导图社区 CISSP学习笔记-21(恶意代码和应用攻击)
这是一篇关于CISSP学习笔记-21(恶意代码和应用攻击)的思维导图,主要内容包括:复习题,考试要点,知识点。
提示: 本内容由社区用户上传并分享。平台不对内容的真实性、合法性、知识产权归属及是否侵害第三方权利进行事前审核或保证。本内容可能包含受版权保护的图片、字体或其他第三方素材,使用前请自行确认授权范围。
这是一篇关于TMO与PMO组织架构及职责的思维导图,模板详细拆解了 TMO(技术交付组织)与 PMO(项目管理办公室)两大核心模块:TMO 模块涵盖业务分析师、应用技术负责人、项目技术负责人、测试技术负责人等多个关键岗位,明确了各角色的执行层对应团队与核心职责,如业务需求转化、技术方案设计、跨模块资源协调、用户验收测试管控等;PMO 模块则包含多供应商管理、变更管理、项目计划与管理、成本管控、配置管理等全流程职能,清晰呈现各岗位的汇报线、工作边界与协作逻辑,解决项目管理中角色模糊、职责交叉、流程混乱等痛点。无论是 IT 项目交付团队搭建、企业项目管理体系梳理,还是个人项目管理知识学习、团队培训材料制作,该模板都能提供标准化参考框架。项目经理可借助它明确团队分工、优化协作流程,技术负责人能快速对齐技术交付各环节的角色职责,企业管理者可用于搭建规范的项目管理组织架构,项目团队成员也能通过模板快速了解岗位定位与工作要求,实现高效协同。模板支持按需修改与拓展,可直接套用或根据企业实际需求调整岗位、职责内容,大幅节省架构梳理与文档制作时间,提升项目管理效率。
这是一篇关于华为项目交付组织架构的思维导图,涵盖项目铁三角核心角色、决策层与执行层架构、项目管理办公室(PMO)及技术交付组织(TMO)四大核心模块,清晰梳理了各岗位职能、汇报关系、关键逻辑与协作流程,是拆解华为项目管理体系、搭建标准化项目交付团队、明确项目权责分工的实用参考工具。模板深度融合华为项目管理的核心理念,详细拆解了客户负责人、方案负责人、交付负责人、PMO Leader、TMO Leader 等关键角色的职责边界,以及多供应商管理、变更管控、成本控制、技术执行等专项职能的分工逻辑,帮助用户快速理解大型复杂项目中 “决策 - 管理 - 执行” 三层架构的协作模式,解决项目权责不清、流程混乱、协同低效等常见问题。无论是企业搭建项目交付团队、项目管理者梳理组织架构,还是学习华为项目管理方法论,都能通过该模板快速掌握项目交付组织的搭建逻辑,高效落地项目管理流程。借助万兴脑图软件绘制,助力快速搭建标准化项目交付管理体系。
这是一篇关于DPIA流程和模板的思维导图,主要内容包括:DPIA模版,DPIA概述和范围,如何执行DPIA,可接受的DPIA标准,DPIA解决什么问题,DPIA执行标准。
社区模板帮助中心,点此进入>>
这是一篇关于TMO与PMO组织架构及职责的思维导图,模板详细拆解了 TMO(技术交付组织)与 PMO(项目管理办公室)两大核心模块:TMO 模块涵盖业务分析师、应用技术负责人、项目技术负责人、测试技术负责人等多个关键岗位,明确了各角色的执行层对应团队与核心职责,如业务需求转化、技术方案设计、跨模块资源协调、用户验收测试管控等;PMO 模块则包含多供应商管理、变更管理、项目计划与管理、成本管控、配置管理等全流程职能,清晰呈现各岗位的汇报线、工作边界与协作逻辑,解决项目管理中角色模糊、职责交叉、流程混乱等痛点。无论是 IT 项目交付团队搭建、企业项目管理体系梳理,还是个人项目管理知识学习、团队培训材料制作,该模板都能提供标准化参考框架。项目经理可借助它明确团队分工、优化协作流程,技术负责人能快速对齐技术交付各环节的角色职责,企业管理者可用于搭建规范的项目管理组织架构,项目团队成员也能通过模板快速了解岗位定位与工作要求,实现高效协同。模板支持按需修改与拓展,可直接套用或根据企业实际需求调整岗位、职责内容,大幅节省架构梳理与文档制作时间,提升项目管理效率。
这是一篇关于华为项目交付组织架构的思维导图,涵盖项目铁三角核心角色、决策层与执行层架构、项目管理办公室(PMO)及技术交付组织(TMO)四大核心模块,清晰梳理了各岗位职能、汇报关系、关键逻辑与协作流程,是拆解华为项目管理体系、搭建标准化项目交付团队、明确项目权责分工的实用参考工具。模板深度融合华为项目管理的核心理念,详细拆解了客户负责人、方案负责人、交付负责人、PMO Leader、TMO Leader 等关键角色的职责边界,以及多供应商管理、变更管控、成本控制、技术执行等专项职能的分工逻辑,帮助用户快速理解大型复杂项目中 “决策 - 管理 - 执行” 三层架构的协作模式,解决项目权责不清、流程混乱、协同低效等常见问题。无论是企业搭建项目交付团队、项目管理者梳理组织架构,还是学习华为项目管理方法论,都能通过该模板快速掌握项目交付组织的搭建逻辑,高效落地项目管理流程。借助万兴脑图软件绘制,助力快速搭建标准化项目交付管理体系。
这是一篇关于DPIA流程和模板的思维导图,主要内容包括:DPIA模版,DPIA概述和范围,如何执行DPIA,可接受的DPIA标准,DPIA解决什么问题,DPIA执行标准。
CISSP学习笔记-21(恶意代码和应用攻击)
知识点
恶意软件
恶意代码的来源
病毒
病毒传播技术
主引导记录病毒
位于硬盘的第一个存储扇区
文件感染病毒
如:.exe .com .msc
同伴病毒
顺序添加到.com .exe .bat
宏病毒
通过限制不受信的宏在没有用户明确许可的情况下运行
服务注入病毒
注入可信的操作系统中
病毒技术
复合病毒
隐形病毒
多态病毒
加密病毒
病毒恶作剧
逻辑炸弹
满足一个或多个条件前保持休眠的恶意代码
特洛伊木马
蠕虫
间谍软件和广告软件
勒索软件
恶意脚本
零日攻击
恶意软件预防
易受恶意软件攻击的平台
反恶意软件
完整性监控
高级威胁保护
应用程序攻击
缓冲区溢出
检查时间到使用时间
TOC 检查时间
主体检查客体状态的时间
TOU 使用时间
决定访问客体时,在TOU访问它
TOC到TOU时间大就会被利用,TOCTTOU或者TOC/TOU,攻击者可以在这段时间替换客体
后门
特权提升和rootkit
特权提升的常用方法rootkit
注入漏洞
SQL注入攻击
基于内容的盲注
基于时间的盲注
代码注入攻击
LDAP
XML
DLL
跨站脚本
命令注入攻击
利用授权漏洞
不安全的直接对象引用
目录遍历
文件包含
利用Web应用程序漏洞
跨站脚本 XSS
反射XSS
存储/持续XSS
请求伪造
跨站请求伪造
服务器端请求伪造
会话劫持
应用程序安全控制
输入验证
Web应用防火墙
数据库安全
代码安全
代码签名
代码重用
软件多样性
代码仓库
完整性度量
应用程序韧性
安全编码实践
源代码注释
错误处理
硬编码凭证
内存管理
考试要点
理解病毒使用的传播技术。病毒使用 4 种主要的传播技术渗透系统并传播恶意载荷,这4 种技术是:文件感染病毒、服务注入病毒、主引导记录病毒和宏病毒。需要理解这些技术以有效地确保网络上的系统免受恶意代码的侵犯。
解释勒索软件造成的威胁。勒索软件使用传统的恶意软件技术感染系统,然后使用只有攻击者知道的密钥加密该系统上的数据。接着,攻击者要求受害者支付赎金以换取解密密钥。
知道反病毒软件包如何检测已知病毒。大多数反病毒程序使用特征检测算法寻找己知病毒。为防范新出现的病毒,必须定期更新病毒定义文件。基于行为的检测监控目标用户和系统的异常活动,并对其进行阻止或标记以供后续调查。
解释用户和实体行为分析(UEBA)的功能。UEBA 工具会生成个人行为文档,然后监控用户行为与这些文档记录的偏差,这些偏差可能表明存在恶意活动和/或账户泄露的情况。
熟悉各类应用程序攻击,攻击者用它们攻击编写拙劣的软件。应用程序攻击是现代计算面临的最大威胁之一。攻击者还利用缓冲区溢出、后门、TOC/TOU 漏洞以及 rootkit 来获得对系统的非法访问。安全专业人员必须对每种攻击和相关对策有清晰的理解。
理解常见 Web 应用程序的漏洞及对策。由于许多应用程序转移到了 Web 上,开发人员和安全专业人员必须了解这类存在于当今环境中的新型攻击,以及如何防范它们。两个最常见的例子是跨站脚本(XSS)攻击和 SQL 注入攻击。
复习题
1. Dylan 正在审查组织目前使用的安全控制措施,他意识到其中缺乏一种能够识别最终用户异常操作的工具。什么类型的工具最能满足这一需求? A. EDR B. 完整性监控 C.特征检测 D. UEBA
2. Tim 正在改进组织的反恶意软件防御措施,希望能减轻安全团队的运营负担。以下哪种解决方案最能满足他的需求? A. UEBA B. MDR C. EDR D. NGEP
3. Carl 在一个政府机构工作,该机构遭受勒索软件攻击,无法访问关键数据,但可以访问备份数据。以下哪项操作能恢复访问权限,同时最大限度地降低组织面临的风险? A. 支付赎金 B. 从头开始重建系统 C 恢复备份 D 安装防病毒软件
4. 什么样的攻击技术通常被APT组利用,但其他攻击者通常无法使用 A. 零日攻击 B. 社会工程 C.特洛伊木马 D. SQL 注入
5. John在他的代码中发现了一个漏洞,攻击者可以输入非常多的内容,然后强制系统运行代码以执行目标命令。John 发现的是什么类型的漏洞? A. TOC/TOU B.缓冲区溢出 C. XSS D. XSRF
6. Mary 在她的代码中发现了一个漏洞,该漏洞使得在会话期间无法检查用户的权限是 杏己被撤销。这是什么类型的漏洞? A. 后门 B. TOC/TOU C.缓冲区溢出 D. SQL 注入
7.通常使用什么编程语言结构来执行错误处理? A. if...then B. case…..when C. do...while D. try...catch
8. Fred 在查看web 服务器上的日志是否存在恶意活动时发现此请求: http://www.mycompany.com/./././etc/passwd。 这最有可能是什么类型的攻击? A. SOL 注入 B. 会话劫持 C.目录遍历 D.文件上传
9. 开发人员在web 应用程序中添加了一个子例程,以检查日期是否为 4月 1日,如果是,则随机更改用户的账户余额。这是什么类型的恶意代码? A.逻辑炸弹 B. 蠕虫 C.特洛伊木马 D. 病毒
10. Francis 正在車查公司计划部署的数据库驱动web 应用程序的源代码。他特别注意应用程序中足否使用了输入验证。下面列出的字符中,哪一个最常用于SQL注入? A. ! B. & С * D. '
11. Katie 担心组织可能迎受 SQL 注入攻击。她已经建立了 web 应用程序防火墙,并对该组织的 web 应用程序源代码进行了审查。她希望在数据库级别添加一个附加控件。什么样的数据库技术可以进一步限制潜在的 SQL 注入攻击? A. 触发器 B. 参数化查询 C.列加密 D.并发控制
12.哪类恶意软件专门利用窃取的计算能力为攻击者获取经济利益? A. RAT B. PUP C.加密恶意软件 D.蠕虫
13. David 负责审查一系列 Web 应用程序是否存在跨站脚本攻击漏洞。他应该注意哪些表明这类攻击的、高度敏感的特征? A. 反射输入 B. 数据库驱动的内容 C..NET 技术 D. CGI 脚本
14. 你是一家零售商户的 I T安全经理,该组织刚刚上线电子商务网站。你雇用了几个程序员来编写代码,这是网络销售系统的主干。然而,你担心的是,尽管新代码功能良好,但可能并不安全。你开始查看代码以跟踪问题和关注点。为了防止或抵御 XSS,你希望找到以下哪几项?(选择所有适用的选项。) A. 输入验证 B. 防御性编码 C.允许脚本输入 D,转义元字符
15. Sharon 认为她的组织开发的web 应用程序包含路站脚本漏洞,她希望纠正这个问题。以下哪项是可被 Sharon 用来抵御跨站脚本攻击的最有效防御措施? A. 限制账户特权 B. 输入验证 C.用户身份认证 D. 加密
16. Beth 在浏览 Web 服务器日志时找到如下表单输入: <SCRIPT>alert ('Enter your password') </SCRIPT> 她可能发现了什么类型的攻击? A. XSS B. SQL 注入 C. XSRF D. TOCTTOU
17. Ben 的系统感染了恶意代码,恶意代码修改了操作系统,允许恶意代码的作者访问 他的文件,这个攻击者利用了什么类型的攻击技术? A. 特权提升 B. 后门 C. rootkit D.缓冲区溢出
18. Karen 希望配置一个新的应用程序,以便在需求上升和下降时自动增加和释放资源。哪个术语最能描述她的目标? A.可扩展性 B. 负载均衡 C.容错 D.弹性
19.下面哪个HTML 标记常作为跨站脚本(XSS)攻击的一部分? A. ‹HI> B. <HEAD> C. <XSS> D. <SCRIPT>
20. 最近,一段恶意代码以软件的形式在互联网上传播,声称允许用户在个人电脑上玩xbox游戏。该软件实际上试图在执行它的机器上启动恶意代码。这描述了什么类型的恶意代码? A. 逻辑炸弹 B. 病毒 C.特洛伊木马 D.蠕虫