CISSP学习笔记-15（安全评估和测试）

这是一篇关于CISSP学习笔记-15（安全评估和测试）的思维导图，主要内容包括：复习题，考试要点，知识点。

CISSP学习笔记-15（安全评估和测试）

• 知识点
  • 构建安全评估和测试方案
    • 安全测试
      • 测试方案采用风险优先级方法对系统测试
    • 安全评估
      • 成果：向管理层提交的评估报告，具体建议为结论
      • NIST：组成部分：规范、机制、活动、人员
    • 安全审计
      • 内部审计
      • 外部审计
      • 第三方审计
        • SOC1 声明
        • SOC2 声明 保密，可根据保密协议对外公开
        • SOC3 声明 公开
      • 审计标准
        • COBIT
  • 开展漏洞评估
    • 漏洞描述
      • SCAP
    • 漏洞扫描
      • 网络发现扫描
        • 探测系统开放的端口，并不扫描漏洞
        • nmap
      • 网络漏洞扫描
      • Web应用程序漏洞扫描
      • 数据库漏洞扫描
      • 漏洞管理工作流程
        • 检测
        • 验证
        • 修复
    • 渗透测试
      • 白盒
      • 灰盒
      • 黑盒
    • 合规性检查
  • 测试软件代码审查与测试
    • 代码审查（同行评审）
    • 静态测试 SAST
    • 动态测试 DDAS
    • 模糊测试
    • 接口测试
      • API
      • UI
      • 物理接口
    • 误用案例测试
    • 测试覆盖率分析
    • 网站监测
  • 实施安全管理流程
    • 日志审查
    • 账户管理
    • 灾难恢复和业务连续性
    • 培训和意识
    • 关键绩效和风险指标
• 考试要点
  • 理解安全评估和测试方案的重要性。安全评估和测试方案是验证安全控制措施是否特续有效的重要机制。安全评估和现试方式包括各种工具，如漏洞评估、渗透测试，软件测试，审计和安全管理任务，从而验证控制措施的有效性。每个组织都应该具备一套可定义和可操作的安全评估和测试方案。
  • 开展漏洞评估和渗遊测试。漏洞评估使用自动化工具，检测系统、应用程序及网络上存在的已知漏洞。这些漏洞可能包括进漏的补丁、 错误配置或错误代码，导致组织面临安全风险。虽然渗透测试与漏洞扫描使用相同的工具，但渗透测试会将攻击技术当作工具的补充，评估人员尝试借助这些攻击技术利用漏洞，并获取系统权限。
  • 执行软件测试来验证部署到生产环境的代码。软件测试技术验证代码功能是否符合设计要求，以及其中是否存在安全缺陷。代码审查使用同行评审流程，在将代码部署到生产环境之前以正式或非正式方式验证代码。接口测试通过 API测试、用户界面测试和物理接口测试，评估组件和用户之间的交互。
  • 理解静态软件测试和动态软件测试之间的差异。静态测试技术，如代码审查，在未运行软件的情况下通过分析源代码或编译后的程序来评估软件的安全性。动态测试技术在软件运行状态下评估软件的安全性，对于部署了其他方开发的应用程序的组织来说，该技术通常是唯一的选择。
  • 解读模糊测试的概念。模糊测试使用修改过的输入来测试软件在意外情况下的表现。突变模糊测试通过修改已知的输入来产生合成的输入，进而可能触发软件的异常行为。预生成模糊测试根据预期输入模型来生成输入，完成与突变模糊測试相同的任务。
  • 执行安全管理任务，监督信息安全方案的实施。安全管理人员必须执行各种活动。确保不信息安全方案的适度临控。日志申查，特別是针对管理员活动的串查，可确保系统不会校误用。账户管理申查保证仅有投权用户可保留对信息系统的访问权限。备份验证确保組织的鼓帮伿护流程正常运行。关键绩效和风险指标为安全方案的有效性提供商层次的视角。
  • 开展或促进内都审计和第三方审计。 当第三方对组织保护信息资产的安全控制措施进行评估时，便出现安全审计。内部审计由组织内部人员执行，仅供管理用途。 外部审计由第三方公司实施，通常适用于企业的理事机构。
  • 收集安全过程数据。信息安全方案的许多祖籍安徽省承兑安全评估过程来说至关重要的数据。这些组件包括账户管理流程，管理审查和批准、关键绩效和风险指标、备份验证数据、培训和意识指标，以及灾难恢复和业务连续性计划生成的数据。
• 复习题
  • 1.以下哪种工具主要用于实施网络发现扫描？ A. nmap B. OpenVAS C. Metasploit Framework D. Isof
  • 2. Adam 近期对组织网络中运行的 Web 服务器进行网络端口扫描。他从外部网络进行扫描，以便从攻击者的视角获取扫描结果。以下哪种结果最可能触发警报？ A. 80/open B. 22/filtered C. 443/open D. 1433/open
  • 3. 在规划特定系统的安全测试方案时，不需要考虑以下哪个因素？ A. 系统存储信息的敏感程度 B. 执行测试的难度 C.渴望尝试新的测试工具 D.攻击者对系统的渴望
  • 4. 安全评估通常不包括以下哪一项？ A. 漏洞扫描 B.风险评估 C.漏洞缓解 D. 威胁评估
  • 5. 安全评估报告的目标受众是？ A.管理层 B. 安全审计员 C安全专业人员 D.客户
  • 6 wendy思考在组织中使用漏洞扣描器。漏洞扫描器的正确作用是什么？ A. 带入侵企图的主动扫描。 B. 充当一种诱骗。 C．定位己知的安全漏洞。 D.白动将系统重新配置为更安全的状态。
  • 7. Almn对服务器进行 nnnsp 打描，并确定服务器开放 80端口。 有关服务照用施和服多器运替商身份，哪种工-具可以为 Alan 提供最有用的补充信息？ A. SSH B. Web 浏览器 C. Telnet D. Ping
  • 8.通常使用什么端口接收来自 SSH 终端的管理连接？ A. 20 B. 22 C. 25 D. 80
  • 9.关于服务器安全状态，以下哪项测试提供最准确和最详细的信息？ A. 未经身份认证的扫描 B. 端口扫描 C.半开放扫描 D.经身份认证后的扫描
  • 10. 哪种网络发现扫描仅利用TCP 握手的前两个步骤？ A. TCP 连接扫描 B. Xmas 扫描 C. TCPSYN扫描 D. TCPACK 扫描
  • 11. Matthew 希望在网络上测试系统是否存在 SQL 注入漏洞。以下哪种工具最适合此 任务？ A. 端口扫描器 B.网络漏洞扫描器 C.网络发现扫描器 D.Web 漏洞扫描器
  • 12. Badin 银行运行一个处理电子商务订单和信用卡交易的 Web 应用程宇。因此，该银行接受PCIDSS的約束。该银行对该这用程序进行 web 漏洞扫描，得到不太满意的扫描结果。银行必须多久重新扫描一次改应用程序？ A. 仅在应用程序变更时 B. 至少每月一次 C. 至少每年一次 D. 没有重新扫描的必要
  • 13. Grace 正在对客户网络进行渗透测试，希望使用工具米自动化利用常见漏洞。以下哪种安全工具最能满足需求？ A. nmap B. Metasploit Framework C. OpenVAS D. Nikto
  • 14. Paul 希望对之前的输入稍加修改来测试应用程序。Paul 尝试执行何种类型的测试？ A. 代码审查 B. 应用漏洞审查 C.突变模糊测试 D.预生成模糊测试
  • 15. 银行用户可能尝试从账户中提取不存在的资金。开发人员认识到此类威胁，并开发代码来防范。如果开发人员尚未对该漏洞进行修复，那么哪类软件测试很可能发现此类漏洞？ A. 误用案例测试 B. SQL 注入测试 C.模糊测试 D.代码审查
  • 16. 哪类接口测试可以识别程序命令行界面的缺陷？ A. 应用编程接口测试 B. 用户界面测试 C.物理接口测试 D.安全接口测试
  • 17. 在哪种渗透测试期间，测试人员始终可以访问系统配置信息？ A.黑盒渗透测试 B. 白盒渗透测试 C.灰盒渗透测试 D.红盒渗透测试
  • 18. 运行未加密 HTTP 服务器的系统通常打开哪个端口？ A. 22 B. 80 C. 143 D. 443
  • 19.Robrt 最近和一位客户签署 SOC 声明，并正在准备1份报告，描述其公司完成为期六个月的评估后对客广安全控制措施的适用性和有效性的评价。请问Robert在准备哪类型的报告？ A. I类 B.I类 C川类 D. IV类
  • 20. 哪些信息安全管理任务可有效满足组织的数据保护要求？ A 账户管理 B. 备份验证 C.日志审查 D.关键性能指标