施过程:阶段一：建立基于资产的威胁概要文件过程 1:识别高级管理者的认识过程 2:识别运营领域的认识过程 3:识别员工的认识过程 4:创建威胁概要文

14、件 阶段二:识别基础设施的脆弱性过程 5:识别关键部件过程 6:评估所选部件阶段三:制定安全策略与计划过程 7:执行风险分析过程 8:制订保护策略风险评估:评估威胁，评估脆弱性，评估影响，评估安全风险。风险的四个要素:资产及其价值，威胁，脆弱性，现有的和计划的控 制措施。 威胁是客观的，外部的，它不一定产生风险，如果利用了脆弱性，就 产生了风险 风险管理的方法:降低风险，规避风险，转移风险，接受风险。 风险评估的方法: 识别资产及其价值，确定威胁，识别脆弱性 （Vulnerability ），实施控制方法。 风险评估方法：定性，定量。风险计算（定量）：R = f （a, v, t） , R:风

15、险，a：资产的价值，v：资产本身的 脆弱性，t：资产所面临的威胁。后果定量分析：SLA （Single-time loss Algorithm,当一个风险发生时会对资产 价值造成多大的财务损失），ALE （Annualized loss Exposure,年度风险损失）八、标准常见的标准，国标，强制的、推荐的，CC， TCSE、C ITSEC 各级的对应关系。标准共包括四个部分：简介和一般模型，技术准则，管理准则，工程 准则。TCSEC勺缺陷之一：集中考虑数据机密性，而忽略了数据完整性系统可用性等。CCTCSECITSECGB17859DE0EAL1EAL2C1E1一级标准间的对应关系：EAL4B1E3三级EAL5B2E4四级EAL6B3E5五级EAL7A1E6EAL3C2E2二级九、安全管理体制* 黑皮书的第 6、 9、 10 章不用看。法律、法规，各有关部门的管理职能。考几个法中的有关