CISSP学习笔记-域7（安全运营）

这是一篇关于CISSP学习笔记-域7（安全运营）的思维导图，主要内容包括：复习题，知识点。

CISSP学习笔记-域7（安全运营）

• 知识点
  • 7.1. 理解和遵守调查
    • 7.1.1.了解并遵守调查
      • 调查通常在安全事件响应 (lncident Response. IR）后进行，主要目的是收集并分析证据以确定发生了什么，以及如何防止类似事件的再次发生。
      • 关注点：
        • 1.专业技能：
          • 调查、证据收集和处理、数字取证等都需要特定的专业技能。这些过程需要精确和详细的操作，因为任何错误都可能损坏或破坏证据。
        • 2.协调与合作：
          • 对于 CISSP 持证者来说，他们可能需要协调和合作适当的专家来支持调查和取证过程。这是因为这些过程需要专门的技能和培训，以确保证据的完整性和有效性。
        • 3.证据处理：
          • 在调查过程中，证据的处理方式非常重要。需要确保证据的真实性、完整性和可用性，同时遵守法律和法规，以确保证据在法庭上的有效性。
    • 7.1.2.𨒂据收集和处理
      • 1.证据收集和处理
        • •数字证据：如日志、录音、计算机文件和计算机系统组件。如内存或硬盘驱动器。
        • ·硬拷贝材料：如打印文件、手写笔记、纸质报告等
        • •如果涉及刑事犯罪，需由具有执法背景的专业人员组成，CISSP 的作用是支持和遵守这些专业人员的任何要求。
      • 2. 收集数字证据
        • 当进行事件响应时，收集数字证据是非常重要的。数字证据往往是短暂的，所以比须尽快收集，以保证证据完整性。
        • 为确保证据完整性，以下是一些最佳实践：
          • •记录所有信息：这包括行动的日期、时问和地点，收集到的任何证据的情况，以及参与的相关人员。这有助于确保证据的完整性和可靠性。
          • •制作证据副本：在对证据进行分析或调查时，应尽可能对证据副本进行操作，以保护原始证据的完整性。
          • •使用写保护工具：这可以防止对证据进行任何不必要的更改或修改。
          • •使用哈希值进行校验：这是为了确保分析或调查使用的数据与原始收集的数据一致，且在过程中未对数据进行更改。
      • 3.处理数字证据
        • •数字取证和事件响应 (DFIR） 是一个涉及收集和分析数字证据以调查和应对安全事件的过程。
        • •处理数字证据需要遵循一定的流程和标准，如 ISO/EC 27037:2012 和 NISTSP 800-86.
        • •保持良好的链式保管（Chain orCustody) 是非常重要的，包括记录证据从收集到分析的所有过程，以保证证据的完整性和可靠性。
      • 4.云计算的挑战
        • 云计算的分布式特性和全球范围为数字取证格来了独特的挑战。在从云环境中收集证据时，必须考虑到法律和技术问題，包括与数据主权和管辖权问题
    • 7.1.3. 报告和文件
      • 处理证据和文件时需要遵镇的关键原则。这些原则不仅适用于法庭，也适用于其他涉及证据收集和报告的情况。
        • •准确性(Accuracy)：
          • 确保证据和文件不包含任何错误是至关重要的。这包括检查证据是否与其他证据一致，以及证据是否完整无缺。
        • •真实性(Authenticity)：
          • 证据必须来自可靠的来源，并且这个来源应该可以通过监管链进行验证。这是确保证据真实性的关键
        • •可理解性(Comprehensibility)：
          • 证据和相关文件应该被所有相关人员理解，这可能包括非技术人员。因此，应该尽可能地把技术术语翻译成更易于理解的语言。
        • •令人信服 (Convincing)：
          • 证据应该形成一个完整和有说服力的证据链，这样它才能在法庭上或其他场合被接受。
        • •客观 (Objective)：
          • 证据必须独立支持一个观点或断言，不能受到偏见或主观性的影响。
        • •可接受性 (Admissible)：
          • 证据必须满足特定的法律要求，才能在法庭上被接受。可接受性可能会受到证据的收集、处理和保存方式的影响。
    • 7.1.4. 调查的技术
      • 安全从业者应该熱悉的四个主要调查技术：
        • 1.数据捕获
          • 包括了自动和手动收集审计日志，网络流量，或者其他相关数据的过程。自动捕获可以通过像 SIEM 这样的系统进行，这些系统能够在大量数据中自动检测并标记异常行为。手动数据捕获可能包括現场照片、视频记录或其他物理证据的收集。
        • 2.访谈
          • 这是一种信息收集技术，目的是从知道相关信息的人那里获取证据。这可能包括证人、嫌疑人或者其他相关人员。访谈应该尊重被访谈者的权利。包括他们可以拒绝或中止访谈。如果许可的话，访谈应当被记录下来。
        • 3.审讯
          • 一种更正式的访谈形式，通常由执法或其他有权威的调查人员进行。审讯通常有更严格的程序要求，以确保结果的公正性和有效性。
        • 4. 外部请求
          • 在调查过程中，可能需要从第三方获取信息，例如互联网服务提供商(ISP）或政府机构。这可能需要通过正式的法律程序，例如获取搜查令或其他法律文件，以合法获取所需的信息。
    • 7.1.5. 数字取证的工具、策略和程序
      • 1. 工具
        • •取证工具：这些工具包括用于案件追踪和管理的软件和设备、工作站和工作区域，这些都是隔离的，专门用于取证工作，以防止污染正在调查的证据。一些具体的工具可以包括写入阻止器和驱动器成像器、法拉第容器、以及视频和音频记录工具。
          • •分析工具：这些工具用于处理和分析收集的数据，例如网络流量分析工具（如Wireshark）和SIEM 工具。
          • •数据恢复工具：这些工具可以帮助恢复被删除或覆盖的数据。
          • •实验环境：可以在与其他系统隔离的虚拟环境中运行疑似恶意软件，以进行安全的观察和分析。
          • •代码分析工具：包括反编译器和二进制分析工具，这些工具可以帮助理解和分析恶意代码的行为和目标。
          • •哈希工具：这些工具可以帮助确认数据的完整性，这对于确保证据的可用性和可靠性至关重要。
          • •工具包：这些是包含了一组特定工具的软件套件，用于进行特定的任务，如数字取证。
      • 2.技术和程序
        • 取证分析的通用程序步骤：
          • 1） 定义优先事项
            • 组织在应对事件时可能会有三个优先事项--尽可能快地恢复正常运营、最大限度地减少损失，或保留有关事件的最大量的细节。
          • 2） 确定数据来源
            • 所有的数据源都必须被快速识别并优先收集。例如，有些日志数据是短暂的，必须在其被写满之前捕获。
          • 3) 计划收集数据并执行
            • 确定数据源后，就必须制定计划并采取行动，以收集所需信息。
          • 4) 记录和保存完整性
            • 数据收集是监管链中的第一个环节，必须记录包括收集证据的时间和对其进行的任何处理的细节。
          • 5） 寻找隐藏或删除的数据
            • 调查所需的重要信息可能已经被删除、覆盖，或存在于隐藏的目录中。
          • 6) 进行分析
            • 收集到数据，就要对其进行取证调查。
      • 3.云中取证
        • 云计算的本质使取证变得更加困难，也可能会出现管辖权问题。
    • 7.1.6. 工件（如计算机、网络、移动设备）
      • 数字取证中的物证通常是数字痕迹，即用户或程序与设备交互时留下的数字痕迹。数字取证的主要自标之一是导找这些数字痕迹，因为这些活动痕迹是案件的重要证据。
      • 1） 常见的数字痕迹来源，包括：计算机(Windows/MacoS/Linux)、浏览器、本地存储、云存储
      • 2)网络数字痕迹的来源，包括：NetFlow 分析、数据包分析和已知的恶意网络流量。移动设备数字痕迹的获取不总是容易的，因为智能手机制造商使用强大的加密技术来保护设备中的私人数据。需要使用一套专门的工具和专家的帮助，以获取移动设备数字痕迹。组织的移动设备管理 （MDM）是一种有效的方式．需要对移动设备进行特殊处理，包括将它们放在法拉第我中，并在适当的屏蔽室中进行分析，以防止蜂窝、WiFi 等信号到达设备，以防止远程擦除。
  • 7.2. 进行记录和监测活动
    • 7.2.1. 人侵检测和预防
      • 7.2.1.1 人侵检测系统 (IDS)
        • 主要是检测和产生警报。
      • 7.2.1.2 入侵预防系统 (IPS)
        • 一旦检测到入侵，会主动采取各种行动，如：实施防火墙规则以阻止恶意流量，将文件恢复到被破坏前的状态，甚至关闭应用程序、服务或服务器以防止进一步入侵。
      • 7.2.1.3 基于网络和主机的 IDS 和IPS
        • IDS 和 IPS 可以部署为基于网络的 （NIDS 和NIPS） 或基于主机的 （HIDS 和HIPS） 变体。
          • •基于网络的系统通常是专用设备，扫描所有网络流量以查找攻击迹象。
          • •基于主机的系统则部署在特定的网络终端上，例如服务器或工作站，通常采用软件代理的形式。
      • 7.2.1.4 IDS 和IPS 的检测方式
        • •基于行为模式的检测，即观察流量是否偏离预期基线
        • •基于签名的检测，即扫描网络流量或主机活动中已知的攻击模式。
      • 7.2.1.5 误报(False Positives)
        • 过多的误报并不是一件好事。因此，在使用IDS 和 IPS 时，需要根据特定组织的基线活动对其进行校准，并尽可能的避免意外的DoS攻击。
    • 7.2.2. 安全信息和事件管理 (SIEM)
      • SIEM (Security Information and Event Management) 是一个组合了多种工具和功能的技术，其主要目的是将分散在不同系统中的日志数据汇集到一个中央库中，并对其进行分析，以提取有价值的信息，以识别潜在的安全事件。SIEM 的主要服务包括：
        • 1,集中化：将分散在不同系统中的日志文件汇总到一个中央库中，以便分析和监测。
        • 2.标准化 ：将不同系统生成的日志数据转换为一致的格式，以便搜索和关联。
        • 3 关联和检测：通过特致据进行关联，以没现系统中的界地行坊科给那游在的安企
        • 4.警报：一旦数据被分析处理，SIEM 将自动生成警报以提示分析人员进行调查，提高安全事件检测和响应的效率。
    • 7.2.3. 持续监测
      • 持续监控是一种信息安全策略，其目标是通过定期和自动化地检查安全控制的有效性，以及时发现和械少风险。该策略的核心目标是在控制失效或由于技术或威胁环境的变化而失效的情况下，能提供及时的信息，使组织能够迅速作出反应。
      • 关键考虑因素：
        • 参考点定义：有效的监控需要一套基线措施进行持续比较，这可能基于一个公认的合规框架（如 PCI-DSS、NIST SP 800 等）或者是一个系统基线（如 CIS)。
        • 自动化：为了实现持续的监控，需要依赖自动化工具，例如终端检测和咱应(EDR) 工具，以及用户和实体行为分析(UEBA）工具。
        • 频率：监控的频率应该根据控制的优先级和评估的成本来决定。这需要权衡风险和资源的使用。
        • 合适的衡量标准：为持续监控项目定义的指标应该能够提供关于控制有效性的可操作信息。这需要确保指标具有可度量性，以便于跟踪和改进。
        • 明确的行动计划：如果监控过程中发现问题，应有一个明确的行动计划来解决这些问题。这包括问题的排查、解决和后续的跟踪工作。
        • 成本与价值的平衡：持续监控计划的成本应与从中获得的价值相平衡。这需要对预期的收益与实施的成本进行全面的评估，以确保投资的合理性。
    • 7.2.4.出口监控
      • 1） 数据外泄及其方式：
        • 数据外泄是指敏感信息被非法传输并离开网络的行为。攻击者可能会利用标准的端口、协议和服务，例如电子邮件、FTP 或 HITTP，来发送数据。有时，他们甚至会将数据伪装成常见的高流量数据源，比如 HTTP 流量，以此来掩盖他们的活动。
      • 2)数据泄露防护 （DLP） 工具
        • DLP 工具可以识别和管理特定类型的数据，例如扫描网络以找出存储在网络上的未知敏感数据，识别在网络中传输的敏感数据，并在尝试从共享文件中复制文件时生成警报。这些工具可以暂时阻止这样的操作，并要求用户确认他们是否真的想要发送该文件，或者它们甚至可以完全阻止这样的操作。
      • 3)人口监控
        • 人口监控的目标是识别进入网络的数据，并阻止含有敏感数据的信息，例如电子邮件，进入网络。
      • 4） 物理出入口监控
        • 物理出入口监控的策略包括检查进出设施的物理介质，以确保数据的传输不违反组织的政策。
    • 7.2.5. 日志管理
      • 1.日志的重要性：
        • 白利是安全法替活动的关键信息来源，包括持续监控和事件响应 (IR）。可参考诸如IS027001 和 NIST SP 800-53 等框架制定日志策略。 NIST SP 800-92 提供了关于安全日志数据管理的核心要求，以及标准化和分折收集信息的过程。
      • 2.审计事件和國值定义：
        • 企业或组织需要确定哪些事件应记录在日志中，哪些事件可以忽略。这需要根据风险和安全策路加以权衡，以确保日志数据既不冗余，又不缺少关键信息。
      • 3.日志中的关键数据点：
        • 日志需要记录足够的详细信息以重建信息系统上的操作，包括操作者、操作内容和操作时间。常见的数据点包括用户或进程 ID、时间截、设备标识符、对象名称和策略标识符等。
      • 4 日志数据的保护：
        • 日志数据可能包含敏感信息，因此需要确保其保密性和完整性。可以通过将日志文件写入具有高完整性的存储介质，如 WORM 磁盘，来保护数据存储媒介的完整性。对于可能包含敏感信息的应用程序日志，需要限制访问权限以保护数据的机密性。
      • 5. 日志数据的可用性：
        • 随着时间的推移，日志数据的容量会增加，因此需要进行容量规划。对于存储在服务器上的本地日志，可以实现较短的保留期限以节省空间。对于存储在SIEM 工具中的日志，可以保留数月、数年甚至永久时间。日志数据还可以使用离线、低成本的存储方法进行归档，以提供较低成本和较慢的访问速度。
    • 7.2.6. 威胁情报
      • 1.威胁情报：
        • 威胁情报是一种预防性策略，可帮助安全从业者识别和预测可能针对他们组织的威胁和攻击者。这种情报可以与 SIEM 和 SOAR 平合集成，来源包括但不限于商业威胁情报供应商、政府机构（如美国的CISA)、行业信息共享与分析中心(ISACs)，以及深网、暗网、社交媒体或博客等。
      • 2.威胁狩猎：
        • 威胁狩猎是一种主动防御策略，它利用人工分析和自动化工具寻找和分析威胁数据，以便对组织内外的威胁进行主动探測和防御。可以在以下三个层次进行：
          • 1) 战略层面：这个层面涉及高层次的问题，如是否需要一位首席信息安全官 (CISO)来指导组织的安全计划。
          • 2)战术层面：涉及的是具体战术细节，通常被称为威胁指标 (loCs)。这些指标用于检测特定威胁可能针对其他系统的攻击。
          • 3)操作层面：这个层面涉及了解攻击者的工具、技术和流程 (TTPS)。
    • 7.2.7. 用户和实体行为分析 (UEBA)
      • •UEBA 定义
        • UEBA是一种安全解决方案，它使用机器学习和统计分析模型来定义用户和实体与信息系统的正常或预期行为基线。 任何偏离这个预期基线的行为都会被标记为可疑，并作为其他安全工具的输入进行进一步分析。
      • •实体和用户：
        • 在这个上下文中，实体指的是网络中的非人类参与者，包括硬件（例如路由器和服务器）以及软件进程、线程或守护进程。而用户则是登录并与信息系统进行交互的人类用户。
      • •UEBA 的优点：
        • UEBA 提供了 更细粒度的安全监控和适应性，允许根据每个组织的独特需求进行定制化的安全策略。这种方式能够避免对合法业务活动的不必要限制和影响，同时提高了安全工具的性价比。
      • •UEBA 的输出：
        • UEBA 生成的监控结果可以作为其他安全工具（如SOAR 或 IPS)的有用输人，触发自动化响应和安全控制。例如，如果检测到某台机器可能被感染，它可能会触发网络隔离措施，或者哲停用户的访问凭证，以此来限制恶意活动对组织的潜在损害。
  • 7.3. 执行配置管理 (CM)
    • 7.3.1. 配置管理
      • 配置管理（CM)是一个关键的组织流程，用于确保信息系统配置的一致性和安全性。通过一个有逻辑的流程，从配置开始，通过资产盘点，设定基线，最后通过自动化来保持系统的一致性和安全性。
      • 1. 配置(Provisioning)：
        • 配置是配置管理的第一步。这通常涉及到使用预先批准的基线镜像，这个镜像满足了组织对硬件和软件设置的需求，使得可以快速部署操作系统和软件。以此减少安装时间和可能出现的错误。
      • 2. 资产盘点(Asset Inventory)：
        • 为了有效地进行配置，组织必须清楚了解其所有的资产，包括硬件、软件、云服务等。这可以通过主动和反应性的资产库存控制实现。主动库存控制在采购硬件、软件时就对详细信息进行记录，而反应性库存控制则是在发现未知资产后将其添加到库存中。
      • 3. 基线(Baselining)：
        • 在了解了所有资产后，组织可以设定基线，这是一套既定的组织标准，用于确保系统的配置符合这些标准。但是，基线并非一成不变的。随着系统功能、 系统版本、补丁应用以及运行环境的变化，基线可能需要进行调整。这就需要一个精心设计的交更管理过程，确保基线的变更经过了仔细的规划、测试和实施。
      • 可参考的基线标准：
        • •美国国防信息系统局安全技术实施指南 (DISA STIGs)
        • •CIS 基准
        • •供应商提供的指导（如：微软、阿里云等）
        • •自动化：
          • 考虑到基础设施中的系统通常都很复杂，有许多需要维护其安全和功能的配置设置，自动化工具在配置管理中扮演者重要的角色。例如，Windows Sever的ActiveDirectory (AD) 就提供了组策略设置，使变更管理管理员能够管理 AD 域中的配置基线。
  • 7.4 应用基本的安全操作概念
    • 7.4.1 知其所需和最小特权
      • 7..4.1.1 知其所需(Need-to-Know)因需可知
        • 这是一种信息安全原则，其核心是只有那些因工作职责或任务需求而必须访问特定信息的人员才能够获得对该信息的访问权限。简单地说，如果某人的工作职能不需要使用某个信息，那么他们就不应该有权限访问这个信息。
      • 7..4.1.2 最小权限(Least Privilege)
        • 这是另一种信息安全原则，强调应尽可能限制用户的访问权限，只授予他们完成工作所绝对需要的最少权限。这样做可以降低因权限滥用或系统受到攻击时可能造成的风险。
      • 考试小贴士：这两个原则的关键区别在于，"知其所需’原则关注的是用户可以访问哪些信息，而“最小权限“原则则关注的是用户可以执行哪些操作。
    • 7.4.2. 职责分离
      • 7.4.2.1 职责分离 (SOD)
        • 是指在多个人员之间分离业务流程的不同步骤，以防止一个人员掌握过多的权限或能力，从而减少内部威胁和欺诈活动的风险。
      • 7.4.2.2 多人控制
        • 多人控制意味着执行一项行动或任务需要一个以上的人共同行动。它不一定意味着这些人有相同或不同的特权，只是为了制衡，该行动或任务需要多人执行。
      • 7.4.2.3M-of-N控制
        • M-Of-N控制也类似于多人控制，但它只需要 N位有能力执行相关任务的人员中的M 个人协同工作，就可以完成流程。
    • 7.4.3.特权账户管理
      • 7.4.3.1 特权 (Privileges)
        • 通常用户在系统中被赋予的操作权限（permissions)。这些权限可能包括读取、写人、修改文件，执行程序，访问特定资源等。
      • 7.4.3.2特权账户 (Privileged Accounts)
        • 这业是在系统中具有特别高权限的账户，通常是系统管理员或超级用户账户。这些账户的权限可能包括更改系统设置，安装软件，管理用户账户等。
      • 7.4.3.3 特权账户的安全控制
        • •配置：需要特权访问的用户应该接受严格的审查，以确保他们有合理的需求并且可以被信任。
        • •使用：特权账户应该有额外的认证步骤，例如强制性的多因素认证，账户的使用应该有时间限制并自动过期，所有操作都应该被记录。
        • •审查：应该定期对特权账户进行自动或手动的日志申查，以便发现任何不寻常或可疑的行为。
        • ·取消配置：在取消特权账户的配置时，最好是先暫停或停用账户，然后进行审查以确定是否需要永久前除账户。
    • 7.4.4.工作轮换
      • 员工之间的工作轮换有两个主要好处：
        • 1） 提供了交叉培训的机会，使员工有机会提高技能，并为组织提供更多的弹性。
        • 2） 减轻内部威胁，如欺诈。
    • 7.4.5. 服务水平协议 (SLA)
      • 7.4.5.1服务水平协议(SLA)
        • 是组织与供应商之间签订的协议，规定了供应商提供的产品或服务所需满足的可用性和性能指标，以及双方责任和义务等方面的内容。通常情况下，SLA会包含处罚条款，以确保供应商能够履行其承诺，同时也促使其更好地提供产品或服务。
    • 7.4.5.2 谅解备忘录（MOU） 和互连安全协议 (ISA)
      • •MOU 和 ISA 更注重合作和互信，通常不包含処町条款。
      • •MOU 主要用于规范双方间合作的范围、目标和方式等方面；
      • •ISA 则主要用于网络安全领域，规定了双方在保护网络安全和信息安全方面的责任和义务等内容。
  • 7.5. 应用资源保护
    • 7.5.1. 媒介管理
      • 媒介管理要求组织对其数据存储媒介进行分类、标签和标记，并确保员工了解如何正确处理不同分类级别的数据：
        • 1） 媒介种类：包括纸质记录、硬盘驱动器 (HDD)、固态驱动器(SSD）以及云环境中的存储。
        • 2)数据分类：根据组织的分类政策对数据进行分类，为选择适当的控制措施奠定基础。
        • 3） 标签和标记：所有媒体应标记以显示其包含的数据分类级别。不同情况下，可以使用水印、文件头/脚或元数据等方式进行标记。
        • 4 处理：用户应接受关于分类级别和媒体处理程产的培训。 处理程序可能包括如何处理敏感数据、遵守销毀要求等。
      • 数字媒体的挑战：正确标记多文件或多存储设备的信息系统可能较为困难。政策应给出解决方案，例如为媒体分配包含最高级别数据的分类。
    • 7.5.2.媒介保护技术
      • 介质保护技术包括实施安全控制措施，运用最小特权原则，关注实物保护，确保传输中的媒体安全，以及选择合适的消毒和处置方法。同时，还需要对销毁供应商进行适当行适当的管理，确保数据安全：
        • ·实施安全控制：根据数据分类应用必要的安全控制措施，记录相应的过程和程序，并对用户进行培训。
        • •最小特权原则：限制对媒体的访问，并实施物理安全措施。
        • •实物保护：关注实物保护以应对潜在风险，如设备丢失或被盗。补偿性控制措施，如磁盘加密，可确保数据机密性。
        • •运输蝶体：确保传输中的媒体安全，通过加密、散列验证和物理保护措施等手段。
        • •消毒和处置：根据需求选择合适的消毒和处理方法，如覆盖、消磁、物理销毁或加密粉碎。在云存储解决方案中，加密清除可能是唯一可行的安全方法。
        • •供应商管理 ：确保销毁供应 商遵守合同和服务水平协议，包括物理安全标准和保险要求。
  • 7.6.进行事件管理
    • 7.6.1. 送行事件管理
      • 1.事件和事故的区别
        • •事件(Events)：可观察到的项目，如常规操作。通常无需额外行动。
        • •事故(Incidents)：非计划的、对组织有不利影响的事件，需要IT、运营和安全人员共同调查和补救。
      • 2.事件管理计划：
        • •记录识别、分类和补救事故影响所需的工具、资源和流程。
        • •包含事故类型定义、事故响应小组人员、角色和职费、 所需资源和事故管理流程
        • •事故响应框架强调提前规划事故，制定适当的响应策路。如：TL、 NIST、 ISACA
        • •进行分类和优先排序，根据关键性、影响和紧急性。
        • 许多组织利用(P0-P5）对事件进行分类。P0 是最关键的，P5 是最不关键的事故响应測试和演练：
      • 3.事故响应检测和演练
        • •在非紧急情况下测试计划，找出差距、疏忽或问题。
        • •通过演练培训事故响应团队成员的职责，减少真实事故中的混乱或浪费。
      • 4.第三方的考虑：
        • •确保与外部服务提供商进行适当的协调，使组织能够继续运作。
        • •事故响应计划应确定关键的外部服务提供商或第三方，记录联系信息。
        • •明确第三方的角色和责任，以便于内部团队和第三方协同处理事故。
    • 7.6.2. 检测
      • •事件检测是在组织采取应对措施前的关键步骤，涉及自动化平合（如SIEM 工具)、安全工具（如反恶意软件）和人类侦探。
      • ·组织的日志和监控策略应以尽快识别潜在事件并发出警报为中心；随着检测能力的改进和调整，自动化工具和警报会变得更准确。
      • •当检测到事件时，应自动创建文件以跟踪相关 工作和决策，触发事件响应过程并启动相应资源（如服务单或检查表）以开始调查。
      • •分析师在检测过程中审查事件并进行基本研究，以确定事件是否合法或假阳性；
      • 若认为事件有效，则启动响应程序。
    • 7.6.3. 响应
      • •分级是早期响应过程，确定事件关键性和分类，SOAR 工具可自动执行明应。若事件无法完全由 SOAR控制，需确定事件影响并建立具备适当资源的IR团队。
      • 计划包含情景指导，遵循文件规定的程序和检查装以确保协调响应。IR协调员或团队负责人需根据现有信息做出决策并协调团队反应。
      • •IR团队需立即收集和保存证据，遵循严格标准以确保收集的信息在以后可用。报告应准确记录事件发生前、发生中和发生后的情况，包括事件检测摘要、详细步骤、收集的信息和任何 TTP(战术、技术、程序)证据等。
      • 扩展：Verizon 的 VERIS 框架为捕捉和管理 IR 数据提供结构化方法，以指导IR团队活动。更多细节可在 veriscommunity.net 找到。
    • 7.6.4.缓解
      • •缓解阶段的目的是修复事件。了解其原因并部署必要的资源。
      • •缓解的重点在于快速控制事件并阻止影响扩散。可能包括短期和长期修复措施。
      • •隔离或遏制事件通常涉及禁用有问题的系统或组件，具体取決于事件类型。
      • •缓解措施应遵循预先制定的响应指南，以减少决策压力并提高效率。
      • •缓解过程中需记录并报告所采取的行动，这有助于评估事件影响和支持后续决策。
      • •定期检查会议可以确保利益相关者了解当前状况并采取相应行动。
    • 7.6.5. 报告
      • •报告在整个 IR 过程中持续进行，涉及不同利益相关者。
      • •内部报告，包括：非正式和正式报告，以向 IR 团队成员和管理层提供事件状态和决策信息。
      • •外部报告，可能涉及：政府组织、行业监管机构、执法机构、业务伙伴、供应商、服务提供商、用户、客户和公众。
      • •数据泄露报告，需遵循：各种法律（GDPR 等)、法规和安全框架(PCI 等），通常要求在一定时间内向监管机构报告，并可能需要直接通知受影响的个人。
    • 7.6.6. 恢复
      • •恢复的主要目标是恢复正常运营，可以在发现后立即开始恢复工作，持续到事件完全结束。当组织恢复到正常服务运营水平时，恢复阶段结束。
      • •不是所有事件都涉及恢复，如仅导致员工受处分的安全政策违规。
      • 如果事件导致 BC/DR 声明，恢复阶段可能会持续到该声明得到解决。
    • 7.6.7. 补救措施
      • •补救是一项长期战略活动，目的是消除事件的根源并解决漏洞。
      • 。补救措施可能包括加强培训、阻止惡意电子邮件发件人或实施电子邮件安全工具。长期组织措施，如增加安全人员或资源，也可能作为补救措施。
      • •在补救期间，可能需要支付货币费用/賠偿金给监管机构、客户或受影响的用户。
    • 7.6.8. 经验教训
      • 吸取教训是在事件得到补救后，对IR 过程进行审查和改进的重要环节。
      • 其目的有两个：
        • 1) 确定需要改进的 IR 流程；
        • 2） 解决潜在或根本原因，防止事件再次发生。
      • 通常事后总结或行动后报告，应由中立方推动，以确保事实和指标被正确记录，支特改进工作。
  • 7.7. 操作、维护检测和预防措施
    • 7.7.1. 防火墙 （例如，下一代、网络应用、网络)
      • 防火墙是一种用于隔离和控制网络不同部分信息流的访问控制设备。它们通过分析流量并应用规则来判断流量是转发（允许）还是丢弃（拒绝）。
      • 7.7.1.1防火墙的类型
        • 1•静态数据包检查（无状态）：这是第一代防火墙，主要关注基于规则的数据包头部信息过滤。
        • 2. 有状态防火墙：第二代防火墙在第一代的基础上增加了对通信上下文（状态）的理解，提供了更灵活和智能的防护。
        • 3.Web 应用防火墙(WAF)和 API 网关：这些特定类型的防火墙并不直接对应某一代防火墙，而是针对特定应用场景（如Web 应用和 API) 的专用解决方案。
        • 4. 基于主机的防火墙：这也不直接对应某一代防火墙，而是一种部署在单个主机上的防护措施，可在网络防火墙之外提供额外的安全层。
        • 5. 下一代防火墙 (NGFW)：通常被视为第三代防火墙，它集成了 多种安全功能。如有状态防火墙、API 网关、人侵检测和 VPN 服务等，提供了更全面的网络安全防火墙
      • 7.7.1.2 安全组
        • 这个概念在软件定义网络（SDN)和云环境中出现，与特定防火墙代数没有直接关系。它们在功能上类似于防火墙，但在虚拟化环境中更具灵活性和可扩展性。
    • 7.7.2. 人侵检测系统 (DS） 和入侵预防系统 (IPS)
      • 7.7.2.1 入侵检测系统 (IDS)
        • 1. 功能：检测系统入侵尝试。
        • 2.类型：
          • •网络入侵检测系统（NIDS）：位于网络中，用于观察所有流量。
          • •主机人侵检测系统（HIDS)：部署在特定主机上，用于监控流量。
        • 3.工作方式：被动设备，分折流量或活动，检测与已如惡意模式匹配的活动或偏离正常或预期系统操作的活动。
        • 4. 响应：生成警报，需要人工采取行动。
      • 7.7.2.2 入侵防御系统 (IPS)
        • 1. 功能：检测并对系统入侵尝试作出反应。
        • 2.类型：
          • •网络入優防御系统 (NIPS)：位于网络中，用于观察所有流量。
          • •主机人侵防御系统(HIPS)：部署在特定主机上，用于监控流量。
        • 3.工作方式：主动设备，分折流量或活动，检测与已知惡意模式匹配的活动或偏离正常或预期系统操作的活动。
      • 7.7.2.3 部署模型和位置
        • •响应：自动采取预防措施，例如实施新的防火墙规则。
        • 1. NIDS/NIPS
          • 位置：网络边界，以实现最佳可见性。
          • 缺点：可能难以应对虚拟化环境，因为虚拟机之间流量不经过交换机
        • 2. HIDS/HIPS
          • 优点：有助于解决流量可见性问题。
          • 缺点：额外的许可证成本、处理开销和与端点兼容性问题。
    • 7.7.3. 白名单和黑名单
      • 也被称为允许列表/拒绝列表，明确允许或明确拒绝的实体列表，如应用程序、IP地址、网络端点或特定国家发起的网络流量。
      • 实现方法：网络技术（如防火墙、VPN) 和其他工具（如操作系统、应用商店、邮件客户端)
    • 7.7.4. 第三方提供的安全服务
      • 在考虑使用第三方安全服务时，需要权衡利弊并确保选择具有强大内部安全项目的服务提供商。
      • 1. 第三方安全服务的优势：
        • •成本更低
        • •专业知识
      • 2.第三方安全服务的劣势：
        • •控制力减弱
        • •第三方成为攻击目标的风险
        • •管理第三方的额外开销
      • 3.常见的第三方安全服务：
        • •安全运营中心(SOC)：部分或完全外包 SOC 运营
        • •数字取证与事件响应 (DFIR)：作为特续监控的延伸，由 MSSP 提供服务
        • ·威胁情报：提供有关组织潜在威胁的信息，可与持皱监控、风险评估和 SOAR 技术结合
    • 7.7.5. 沙盒化
      • 1.沙盒基本概念：
        • 是一个隔离的环境，与沙盒外的资源连接的能力受到限制。
      • 2.沙盒应用场景：
        • •病毒分析：在隔离的虛拟机中执行恶意软件。防止感染其他系统
        • •概念验证：在隔离环境中进行实验，不影响生产系统的数据完整性
      • 3.软件强制沙盒：
        • 通过一套限制性规则控制应用程序运行时的行为
        • 示例：苹果的 ios 系统限制应用程序访问数据和功能
      • 4. 移动设备管理 (MDM）与沙盒：
        • 在智能手机上增加额外的安全层
        • 特特定应用程产安装到用户手机上，允许访问组织数据但隈制外部數据访问
    • 7.7.6. 蜜罐和蜜罐网
      • 1.蜜罐/蜜网定义：
        • •用于侦测或收集未经授权访问数据和信息系统尝试的信息
        • 蜜罐表面上看起来是有价值的资源，实际上并无重要数据
      • 2.蜜罐/蜜网的作用：
        • •分散攻击者注意力，保护高价值目标
        • •收集攻击者信息，如IP地址
      • 3.法律问题：
        • •不同司法管辖区对蜜罐/蜜网的使用存在法律问题，尤其涉及到诱捕问题
      • 4.蜜罐/蜜网不应被设置为吸引目标或用于抓捕坏人，而应作为被动观察工具
      • 第三方蜜罐服务：
        • •提供简单的部署和监控蜜罐设备的方法
        • •处理蜜罐相关的法律挑战，避免诱捕问題
        • •可将生成的警报集成到 SIEM 或SOAR 工具中
    • 7.7.7. 反恶意软件
      • 1. 反恶意软件发展：
        • 最早的防病毒 （A/V） 软件,随着威胁演变，逐渐被反恶意软件 （A/M)取代
      • 2.部署方式：
        • 采用分层防御模型确保流量和活动能被彻底扫描以检测悉意行为
        • 可部署在电子邮件服务器、文件共享服务器和网络监控工具等关键资源上
      • 3. 最新演变：
        • •端点检测和响应（EDR)解决方案：结合 A/M 功能、主机防火墙、文件完整性监测和 UEBA
        • •托管检测和响应 (MDR)服务：将检测能力与第三方安全服务相结合，解决端点安全风险
      • 4.检测和响应方法：
        • •基于签名的工具：查找与己知惡意软件关联的特定文件或活动模式
        • •启发式检測：依赖活动模式的统计分折来检测潜在的恶意行为
        • •检测后的行动：隔离受影响的文件或系统，生成警报
        • •警报集成：与 SIEM 工具集成实现集中监控和响应，或与 SOAR 集成实现事件响应自动化
    • 7.7.8. 基于机器学习（ML)和人工智能 （AI） 的工具
      • 1.Al 和ML在安全工具中的优势：
        • •更快地检测和响应事件
        • •如果配置正确，可以消除决策中的人为错误
      • 2.Al 和ML的潜在缺点：
        • 决策的黑箱性质：难以发現错误或理解输出结果，因此基于警报采取行动可能会困难，我们在面对新技术要保持谨慎。
  • 7.8.实施和支持补丁和漏洞管理
    • 7.8.1. 补丁管理
      • 补丁是用于解决特定软件漏洞或问题的软件更新;补丁管理
      • •多方参与者：研究人员、开发人员和支持人员。
      • •通用安全补丁流程包括：漏洞检測、补丁发布、补丁适用性评估、补丁测试、补丁应用和跟踪、回滚（如有问题）、系统文档更新。
      • •补丁管理可能涉及内部流程和第三方服务。
      • •软件组成分析（SCA） 是漏洞和补丁管理的另一个第三方要素。
    • 7.8.2. 漏洞管理
      • 漏洞管理的实践：
        • •威胁狩猎(Threat hunting)：寻找可能利用未知漏洞的威胁。
        • •漏洞扫描：自动检测己知漏洞，如不安全配置或未打补丁的软件。
        • •红蓝对抗 ：红队针对特定资产进行目标测试，蓝队进行防御。
        • •渗透测试和漏洞悬赏：人工测试，寻找漏洞。
        • •使用 SOAR 工具自动化漏洞管理流程和工作流。
  • 7.9. 理解并参与变更管理过程
    • 7.9.1. 变更管理
      • 1.变更管理步骤：
        • 1） 创建变更请求：记录变更目的、理由、负责人、所需资源和预期影响。
        • 2)交更审查：由交更控制委员会或变更咨询委员会（CCB 或 CAB） 进行审查，评估变更的业务价值、影响和潜在风险。
        • 3） 变更批准：根据记录的计划由负责人执行。
        • 4）协调安全事务：确保采购和部署新硬件等过程中遵循相关流程。
      • 2.变更类型：
        • •标准变更：低风险，不大可能产生负面影响，预先批准。例如：应用标准补丁、增加标淮资产、安装已批准的软件。
        • •正常变更：需要经过完整的变更管理流程。根据变更委员会的例行会议安排实施。
        • •紧急变更：应对紧急情况，如安全事件。可能采用简化决策或较轻量级的流程，以平衡安全和速度。
  • 7.10. 实施恢复战略
    • 7.10.1.实施恢复战略
      • 1-实施恢复策略：
        • 与可用性安全目标相关，通过业务影响分折（B/A） 确定关键资产和功能，在设计恢复策路以平衡可用性需求和成本。
      • 2关键恢复指标：
        • •恢复时间目标 (RTO)：使用应急程序恢复系统或过程所需时间。
        • •恢复点目标 (RPO）：发生灾难时可容忍的数据丢失量。
        • •最大容忍停机时间(MTD 或 MAD)：组织在无法使用资产或过程后能够生存的时间。
      • 3.备份存储策略：
        • •全量备份：备份所有数据，耗时最长，占用空间最大。
        • •增量备份：备份自上次全备份或增量备份以来发生变更的数据，速度最快，但恢复时间最长。
        • •差异备份 ：备份自上次全备份以来发生变更的所有数据，速度较快，存储需求较低。
      • 4.3-2-1 备份策略：
        • 保留至少三份数据副本，两份存储在本地或现场，包括主数据副本，一价副本存储在离线远程备份。
        • 备份的完整性和保密性：
          • •对备份数据执行完整性检查。
          • •定期进行测试恢复以验证数据完整性。
          • •对备份媒介实施与生产环境相同或更高级别的安全控制。
      • 5. RAID（冗余磁盘阵列）
      • 6.云备份：
        • •云服务，如软件即服务（SaaS)，配置为高可用性、自动数据复制和数据持久
        • •使用基础设施即服务（laas)或平合即服务(Paas）作为备份存储解决方案。
        • •在使用云服务时，评估物理数据控制损失与成本节约之问的权衡。在存储至云环境前对数据加密可能是有效的安全措施。
    • 7.10.2. 恢复站点策略
      • 1.恢复站点配置和位置选择 ：成本效益分析、恢复速度、与主站点的距离。
      • 2.镜像站点：在多个站点之间永久分配员工、资源和流程，以满足短时间的RTO 和MTD 需求，但成本较高。
      • 3.恢复站点类型：
        • •冷站点：空设施，需要配置设备和实用程序，恢复时间较长，成本较低。
        • •暖站点：具备部分设备，需要一定程度的建设。
        • ·热站点：与主站点具有相同的设施和数据，成本高，但有助于满足短时间的RTO或 RPO。
      • 4.第三方供应商：提供暖站点和热站点校复服务，分摊部分建设和维护成本。
      • 5.移动站点：可快速部署的数据处理设施，如装在集装箱中的服务器机架，适用于自自然灾害等紧急情况。
      • 6.云站点：灾难发生时临时利用云服务进行恢复。基于基础设施即代码（lac)和类似容器化技术，在云中快速部署新的虚拟基础设施。
    • 7.10.3. 多站点
      • 1 多处理站点：组织可通过预先设计跨多个地理分布的处理站点的过程或功能，以防止同一灾难影响多个站点。
        • ·优势：多处理站点内置的元余。具有较高的可靠性。
        • •劣势：较高的租金、人员和设备成本。
      • 2.技术挑战 ：在多个处理站点之间复制和同步数据，可以使用磁盘或数据库镜像等解决方案。
      • 3.云服务支持：许多云服务天然支持多处理站点的应用场景，即时复制的数据存储是许多云数据库和 SaaS 工具的标准功能。这可以解决站点间数据同步 和复制的风险。
      • 风险：迁移到云或外包服务提供商可能导致失去对数据控制的风险增加。
    • 7.10.4. 系统弹性、高可用性（HA)、服务质量 （QoS) 和容错性
      • 1. 系统弹性：
        • 指系统抵抗故障的能力，依赖于考虑故障并纳入纠正措施的设计。
      • 2.高可用性：
        • 通过负载均衡器或集群等技术提供冗余和动态重新路由，确保系统持续可用。
      • 3.服务质量 (QoS)：
        • 网络技术中优先处理重要流量的功能，如任务关键数据或时间敏感数据。
      • 4.容错能力：
        • 根据 Uptime Institute 的分层级别，不同级别的数据中心在面临放障时可以提供不同程度的保证正常运行时间。
      • 5.容错系统：
        • 能够容忍硬件、软件或数据处理故障并继续运行的系统，例如 RAID和数据库系统。
  • 7.11. 实施灾难恢复 (DR) 流程
    • 7.11.1. 响应
      • 灾难恢复首先关注的是拯救生命和防止对个人的伤害，然后是恢复或抢救设备、系统、设施、甚至数据
      • 灾难校复是业务持续性的子集，关注在发生灾难时恢复I T 服务和功能。业务特续性关注组织业务运营的连续性。
      • 灾难得到控制或解决后，使用灾难恢复计划来确定并执行将操作恢复到原始位置或选择的新主要位置所需的步聚。
      • 响应过程：
        • 1.安全从业人员通常负责应对灾难状况的初始响应。
        • 2.应对灾难所需的行动因灾难类型而异。在压力情况下，人们的决策能力有限，因此最好在灾难恢复和业务持续性计划中预先批准响应和行动计划。
        • 3.计划中需要解决的一些任务包括：
          • 1) 人员的生命、健康和安全，这是首要关注的问题。
          • 2)与指定的灾难或危机协调员进行协调的响应行动，提供关注点。
          • 3） 对各种利益相关者（包括员工、高级管理层和可能的公众或执法人员） 进行清晰、一致的沟通。
        • 4 记录所有操作，以支持灾后审查以及为保险或法律行动提供所需的证据。
    • 7.11.2.人员
      • 被选为反应小组成员的组织人员应接受培训并有资格执行 DRP 中详述的所有活动。这些活动不仅包括一般的应急程序，而且灾难恢复小组的人员也应接受诸如设施和设备 损坏评估、恢复和抢救行动以及饺复商业运作等活动的培训。
    • 7.11.3. 沟通
      • 保持利益相关者了解相关信息至关重要，危机沟通需要考虑动态环境，提供清晰的信息。
      • 1.与内部利益相关者沟通：
        • •包括员工和管理层，他们需要了解事件信息以及如何参与响应。
        • •沟通方法可以是主动的（如电话树)，也可以是被动的（如网站发布的消息)。
      • 2.与外部利益相关者沟通：
        • •选择的沟通方法应考虑接收人员的关键性以及传达的信息。
        • •包括客户、公众、受组织突发事件影响的业务合作以伴和供应商。
        • •法律或合同义务可能决定与外部利益相关 者的沟通方式，如数据泄露时的隐私通知。
        • •根据情况使用主动和被动沟通方法，如主动通知客户或发布新问稿。
        • •沟通遵循-—个声音原则：组织在与外部利益相关者（如媒体或公众）沟通时，应有统一的声音，该原则应作为培训的一部分。
    • 7.11.4. 评估
      • 1. 灾难评估：
        • •类似于风险评估，主要目标是确定影响并优先考虑应对措施。
        • •需要确定灾难的性质和来源 （如人 为或自然）以及恢复行动的优先级（如疏散人员或将设备优雅地关闭并迁移到备用设施）。
        • •评估过程可能是持续的，应对团队必须识别事件或灾难的当前和可能的未来影响。
      • 2. 评估结果：
        • •应传达给管理层和决策者，以确定正确的行动方向。
        • •如果存在良好的BCDR 计划，则响应应遵循一定的程序或业骤，并根据具体灾难进行适当调整。
        • •这些步聚需要优先考虑生命、健康和安全，同时还应考感对客户的影响、监管义务以及直接和间接成本（如收入损失和声誉损失）。
      • 3. 后期评估：
        • •恢复后，评估灾难或事件的总体影响。
        • •评估应包括组织的总体财务成本（包括恢复成本和任何损失的业务或生产力）以及关于如何在未来改进灾难和连续性操作的信息。
        • •记录并运用经验教训将在后续章节中更详细地讨论。
    • 7.11.5. 恢复
      • 恢复阶段：
        • •恢复受灾害影响的原始场地或设施。
        • •恢复关键业务功能。
        • •在主要场地恢复正常服务水平。
    • 7.11.6. 培训和意识
      • 编写和测试 BC 和DR 计划，对关键人员进行培训。所有员工需接受基本生命、健康和安全计划培训。
      • 1. 高级培训：
        • •文自C和DR计划中的特定取菇的人民。
        • •和安全团队在恢复IT服务和确保安全控制方面的角色。
        • •HR、财务和法律团队在特定类型的灾难中可能扮演关键角色。
      • 2.定期培训和意识提升：
        • •确保知识保持最新。
        • •定期进行火灾或疏散演练。
        • •对BC或DR计划进行常规测试和演练，用于交叉培训和更新关键人员的知识。
    • 7.11.7. 经验教训
      • 1.持续改进与审查
        • •定期审查BC 和DR计划
        • •完成恢复后进行正式审查
        • •利用经验教训优化计划和流程
      • 2.回顾与评估
        • •识别计划中的优势和不足
        • •分析员工行为对恢复过程的影响
        • •进行事后分析和根本原因分析
      • 3.改迸策略
        • •确定计划或响应中的优点
        • •找出潜在的改进机会
        • •将收集的信息应用于 BCDR 计划和流程的改进
  • 7.12. 测试火难恢复计划 (DRP)
    • 7.12.1. 测试灾难恢复
      • 1.通读/桌面演练 (Read-through/Tabletop)
        • •最简单的 BCDR 测试
        • •与各利益相关者讨论计划
        • •检查关键信息和流程
      • 2. 演练(Walkthrough)
        • •在实际场景中进行演练
        • •对关键参与者进行实地操作
        • •发现潜在问题和假设
      • 3.仿真模拟 (Simulation)
        • •类似于火警演练
        • •针对特定场景进行应对
        • •验证恢复时间目标 (RTO） 和恢复点目标 (RPO)
      • 4.平行测试 (Parallel)
        • •同时测试主备系统
        • •确保备用系统能承受实际负载
        • •发现配置错误或数据备份问题
      • 5.全面中断 (Full Interruption)
        • •模拟真实灾难发生
        • •高成本，可能影响正常运营
        • •识别 BCDR 计划和流程中的所有问题
  • 7.13. 参与业务连续性（BC） 规划和演习
    • 7.13.1.1. 参与业务连续性规划和演习
      • 安全从业 者和 CISSP 在业务持续性规划和执行中的关键任务包括：
        • 1. 应急操作期间的安全需求变更，提供安全需求变更建议，以应对新需求的措施实施或管理
        • 2.BC和DR 计划的变更指导
          • •识别计划中需要体现的变更（如员工、流程或先前事件教训）
          • •确保更新后计划文件的完整性和可用性
        • 3.设计测试和演练场景
          • •为利益相关者提供新计划副本(包括离线副本）并销毁旧副本
          • •安全事件可能导致灾难声明，如勒索软件攻击
          • •安全从业者适合制定练习场景并担任主持人
          • •在模拟过程中回答问题以帮助理解
  • 7.14.实施和管理实体安全
    • 7.14.1. 外部安全控制
      • 1. 区分边界：
        • •公共区域：道路、人行道、大厅、停车设施
        • •场所出入口：前台、前门、装卸区
        • •外部设施：备用发电机、公共设施、停车设施
        • •运营设施：办公空间、会议室
      • 2.物理控制类型：
        • •高安全设施：数据中心、金库、SCIF
        • •预防控制 ：旨在阻止安全事件发生的控制措施。例如，门禁系统、围墙和锁等，可以防止未经授权的人员进入设施。
        • •威胁控制：通过制造潜在威助，使潜在攻击者对进行攻击产生畏惧，从而降低安全事件发生的可能性。例如，安全摄像头和警示标志等，可以使潜在攻击者觉得被监视，降低犯罪的可能性。
        • •侦查控制 ：用于及时发现安全事件的控制措施。例如，安全摄像头、入侵检测系统 (IDS)和运动感应器等，可检测到未经授权的入侵或异常行为。
        • •补偿控制：在其他控制措施无法完全防止或检浏安全事件时提供附加保护的控制措施。例如，当门禁系统失效时，可以使用安全人员进行临时巡逻。
        • 恢复控制：在安全事件发生后帮助校复正常运行的控制措施。例如，备份发电机和灾难恢复计划等，可以在发生事故后恢复关键设施的运行。
        • •指令控制：通过规定规则和程序来指导组织内部行为的控制措施。例如，安全培训、政策和操作规程等，可以引导员工遵循安全实践。
        • •纠正控制 ：在安全事件发生后采取措施修复损失或纠正错误的控制措施。例如，事后调查、 安全审计和纠正措施等，可以帮助组织解决安全问题并防止类似事件再次发生。
      • 3.物理控制实施方式：
        • •物理控制：屏障、围栏
        • •技术控制：识别卡读取器
        • •行政控制：政策和程序
      • 4. 犯罪预防环境设计(CPTED） 原则：
        • •利用景观设计提供物理安全
        • •照明在阻止犯罪行为方面发挥重要作用
        • •根据设施安全需求，考虑窗户的位置和使用材料
    • 7.14.2. 内部安全控制
      • 内部安全控制是指组织可以直接控制的区域。这些区域的控制植施旨在保护数据和系统的安全。同时，我们还需要关注人员的生命安全。
      • 1. 运营设施：
        • 这些设施通常会有员工长期驻扎，是组织物理安全控制的主体。我们需要关注消防、环境控制等方面的控制措施，以确保人员和设备的安全。
        • •消防探测与灭火：设立火灾和烟雾探测路，并采用喷水、气体灭火等方法来降低火灾对人员和设备的影响。
        • •门禁控制：根据员工的权限划分设施内不同区域的访问权限，并使用门禁卡或锁来控制出入。
        • •政策和程序：培训员工遵循清洁办公桌、锁屏等安全程序，并制定应急疏散等方面我材科：根据安全要求使用合适的建筑材科，如墙体、门窗等，以提高安全性。
      • 2. 高安全设施：
        • 这些设施通常包括证据存储室、安全隔离信息设施(SCIFs)和服务器房或数据中心等，因为它们存储了高价值或敏感资产。
        • •高安全设施需要实施额外的安全控制措施，如对进出设备进行检查、多层次的物理门禁控制等。
        • •数据中心是一种特殊的高安全设施，需要专门的技能来设计和维护。这些设施需要较高的安全水平，通常涉及更高的安全预算。
        • •参考设计标准，例如 ASHRAE 的数据中心热控制指南和 Uptime Institute 的数据中心设备可用性等级。
  • 7.15. 解决人员安全和安保问题
    • 7.15.1. 出差
      • 1. 人员出差安全
        • 当员工出差时，公司应确保他们的安全和保障，包括提供保险、医疗保障等。在高风险地区，可能需要提供额外的安全措施，如安保人员或安全交通工具。同时，员工需要接受关于设备安全的培训，以保护公司数据不被泄露。
    • 7.15.2. 安全培训和意识
      • 提高员工安全意识的方法包括宣传(通过海报等形式提供基本信息）、培训（针对员工职责提供具体技能）和教育(深入了解理论知识和实际应用）。这三种方法可以帮助员工更好地了 解和应对安全威胁。
    • 7.15.3. 紧急管理
      • 1. 应对紧急情况
        • 在紧急情況下，公司需要与应急响应部门（如医疗、消防、执法等）协调。同时，需要制定备用通信方家，以便在正常通信渠道受阻时传递关键信息。紧急情况还可能需要激活业务持续性和灾难恢复计划。
    • 7.15.4. 胁迫
      • 1. 防范胁迫
        • 胁迫是指员工在受到威胁的情况下被迫作出违反公司政策的行为。
        • 特殊的胁迫代码或暗语来检汌胁迫情況，这些代码或暗语应具有隐蔽性，并定期更换。同时，为高风险员工提供关于如何使用这些代码和暗语的培训。
• 复习题
  • 1 在这里显示的系统架构中，提供数据库服务器容错性的技术是什么？ A. 故障转移集群 (Failover cluster) B. 不间断电源 (UPS) C. 磁带备份 (Tape backup) D. 冷备站点 (Cold site)
    • A
  • 2.Joe是一个企业资源计划(ERP） 系统的安全管理员。他正在准备为几个新员工创建账户。在创建账户时，他应该给所有新员工提供哪种默认访问权限？ A. 只读权限 (Read only) B. 编辑权限 (Editor) C. 管理员权限 (Administrator) D. 没有访问权限 (No access)
    • D
  • 3. Tim 正在为他的组织配置一个特权账户管理解决方案。下列哪一项不是应自动发送给超级用户操作日志的特权管理活动？ A. 清除日志条目 B.从备份中恢复系统 C. 登录工作站 D.管理用户账户
    • C
      • 虽然大多数组织希望把尝试登录工作站的行为记录下来，但这并不是特权管理活动，应该将这种行为自动发送到超级用户的操作日志中。
  • 4 当 Alice 公司的员工之一打电话寻求支持时，她使用了一个公司同意使用的暗语，以表示员工正在被迫执行某个动作。这种情况被称为什么？ A. 社交工程 (Social engineering) B.强迫 C.不可抗力 D.斯德哥尔摩综合征
    • B
  • 5.Jordan 正在进行一次网络安全事件调查后准备将证据带入法庭。他负责准备物理证物，包括受影响的服务器和移动设备。下列哪种证据类型完全由可带入法庭的有形物品组成？ A 文档证据 (Documentary evidence) B. 口证 (Parol evidence) C.证人证据 (Testimonial evidence) D.实物证据 (Real evidence)
    • D
  • 6.Lauren 想确保她的用户只运行组织批准的软件。她应该部署哪种技术？ A. 黑名单 (Blacklisting) B. 配置管理 (Configuration management) C.白名单 (Whitelisting) D.灰名单 (Graylisting)
    • C
  • 7.Colin 负责管理组织在网络安全欺骗技术方面的使用。下列哪项应该在诱饵系统 (honeypot system）上使用，以消耗攻击者的时间并向管理员发出警报？ A. 蜜网 (Honeynet) B. 伪漏洞 (Pseudoflaw) C. 警告橫幅 (Warning banner) D.暗网 (Darknet)
    • B
      • 圈套（伪漏洞）是系统中的一个假漏洞，它可能引起攻击者的注意。 蜜罐网络是由多个蜜罐组成的网络，为入侵者营造了更复杂的环境。 暗网是未使用的网络地址空间的一部分，这部分空间中没有网络活动，因此可以方便地用于监视非法活动。 警告横幅是一个法律工具，它用于通知入侵者：他们未被授权访问系统。
  • 8.Toni回应了一个用户报告系统活动缓慢的请求。在检查该系统的出站网络连接时，Toni 注意到大量社交媒体流量来自该系统。用户并不使用社交媒体，当 Toni检查相关账户时，发现了一些看起来加密的奇怪信息。这种流量最有可能的原因是什么？ A其他用户通过该用户的计算机中继社交媒体请求。 B.用户的计算机是一个僵尸网络的一部分。 C.用户对自己使用社交媒体的情況撒谎。 D. 当用户不在场时，其他人在使用用户的计算机。
    • B
  • 9.John 通过他的云基础架构服务提供商在世界各地使用负载均衡器将他的网站 部署到多个区域。他正在使用哪个可用性概念？ A. 多个处理站点 (Multiple processing sites) B. 温备站点 (Warm sites) C. 冷备站点 (Cold sites ) D.蜜网 (Honeynet)
    • A
  • 10,Jim 想要识别网络中的受损系统，这些系统可能参与了 僵尸网络。他计划通过监视与已知的指挥和控制服务器建立的链接来实现。如果 jim可以访问已知服务器的列表，以下哪种技术最有可能提供这些信息？ A. NetFlow 记录 B.IDS 日志 C.认证日志 D.RFC 日志
    • A
  • 关于第 11-15 题，请参考以下情景： 加里最近被聘为某地方政府机构的首位首席信息安全官 (CISO）。该机构最近遭受了一次安全漏洞，正在尝试建立一个新的信息安全计划。在设计这个计划时，Gary 希望能应用一些安全操作的最佳实践。 11. 在决定应向每个用户授予哪些访问权限时，Gary 应遵循哪个原则来指导他关于默认权限的决策？ A. 职责分离 B. 最小权限 C. 聚合 D.权限分离 12. 在设计该计划时Gary 使用了下面显示的矩阵。这个矩阵最直接帮助执行哪个信息安全原则？ A. 职责分离 B.聚合 C. 两人控制 D.深度防御 13Gary准备为一个新用户创建一个帐户并分配对HR数据库的权限。在授予此访问权限之前，Gary 必须验证哪两个信息元素？ A. 凭证和知悉需求 B.安全许可和知悉需求 C. 密码和安全许可 D.密码和生物识别扫描 14. Gary准备在访问根加密密钥时制定控制措施，并希望应用一项专门用于非常敏感操作的安全原则。他应该应用哪个原则？ A. 最小权限 B. 深度防御 C．安全性通过模糊性 D.两人控制 15.Gary 和他的团队应该多久对用户对敏感系统的特权访问进行审查？（选择所有适用项。） A. 定期进行审查 B. 当用户离开组织时 C. 当用户更改角色时 D.每天进行审查
    • B
    • A
    • B
    • D
    • ABC
  • 16. 下列哪个术语通常用于描述以大规模集合发布的不相关补丁？ A. 热修补 B. 更新 C. 安全修复 D．服务包
    • D
  • 17. Tonya 正在从一系列涉及网络安全事件的系统中收集证据。一位同事建议她在收集过程中使用计算机取证磁盘控制器。这个设备的功能是什么？ A掩盖存储设备报告的错误条件 B. 向存储设备传输写命令 C.拦截、修改或丢弃发送给存储设备的命令 D．阻止由发送给设备的读操作返回的数据
    • C
  • 18. Lydia 正在处理组织的访问控制请求。她遇到一个请求，该用户确实具有所需的安全许可，但没有业务上的理由需要这种访问权限。Lydia 拒绝了这个请求。她遵循的安全原则是什么？ A. 需要知道 B. 最小权限 C.职责分离 D.两人控制
    • A
  • 19.Helen 负费在组织中实施安全控制，以防止欺诈性内部活动。下列哪种机制对她的工作最不实用？ A. 工作轮换 B. 强制休假 C. 事件响应 D.两人控制
    • C
  • 20.Matt希望确保公司内关键网络流量优先于网页浏览和社交媒体使用。他可以使用哪种技术实现这一目标？ A. VLAN B. Qos C. VPN D. ISDN
    • B
  • 21.Tom 正在回应最近的安全事件，并寻找关于对系统安全设置进行最近修改的批准过程的信息。他最有可能在哪里找到这些信息？ A. 更改日志 B. 系统日志 C. 安全日志 D.应用程序日志
    • A 没找到，记住
  • 22.Susan 公司的员工经常国际出差，需要连接到公司系统进行工作。Susan 认为由于公司正在开发的技术，这些用户可能会成为企业间谋活动的目标，并希望在为国际旅行者提供的安全培训中包含建议。Susan 应该推荐他们采用哪种连接网络的做法？ A. 仅连接公共 WiFi。 B. 对所有连接使用 VPN。 C.仅使用支持TLS 的网站。 D.不在旅行时连接网络。
    • B
  • 23.Ricky 正在寻找应用程序、设备和操作系统中的信息安全漏洞列表。以下哪个威胁情报来源对他最有用？ A. OWASP B. Bugtraq C. Microsoft 安全公告 D. CVE
    • D
      • OWASP (开放 Web 软体安全项目 - Open Web Application Security Project) 是一个开放社群、非营利性组织，目前全球有 82 个分会近万名会员，其主要目标是研议协助解决 Web 软体安全之标准、工具与技术文件，长期 致力于协助政府或企业了解并改善网页应用程式与网页服务的安全性。 BugTraq是一个完整的对计算机安全漏洞（它们是什么，如何利用它们，以及如何修补它们）的公告及详细论述进行适度披露的邮件列表。 CVE 的英文全称是“Common Vulnerabilities & Exposures”通用漏洞披露。CVE就好像是一个字典表，为广泛认同的信息安全漏洞或者已经暴露出来的弱点给出一个公共的名称。
  • 24. 在进行灾难恢复计划时，以下哪项通常被视为灾难的例子？（选择所有适用项。） A. 黑客攻击事件 B. 洪水 C.火灾 D.恐怖主义
    • ABCD
  • 25.Glenda 希望进行一次灾难恢复测试，并寻找一种能在不中断正常信息系统活动的情況下对计划进行审查，并且所需时间最少的测试类型。她应选择哪种测试？ A. 桌面演练 B. 并行测试 C.完全中断测试 D.清单审查
    • D
      • 核对清单审查是破坏性最小的灾难恢复测试类型。在核对清单审查期间，团队成员自行审查灾难恢复清单的内容，并在必要时对系统更改提出建议。 在桌面练习期间，团队成员聚在一起，不对信息系统进行任何更改，通过系统的运行状态做出判断。 在平行测试期间，团队实际上激活了灾难恢复站点以进行测试，但主站点仍然保持运行。 在完全中断测试期间，团队会删除主站点，并确认灾难恢复站点能处理常规操作。完全中断测试是最彻底的测试，也最具破坏性。
  • 26. 以下哪项不是备份磁带轮换方案的例子？ A. 祖父/父/子方案 B. 中间相遇 C.汉诺塔 D.六卡带周轮换
    • B
  • 27. Helen 正在为授予员工在会计系统中的管理权限实施一种新的安全机制。她设计了一个流程，需要员工的经理和会计经理在授权之前都必须批准该请求。 Helen 正在实施哪个信息安全原则？ A. 最小权限 B. 两人控制 C.工作轮换 D. 职责分离
    • B
  • 28.Frank 正在考虑在即将进行的刑事案件中使用不同类型的证据。以下哪项不是证据被法庭接受的要求？ A. 证据必须相关。 B.证据必须实质性。 C.证据必须是有形的。 D. 证据必须是经过适当获取的。
    • C
  • 29. Harold 最近完成了安全事件的事后回顾。接下来他应该准备什么文档？ A. 培训学习文档 B. 风险评估 C. 整改清单 D.缓解清单
    • A 记住
  • 30.Beth 正在创建一个新的网络安全事件响应团队 (CSIRT），并希望确定适当的团队成员。以下哪些组通常应包括在内？（选择所有适用项。） A. 信息安全 B.执法部门 C.高级管理 D.公共事务
    • ACD
  • 31. Sam 负责备份公司的主文件服务器。他配置了一个备份计划，每周一晚上9点执行完全备份，其他工作日的同一时间执行差异备份。根据下图所示的信息，星期三的备份将复制多少个文件？ 文件修改情况 星期一上午8点 - 創建文件1 星期一上午10点 - 創建文件2 星期一上午11点 - 創建文件 3 星期一下年4点 - 修改文件1 星期一下午5点 - 創建文件4 星期二上午8点 - 修改文件1 星期二上午9点 - 修改文件2 星期二上午10点 - 創建文件 5 星期三上午8点 - 修改文件3 星期三上午9点 - 創建文件 6 A. 2 B. 3 C. 5 D. 6
    • C
  • 32. 以下哪个安全工具不能对安全事件生成主动响应？ A. IPS B. 防火墙 C. IDS D.杀毒软件
    • C
  • 33.scott 负责处置已从公司的 SAN 中拆除的磁盘驱动器。如果 SAN 上的数据被他的组织认为是高度敏感的，他应避免以下哪项选项？ A. 物理销毁 B. 与SAN 供应商签订合同，要求适当处置并提供认证流程 C. 在离开组织之前重新格式化每个驱动器 D.使用像 DBAN 这样的安全擦除工具
    • C
  • 34. 用来描述在创建新帐户时为用户分配的默认权限集的术语是什么？ A. 聚合 B. 传递性 C. 基线 D.权限
    • D
  • 35. 以下哪种协议是在服务提供商和客户之间包含可用性和其他性能参数期望的最正式的文件？ A. 服务级别协议 (SLA) B. 运营级别协议 (OLA) C.谅解备忘录 (MOU) D.工作说明书 (SOW)
    • A
  • 36 作为一家大型组织的首席信息官，Clara 希望采用标准流程来管理IT活动。 以下哪个侧重于IT服务管理，并包括变更管理、配置管理和服务级别协议 等主题？ A. ITIL B. РМВОК C. PCI DSS D. TOGAF
    • A
      • TOGAF是The Open Group Architecture Framework的缩写，它由The Open Group开发，The Open Group是一个非盈利的技术行业联盟，它不断更新和重申TOGAF。
  • 37.Richard 在其组织的网络上遇到了网络服务质量的问题。主要症状是数据包 从源到目的地的传输时间过长。这个问题被称为什么？ A. 抖动 B. 丢包 C.千扰 D.延迟
    • D
  • 38.Joe 想要测试一个他怀疑可能包含恶意软件的程序。他可以使用哪种技术在运行该程序时将其隔离？ A. ASLR B. 沙箱 C. 剪贴 (Clipping) D.进程隔离
    • B
  • 39 以下那项不是自然灾害的例子 A. 飓风 B. 洪水 C.泥石流 D. 变压器爆炸
    • D
  • 40.Anne 想要收集关于安全设置的信息，并通过收集遍布公司的一组 Windows 10 工作站的数据来建立对组织资产的整体视图。哪个Windows 工具最适合这种类型的配置管理任务？ A. SCCM B.组策略 C. SCOM D.自定义 Powershell 脚本
    • A
      • sccm（System Center Configuration Manager），是微软系统中心配置管理器内部简称。它是一款非常优秀的桌面管理软件，其可以收集硬件和软件清单，在客户机上发布软件；还可以管理客户机更新，甚至可以拒绝没有及时更新修补程序的客户机访问网络。
  • 41.Javier正在验证只有IT系统管理员才能登录用于管理目的的服务器。他正在执行哪个信息安全原则？ A. 需知原则 B. 最小权限原则 C.两人控制原则 D. 传递性信任原则
    • B
  • 42以下哪项不是保证系统和应用程序免受攻击的基本预防措施？ A 实施入侵检测和预防系统。 B在所有操作系统和应 用程序上保持当前的补丁级别。 C.删除不必要的帐户和服务。 D 对所有系统进行取证映射。
    • D
  • 43. Tim 正在尝试从硬盘中检素信息，他是一名法证分析员。看起来用户试图擦除数据，而 Tim 正在尝试重建数据。Tim 正在进行哪种兴型的法证分析？ A. 软件分析 B. 媒体分析 C. 嵌入式设备分析 D.网络分析
    • B
  • 44. 以下哪个是计算机安全事件的例子？（选择所有适用的） A. 备份未能正确完成 B. 记录在日志中的系统访问 C．对文件服务器进行未授权的漏洞扫描 D.更新防病毒签名
    • AC
  • 45.Roland 是一家组织中的物理安全专家，该组织拥有大量昂贵的实验设备。 这些设备经常在设施内移动。以下哪种技术能够以成本效益的方式最大程度地自动化库存控制过程？ A. IPS B. WiFi C. RFID D.以太网
    • C
  • 46. Connor 的公司最近遭受了一次拒绝服务攻击，Connor 认为这是内部人员造成的。如果属实，公司经历了哪种类型的事件了 A. 间谍活动 B. 机密性违规 C. 破坏活动 D.完整性违规
    • C
  • 47.Evan 在他所在组织的服务器上检测到一次攻击，并检查了一系列数据包中 的TCP 标志， 如下图所示。最可能发生了哪种类型的攻击？ A. SYN 洪泛 B. Ping 洪泛 C. Smurf D. Fraggle
    • A
  • 48.Florian 正在为他的组织制定一份灾难恢复计划，并希望确定某个特定『服务在不造成严重业务中断的情況下可能停机的时间。Florian 正在计算哪个变量？ A. RTO（恢复时间目标) B. MTD（最长可接受中断时间) C.RPO（恢复点目标） D. SLA （服务级别协议）
    • B
  • 49. 以下哪些通常被归类为零日攻击？（选择所有适用的） A.一个新接触黑客世界的攻击者 B 在数据库重放置日期为000000的数据库政击，以利用业务逻辑中的缺陷 C. 安全社区之前未知的攻击 D.将操作系统的日期和时间设置为 00/00/0000 和 00:00:00 的攻击
    • C
  • 50.Grant 正在为可能的诉讼做准备，正在收集记录，并担心他的团队可能花费过多的时间收集可能是无关紧要的信息。联邦民事诉讼程序规则 (FCRP）中的哪个概念有助于确保在成本超过收益时不会增加额外的时间和费用作为电子发现的一部分？ A.工具辅助审核 B. 合作 C. 毁灭证据 D.比例原则
    • D
  • 51.在一次事件调查中，调查人员与一名系统管理员进行会面，该管理员可能 掌握有关事件的信息，但并不是嫌疑人。在这次会议市进行了哪种的对话？ A. 面试 B. 审问 C. 既是面试又是审问 D. 既不是面试也不是审问
    • A
  • 53. 作为业务连续性规划 （BCP） 工作的一部分，你正在评估某个区城的洪水风险。你参考了联邦紧急管理局（FEMA) 的洪水地圈。根据这些地因，该区域位于一个200 年一遇的洪水区域。该地区的年发生率（ARO）是多少？ A.200 B. 0.01 C.0.02 D. 0.005
    • D
  • 54. 在大多数防御良好的组织中，以下哪一种个人对安全构成了最大的风险？ A. 政治活动人士 B. 恶意内部人员 C. 脚本小子 D. 寻欢作乐的攻击者
    • B
  • 55. Veronica 正在考虑实施—种由顾问推荐的数据库恢复机制。在推荐的方法中，每天晚上通过自动化过程将数据库备份从主要设施移至离线位置。顾问描述的是哪种类型的数据库恢复技术？ A. 远程日志记录 B. 远程镜像 C. 电子保险库 D.事务日志记录
    • C
      • 电子链接（题中电子保险库）：在电子跳跃方法中，自动化工具会将数据库备份从主数据库服务器按计划(通常每天)移动到远程站点。 事务日志不仅是恢复技术，它存储对数据库执行的所有更改，并全部记录插入、更新、删除、提交、回退和数据库模式变化的过程。 远程日志将事务日志以更频繁(通常为每小时)的方式传输到远程站点。 远程镜像在备份站点维护实时数据库服务器，并镜像备份主站点服务器上的所有事务
  • 56. 当设计访问控制方案时，Hilda 设置了 角色，以防止同一人具备创建新用户帐户和为帐户分配超级用户特权的能力。Hilda 遵销的是哪个信息安全原则？ A.最小权限原则 B. 职责分离 C.岗位轮换 D．通过模糊保护安全
    • B
  • 57.Patrick 负责为组织实施威胁猎杀计划。在规划工作时，他应该使用威胁猎杀计划的基本假设是什么？ A 安全控制采取了深度防御策略。 B. 审计可能会发现控制缺陷。 C. 攻击者可能已经存在于网络中。 D.防御机制可能存在未修补的漏洞。
    • C
  • 58. Brian 正在制定组织灾难恢复计划的培训计划，并希望确保参与者了解灾难 恢复过程何时结束。以下哪个事件标志着灾难恢复过程的完成？ A. 保护财产和生命安全 B. 在备用设施恢复运营 C.在主设施恢复运营 D．解除第一响应者的战备状态
    • C
      • 灾难恢复过程的最终目标是恢复主要设备中的业务正常运作。 其他三个选项的操作也是在灾难恢复过程中进行的，但只有组织在主要设备中的业务恢复正常工作，才能说明灾难恢复工作基本完成。
  • 59 Mevanie 怀疑有人在使用恶意软件从她的公司窃取计算资源。以下哪种安全工具最适合检测此类事件？ A.NIDS（网络入侵检测系统） B. 防火墙 C. HIDS(主机入侵检测系统） D,DLP(数据泄露防护）
    • C
  • 60. 张三观察到网络上一委统的授权用户最近滥用了他的帐户，利用系統漏洞攻击了一个共享服务器，并获得了该服务器的100%权限。安生了哪种类型的攻击？ A. 拒绝服务 B. 特权提升 C.侦察 D.暴力破解
    • B
  • 61. 卡拉在公司工作了15年，担任过各种不同的职位。每次换职位时，她都会获得与该职位相关的新特权，但从末被剽夺过特权。哪个概念描达了她所积累的特权集合？ A. 权限 B. 聚合 C.传递性 D.隔离
    • B
  • 62. 在事件响应过程的哪个阶段，管理员采取行动来限制事件的影响范围？ A. 检测 B. 响应 C. 缓解 D.恢复
    • C
  • 对于问题 63-66,，请参考以下情景 安是一家中型企业的安全专业人员，通常负责进行日志分析和安全监控任务。 她的职责之一是监视组织入侵检测系统产生的警报。该系统通常每天生成几十个警报，经过她的调查后，其中许多警报被证明是误报。 今天早上，入侵检测系统发出警报，因为网络开始接收到异常高的入站流量。 安收到了这个警报，并开始调查流量的来源。 63. 在事件响应过程的这个阶段，最能描述安所在组织发生的情况的术语是什么？ A. 安全事件 (Security occurrence) B. 安全事故(Security incident) C. 安全事件(Security event) D.安全入侵 (Security intrusion) 64. 安继续她的调查，并意识到触发警报的流量是在 53 号端口上异常高的入站 UOP 流量。通常使用该端口的是哪种服务？ A. DNS B. SSH/SCP C. SSL/TLS D. HTTP 65.在安进一步分析流量时，她意识到流量来自多个不同的源，并且已经淹没了网络。入站数据包是对她在出站流量中未查询的响应。这些响应对于其类型来说异常大。安应该怀疑发生了哪种类型的攻击？ A. 侦察 B. 恶意代码 C. 系统渗透 D.拒绝服务 66. 现在安了解到已经发生了一次违反她所在组织安全策略的攻击，最能描述安所在组织发生的情况的术语是什么？ A. 安全事件 (Security occurrence) B. 安全事故(Security incident) C. 安全事件(Security event) D.安全入侵 (Security intrusion)
    • C
    • A
    • D
    • B
  • 67. 弗兰克试图将一台黑客的笔记本电脑作为证据提交法庭以对抗黑客。该笔记本电脑确实包含表明黑客犯罪的日志，但法院裁定搜查导致警察找到笔记本电脑的行为违宪。哪个可接受性标准阻止弗兰克将笔记本电脑作为证据提交？ A. 实质性 B. 相关性 C. 传闻 D.能力
    • D
  • 68. 戈登怀疑黑客已经侵入了他公司的一个系统。该系统不包含任何受管制的信息，戈登希望代表公司进行调查。他获得上级主管的许可来进行调查。以下哪种说法是正确的？ A.戈登在开始调查之前法律上有责任联系执法机构。 B.戈登不能进行自己的调查的内容。 C.戈登的调查可以包括检查硬盘、网络流量和公司的任何其他系统或信息 D．戈登在确认了筆事者身份后可以在道德上进行 “反击” 活动。
    • C
  • 69.以下哪种工具为组织提供了对抗软件供应商倒闭的最高级别的保护？ A. 服务级别协议 B. 托管协议 C. 相互协助协议 D.PCI DSS 合规协议
    • B
  • 70.弗兰正在为她的银行考虑新的人力资源政策，以防止违法行为。她计划实施强制休假政策。通常情况下，强制休假的最短有效期是多久？ A. 2天 B. 4天 C. 1周 D. 1个月
    • C
  • 71以下哪些事件构成安全事件？（选择所有适用的选项。） A. 企图进行网络入侵 B.成功进行数据库入侵 C.恶意软件感染 D. 成功尝试访问文件 E. 违反保密政策 F. 未能从安全区域移除信息的尝试
    • ABCEF
  • 72. 阿曼达正在配置她所在组织的防火墙以实施出口过滤。以下哪种流量类型 不应该被组织的出口过滤策略阻止？（选择所有适用的选项。） A. 快速扫描端口 22上的多个 IP地址的流量 B. 目的地为广播的流量 C. 源地址为外部网络的流量 D．目的地地址为外部网络的流量
    • ABC
  • 73. 艾莉负责审查她所在组织网络的认证日志。她没有时间审查所有日志，所以她决定只选择记录中出现了四次或更多次无效认证尝试的日志。艾莉使用的是哪种技术来减小日志的范围？ A. 抽样 B. 随机选择 C. 剪辑 D.统计分析
    • C
  • 74. 您正在对网络上的潜在机器人感染进行调查，并希望对网络和互联网之间传递的信意进行取证分析。您认为这些信息很可能巳经加密。在活动结束后开始调查时，获得这些信息的最佳且最简单的方式是什么？ A. 数据包捕获 B. NetFlow 数据 C.入侵检测系统日志 D.集中式身份验证记录
    • B
      • Netflow数据包含所有网络通信的源地址、目的地址和数据包大小等信息，对这些信息的记录是很正常的活动。 数据包捕获可提供相关信息，但该活动通常发生在针对可疑活动的调查期间，一旦可疑活动结束，则无法再重新进行数据包捕获，除非组织已经完成了100%的数据包捕获，但这是非常少见的。 此外，使用加密限制了数据包捕获的有效性。 入侵检测系统日志不可能包含相关信息，因为加密的流量可能无法匹配入侵行为的签名。 集中式身份验证记录不包含有关网络流量的信息。
  • 75 以下哪种工具可通过为操作系统和应用程序提供标准安全配置模板来帮助 系统管理员？ A. 安全指南 B.安全策略 C.基线配置 D.运行配置
    • C
  • 76. 以下哪种类型的灾难恢复会后动备用处理设施，并使用其进行交易，同时保持主要站点的运行状态？ A. 全面中断测试 B. 并行测试 C.清单申核 D.桌面推演
    • B
  • 77. 在事件响应过程的哪个阶段，分折员会收到人侵检测系统的警报并验证其 准确性？ A.响应 B. 缓解 C. 检测 D.报告
    • C
  • 78. 凯文正在为他的组织制定一个持续安全监控策略。在确定评估和监控频率 时，以下哪个通常不被使用？ A.威胁情报 B. 系统分类/影响级别 C. 安全控制操作负担 D.组织风险容忍度
    • C
  • 79.亨特正在审查他所在组织的监控策略，并确定可能部署的新技术。他的评估表明，公司在监控终端设备上的员工活动方面做得还不够。以下哪种技术最能满足他的需求？ A. 端点检测和响应 (EDR) B. 入侵防御系统 (IPS) C.人侵检测系统 (IDS) D.用户和实体行为分析 (UEBA)
    • D
  • 80. 布魯斯在他的网络上看到了很多可疑活动。在查看他的 SIEM 记录后，似乎外部实体正试图使用端口 22 上的TCP 连接连接到他的所有系统。这个外部人士可能在进行什么类型的扫描？ A. FTP 扫描 B. Telnet 扫描 C. SSH 扫描 D.HTTP 扫描
    • C
  • 81地伦在效据库服务观察到了 sql注入攻击。在攻击的补救阶段，迪伦最有可能采取以下哪种行动？ A. 从备份中重建数据库 B. 为Web 应用程序添加输入验证 C 审查防火墙日志 D. 审查数据库日志
    • B
  • 82罗杰最近接受了一家将其整个 I T基础设施远行在 IaaS 环境中的公司的安全专业人员的职位。以下哪项最有可能是罗杰公司的责任？ A. 配置网络防火墙 B. 应用 hypervisor 更新 C. 打补丁操作系统 D.在处置前擦除驱动器
    • C
  • 83. 应用程序开发人员可以使用以下哪种技术在隔离的虚拟化环境中测试应用程序，然后才允许其进入生产网络？ A. 渗透测试 B. 沙箱环境 C.白盒测试 D. 黑盒测试
    • B
  • 84. 吉娜是一家小企业的防火墙管理员，最近安装了一合新防火墙。在看到异常高网络流量的迹象后，她检查了入侵检测系统，发现正在进行 SYN 洪水攻击。吉娜可以进行哪种防火墙配置更有效地防止这种攻击？ A. 阻止己知IP的SYN B. 阻止未知IP的SYN C. 在防火墙上启用 SYN-ACK 欺骗 D. 禁用 TCP
    • C
  • 85. 南希正在领导一项工作，以更新她所在组织的恶意软件防护，并希望添加端点检测和响应 （EDR）功能。以下哪些操作通常由EDR 系统支持？（选择所有适用项。） A. 分析端点内存、文件系统和网络活动以寻找恶意活动的迹象 B. 自动隔离可能的恶意活动以限制潜在的损害 C.进行模拟钓鱼活动 D.与威胁情报来源集成
    • ABD
  • 86. 艾伦正在评估在他的网络安全计划中使用机器学习和人 工智能的潜力。以下哪项活动最有可能从这项技术中受益？ A.入侵检测 B. 账户配置 C．防火墙规则修改 D.媒体消除
    • A
  • 87， 木材工业公司最近与一位客户发生争端。在与他的客户代表会面时，客户的站起来称：再没有其他解决方素。我们必须把这件事告到法庭。°然后他离开了房间。木材工业公司在什么时候有义务开始保留证据？ A. 立即 B.收到对方律师的诉讼通知后 C. 收到传票后 D.收到法院命令后
    • A
  • 88.坎迪斯正在为她所在组织的文件服务器设计备份策略。她希望每个工作日进行一次备份，并占用最小的存储空间。她应该进行哪种类型的备份？ A. 增量备份 B. 完全备份 C.差异备份 D.事务日志备份
    • A 似乎应该选C
      • 增量备份：备份自上次全备份或增量备份以来发生变更的数据，速度最快，但恢复时间最长。 差异备份 ：备份自上次全备份以来发生变更的所有数据，速度较快，存储需求较低。
  • 89. 达西是一名计算机安全专家，正在协助起诉一名黑客。检察官要求达西在法庭上作证，就她的意见是否认为案件中的日志和其他记录表明了黑客攻击的企图。达西被要求提供哪种类型的证据？ A. 专家意见 B. 直接证据 C. 实物证据 D.文件证据
    • A
  • 90.以下哪种技术通常不用于从 A.物理销毁 B. 磁化消除 C.覆写 D.重新格式化 上删除不需要的残留数据？
    • D
  • 91. 莎莉正在为她的环境建立一台新的服务器，并计划实施 RAID 1级别作为 存储可用性控制。她至少需要多少个物理硬盘来实施这种方法？ A.一个 B. 两个 C 三个 D.五个
    • B
  • 92，杰罗姆正在进行取证调查，正在查看数据库服务器日志以调查查询内容，以寻找 SQL 注入攻击的证据。他正在进行哪种类型的分析？ A. 硬件分析 B. 软件分析 C.网络分析 D.媒体分析
    • B
  • 93. ouigley Corpuing 经常将备份数据的磁带寄送到全国各地的次要设施。这些磁带包含机密信息。Quigley 可以使用哪个最量要的安全措施保护这些磁带？ A. 锁定的运输容器 B. 私人快递公司 C. 数据加密 D.媒体轮换
    • C
  • 94. 卡罗琳担心网络上的用户可能在未经授权或未采取适当安全控制的情况下在其硬盘上存储敏感信息，例如社会安全号码。她应该实施职种第三方安全服务以最好地检测到这种活动？ A.入侵检测系统 (IDS) B 入侵防御系统 (IPS) C. 数据丢失防护 (DLP) D.传输层安全 (TLS)
    • C
  • 95. 加文是他所在组织的灾难恢复团队负责人，该组织目前处于对客户影响严重的事件的响应阶段。加文刚刚接到一位记者的电话，要求提供关于根本原因和预计恢复时间的详细信息。加文随时可以提供这些信息。他应该怎么办？ A. 向记者提供信息。 B. 请求几分钟时间收集信息，然后回电。 C.将此事转给公共关系部门处理。 D.拒绝提供任何信息。
    • C
  • 96. 保琳正在审查她所在组织的应急管理计划。在创建这些计划时，最高优先级应该是什么？ A. 保护关键任务数据 B. 保留操作系统 C.收集证据 D. 保护安全
    • D
  • 97 巴里是一家组织的首席信息官，该组织最近遭受了一次严重的运营问题，需要激活灾难恢复计划。他希望进行一次教训总结会议，以审查该事件。谁是这次会议的最佳组织者？ A. 首席信息官巴里 B 首席信息安全官 C. 灾难恢复团队负责人 D.外部顾问
    • D
  • 98 布伦特正在审查用于保护组织在持续停电情况下的措施。以下哪种解决方案最能满足他的需求？ A. 冗余服务器 B. 不间断电源 (UPS) C.发电机 D. RAID
    • C
  • 99. 将每个编号的术语与其正确的定义对应起来： 术语 1. 蜜罐(Honeypot) 2. 密网(Honeynet) 3. 伪漏洞 4. 暗网 (Darknet) 定义 A. 故意设计的漏洞，用于引诱攻击者 B. 设置有意漏洞的网络 C.设置有意漏洞的系统 D.一个没有任何主机的监控网络
    • 1C2B3A4D
  • 100. 将每个编号的恢复能力类型与其正确的定义对应起来： 术语 1. 热站点 2.冷站点 3. 温站点 4. 服务局 (Service bureau) 定义 A. 在灾难发生时可以提供现场或离场 IT 服务的组织时间内恢复服务 B 带有专用存储和实时数据复制的站点，通常具有共享设备，可以在很短时间内恢复服务 C.依靠共享存储和备份进行恢复的站点 D，租用的空间，配备电力、冷却和连接性，可以接受设备作为恢复工作的一部分
    • 1B2D3C4A