CISSP重点、难点总结

本人在准备CISSP考试中自己总结的复习习题、各种模拟题中的重点、难点。本文内容除了书中内容意外还有很多从网上查找的补充内容，非常具有复习价值！

重点、难点总结一

• 相关知识点和错题
  • RAID
    • 各种raid
    • RAID 3 and 4
      • RAID 3的字节级和RAID 4的块级校验 需要三个或更多驱动器才能实现。 条带化
      • 奇偶校验盘
        • 奇偶校验信息写在一个盘上
        • 奇偶校验驱动器是阿喀琉斯之踵，因为它可能成为瓶颈，通常会比其他驱动器 更早出现故障。
    • RAID 6
      • 分布式奇偶校验和双重奇偶校验
    • RAID4 在以下哪个级别实现奇偶校验？ A. block level / 块级 B. record level / 记录级 C. field level / 字段级 D. byte level / 字节级
      • .哪种RAID使用两种独立的分布式奇偶校验方案？ A. RAID 1 B. RAID 5 C. RAID 6 D. RAID 10
        • What is the PRIMARY purpose of using redundant array of inexpensive disks (RAID) level zero? A. To improve system performance. B. To maximize usage of hard diskspace. C. To provide fault tolerance and protection against file server hard disk crashes. D. To implement integrity. A 似乎maximize有扩大的意思，只能这么理解
  • IDS和IPS 防火墙、UEBA
    • IPS是预防性手段 IDS是检测性手段
      • ‌IDS（入侵检测系统）主要由硬件和软件组件构成，包括‌传感器、‌数据分析软件和‌告警系统。 传感器：负责监控网络流量或系统活动，收集关键事件数据。 数据分析软件：处理从传感器收集的数据，识别异常或潜在的攻击模式。 告警系统：当检测到潜在的安全威胁时，向安全团队发送警报，可能通过电子邮件、短信或其他方式通知管理员。
        • 基于签名/特征/知识/ knowledge-based IDS/signature-based IDS 基于启发式/统计异常 motion anomaly-based IDS/statistical anomaly-based IDS
      • 入侵防御系统（‌IPS）‌的构建组件主要包括签名库、‌异常检测引擎、‌阻止引擎、‌管理控制台、‌日志和报告系统。‌ 签名库：‌包含已知攻击的特征和规则，‌用于检测和防御已知的攻击。‌ 异常检测引擎：‌用于检测未知攻击和异常行为，‌通过分析网络流量和系统日志等信息来发现攻击。‌ 阻止引擎：‌根据检测到的攻击类型和威胁级别，‌采取相应的阻止措施，‌例如阻止网络连接或关闭相关服务。‌ 管理控制台：‌用于配置和管理IPS系统，‌包括更新签名库、‌配置检测规则、‌查看警报和日志等。‌ 日志和报告系统：‌用于记录IPS系统的活动和事件，‌生成报告和分析数据，‌帮助管理员监控和评估系统的安全状况。‌
    • 防火墙
      • 静态数据包过滤防火墙-第一代防火墙 也可以称为筛选路由器。通过检查消息头中的数据来过滤流量。通常，规则涉及源、目标和端口地址。使用静态过滤，防火墙无法提供用户身份验证或判断数据包是来目私有网络内部还是外部，它很容易被假冒的数据包所欺骗。工作在 OSI 模型的第3层(网络层)。 应用级网关防火墙-第二代防火墙也称为代理防火墙。代理是一种将数据包从一个网络复制到另一个网络的机制：复制过程还会更改源和目标地址以保护内部或专用网络。应用级网关防火墙根据用于传输或接收数据的应用程序过滤流量。因此，应用级网关防火墙包括许多单独的代理服务器。这种类型的防火墙会对网络性能产生负面影响，因为每个数据包在通过防火墙时都必须进行检查和处理。工作在 OSI 模型的应用层(第7层)。 电路级网关防火墙-第二代防火墙电路级网关防火墙也称为电路代理，管理基于电路的通信，而不是流量的内容，用今在可信赖的合作伙伴之同建立通信会话。它们权根据通信线路的端点名称(即源和目标地址以及服务端口号)允许或拒绝转发。SOCKS(Socket Secure)是电路级网关防火墙的常见实现方式。它们在 OSI 模型的会话层(第5层)上运行。 之所以也称为二代，是因为它代表了对应用级网关防火墙概念的修改。 状态检查防火墙-第三代防火墙也称为动态数据包过滤防火墙，评估网络流量的状态或上下文。通过检查源和目标地址、应用程序使用情况、来源以及当前数据包与同二会话的先前数据包之间的关系，状态检查防火墙能为授权用户和活动授予更广泛的访问权限，并主动监视和阻止未经授权的用户和活动。状态检查防火墙通常比应用级网关防火墙更有效地运行。工作在OSI 的网络层和传输层(第3、4层)。 下一代防火墙 (Next-Generation Firewalls,NGFWs)) 下一代防火墙是一种多功能设备(MFD), 除防火墙外，还包含多 种安全功能，集成组件可包括 IDS、IPS、TLS/SSL VPN、Web过滤、QoS管理、带宽限制、 NAT转换、VPN和反病毒。 内网隔离防火墙(Internal Segmentation Firewall,ISFW) 部署在内部网段或公司部门之间的防火墙。其目的是为了防止已经存在的恶意代码或有害协议的进一步传播专用网络。 深度数据包检测(Deep Packet Inspection,DPI) 是一种过滤机制，通常在应用程序层运行，以便过滤通信的有效内容 (而不仅是报头值)。DP也可称为完整的数据包检查和信息提取(IX)。DPI过滤能够阻正有效通信负载中的域名、恶意软件、垃圾邮件或其他可识别元素。DPI通常与应用层防火墙和/或状态检测防火墙集成在一起。 应用程序级网关防火墙为其筛选的每个服务使用代理。每个代理都被设计用于分析其特定流量类型的流量，使其能够更好地了解有效流量并防止攻击。静态数据包过滤器和电路级网关只需查看使用中的源、目的地和端口，而有状态的数据包检查防火墙可以跟踪通信状态，并基于这种理解允许或拒绝流量。
    • 入侵检测防御系统(IDPS)是什么类型的控制？ A. A detective control / 检测性控制 B. A recovery control / 恢复性控制 C. A directive control / 指令性控制 D. A preventive control / 预防性控制
      • 在入侵检测系统（IDS）中，下列哪项不属于该设备的组件？ A. Enunciator / 告警器 B. Sensor / 传感器 C. Response / 响应器 D. Communications / 通讯装置
        • 您遇到一个先进的多态恶意软件，使用自定义通信协议的网络流量。该协议在其报头中具有独特的签名。哪些工具是最适合减轻这种恶意软件的风险，防止数据包穿越网络？ A.Antimalware 反恶意代码软件 B.Stateful firewall 状态防火墙 C.Intrusion detection system (IDS) 入侵检测系统 D.Intrusion prevention system (IPS) 入侵防御系统
          • 以下哪项对于网络入侵检测系统的优缺点评价是正确的？ A. Network-based IDSs are not vulnerable to attacks. / 基于网络的入侵检测系统不容易受攻击 B. Most network-based IDSs can automatically indicate whether or not an attack was successful / 大多数基于网络的入侵检测系统可以自动显示攻击是否成功 C. Network-based IDSs May have a impact on the performance of the host / 基于网络的入侵检测系统可能对主机的性能产生影响 D. The deployment of network-based IDSs has little impact upon an existing network. / 基于网络的入侵检测系统的部署对现有网络的影响不大 D
            • 基于知识的IDS和基于行为的IDS系统分别又被称为？ A. signature-based IDS and motion anomaly-based IDS, respectively. / 基于签名的IDS和基于动作异常的IDS B. anomaly-based IDS and statistical-based IDS, respectively. / 基于异常的IDS和基于统计的IDS。 C. signature-based IDS and statistical anomaly-based IDS,respectively. / 基于签名的IDS和基于统计异常的IDS D. signature-based IDS and dynamic anomaly-based IDS,respectively. / 基于签名的IDS和基于动态异常的IDS C
        • 题干说明了独特签名，就说明需要用IPS，状态检测防火墙不能基于签名
    • 当一个出站请求的端口大于1023时，那种防火墻会创建ACL临时允许在该端口的入站请求通过？ A. CIrcuit level proxy 电路级代理 B. Application level proxy 应用层代理 С.packet filtering 包过滤 D. Dynamic packet filtering 动态包过滤 答案：D
      • 以下那类入侵检测系统是使用基于与正常使用者比较是否有 A. Knowledge-based ID systems.基于知识库的IDS 系统 B. Network-based ID systems.基于网络的IDS系统 C. Behavior-based ID Systems.基于行为的IDS系统 D. Host-based ID systems.基于主机的IDS系统 答案：C
        • Hunter正在审查组织的监控策略，并确定他们可能部署的新技术。他的评估显示，该公司在监控终端设备上的员工活动方面做得不够。 以下哪种技术最能满足他的需求？ A EDR B IPS C IDS D UEBA 重点是监测员工活动，所以不选A
          • 以下哪一项是MOST安全防火墙实施？ A.双宿主主机防火墙 B.屏蔽子网防火墙 C.屏蔽主机防火墙 D.数据包过滤防火墙 B
            • 代理通过将每个接受的数据包的副本从一个网络传输到另一个网络来工作，从而屏蔽： A.数据的有效载荷。 B.数据的细节。 C.数据的所有者。 D.数据的来源。 D
              • 应用级防火墙的一个缺点是，由于它必须分析每个数据包，并且： A.决定每份申请的处理方式。 B.决定如何对待每个用户。 C.决定如何处理每个端口。 D.决定如何处理每个数据包。
    • DMZ也称为： A.屏蔽子网。 B.三条腿的防火墙。 C.吸引黑客的地方。 D.堡垒主机。 A
      • 在一个状态检查防火墙中，数据包被检查引擎检测发生在？ A. Inspection Layer. 检查层 B. Application Layer. 应用层 C Network or Transport Layer. 网络或传输层 D. Data Link Layer. 数据链路层 答案：C
  • 蜜网、蜜罐、填充单元、 伪缺陷、警告标语
    • Bob想要构建一个模拟的环境，并使用假数据来保持入侵者的兴趣，他可以使用以下哪一项技术？ A. Pseudo Flaws / 伪缺陷 B. Cell suppression /单元抑制 C. Padded cells / 填充单元 D. Polyinstantiation / 多实例
  • 变更-紧急变更
    • 得到口头授权 ECAB(紧急变更顾问委员会) 该有的测试和回退计划都要有 事后再补记录和补正式的授权
    • 下列哪一项关于ECAB(紧急变更管理委员会)会议的说法是正确的？ A. 在紧急变更实施前，根据需要，可以选择召开ECAB会议。 B. 紧急变更在实施后，必须召开ECAB会议，用于总结经验教训。 C. 紧急变更在实施前，必须召开ECAB会议，以正式批准紧急变更。 D. 只有当紧急变更需要回退时，才需要召开ECAB会议，用于批准回退方案。
  • 配置管理
    • 配置管理适用于不同类别资产管理 CMS
      • 物理资产 (服务器、笔记本、平板) 虚拟资产 (例如:软件定义网络 (SDNs), 虚拟SAN (vSAN) 应用 (例如: Web服务, 软件即服务 SaaS) 系统，虚拟机(VMs) 云资产 Cloud assets
    • 组织将建立一个单一的、集中的、关系存储库，以保存有关软件和硬件资产的所有信息。以下哪一个是最佳选择? A. 信息安全管理体系 （ISMS） B. 配置管理数据库 （CMDB） C. 安全信息和事件管理（SIEM） D. 信息技术资产管理 （ITAM） B IT资产管理（ITAM）是指对组织内的IT资产进行系统化的管理和控制。IT资产包括硬件（如服务器、工作站、路由器）、软件（如操作系统、应用程序）、以及其他技术资源（如许可证、网络设备）。ITAM的主要目标是优化资产的使用，降低成本，减少风险，并确保合规性。 配置管理数据库（CMDB）是一个集中存储系统，它包含了与IT基础设施相关的所有配置信息。CMDB不仅记录IT资产的物理和逻辑关系，还包括它们的配置状态和变更历史。CMDB的主要目的是支持IT服务管理（ITSM），提高变更管理、事件管理和问题管理的效率。
      • 通常使用什么术语来描述存储在配置管理数据库 (CMDB) 中的硬件和软件资产? A. Asset register / 资产登记 B. Configuration element / 配置元素 C. Configuration item / 配置项 D. Ledger item / 分类帐项目 C
  • 安全审计
    • 内部审计
    • 管理评审
      • 管理评审是高级组织领导者决定管理体系是否有效地实现其目标的正式会议。 管理评审应周期性开展，否则将使检查风险变主动为被动。 会议的频率也应与执行前一次评审的决定所需时长同步。
      • 评审输入
        • 一个关键的输入是相关审计的结果，就是审计报告，包括外部和内部。 另一个输入是上次评审发现问题及整改情况的清单。 客户评价。 除了使审计报告可供审查，也有必要产生执行摘要，描述的主要发现，对组织的影响，以及建议的变化(如果有的话)。
      • 管理行动
        • 高级领导考虑所有的输入信息，通常问一些有针对性的问题，然后决定批准，拒绝或推迟的建议。
        • 高级管理层将决定是接受它的全部的建议， 或接收意见但做细小改变，或拒绝意见， 或要求ISMS团队重新收集更多支持数据或重新设计建议选项。
    • 在一个组织内，谁应该衡量信息系统安全相关控制的有效性？ A.The local security specialist / 本地安全专家 B.The systems auditor / 系统审计师 C.The central security manager / 中心安全经理 D.The business manager / 业务经理 谁负责向高级管理层提供安全控制的有效性报告? A.Data owners / 数据拥有者 B.Information systems security professionals / 信息系统安全专家 C.Data custodians / 数据管理者 D.Information systems auditors / 信息系统审计师
      • All of the following are steps in the security audit process except which one? 以下是安全审计过程中的步骤，除了哪一个？ A. Document the results. / 记录结果。 B. Convene a management review. / 召开管理评审。 C. Involve the right business unit leaders. / 涉及正确的业务单位领导。 D. Determine the scope. / 确定范围。
        • 想要通过ISO/IEC 27701 认证的企业，高级领导者通过以下哪一项判断其隐私信息管理体系(PIMS)是否有效地达成其目标？ A. 风险评估 B. 隐私影响评估 C. 管理评审 D. 业务影响分析 C
  • 软件测试
    • 代码评审和测试
      • 测试技术
        • 白盒(结构性测试/开箱测试) vs. 黑 盒测试(功能性测试/闭箱测试)
        • 动态测试 VS. 静态测试 Dynamic Testing vs. Static Testing
          • 静态
            • 程序不需要运行 分析源代码或编译后的程序 通常需要自动化检测工具 无法发现程序的逻辑错误
          • 动态
            • 程序处于运行中的测试 例如，使用合成交易(synthetic transaction)的测试
        • 手工 vs. 自动化 Manual Testing vs. Automated Testing
      • 规划和设计阶段 During Planning and Design
        • 架构安全评审
          • 先决条件:架构模型 优点:验证架构偏离安全标准
        • 威胁建模 Threat Modeling
          • 先决条件:业务用例或使用场景 识别威胁、及其影响以及具体到软件产品开发过程中的潜在控制措施。 STRIDE 模型
      • 应用开发阶段 During Application Development
        • Static Source Code Analysis and Manual Code Review (静态代码分析和 手动代码评审)
          • 不执行程序而分析应用源代码，查找漏洞。 先决条件:有应用源代码
        • Static Binary Code Analysis and Manual Binary Review (静态二进制代码分析和手工二进制审查)
          • 对已编译的应用进行分析来发现弱点， 并不执行应用 不精确且不提供修复建议
      • 在测试环境中可执行 Executable in a Test Environment
        • 手工或自动化渗透测试
          • 像攻击者一样发送数据并发现其行为。 优点:在部署的应用上识别大量的弱点;
        • 自动化漏洞扫描
          • 测试使用已知不安全的系统组件或配置的应用。 设定预攻击模式，分析系统指纹。 优点:检测已知漏洞
        • Fuzz Testing模糊测试
          • 优点:检测至关重要的应用程序的崩溃(例如，由缓冲区溢出引起的)
          • 发送随机数据(常常远比应用所期望的更大块)到应用输入渠道来引起应用的崩溃。
    • 用例和误用例
      • 用例 Use cases
        • 站在正常用户使用系统的角度的测试用例
      • 误用例 misuse case:
        • 来自对系统怀有恶意的人员视角的用例
      • 正向测试方法 Positive testing
        • 确定应用按照所期待的方式进行工作， 如果在正向测试中发现错误则失败
      • 负向测试 Negative testing
        • 确保应用可以妥善处理无效输入或非预期用户行为
    • 代码级别的测试 Code-based testing
      • 结构化测试 (“白盒”测试/水晶盒 测试)开箱测试
        • 结构化测试主要是放在模块级别的测试; 结构化测试级别可以用被测试的软件结构的百分比来作为指标来衡量;
        • 白盒测试检查程序的内部逻辑结构并逐行检查代码， 分析程序是否存在潜在错误。白盒测试的关键属性是 测试人员可以访问源代码。《OSG 第20章》
      • 测试用例基于从源代码、细节设计规格说明和其他开发文档中获得的知识;
      • Common structural coverage 测试覆盖率(适用于白盒)
        • 判定(分支)覆盖率 Decision(Branch) Coverage 条件覆盖率 Condition Coverage 函数覆盖率 Function Coverage 循环覆盖率 Loop Coverage 语句覆盖率 Statement Coverage
    • 软件功能测试 functional software testing
      • 功能性测试或“黑盒”测试/闭箱测试 (functional testing or blackbox testing)
        • 测试用例基于软件产品具体要做什么来定义的 测试用例的主要挑战是预期用途和程序功能以及程序的内外部接口; 功能性测试应用于任意级别的软件测试，从单元测试到系统级别的测试 黑盒测试通过提供各种输入场景并检查输出， 从用户的角度检查程序。 黑盒测试人员无权 访问内部代码。 在系统交付之前进行的最终 验收测试是黑盒测试的一个常见示例。《OSG 第20章》
      • Normal Case 普通用例
      • Output Forcing 输出要求， Robustness 鲁棒性
      • Combinations of Inputs 输入组合
      • weakness 弱点
        • 很难将结构化和功能化测试的完成标准与软件产品的可靠性链接起来
    • 灰盒测试
      • 灰盒测试结合了白盒测试和黑盒测试这两种方法，在软件验证中很流行。在这种方法中，测试人员从用户的角度检查软件，分析输入和输出。他们还可以访问源代码并使用它来帮助设计他们的测试。但是，他们在测试期间不会分析程序的内部工作原理。
    • 网站监测
      • 真实用户监控RUM
        • Web监控方法，旨在捕获或分析Web或应用上每个用户的每笔交易，又称为real-user measurement真实用户测量, real-user metrics真实用户指标 passive monitoring被动监控的方式
      • 合成交易
        • proactive monitoring 主动或预响应监控的方式
          • 包含使用外部代理(agent)运行脚本交易的方式而不是Web应用
          • 这些脚本依照典型用户体验，如用户搜索、查看产品、登录和支付等方式来评估用户体验
          • 综合监控是轻量级和低水平的代理方式， 但很Web浏览器有必要运行发生在页面上处理JavaScript, CSS, and AJAX调用
        • 并不追踪真实的用户会话
          • 在一个已知的位置以固定的时间间隔执行一组已知的步骤， 其性能是可预测的。 比RUM更适合评估站点可用性和网络问题
        • 客户端完全可控 full control over the client
          • 不像沙盒JAVA脚本方式驱动的RUM，细节的获得可以更客观
        • 提升价值
          • 了解远程站点是否可达 理解第三方服务对业务应用系统造成的性能影响 监控SaaS应用的性能和可用性 测试使用SOAP、REST或其他Web服务的 B2B Web站点 监控关键数据库的可用性 衡量服务级别协议(SLAs) 在低业务流量时段作为对真实用户监控的补偿 建立性能基线，进行性能趋势分析 7x24 系统可用性监控
    • 软件变更测试
      • 原因
        • 调试发现的问题并进行纠正; 新的或变化的需求; 发现设计的修改能更高效或有效实施
      • 目的
        • 变更已正确实施 未对其他部分造成不利影响 回归分析:确定变更的影响，基于相关文档(软件规格说明、设计规格、源代码等)的评审，也是为识别运用必要的回归测试; 回归测试:运用之前程序执行正确的测试用例，比对现有结果和以前的结果发现软件变化的非预期结果。
    • 接口测试(interface test)
      • 主要检查应用或系统开发的不同组件彼此是否同步; 从技术层面接口测试主要用于确定不同功能诸如数据在系统的不同元素中是否按照设计进行传输 用于确保软件的质量
    • 严格和完整的测试 (V字模型)
      • 验收测试
        • UAT(用户验收测试) QAT(质量保证测试)
      • System level testing 系统测试
        • 安全和隐私(例如，加密功能、安全日志报告) 性能问题(例如，响应时间、可靠性测量) 压力情况下的反应(例如，最大载荷下的表现) 内外部安全特征的操作 恢复步骤的有效性 易用性 Usability; 不同配置下的表现 文档的准确性 与其他软件的兼容性
      • Integration level testing 集成测试(测模块之间的接口)
        • 自上而下(Top-Down) 自下而上 (Bottom-Up) 三明治方法
      • Unit (module or component) level testing 单元测试
      • • 自下而上测试是一种集成测试方法，首先测试最低级别的组件，然后用于促进更高级别组件的测试。重复该过程，直到测试了层次结构顶部的组件。通过自下而上测试，可以首先测试关键模块，这种方法的主要优点是更容易发现错误。 所有底层或低级模块、程序或功能都是集成的，然后进行测试。在对下级集成模块进行集成测试后，将形成下一级模块，并可用于集成测试。只有当同一开发级别的所有或大多数模块都准备就绪时，这种方法才有帮助。这种方法还有助于确定开发的软件级别，并使以百分比形式报告测试进度变得更加容易。 目的：从顶层控制（主控模块）开始，采用同设计顺序一样的思路对被测系统进行测试，来验证系统的稳定性。 广度优先
        • 自底向上测试方法 目的：从依赖性最小的底层模块开始，按照层次结构图，逐层向上集成，验证系统的稳定性。 定义：自底向上集成是从系统层次结构图的最底层模块开始进行组装和集成测试的方式。对于某一个层次的特定模块，因为它的子模块（包括子模块的所有下属模块）已经组装并测试完成，所以不再需要桩模块。在测试过程中，如果想要从子模块得到信息可以通过直接运行子模块得到。也就是说，在集成测试的过程中只需要开发相应的驱动模块就可以了。 深度优先
    • Web应用安全测试技术
      • SAST
        • SAST(静态应用程序安全测试)是指在开发过程中执行的安全测试。 它使用程序分析技术来检查源代码，以发现可能存在安全风险的代码， 例如SQL注入漏洞，跨站脚本攻击，跨站请求伪造等攻击。 业界商业级的SAST工具误报率普遍在30%以上，误报会降低工具的实用性， 可能需要花费更多的时间来清除误报而不是修复漏洞。 SAST的误报率高是因为它在检测源代码时采用的程序分析技术具有某种局限性。 它可能报告错误的漏洞，因为它无法考虑到运行时的环境，内部状态或程序的动态输入
      • DAST
        • DAST(动态应用程序安全测试)是一种对Web应用程序进行安全测试的方法， 它用于发现和报告潜在的安全漏洞。DAST技术会模拟攻击者，从而检测Web 应用程序的安全漏洞。
      • IAST
        • IAST(交互式应用程序安全测试 Interactive Application Security Testing)是2012年 Gartner公司提出的一种应用程序安全测试方案，通过代理、VPN或者在服务端部署Agent程序， 收集、监控Web应用程序运行时函数执行、数据传输，并与扫描器端进行实时交互，高效、准确 的识别安全缺陷及漏洞，同时可准确确定漏洞所在的代码文件、行数、函数及参数。 IAST相当于是DAST和SAST结合的一种互相关联运行时安全检测技术
      • 注意与 RASP 的区别
        • RASP(运行时应用程序安全保护)是一种实时监控和保护Web应用程序的技术。 它实施在正在运行的应用程序上，可以实时监控和保护应用程序，以防止未经授权的访问，破坏和其他攻击行为。 RASP可以被认为是应用程序安全的安全防护， 它可以检测和阻止攻击者的攻击。
    • 公开测试和隐蔽测试
      • 公开测试Overt Testing： 在机构的IT人员知情并同意的情况下进行的外部和/或内部测试，从而实现对网络或系统安全状况的全面评估。 由于IT人员完全了解并参与了测试，可以实现较高的测试覆盖度，可以提供指导以最小化测试的影响； 测试还可以提供一个培训的机会，IT人员可以观察学习评估人员的评估方法和绕过现有安全措施的方法。 公开测试的成本较低，风险比隐蔽测试小，且更多的被采用。 隐蔽测试Covert Testing： 采取对抗性的方法，在机构的IT人员不知情的情况下进行测试，但得到了上层管理部门的充分了解和许可。在有或没有警告的情况下进行都可以。 目的是检查攻击者可能造成的损害或影响——它并不侧重于识别漏洞，测试覆盖度低于公开测试； 除了不能充分的识别漏洞外，由于隐蔽性要求，隐蔽测试通常很耗时，而且成本较高。为了在隐蔽环境中操作，测试团队必须控制扫描和其他行动的节奏，以规避目标机构的安全人员的“雷达”。 隐蔽测试的优势在于能更好地揭示目标机构的日常真实安全状态，主要体现在如下三个方面： 现有安全控制的效用 IT人员对感知到的安全事件的反应 员工对机构安全政策的了解和执行 隐蔽测试通常需要事先定义明确的界限，当达到一定的访问水平或显现出测试的下一步可以实现某种类型的破坏时，就停止测试。
    • 假如你想了解攻击者可能尝试对你的系统行为，并且想测试你所采取的减轻相关风险的控制措施的有效性。以下哪种方法最能让你实现这个目标？ A. Misuse case testing / 误用例测试 B. Use case testing / 用例测试 C. Real user monitoring (RUM) / 真实用户监控 D. Fuzzing / 模糊测试 A
      • 哪种技术可以帮助系统设计人员考虑其系统和应用程序的潜在安全问题？ A.源代码审查 B.人工检查和审查 C. 威胁建模 D.渗透测试 C题干中说的是设计人员，只能是威胁建模
        • 什么类型的渗透测试提供了渗透测试范围的详细信息（包括目标系统）但不提供系统或网络的配置或其他细节的完全可见性？ • A. Crystal box / 水晶盒 • B. White box / 白盒 C . Black box / 黑盒 • D. Gray box /灰盒 D
    • Synthetic transactions are best described as 以下哪项是合成交易的最佳描述？ A. Real user monitoring （RUM）/ 实时用户监控 B. Transactions that fall outside the normal purpose of a system / 超出系统正常目的的交易 C. Transactions that are synthesized from multiple users' interactions with the system /由多个用户与系统交互合成的事务 D.A way to test the behavior and performance of critical services / 一种测试关键服务行为和性能的方法 B
      • What are edit controls? 什么是编辑控制？ • A. Corrective controls / 校正型控制 • B. Detective controls / 检测型控制 • C. Preventive controls / 预防性控制 • D. Compensating controls / 补偿型控制 编辑控制的主要作用是防止输入错误，属于预防性控制。
        • Bob想要测试一个包含多个模块的软件，这些模块分为多个层级，Bob希望能够在测试这些模块的时候兼顾深度优先和广度优先，Bob最有可能使用以下哪种测试方法？ • A. 自顶向下的测试 • B. 自底向上的测试 • C. 关键路径测试 • D.三明治式测试 自上而下的测试是广度优先； 自下而上的测试是深度优先； 三明治测试法是对自下而上和自上而下的测试方法的折中。
    • 使用自动分析可以最好地检测以下哪些漏洞？ • A.多步骤进程攻击漏洞 • B. 业务逻辑缺陷漏洞 • C. 有效的跨站请求伪造（CSRF）漏洞 • D. 典型的源代码漏洞 D
  • 威胁建模
    • 威胁建模 通用步骤为： step 1、Diagram，画图了解场景。应用程序生成数据流图（DFD）将系统分解成部件，包含如下元素： 数据流（箭头线段）：通过网络连接，命名管道，RPC通道等移动的数据。 数据存储（双横线）：表示文件，数据库，注册表项以及类似项。 进程（圆形）：计算机运行的计算或程序。 交互方（方形）：系统的端点，例如人，web服务器和服务器。 信任边界（虚线）：表示可信元素与不可信元素之间的边界。 ​step 2、Identify，分析威胁。在上图中每一类部件都有对应STRIDE模型的威胁。 Spoofing（欺骗）——做好鉴权； Tampering（篡改）——保证完整性； Repudiation（抵赖）——加强可追溯； Information Disclosure（信息泄露）——加密； Denial of Service（拒绝服务）——保证可用性； Elevation of Privileges（权限提升）——加强权限控制； step 3、Mitigate，缓解威胁。在这一步输出威胁列表，对每个威胁项进行评估处理。因为威胁很多也需要根据优先级来合理投入。比较简单的直接使用ALE（年度预期损失）来评价：危险 = 发生概率 × 潜在的损失。也可以使用DREAD进行—— Damage potential，潜在损失，如果缺陷被利用，损失有多大？ Reproducibility，重现性，重复产生攻击的难度有多大？ Exploitability，发起攻击的难度有多大？ Affected users，用粗略的百分数表示，有多少用户受到影响？ Discoverability，缺陷容易发现吗？ 所有项可进行“高中低”评价，来进行输出用于决策。 step 4、Validate，验证缓解措施，当满足基线要求，可再次进行下一个迭代。包括基线水平的提高，DFD图下钻设计，以及另一个新项目的威胁建模分析等迭代。 另外有套类似风险评估的方法，需要计算每个风险的值，以区分风险级别 识别资产：确定哪些是包含敏感或隐私信息的关键资产/信息/文件/位置 创建体系结构概述：创建体系结构图以清楚地了解建议的应用程序及其托管环境 分解应用程序：分解体系结构图以识别各种进入和退出标准 识别威胁：使用STRIDE（欺骗，篡改，拒绝，信息披露，拒绝服务和特权提升）以及可能发生这些威胁的可能威胁 记录威胁：识别各种资产，威胁和控制。捕获缺少安全控制的威胁列表，并为每个威胁提供适当的修复建议 评估威胁：在与相应的客户/客户进行讨论之后，遵循DREAD（潜在损害，可重复性，可利用性，受影响的用户，可发现性）模型来对每个已识别的威胁
    • 9. 以下哪种是以风险为中心的威胁建模方法，旨在根据被保护资产的价值选择或开发对策： A. VAST B. SD3+C C. PASTA D. STRIDE 正确答案：C 攻击模拟和威胁分析过程PASTA是一种以风险为核心旨在选择或开发与要保护资产价值相关的防护措施 可视化，敏捷和简单威胁VAST是一种在可扩展的基础上将威胁和风险管理集成到敏捷编程环境中的威胁建模概念 SD3+C微软使用，设计安全、默认安全，部署和通信安全，安全开发生命周期SDL STRIDE是微软开发的一种威胁分类方案
  • 渗透测试
    • .渗透测试是一种评估办法 1、计划阶段： 计划阶段没有实际的测试发生，但是为渗透测试的成功奠定了基础，主要工作成果包括： 1）识别测试的范围和规则，确保测试团队和管理层对测试的性质达成一致； 2）获得和记录管理层的明确的授权。 2、发现阶段： 发现阶段一般又被分为两个部分， 第一部分通常被称为“发现和侦察”，收集有关目标的信息。这一部分不产生可能触发警觉的不寻常流量，一般通过OSINT或正常的访问系统功能和内容来进行，包括： 1）社交媒体，以确定目标或有用的个人细节，用于网络钓鱼。 2）公共记录，如域名系统（DNS）或公司网站的服务或位置信息，常用工具whois； 3）攻击面数据，如列举与目标的DNS记录相关的IP地址，以及关于使用中的服务的潜在细节，常用工具nslookup、dig、搜索引擎等 4）实际观察，如监测员工的行动，拍照，开车经过，或观察设施，或在垃圾箱里翻找以获得信息的硬拷贝。 第二部分是扫描和探测，目的是识别潜在目标并收集更详细的信息，这会需要向目标系统发送一些不同于普通访问的流量，这就引入了被目标组织的安全程序发现的风险。这个阶段可能使用的工具和资源常见如下： 1）网络踩点（footprinting），测试人员识别存在哪些端点以及在这些端点上运行的服务，常用工具Nmap、ping、tracerouter、telnet、war dialing等； 2）banner抓取，测试人员分析目标返回的信息，如软件名称和版本等，后续测试会用的上； 3）漏洞扫描，虽然是一种比较容易被发现的方法，但使用漏洞扫描器可以提高效率。自动化的漏洞扫描工具一般也包含了网络踩点和banner抓取的功能。 3、攻击阶段： 使用手动或自动的利用工具，证实可击败系统安全。这是渗透测试超越漏洞扫描的地方，因为漏洞扫描并不试图实际利用检测到的漏洞。 攻击阶段又可细化为4个子阶段，这4个子阶段以及发现阶段与攻击阶段之间，形成了两个反馈回路（feedback loop）。 4、报告阶段： 在测试结束后，编制报告描述所发现的漏洞，给出风险评级，并给出改进建议。 需要注意的是，报告要考虑受众！！！ 跟技术层谈细节，跟高管层谈影响、谈钱钱~~ 根据NIST SP 800-115 8.2节： Security testing results should be documented and made available to the appropriate staff, which may include the CIO, CISO, and ISSO as well as appropriate program managers or system owners. 安全测试结果应形成正式文件，并提供给适当的人员，其中可能包括CIO、CISO和ISSO以及适当的项目经理或系统所有者。 Because a report may have multiple audiences, multiple report formats may be required to ensure that all are appropriately addressed. 由于一份报告可能有多个受众，因此可能需要多种报告格式，以确保所有报告都得到适当的处理。
    • 什么是提权 提权就是通过各种办法和漏洞，提高自己在服务器中的权限，以便控制全局。 Windows：User >> System Linux：User >> Root 二、怎样进行提权（提权的方式有哪些） 1.、系统漏洞提权（Linux、Windows） 2、数据库提权 3、系统配置错误提权 4、权限继承类提权 5、第三方软件/服务提权 6、WebServer漏洞提权 横向渗透（提权）就是在已经攻击到内网里时候通过肉鸡作为跳板去获取更多的计算机权限，从而控制整个内网，包括SMB扩散、SSH扩散、RDP扩散等 纵向渗透（提权）就是在一台肉鸡里获取更高的权限，就是所谓的提权，就是从普通用户，变成特权用户
    • Pivoting跳板/枢纽/支点 实际的攻击场景通常如下，攻击者通过互联网，对远程攻击目标进行扫描，搜集可利用信息，然后锁定攻击目标（具有公网ip），穿越过攻击目标的防火墙，绕过安全软件，利用各种方法拿到攻击目标shell，最后渗透至内网其他主机，进行设防、预制木马。
    • You are a security consultant who is required to perform penetration testing on a client's network. During penetration testing, you are required to use a compromised system to attack other systems on the network to avoid network restrictions like firewalls. Which method would you use in this scenario: A. Black box Method B. Pivoting method C. White Box Method. D. Grey Box Method B
  • 确认、认可、认证、保证
    • Validation / 确认：检查软件在最终的运行环境上是否达到预期的目标。一般来说，就是调试、验收测试等，这些工作都是在真正的软件需要运行的环境上进行的，在最终环境上运行软件，确保软件符合使用要求。项目 Accreditation / 认可 Certification / 认证 Assurance / 保证：就软件而言，保证是对软件没有漏洞，并且软件以预期的方式运行的信心水平，无论是有意设计到软件中还是在其生命周期的任何时间意外插入的。以及软件按预期方式运行的信心水平。SwA—Software Assurance 软件保证 Verification ：验证检查某样东西是否符合之前已定好的标准，如：文档评审，要检查的东西是文档，检查标准就是文档的评审标准，又如：测试软件，要检查的东西就是软件，检查的标准就是软件的规格说明，包括功能说明，性能要求等。
      • 重要的系统上线前要做certification 和accreditation，Accreditation 在Certification之后，做Certification 时往往需要verify 一些东西，做Accreditation 时领导可能要validate一些事情，Assurance主要是通过审计来确保控制的有效性
    • 什么术语用来描述软件没有漏洞的信心水平，无论是有意设计到软件中还是在其生命周期的任何时间意外插入，并且软件以预期的方式运行？ A. Validation / 确认 B. Accreditation / 认可 C. Certification / 认证 D. Assurance / 保证 D
      • . 下面哪个选项可以决定项目交付产品满足项目目标 A.证明（verification） B. 精确性 （accuracy） C. #Xl (concurrence) D. 验证（validation） D 为了执行测试和评估以验证系统的安全级别，确认系统负荷、系统设计规范和安全需求，应采取如下哪个活动？ A.评估（assessment） B. 确认（validation） C. 精确性（accuracy） D. 证明 (verification) 答案D
    • .以下哪个测试和评估活动是验证系统的安全级别，以确认系统符合设计规范和安全需求？ •A.鉴证（assurance） • B. 确认 (validation) • C. 精确性（accuracy） • D. 验证 (verification) 下面哪个选项可以决定项目交付产品满足项目目标？ • A. 验证 （verification） • B. 确认 （validation） • C. 鉴证（assurance） • D. 精确性 （accuracy） 确认（validation）确认项目目标是否满足， 验证（verfication）验证是否符合设计规范/规格说明书。
      • 什么概念描述了一个组织对其控制满足安全要求的信心程度？ А. 确认 / Validation B. 认证 / Certification C. 验证 / Verification D. 鉴证 / Assurance D 鉴证是指一个组织对其安全控制措施得到正确实施的信心程度。必须不断地对其进行监测和验证。 What term is used to describe the level of confidence that software is free from vulnerabil- ities, either intentionally designed into the software or accidentally inserted at any time dur-ing its lifecycle, and that the software functions in the intended manner? 什么术语用来描述软件没有漏洞的信心水平，无论是有意设计到软件中还是在其生命周期的任何时间意外插入，并且软件以预期的方式运行？ • A. Validation / 确认 • B. Accreditation / 认可 C. Certification / 认证 • D. Assurance/ 保证 Assurance, when it comes to software, is the level of confidence that software is free from vulnerabilities, either intentionally designed into the software or accidentally inserted at any time during its lifecycle, and that the software functions in the intended manner. It is a term typically used in military and defense environments. 就软件而言，保证是对软件没有漏洞，并且软件以预期的方式运行的信心水平，无论是有意设计到软件中还是在其生命周期的任何时间意外插入的。 SWA—Software Assurance 软件保证
  • 道德
    • 道德规范准则： 保护社会、共同利益、必要的公众信任和信心以及基础设施。 （任何人） 行事诚实、公正、负责、合法。 （任何人） 为委托人提供勤勉、称职的服务。 （委托人，合同甲方可以） 促进并保护该职业。 （持有证书的职业人员可以）
    • 首席信息安全官(CISO)要求负责身份和访问管理(IAM)的系统安全专业人员(CISSP)对 Web 应用程序执行漏洞评估，以通过支付卡行业(PCI)审核。该CISSP以前从未这样做过。根据ISC2职业道德规范，该CISSP应该做以下哪项? A. 通知 CISO 他们无法执行任务，因为他们应该只提供他们完全胜任和合格的服务 B.由于他们通过了 CISSP 认证，因此他们有足够的知识来协助处理请求，但需要帮助才能及时完成请求 C. 在继续完成漏洞评估之前，查看执行漏洞评估的 CISSP 指南 D. 在执行漏洞评估之前查看 PCI 要求 A
      • 在解决道德冲突时，信息安全专业人员必须考虑许多因素。应按什么顺序确定考虑因素的优先级? A. 公共安全、对个人的责任、对职业的责任和对委托人的责任 B. 公共安全、对委托人的责任、对职业的责任以及对个人的责任 C. 公共安全、对委托人的责任、对个人的责任和对职业的责任 D. 公共安全、对职业的责任、对委托人的责任和对个人的责任 C
  • 编辑控制 (预防性控制)
    • 检查输入的精确性；字符检查；范围检查；关系检查；合理性检查；交易限制
    • 什么是编辑控制？ A. Corrective controls / 校正型控制 B. Detective controls / 检测型控制 C. Preventive controls / 预防性控制 D. Compensating controls / 补偿型控制 C
  • ISMS 信息安全管理体系
    • （ISMS）是一个管理体系，它以一个组织的信息系统为目标，以风险评估为基础，通过风险评估，识别组织的安全风险，再通过制定一整套的ISMS文件，并按照PDCA模型，经历建立ISMS、实施和运行ISMS、监视和评审ISMS、保持和改进ISMS等四个循环过程，来实施ISMS。 风险评估是ISMS建设的出发点，也是ISMS实施过程的重要过程。 对一个组织来讲，ISMS是一个循环往复不断改进与提高完善的过程，风险评估只是ISMS建立过程中的一个重要步骤，但风险评估也可以自成体系，作为ISMS过程的一个部分独立存在。 ISMS与等级保护的共同之处：最终目标是一致的，都是为了有效保障组织的信息安全 都充分体现了信息安全应重视管理的思想，只有做好安全管理工作，安全技术才能充分发挥作用。 既然二者的联系主要体现在管理方面，那么二者的融合应该着重体现在等级保护中安全管理的部分与ISMS的融合。 计划（Plan）——根据风险评估结果、法律法规要求、组织业务运作自身需要来确定控制目标与控制措施； 实施（Do）——实施所选的安全控制措施； 检查（Check）——依据策略、程序、标准和法律法规，对安全措施的实施情况进行符合性检查。 改进（Action）——根据ISMS审核、管理评审的结果及其他相关信息，采取纠正和预防措施，实现ISMS的持继改进。 PDCA过程模式 策划： 依照组织整个方针和目标，建立与控制风险、提高信息安全有关的安全方针、目标、指标、过程和程序。 实施： 实施和运作方针（过程和程序）。 检查： 依据方针、目标和实际经验测量，评估过程业绩，并向决策者报告结果。 措施： 采取纠正和预防措施进一步提高过程业绩。
    • 以下哪一项是开发信息安全管理体系时的首要考虑因素？ A. 确定相关的立法和监管合规要求 B. 了解信息资产的价值 C. 确定管理层可以容忍的残余风险水平 D. 确定适用于组织的合同安全义务 C
      • .在组织信息安全管理系统（ISMS）的内部审核期间，将识别不符合项。在以下哪个管理阶段，组织审查和纠正不符合项？ A.Assessment /评估 B. Planning / 规划 C. Improvement/改进 D. Operation /运行 C
    • the preliminary steps to security planning include all of the following EXCEPT which of the following? 进行安全规划的主要步骤包括以下除哪一项 A.Determine alternate courses of action确定备选的行动方案 B Establish a security audit function.创建一个安全审计功能 C.Establish objectives.创建具体目标 D.List planning assumptions.列出规划假设 B
  • 信息安全持续监测ISCM
    • 实施信息安全持续监测(ISCM)就是为了保持对信息安全状态、漏洞（脆弱性）和威胁的持续了解，以支持机构风险管理决策。 持续监测是风险管理的重要组成部分，在信息安全管理体系的PDCA循环中属于“C”--check，建立、实施和维护ISCM的步骤如下（依据NIST SP 800-137）： 第一步：定义ISCM战略 基于风险承受能力定义ISCM战略，保持对资产、脆弱性意识、最新威胁信息和任务/业务影响的清晰可见性。 第二步：建立ISCM计划 确定度量指标、状态监测频率、控制评估频率和ISCM技术架构。 第三步：实施ISCM计划 收集度量、评估和报告所需的安全相关信息。尽可能自动收集、分析和报告数据。 第四步：分析和报告发现 分析收集的数据并报告结果，确定适当的应对措施。可能有必要收集额外的信息来澄清或补充现有的监测数据。 第五步：响应发现 从技术、管理和操作等方面采取行动来响应调查结果，包括缓解、规避、转移/分担、或接受。 第六步：评审和更新ISCM战略和计划 审查和更新监测计划，调整ISCM战略并完善测量能力，以提高资产的可见性和对漏洞的认识，进一步实现对组织信息基础架构安全性的数据驱动控制，并提高机构的韧性。
    • 开发信息安全持续监控 (ISCM) 计划 (program) 的第一步是什么? A. 收集指标、评估和报告所需的安全相关信息。 B. 建立 ISCM 计划，确定指标、状态监控频率和控制评估频率。 C. 根据风险承受能力定义ISCM策略。 D. 建立 ISCM 技术架构。 C 注意题中说的是program，不是plan
      • 在以下哪个计划中，收集安全流程数据最为重要？ A Quarterly access reviews季度访问（权）审查 B Security continuous monitoring安全持续监控 C Business continuity testing业务连续性测试 D Annual security training年度安全培训 B
        • 以下哪一项会导致对组织安全策略的立即审查和可能的更改？ A Change in technology 技术的变化 B Change in senior management 高级管理层的变动 C Change to organization processes 组织流程的变更 D Change to organization goals 组织目标的变更 D
  • BAS
    • 破坏和攻击模拟(BAS)平台寻求自动化渗透测试的某些方面。这些系统旨在将威胁指标注入系统和网络，以触发其他安全控制。 例如，BAS平台可能会在服务器上放置一个可疑文件，通过网络发送信标数据包，或探测系统中的已知漏洞。在一个运行良好的安全程序中，检测和预防控制会立即检测到这些流量进行报警或阻止。BAS平台实际上并没有发动攻击，但它正在对这些安全控制进行自动测试以识别可能需要更新或增强的控制。 BAS（Breach and Attack Simulation入侵和攻击模拟）系统是将红队（攻击）和蓝队（防御）技术相结合的自动化的系统，用于针对你的环境模拟高级持久威胁和其他高级威胁参与者。这允许在一个环境中复制和评估各种威胁，而不需要像一个人员配备齐全的紫队purple team那样的开销。
    • Alice作为白帽子团队的成员，正在参与一次渗透测试，她希望借助自动化的工具能够更高效地探测系统中的已知漏洞并识别可能需要改进的控制。Alice最有可能使用下列哪一项来达成目标？ A. RASP B. MDR C. SOAR D. BAS
      • Yasmine has been asked to consider a breach and attack simulation system. What type of system should she look for? Yasmine被要求考虑一个入侵和攻击模拟系统。她应该寻找什么类型的系统？ A) A ticket and change management system designed to help manage incidents 旨在帮助管理事故的票证和变更管理系统 B) A system that runs incident response simulations for blue teams to test their skills 为蓝队运行事故响应模拟以测试其技能的系统 C) A system that combines red and blue team techniques with automation 将红队和蓝队技术相结合的自动化的系统 D) A security operations and response (SOAR) system 安全操作和响应系统
  • WIFI
    • 无线网络
      • 各种标准
        • 802.11 a 最高达 54Mbps速率 5GHz 频率范围 802.11 b 最高达11Mbps的速率 2.4GHz 802.11 g 20--54Mbps 2.4GHz 频段 兼容802.11b 802.11 n QoS 802.11 ac‌：这是802.11n的继承者，工作在5GHz频段，理论上能够提供最少1Gbps的带宽进行多站式无线局域网通信，或最少500Mbps的单一连接传输带宽。 802.11.ax 2.4G 5G 9.6G速率 802.11 i 采用标准AES高级加密标准(WPA2)
      • 无线安全
        • WEP
          • 采用RC4加密(不安全的) IV 初始向量 size 24bit ,容易攻破
        • WPA
          • TKIP(TKIP:Temporal Key Integrity Protocol负 责处理无线安全问题的加密部分。 以解决WEP保护的网络中遇到的安全问题)。IV 128bit, 比WEP更安全
        • WAP2-802.11i
          • CCMP替代TKIP 比WPA更安全
        • WAP3
          • Wi-Fi Protected Access 3 (WPA3) 于 2018 年 1 月定稿。 WPA3-ENT 使用 192 位 AES CCMP 加密，WPA3-PER 仍为 128 位 AES CCMP。 WPA3-PER 将预共享密钥身份验证（PSK）替换为同步对等身份验证(Simultaneous Authentication of Equals) (SAE)。 一些 802.11ac/Wi-Fi 5 设备率先支持或采用 WPA3。 SAE 仍然使用密码，但它不再加密并通过连接发送该密码以执行身份验证。 相反，SAE 执行称为 Dragonfly Key Exchange 的零知识证明过程，它本身 是 Diffie–Hellman 的衍生物。 该过程使用预设密码以及客户端和 AP 的 MAC 地址来执行身份验证和会话密钥交换。 WPA3 还实现了 IEEE 802.11w-2009 管理帧保护，因此大多数网络管理操作都具有机密性、完整性、来源身份验证和重放保护。
        • 802.1x/EAP
          • IEEE 802.1X是IEEE制定的关于用户接入网络的验证标准。 802.1X协议在用户/设备接入网络 (可以是LAN，也可以是WLAN)之前进行验证， 运行于网络中的MAC层。
          • 由三部分组成:请求者(无线设备)、身份验证者 (AP)、身份验证服务器(RADIUS) 同身份验证架构和一个动态分发加密密钥的方法 使用EAP验证
        • LEAP
          • 私有
        • PEAP
        • EAP-TLS
          • 证书
    • 无线攻击 战争驾驶(war driving) 使用检测工具寻找无线网络信号的行为，如手持式探测器，带WiFi功能的移动设备。 战争粉笔(war chalking),通常用于向他人透露无线网络的存在，以便共享已发现的WAP。 重放攻击通过保持基站固件更新及NIDS,W-NIDS可以监测告警。 IV IV用来降低可预测性和可重复性。IV 攻击的一个例子是破解WEP加密。 恶意接入点流氓WAP将其配置为有效的SSID、MAC地址和无线信息并以更高的额定功率运行，会导致用户无意中选择 其进行连接。 邪恶双胞胎黑客操作虚假接入点，该接入点将根据客户端设备的连接请求自动克隆接入点的身份。(原理：每次设备成功连接到 WAP时，都会保留WAP配置文件。)
    • Angela需要在以下安全身份验证协议之间进行选择，并且希望避免不必要的技术复杂性。她应该选择哪种身份验证协议，为什么？ A. EAP，因为它默认提供强加密 B. LEAP，因为它提供了WEP密钥的频繁重新认证和更改 C.PEAP，因为它提供了加密，并且没有像LEAP那样的漏洞 D EAP-TLS, 因为它结合TLS默认提供强加密
  • ISO各种体系
    • ISO/IEC 27001-—信息安全管理体系标准 ISO/IEC 27031-—ICT 业务连续性管理指南 ISO/IEC 27035——信息安全事件管理指南 ISO/IEC 27018 ——公有云中个人可识别信息保护管理体系认证 ISO/IEC 27701—隐私信息管理体系认证
    • 一家银行打算建立隐私信息管理体系（PIMS）以保护客户的个人数据，主要参照哪一个标准？ A. ISO/IEC 27031 B.ISO/IEC 27035 C.ISO/IEC 27001 D. ISO/IEC 27701
  • 零信任
    • 微分段（主要解决东西向的安全） 微分段用于通过定义系统和服务之间的边界来在逻辑上分离系统和服务。这通常是零信任体系结构的一部分，包括使用按需访问服务。融合协议在另一个协议上实现其他协议，如以太网上的iSCSl或InfiniBand。物理分段使用单独的物理设备和基础设施来提供分段。边缘网络使计算和存储离最终用户更近。 微隔离 ‌微隔离是一种网络安全技术，其核心原理是通过将一个无结构无边界的网络分成多个逻辑上隔离的微小网段，每个网段上只包含一个计算资源。所有需要进出这些微网段的流量都必须通过‌访问控制设备，从而实现东西向防护的效果。‌ 微隔离的实现方式包括： ‌虚拟化技术：使用‌容器、‌虚拟机等技术将应用程序隔离在独立的虚拟环境中运行，防止‌恶意软件或攻击从一个应用程序传播到其他应用程序。 ‌应用程序隔离：将不同的应用程序隔离在独立的进程或线程中，避免不同应用程序之间的交互，保证应用程序的安全性。 网络隔离：将应用程序所在的网络隔离在独立的网络中，避免应用程序受到网络攻击和威胁。 ‌访问控制：限制应用程序对系统资源的访问权限，避免应用程序对系统资源的滥用和损坏。 ‌安全监测：对隔离的应用程序进行实时监测和检测，及时发现和处理安全漏洞和威胁。 微隔离技术的目的是让网络安全更具粒度化，通过创建相互隔离的区域，将工作负载彼此隔离并单独保护，目的是减少黑客从一个工作负载区或应用进入另一个的风险，从而降低网络攻击界面。‌
      • 软件定义边界SDP（主要解决南北向的安全） 软件定义的边界（SDP Software Defined Perimeter），也被Gartner称作零信任网络访问（ZTNA）。是2007年提出的，由云安全联盟（CSA）开发的一种安全框架，它根据身份控制对资源的访问。该框架基于美国国防部的“need to know”模型——每个终端在连接服务器前必须进行验证，确保每台设备都是被允许接入的。其核心思想是通过SDP架构隐藏核心网络资产与设施，使之不直接暴露在互联网下，使得网络资产与设施免受外来安全威胁。 在SDP架构中，服务器没有对外暴露的DNS或者IP地址，只有通过授权的SDP客户端才能使用专有的协议进行连接。 SDP初衷是面向所有用户，而不仅仅是远程用户 访问网络之前，先进行身份和授权。 所有的服务器隐藏在远程访问网关设备后。 用户必须完成身份认证，才能被授予服务的可见权限并开放访问通道。并进行通道加密。 最小授权原则 SDP架构 SDP 的体系结构由两部分组成：SDP 主机和 SDP 控制器。SDP 主机可以发起连接或接受连接。这些操作通过安全控制通道与 SDP 控制器交互来管理。 因此，在 SDP 中，控制平面与数据平面分离以实现完全可扩展的系统。 SDP控制器：SDP 控制器确定哪些 SDP 主机可以相互通信。SDP 控制器可以将信息中继到外部认证服务，例 如认证，地理位置和/或身份服务器。 SDP 连接发起主机（Initiating Host）：SDP 连接发起主机（IH）与 SDP控制器通信以请求它们可以连接的 SDP 连接接受方（AH）列表。在提供任何信息之前，控制器可以从 SDP 连接发起主机请求诸如硬件或软件清单之类的信息。 SDP 连接接受主机（Accpeting Host）：默认情况下，SDP连接接受主机（AH）拒绝来自SDP控制器以外的所有主机的所有通信。 只有在控制器指示后，SDP 连接接受主机才接受来自 SDP 连接发起主机的连接。 SDP工作流 一个或多个SDP 控制器服务上线并连接至适当的可选认证和授权服务（例如，PKI 颁发证书 认证服务、设备验证、地理定位、SAML、OpenID、Oauth、LDAP、Kerberos、多因子身份验证等服务）; 一个或多个 SDP 连接接受主机（AH）上线，这些主机连接到控制器并由其进行身份验证。 但是，他们不会应答来自任何其他主机的通信，也不会响应非预分配的请求; 每个上线的 SDP 连接发起主机（IH）都与 SDP 控制器连接并进行身份验证; 在验证 SDP 连接发起主机（IH）之后，SDP 控制器确定可授权给 SDP 连接发起主机（IH）与之通信的 SDP 连接接受主机（AH）列表; SDP 控制器通知 SDP 连接接受主机（AH）接受来自 SDP 连接发起主机（IH）的通信以及加 密通信所需的所有可选安全策略; SDP 控制器向 SDP 连接发起主机（IH）发送可接受连接的 SDP 连接接主机（AH）列表以及可选安全策略; SDP 连接发起主机（IH）向每个可接受连接的 SDP 连接接受主机（AH）发起单包授权，并创建与这些 SDP 连接接受主机（AH）的双向 TLS 连接; SDP部署模式 客户端—网关模型 在客户端—网关的实施模型中，一个或多个服务器在 SDP 连接接受主机（AH）后面受到保护， 这样，SDP 连接接受主机（AH）就充当客户端和受保护服务器之间的网关。此实施模型可以在企业网络内执行，以减轻常见的横向移动攻击，如服务器扫描、操作系统和应用程序漏洞攻击、中间人攻击、传递散列和许多其他攻击。或者，它可以在 Internet 上实施，将受保护的服务器与未经 授权的用户隔离开来，并减轻诸如拒绝服务（DoS）、SQL 注入、操作系统和应用程序漏洞攻击、 中间人攻击、跨站点脚本（XSS）、跨站点请求伪造（CSRF）等攻击。 客户端—服务器模型 客户机到服务器的实施在功能和优势上与上面讨论的客户机到网关的实施相似。然而，在这种情况下，受保护的服务器将运行可接受连接主机（AH）的软件，而不是位于运行该软件的服务器前面的网关。客户机到网关实施和客户机到服务器实施之间的选择通常基于受保护的服务器数量、负载平衡方法、服务器的弹性以及其他类似的拓扑因素。 服务器—服务器模型 在服务器到服务器的实施模型中，可以保护提供代表性状态传输（REST）服务、简单对象访问协议（SOAP）服务、远程过程调用（RPC）或 Internet 上任何类型的应用程序编程接口（API） 的服务器，使其免受网络上所有未经授权的主机的攻击。例如，对于 REST 服务，启动 REST 调用的服务器将是 SDP 连接发起主机（IH），提供 REST 服务的服务器将是可以接受连接的主机（AH）。为这个用例实施一个软件定义边界可以显著地减少这些服务的负载，并减轻许多类似于上面提到 的攻击。这个概念可以用于任何服务器到服务器的通信。 客户端—服务器—客户端模型 客户端到服务器到客户端的实施在两个客户端之间产生对等关系，可以用于IP电话、聊天和视频会议等应用程序。在这些情况下，软件定义边界会混淆连接客户端的 IP 地址。作为一个微小的变化，如果用户也希望隐藏应用服务器，那么用户可以有一个客户端到客户端的配置。
    • Chris希望在个人服务和工作负载级别上实现数据中心的安全控制。他计划使用防火墙规则和其他控制以及按需访问服务作为其安全设计的一部分。他执行的是什么设计理念？ A) Converged protocols 聚合协议 B Physical segmentatio 物理分割 C Edge network-based design 基于边缘网络的设计 D. Micro-segmentation 微分段
      • 以下哪种技术可以阻止来自内部的横向攻击。通过服务器间的访问控制，阻断勒索病毒在内部网络中的蔓延，降低黑客的攻击面。 A. 软件定义边界SDP（Software Defined Perimeter） B. POC概念验证 (Proof of concept) C. 微隔离 （Micro Segmentation） D. 黑洞路由 (Black core routing)
  • SSH
    • SSH的主要功能：安全远程登录，加密传输，身份验证，端口转发，隧道建立。 工作原理 SSH的工作原理涉及三个关键步骤：建立连接、认证和传输数据。 建立连接：客户端首先发起TCP连接请求到服务器端的SSH端口（默认为22）。双方协商选择加密算法、压缩算法及密钥交换算法。 密钥交换：通过非对称加密算法（如RSA、DSA或ECDH），双方生成会话密钥并交换公钥，确保后续通信的加密密钥只有通信双方知道。 认证：客户端向服务器提供身份验证信息，可能是密码或者公钥。服务器验证后允许或拒绝连接。 传输数据：一旦认证成功，就建立起一个加密的通道，之后的所有通信都在这个加密通道中进行，保证了数据的保密性和完整性。
    • 以下哪一项是安全外壳（SSH）的优势？ It operates at the network layer 它在网络层运行 It encrypts transmitted User ID and passwords 它加密传输的用户ID和口令 It uses challenge-response to authenticate each party 它使用挑战-响应来认证每一方 It uses the International Data Encryption Algorithm (IDEA) for data privacy 它使用国际数据加密算法（IDEA）来保护数据隐私 运行在应用层
  • 认证、验证
    • 验证 1:1 是针对单个声称的身份来验证身份。回答的问题是“这个人就是他自称的那个人吗？” 一个例子是，如果 Bob 提供了他的身份和凭证，则将此信息与保存在身份验证数据库中的数据进行比较。如果它们匹配，我们就知道他真的是 Bob。 如果标识是 1:N（许多），则将单个标识的测量值与多个标识进行比较。回答的问题是，“这个人是谁？” 一个例子是，如果在犯罪现场发现指纹，警察将通过他们的数据库运行指纹以识别嫌疑人。
      • 时间戳的主要功能是确保电子文件的真实性、‌保证电子签名的有效性、‌以及保证电子数据的完整性。‌ 时间戳通过提供一个准确的时间证明，‌为任何电子文件提供了一种验证其真实性和完整性的手段。‌它能够检验文件或交易的内容自加上时间戳后是否曾被人修改过，‌从而确保电子文件的客观性和真实性。‌此外，‌如果文件附有电子签名，‌时间戳服务不仅能验证电子签名的身份，‌还具备准确的签名时间，‌确保电子签名的有效性。‌通过固化电子数据的内容和生成的时间点，‌可信时间戳防止电子数据的内容和签署时间被伪造或篡改，‌有效解决电子数据完整性的问题。‌ 时间戳的应用场景广泛，‌包括但不限于记录日志、‌时间戳签名、‌防重放攻击等，‌尤其在区块链技术中，‌时间戳被广泛应用以确保交易的顺序和完整性。‌此外，‌在法律和档案管理领域，‌可信时间戳作为电子凭证，‌用于证明电子数据文件自申请后的内容保持完整、‌未被更改，‌起到了电子档案和档案数字化副本内容防篡改、‌保障档案的法律凭证的作用
    • 生物识别技术中，使用“一对一”搜索来验证个人身份被认为是 ？ A. Auditing 审计 B. Authentication 验证 C. Authorization 授权 D. Identification 识别
      • 下列哪一项是Kerberos提供的主要服务？ A. non-repudiation 不可抵赖性 B. Authorization 授权 C. Authentication 验证 D. Confidentiality 保密
        • Kerberos 解决了下面哪些问题？ A. confidentiality and integrity 保密性和完整性 B. auditability and integrity 可审计性和完整性 C. authentication and availability 身份验证和可用性 D. validation and integrity 确认和完整性
  • 智能卡
    • 智能卡利用自身的硬件资源可以在卡内生成公钥私钥对，私钥可以永不离开智能卡硬件，任何人包括合法用户都不能读出私钥，比起用户私钥保存在易受黑客攻击的个人电脑或磁盘中的安全性大大提高。智能卡密钥文件的属性是不可读性。物理上是通过智能卡中的抗篡改存贮器来实现，即任何操作都不会造成密钥泄漏。当遭遇非法操作时，密钥会被硬件清除。
    • 智能卡主要由硬件和软件两部分组成。‌ 硬件部分包括：‌ 基片：‌多为PVC材质，‌也有塑料或纸制。‌ 接触面：‌金属材质，‌一般为铜制薄片，‌集成电路的输入输出端连接到大的接触面上，‌有助于读写器的操作，‌触点数量有8个（‌C1-C8）‌，‌其中C4和C8设计为将来保留用。‌ 集成芯片：‌通常非常薄，‌直径大约1/4厘米，‌成圆形或方形，‌内部包含CPU、‌RAM、‌ROM、‌EPROM等。‌ 软件部分包括：‌ 卡内操作系统（‌COS）‌：‌用于响应外界设备对卡片发送的指令，‌如验证计算、‌读写数据、‌读卡号、‌写入密钥、‌锁定数据区、‌非法操作自动销毁卡片的相关设置、‌验证读卡器权限等操作。‌ 存储的数据：‌包括验证读卡器权限用的算法、‌被验证的密钥、‌卡号、‌数据区等。‌
    • 智能卡在PKI的主要作用是什么？ A. Fast hardware encryption of the raw data 对原始数据进行快速的硬件加密 B. Tamper resistant, mobile storage and application of private keys of the users 防篡改，移动存储及用户私钥的应用 C. Transparent renewal of user keys 透明更新用户密钥 D. Easily exchange certificates between the users 用户间轻松交换证书 B
      • 存储卡与智能卡的主要区别是？ A.Memory cards normally hold more memory than smart cards 存储卡储存空间比智能卡要大 B. Smart cards provide a two-factor authentication whereas memory cards don't 智能卡有双因素认证，存储卡没有 C. Memory cards have no processing power 存储卡没有处理能力 D. Only smart cards can be used for ATM cards ATM卡只能使用智能卡 C
  • 访问控制类型
    • RBAC又被称为非自主访问控制。 Non-Discretionary Access Control（role-based access control (RBAC)） 这种安全控制模型是由一个单一的授权控制机构，根据用户所属的组或者在公司中的职责来确定对资源的访问许可，因此非常适合人员流动性大的公司。资源的访问许可是基于职责或者角色Role的，每个角色确定了本角色所需要的访问许可。 RBAC的特点是指派角色，根据角色来分配访问权限。 DAC不是中央授权，RBAC和MAC都是中央授权。 DAC的特点是由数据所有者决定访问权限。 MAC的特点是安全标签（敏感标签），主体赋予安全许可，客体赋予安全级别。
    • 访问控制矩阵是一个由主体和客体组成的表， 这个表指示了每个主体可以对每个客体执行的动作或功能。 访问控制列表，就是只有一列的访问控制矩阵。例如，针对一个文件X的，然后表里有所有用户对X的访问权限。注意：此时表里只有关于X的访问权限，如果要查文件Y的相关权限，就不应该查这个表了。 能力表，就是只有一行的访问控制矩阵。例如，就是针对主体-用户Bob的，表里列出了Bob拥有的对所有客体的权限。注意这里没法查其他用户Tom的任何权限，你得到其他表去查了。
    • 各种安全模型
      • 一、使用安全设计原则实施和管理工程过程 1、客体和主体 主体：发出访问资源请求的用户或进程 客体：用户或进程想要访问的资源 2、封闭系统和开放系统 封闭系统：windows 开放系统：linux 3、用于确保保密性、完整性和可用性的技术 confinement限制：沙箱，软件设计使用“进程限制”来约束程序的行为。 bound界限：用户态、内核态，在系统上运行的每个进程都有授权级别。 isolation隔离：进程隔离可确保隔离状态进程的任何行为仅影响与其关联的内存资源。 4、控制 为确保系统的安全性，主体只允许访问经过授权的客体。 MAC 强制访问控制：是否许可一个访问，由主体和客体的静态属性来决定。每个主体都拥有属性，用来定义其访问资源的授权。每个客体拥有属性，用来定义其分类。 DAC 自主访问控制：允许主体根据需要定义要访问的客体列表，可以允许主体添加对客体的访问规则。 5、信任和保证 可信系统：所有保护机制协同工作的系统，为许多类型的用户处理敏感数据，同时维护稳定和安全的计算环境。 保证：为了满足安全需求的可信程度，保证需要持续性的维护、更新和重新验证。 二、理解安全模型的基本概念 1、可信计算基 是一种系统架构，可信不等于安全 可信计算基（TCB）：系统内提供某类安全并实施系统安全策略的所有硬件、软件和固件的组合。 安全边界：一种假想的边界，划分可信与不可信的边界 引用监控器：一个访问控制概念 安全内核：由位于TCB内的硬件、软件和固件组件构成，并且实现和实施引用监控器概念。足够小，减少攻击面 引用监视器概念是一个抽象机，它确保所有主体在访问客体之前拥有必要的访问权限。因此，引用监视器是主体对客体进行所有访问的中介。必须满足隔离、完整性和可验证性。 安全内核是实际实施引用监视器概念的机制。安全核心必须隔离实施引用监视器概念的进程，必须不会被篡改，必须针对每次访问企图进行调用，而且必须小到足以能正确地进行测试。 安全域：在可信域内共享单一的安全策略和单一的管理。保护域：用于保护程序免于所有未经授权的修改或外部干扰。 2、状态机模型 状态机模型描述一个系统，它无论处于什么状态总是安全的 有限状态机FSM，FSM将外部输入和内部机器状态相结合，为各种复杂系统建模，包括解析器、解码器、解释器 给定一个输入和一个状态，FSM会转换到另一个状态并可能产生一个输出 如果一个状态的所有方面都符合安全策略的要求，那么该状态就是安全的 安全状态机模型始终引导进入安全状态，在所有转换中保持安全状态，并允许主体仅以符合安全策略的方式访问资源 3、信息流模型 信息流模型是一种状态机模型 Bell-Lapadula和Biba模型都是信息流模型 Bell-Lapadula模型关注的是防止信息从高流向低 Biba模型关注的是防止信息从低流向高 信息流模型旨在防止未经授权、不安全或受限的信息流，通常在不同的安全级别之间。信息流模型允许所有已授权信息流，无论是在相同的分类级别内，还是分类级别之间 4、非干扰模型 非干扰模型大致基于信息流模型 非干扰模型并非关注信息流，而是关注较高安全级别的主体的动作，如何影响系统状态或较低级别的主体的动作 非干扰模型关注的是防止处在高安全分类水平的主体行为，影响处于低安全分类水平的系统状态 级联：一个系统的输入来自另一个系统的输出 反馈：系统A首先为系统B提供输入，然后系统B向系统A提供输入 连接：一个系统将输入发送给另一个系统，但也将系统输入发送到其他外部实体 5、Take-Grant模型 Take-Grant（获取-授予）模型使用有向图来规定如何将权限从一个主体传递到另一个主体 具有“授予”权限的主体可将他们拥有的任何权限授予另一个主体或客体 具有“获取”权限的主体可从另一个主体获取权限 Take-Grant模型的关键是使用这些规则可以让你了解系统中的权限何时可能更改或泄露的位置 6、访问控制矩阵 访问控制矩阵是主体和客体的列表，指示每个主体对客体执行的动作或功能 矩阵的每一列是ACL访问控制列表（与客体绑定），每一行是能力列表（与主体关联） 要删除一列ACL访问控制列表，需要对每个主体的访问权限进行更改 系统使用访问控制矩阵来快速确定主体对客体的请求是否被授权 7、Bell-LaPadula模型 Bell-Lapadula模型建立在状态机概念和信息流模型之上，还采用了强制访问控制和格子概念 格子层级是组织安全策略使用的分类级别 状态机支持多个状态，可明确在任何两个状态之间转换 Bell-Lapadula模型可防止机密信息泄露，或转移到较低的安全许可级别 Bell-Lapadula模型专注于维护客体的保密性 简单安全属性：规定主体不能读取较高级别的客体（不准上读） *安全属性：规定主体不能将信息写入较低级别的客体（不准下写） 自由安全属性：规定系统使用访问矩阵执行自主访问控制-只能访问相同等级客体 8、Biba模型 Biba模型解决的是完整性问题 Biba模型也建立在状态机概念上，基于信息流，是一个多级别模型 Biba模型和Bell-Lapadula模型方向相反 简单完整性属性：规定主体不能读取较低级别的客体（不准下毒） 完整性属性：规定主体不能修改更高级别的客体（不准上写，怕写脏了） 解决了完整性，但是没有解决保密性和可用性，不能阻止隐蔽隧道 9、Clark-Wilson模型 和Biba模型一样，解决完整性问题，为商业设计的模型 Clark-Wilson模型使用安全标签授予客体的访问权限，但仅限于通过转换过程和受限制的接口模型，受限制的接口模型使用基于分类的限制来提供特定主体的授权信息和功能 Clark-Wilson模型不需要使用格子结构，它使用被称为三元组的主体、程序、客体 主体无法直接访问客体，客体只能通过程序访问 标准格式的事务采用程序的形式，这有效的限制了主体的能力，俗称约束接口 受约束数据项CDI：是完整性受到安全模型保护的任何数据项 无约束数据项UDI：是不受安全模型控制的任何数据项（输入、输出、未验证的数据） 完整性验证过程IVP：是扫描数据项并确认其完整性的过程 转换过程TP：是唯一允许修改CDI的过程 良构事务(well-formed transactions)：流程运作的顺序非常重要。如：接受员在没有接受到与订单相符的货物之前是不能签署送货单的（因为这样就等于允许供货方随便把他们想卖出去的任何货物卖给收货方），而会计人员在收到一份与实际收到货物相匹配的订单和送货单之前，也不能够开支票（因为如果我们没有订购某种货物，或者没有收到我们订购的货物，就不应该付款给供货方 ）。而且，在大多数实例中，订单和送货单都需要某个被授权的人员来签订。委任专人按顺序准确执行以上步骤，就构成了一个良构事务。Clark-Wilson策略的目标是使内部数据与其外部（用户）期望保持一致。Clark和Wilson用受约束数据项（constrained data item）来表达他们的策略，受约束数据项由转变程序（transformation procedure）进行处理。转变程序就像一个监控器，对特定种类的数据项执行特定的操作；只有转变程序才能对这些数据项进行操作。转变程序通过确认这些操作已经执行来维持数据项的完成性。Clark和Wilson将这个策略定义为访问三元组(access triple):<userID,TPi,{CDIj,CDIk,...}>，通过他将转变程序、一个或多个受约束数据项以及用户识别结合起来，其中用户是指已经被授权且事务程序的方式操作数据项的人。 在Clark-Wilson安全模型中，数据完整性是通过良构事务来保证的。良构事务是一种特殊的事务，它具有特定的限制和约束，可以保证数据的完整性和一致性。在Clark-Wilson安全模型中，良构事务是通过职责分离的思想设计的，即良构事务只能执行特定的操作，而不能执行其他任何操作。这样，就可以保证数据的完整性，因为良构事务只能执行特定的操作，不能破坏数据的完整性。 10、Brewer and Nash模型-中国墙模型 为了允许访问控制可以基于用户先前的活动，而动态改变 该模型适用于单个集成的数据库，它试图创建对利益冲突概念敏感的安全域 该模型创建一类数据，这个数据类定义了哪些安全域存在潜在的冲突，对于能够访问某个属于特定冲突类的安全域的任何主体，阻止他们访问属于相同冲突类的其他任何安全域 11、Goguen-Meseguer模型 Goguen-Meseguer模型是一个不出名的完整性模型，没有Biba有名 Goguen-Meseguer模型是非干涉模型的代表 主体仅允许对预定的客体执行预定的动作，基于主体可以访问的预设的域或客体列表 一个主体域的成员不能干扰另一个主体域的成员 12、Sutherland模型 Sutherland模型是一个完整性模型，基于定义一组系统状态以及初始状态和状态转换，通过预定的安全状态来保护完整性和阻止干扰 例子：防止隐蔽隧道被用来影响过程或活动的结果 13、Graham-Denning模型 Graham-Denning模型专注于主体和客体的安全创建和删除 用于定义安全操作的边界（创建、删除、读取、授权、传输）
    • 哪种基于角色的访问控制类型具有一个中央授权来决定主体可以访问什么客体？ A.Mandatory Access Control 强制访问控制 B.Non-Discretionary Access Control 非自主访问控制 C.Rule-based Access control 基于规则的访问控制 D.Discretionary Access Control 自主访问控制
      • 哪个表格定义了主客体之间，每个主体对每个客体可以采取的行动？ A.A capacity table 容量表 B.A capability table 能力表 C. An access control matrix 访问控制矩阵 D. An access control list 访问控制列表
        • Which of the following security models does NOT concern itself with the flow of data? 以下哪个安全模型不考虑本数据的流动？ A. The information flow model 信息流模型。 B. The Bell-LaPadula model Bell-LaPadula 模型 C. The noninterference model 非干涉模型 D. The Biba model Biba 模型 答案：C
    • 41. Which access control type has a central authority that determine to what objects the subjects have access to and it is based on role or on the organizational security policy? 哪种访问控制类型具有一个中央授权来决定主体可以访问什么客体，以及是基于角色还是组织安全策略的？ A.Mandatory Access Control 强制访问控制 B.Non-Discretionary Access Control 非自主访问控制 C.Rule-based Access control 基于规则的访问控制 D.Discretionary Access Control 自主访问控制 答案：B MAC 主体-安全声明，客体-敏感标签
      • 当员工拥有相同级别的安全许可时，控制访问高度敏感信息的最佳方法是什么？ Audit logs 审计日志 Role-Based Access Control (RBAC) 基于角色的访问控制（RBAC） Two-factor authentication 双因素认证 D. Application of least privilege 最低特权的申请
        • 39. Rule-Based Access Control (RuBAC) access is determined by rules. Such rules would fit within what category of access control? 基于规则的访问控制〈RuBAC）的访问是由规则决定的。这些规则适合什么类别的访问控制？ A. Non-Discretionary Access Control（NDAC）非自主访问控制（NDAC） B.Lattice-based Access control 基于格的访问控制 C.Mandatory Access control (MAC) D.Discretionary Access Control (DAC) 答案：A
          • What is called the type of access control where there are pairs of elements that have the least upper bound of values and greatest lower bound of values? 具有值的最小上界和最大下界的几组元素的访问控制类型被称？ A.Mandatorymodel 强制模型 B.Lattice model 基于格子的! C.Discretionary model 自由模型 D.Rule model 规则模型 答案：B
    • Which security model uses division of operations into different parts and requires different users to perform each part? 以下哪个安全模型是对运行操作划分为不同的部分，并要求不同部分由不同用户执行？ A. Bell-LaPadula model Bell-LaPadula 模型 B Biba model Biba 模型 C. Clark-Wilson model Clark-Wilson 模型 D.Non-interference model 非干扰模型 答案 C
      • 101. A channel within a computer system or network that is designed for the authorized transfer of information is identified as a(n)? 计算机系统或网络内用来给经过授权的信息进行传送的通道是什么？ A. Closed channel 封闭的通道 B. Opened channel 打开的通道 C. Overt channel 公开通道 D. Covert channel 隐蔽通道 答案C
        • The state machine model dictate, If a component fails, a system should be designed to do which of the following? 状态机模型要求，如果一个组件发生故障，系统应该被设计做下列哪项？ ◎ A.Change to a protected execution domain 变到受保护的执行域 • B.Change to a problem state 变到问题状态 • C.Change to a more secure state 变到更安全的状态 • D.Release all data held in volatile memory 释放在非永久性性存储器中保存的所有数据 C
    • *25.What mechanism does a system use to compare the security labels of a subject and an object？ 系统使用什么机制来比较主体和客体的安全标识？ • A.Security Module. 安全模块 • B.Validation Module.验证模块 C.Clearance Check. 许可检查 • D.Reference Monitor. 引用监视器 D
      • 一个共享资源矩阵是一项技术，常用来定位？ 分值1分 A . Trap doors 陷门 B . Covert channels 隐蔽通道 C . Security flaws 安全缺陷 D . Malicious code 恶意代码 B 现有的隐蔽通道标识的方法主要有共享资源矩阵法、语义信息流法、无干扰分析法、隐蔽流树法等tong
    • 安全模型为设计人员提供了衡量自己的设计和执行方案的参照物。那么，安全模型的最佳定义是？ A. 安全模型指出了机构必须遵守的策略 B. 安全模型提供了执行安全策略的框架 C. 安全模型是对计算机系统每个部分的技术评估，可用于评价系统与安全标准的一致性 D. 安全模型用于在单个主机的内存中托管一个或多个操作系统，或运行与主机操作系统不兼容的应用程序 B
  • 数据和资产管理
    • 高级管理者理解公司愿景、业务目标 下一层是职能管理者，其成员了解各自的部门如何工作，个人在公司内扮演什么角色，以及安全如何直接影响他们的部门。 下一层是运营经理和员工。这些层更接近公司的实际运作。他们知道详细的技术和程序要求，系统，以及如何使用系统的信息。在这些层的员工了解安全机制集成到系统中，如何配置它们，以及它们如何影响日常生产力。 每一层级，都应该输入最好的安全措施，程序和选择的控制，以确保商定的安全级别提供必要的保护 注意:高级管理层对组织安全最终责任
      • 信息生命周期:创建、使用、存储、传输、变更、销毁等
    • 谁承担组织内保护资产的最终责任？ A. Data owners / 数据所有者 B. Cyber insurance providers / 网络保险商 C. Senior management / 高级管理者 D. Security professionals / 安全专家 C
      • 管理者在分级数据时最应该考虑的是什么？ A. The type of employees, contractors, and customers who will be accessing the data / 将获取数据的员工、承包商和客户的类型 B. Availability, integrity, and confidentiality / 可用性、完整性和保密性 C. Assessing the risk level and disabling countermeasures / 评估风险水平和失效对策 D. The access controls that will be protecting the data / 将保护数据的访问控制 B
        • 在信息生命周期中过渡到处置阶段最常见的触发点是： A. Senior management / 高级管理层 B. Insufficient storage / 存储空间不足 C. Acceptable use policies / 许可使用策略 D. Data retention policies / 数据保留政策 D
  • 软件定义安全
    • 这是软件定义安全 (SDS) 的一个示例，其中安全基础设施可以很容易地被代码操控。回答这个问题很棘手，因为其他几个术语密切相关。SDS是基础架构即代码 (IaC) 的一个示例。 SDS 通常在敏捷开发框架中使用。 DevOps 方法将开发和运营联系在一起，但当它还包括 SDS 时，通常称为 DevSecOps。 IaC，Infrastructure as Code，基础设施即代码，是通过代码而非手动定义的基础设施的配置和管理过程。 IaC从开发人员那里拿走了大部分资源调配工作，开发人员可以执行脚本以准备好基础设施。 这样一来，应用程序部署就不会因为等待基础设施而受阻，系统管理员也无需管理耗时的手动流程。
    • Bob 最近完成了一个软件开发项目，他将组织的网络操作堆栈与他们的开发流程集成在一起。因此，开发人员可以根据需要从他们的代码中修改防火墙规则。哪个术语最能描述这种能力？ A. Agile / 敏捷 B. IaC / 基础设施即代码 C. SDS / 软件定义安全 D. DevOps / DevOps C
  • 数据库
    • 1. 原子性（Atomicity） 定义：原子性指的是一个事务中的所有操作要么全部成功执行，要么全部失败回滚。如果一个事务中的某个操作失败，那么整个事务都会回滚到之前的状态，保证数据的一致性。 作用：原子性确保了事务的完整性和可靠性，是事务不可分割的最小执行单位。 2. 一致性（Consistency） 定义：一致性指的是在事务执行前后，数据库的状态应保持一致。事务的执行应使数据库从一个一致的状态转换到另一个一致的状态，即满足事务的约束和规定的业务规则。 作用：一致性要求事务在执行过程中对数据库的修改必须符合预定义的规则和约束，否则事务会被回滚到执行前的状态，从而保证数据的完整性和有效性。 3. 隔离性（Isolation） 定义：隔离性指的是多个事务并发执行时，每个事务都应该被隔离开，互不干扰。每个事务应该感觉不到其他事务的存在，即使多个事务同时对同一数据进行操作，也不会产生相互干扰的结果。 作用：隔离性保证了并发执行的事务之间不会产生不一致的结果，避免了数据竞争和冲突，确保了数据的一致性和正确性。 4. 持久性（Durability） 定义：持久性指的是一旦事务提交成功，对数据库的修改就会永久保存，即使发生系统故障或断电等情况，数据也能够被恢复。 作用：持久性保证了数据的持久性和可靠性，使用户可以放心地使用数据库，不用担心数据的丢失。
    • 数据库语言
      • 常用的SQL语言种类：DCL、DDL、DML、TCL DCL：数据库管理语句，用于管理数据库访问的。比如授权语句、用户建立语句等 建立数据库账号：create user 对用户授权：grant 收回用户权限：revoke DDL：数据定义类语句的简称，主要用于建立数据库对象的，比如建立表的语句，修改表结构的语句等等 建立/修改/删除数据库：create/alter/drop database 建立/修改/删除表：create/alter/drop table 建立/删除索引：create/drop index 清空表：truncate table 重命名表：rename table 建立/修改/删除视图：create/alter/drop view DML：数据操作语句的一种简称，也是我们平时使用最多的一种语言，从其名字中大家就可以知道DML主要用于操作存储在数据库中的数据，也就是之前所说的执行这个增删改查，这些任务的语句全都属于DML类语句 新增表中的数据：insert into 删除表中的数据：delete 修改表中的数据：update 查询表中的数据：select 等等，很多 TCL：这是一种事务控制类语句的简称，主要的作用是实现对事物的控制，比如开启事务、提交事务、回滚事务等等，这些都是属于TCL类语句。 COMMIT、ROLLBACK、SAVEPOINT等 A.属性 列 字段（Field）或属性（Attribute） B.记录或元组 行 C.记录保存 D.关系 二维表
      • Which of the following is an important part of database design that ensures that attributes in a table depend only on the primary key? A. Normalization B. Assimilation C. Reduction D. Compaction 范式化
        • Complex applications involving multimedia, computer aided design, video, graphics, and expert systems are more suited to which of the following database type? A. Object-Oriented Databases(OODB) B. Object-Relational Databases C. Relational Databases D. Database management systems (DBMS A
    • SQL注入的最佳定义是？ A.SQL injection is a web Server problem. / SQL注入是一个Web服务器的问题 B.SQL injection is an input validation problem. / SQL注入是一个输入验证的问题 C.SQL injection is a windows and Linux website problem that could be corrected by applying a website vendors patch. / SQL注入是windows和Linux的网站问题，能通过应用一个网站供应商补丁进行修改 D.SQL injection is a database problem. / SQL注入是一个数据库的问题 B
      • 一旦事务被核实在所有系统上都是正确的，那么它便会被提交，且数据库不能被回滚。这指的是ACID原则中的哪一个？ A. Atomicity / 原子性 B. Consistency / 一致性 C. Isolation / 隔离性 D. Durability / 持久性 D
  • XSS和XSRF、CSRF SQL注入
    • XSS的分类 XSS主要分为两大类：非持久型攻击、持久型攻击。非持久型攻击（反射型XSS）：经过后端，不经过数据库；持久型攻击（存储型XSS）：经过后端，经过数据库。 1.持久型也可认为是存储型XSS：当恶意的JavaScript代码写入web页面，会被存储到应用服务器端，简而言之就是会被存储到数据库。等用户再次打开web页面时，页面会继续执行恶意代码，达到持续攻击用户的作用。如下案例：在欢迎词处输入框输入JavaScript恶意代码进行保存，当用户在打开这个写入恶意JavaScript代码web页面的时候就会弹出带有恶意数据的弹窗。 2.非持久型XSS：非持久型XSS又叫反射型XSS，属于一次性攻击，仅对当次的页面访问产生影响。非持久型XSS攻击，要求用户访问一个被攻击者篡改后的链接，用户访问该链接时，被植入的攻击脚本被用户游览器执行，从而达到攻击目的。如下案例：通过搜索功能执行恶意的JavaScript代码点击搜索即执行恶意的JavaScript代码。 3.DOM是一个平台和语言都中立的接口，可以执行程序和脚本，能够动态访问和更新文档的内容、结构以及样式。DOM型XSS是一种特殊类型的反射型XSS，它是基于DOM文档对象模型的一种漏洞。
      • Alice ' & 1=1; -- 出现1=1，一般都是SQL注入
        • int list[9]; list[9] = 0; 一般是溢出攻击
      • 各种攻击的防御：
        • 防范缓冲区溢出的方法包括： 保护缓冲区：通过操作系统使得缓冲区不可执行，从而阻止攻击者植入攻击代码。‌ 编写安全的代码：程序员在编写代码时，应注意检查和限制用户输入的长度和格式，避免数据超出缓冲区的范围。‌ 利用编译器的边界检查：使得缓冲区溢出不可能出现，从而完全消除缓冲区溢出的威胁。 使用安全编程工具和技术：如地址空间布局随机化，增加程序的抵抗能力。
        • XSS： 限制输入长度和类型：对于用户提交的任何数据，都应严格限制其长度和类型，防止攻击者插入过长的恶意脚本或尝试绕过验证。特殊字符过滤：对于像<, >, &, "等可能导致HTML或JavaScript代码执行的特殊字符，应进行严格的过滤或转义处理。 白名单验证：采用白名单机制，只允许已知的、安全的字符或格式通过验证，任何不在白名单内的内容都应被拒绝。 设置安全HTTP响应头：X-Content-Type-Options: nosniff：这个响应头可以防止浏览器猜测响应的MIME类型，从而减少潜在的XSS风险。 Content-Security-Policy (CSP)：CSP可以限制页面可以加载和执行的外部资源，防止恶意脚本被注入或执行。开发者应设置严格的CSP策略，仅允许可信的来源加载资源。 使用HttpOnly属性的Cookie：将Cookie设置为HttpOnly属性，这样JavaScript就无法访问它，从而防止攻击者通过XSS攻击窃取Cookie。 开发者应定期更新应用程序及其依赖的库和框架，以确保利用已知漏洞的攻击无法成功。同时，应密切关注安全公告和漏洞信息，及时修补已知的安全漏洞。 教育和培训：对开发人员进行Web安全培训，提高他们的安全意识，使他们了解并遵循最佳的安全实践。 使用Web应用防火墙（WAF）：WAF可以帮助检测和拦截潜在的XSS攻击。它可以分析请求和响应数据，查找恶意代码或攻击模式，并进行拦截或告警。
        • CSRF： 防范CSRF攻击的措施主要包括使用随机令牌、‌利用HTTP请求头Referrer进行白名单判断、‌增加安全的token、‌增加安全的验证码、‌实施安全的逻辑流程等。‌ 使用随机令牌：‌在每次向目标网站发送请求时，‌携带一个随机生成的令牌(Token)。‌目标网站在处理请求时会校验该令牌的有效性，‌如果无效则拒绝请求。‌这种方法可以防止攻击者伪造有效的令牌，‌从而避免CSRF攻击1。‌ 利用HTTP请求头Referrer进行白名单判断：‌通过检查HTTP请求头中的Referrer字段，‌可以区分请求是否从合法的页面发出。‌如果Referrer在白名单内，‌则允许请求通过。‌这种方法在浏览器环境下是安全的，‌因为浏览器默认带上Referrer字段，‌而JavaScript无法修改它。‌但需要注意，‌写操作时Referrer可能为空，‌需要实施额外的安全措施。‌ 增加安全的token和验证码：‌对敏感信息的操作增加安全的token和验证码，‌可以增加攻击的难度，‌因为攻击者需要获取这些额外的验证信息才能成功发起攻击。‌ 实施安全的逻辑流程：‌例如，‌在修改密码时，‌需要先校验旧密码等安全措施，‌以确保操作的合法性
        • SQL注入： CARROT &1=1;-- 防范SQL注入的关键方法包括‌参数化查询、‌输入验证、数据清理和‌多层验证。 参数化查询：这是防止SQL注入的最基本和最有效的方法。通过预编译的SQL语句，将参数与查询分开处理，可以有效地防止攻击者注入恶意SQL代码。在书写SQL语言时，应禁止将变量直接写入到SQL语句中，必须通过设置相应的参数来传递相关的变量。‌ 输入验证和清理：对用户的输入进行严格的验证和过滤，只接受预期的输入。这包括过滤掉不安全的输入数据，或采用参数传值的方式传递输入变量，这样可以最大程度防范SQL注入攻击。‌ 多层验证：对访问者的数据输入必须经过严格的验证才能进入系统，验证没通过的输入直接被拒绝访问数据库，并且在客户端访问程序中验证访问者的相关输入信息，从而更有效的防止简单的SQL注入。 前端验证：虽然主要防御应在后端实施，但前端也可以通过正则表达式识别非法输入，直接拒绝提交，作为前置的预防方案。‌ SQL注入 是用于处理前端（通常是Web服务器）和后端数据库之间交互的脚本的一个漏洞。如果脚本是防御性的，并且包含要转义（作废或拒绝）元字符的代码，将无法进行SQL注入。 LDAP注入 是输入注入攻击的一种变体；但攻击重点是LDAP目录服务的后端而不是数据库服务器。如果Web 服务器前端使用脚本根据用户的输入来生成LDAP 语句，则LDAP 注入可能是一种威胁。输入净化和防御性编码对于消除这种威胁至关重要。 XML注入 是SQL注入的另一种变体，其中后端目标是XML应用程序。同样，输入净化是消除这种威胁所必需的。XML利用 是一种编程攻击的形式，用于伪造发送给访问者的信息，或者导致他们的系统在未经授权的情况下泄露信息。 SQL主要防御方法 选项1：使用预处理语句（带参数化查询） 选项2：使用存储过程 选项3：白名单输入验证 选项4：转义所有用户提供的输入 选项5：黑名单输入过滤
        • 密码攻击： 分析攻击：这是试图降低算法复杂性的一种代数操作。分析攻击的焦点是算法本身的逻辑。 执行攻击：这是探寻密码系统在执行过程中暴露的弱点的一种攻击。它着重于挖掘软件代码，其中不仅包括错误和缺陷，还涉及用来给加密系统编程的方法。 统计攻击：统计攻击探寻密码系统的统计学弱点，例如汗点错误和无力生成真随机数。统计攻击试图在承载密码应用的硬件或操作系统中找到漏洞。 蛮力攻击：蛮力攻击是直截了当的攻击。这种攻击尝试找出密钥或口令的每种可能的有效组合。攻击的实施涉及用大量处理能力来系统化猜测用于加密通信的密钥。 频率分析：频率分析一即计数每个字母在密文中出现的次数——被证明是可以帮助破解简单密码的一种技术手段。众所周知， E、T、A、O、I、N 是英语中的最常用字母； 攻击者就是借助这个知识来测试以下两个假设的： ．如果这些字母也在密文中使用得最频繁，则密码可能是一种移位密码，即重新排列了明文字符而未加任何改动。 ．如果密文中使用得最频繁的是其他字母，则密码可能是某种替换密码，即更换了明文字符。 唯密文攻击：攻击者拥有若干消息的密文，每条消息都是使用相同的加密算法加密的。攻击者目标是找出加密过程中使用的密钥, 仅有密文，进行密码分析攻击。 已知明文：攻击者拥有一条或多条消息的明文和相对应的密文。例如某些文本有固定的格式、起始和结束语句。拥有明文和其对应的密文，进行密码分析攻击 选择密文：在选择密文攻击中，攻击者能够解密密文消息中被选中的部分，然后用解密后的那部分消息来发现密钥。 选择明文：攻击者选择特定明文发给受害者，待受害者加此明文发送出去后，再截获之。不同于已知明文攻击在于输入可以由攻击者来选定 可以选择明文并得到输出的密文，进行密码分析攻击。 中间相遇：中间相遇攻击利用进行两轮加密的协议（被证明在攻击下不如标准DES更安全）。 攻击者可能通过中间相遇攻击手段来击败采用两轮加密的加密算法。因为这种攻击的出现，造成作为DES加密可行强化版的双重DES(2DES)很快被弃用，被三重DES(3DES)取代。 中间人攻击：欺骗通信双方，使他们都与攻击者通信，而不是相互直接通信。 生日攻击：试图找到散列函数的冲突点 重放攻击：攻击者捕获了某种类型的数据(通常是身份验证信息)并重新提交已通过的身份验证的信息, 欺骗接收设备误以为这是合法信息。
    • Bob 正在调查其组织中敏感信息的泄露情况。他认为攻击者设法从数据库中检索所有员工的人事信息，并在基于Web的人事管理系统的日志条目中找到以下用户提供的输入： Alice ' & 1=1; -- 这是什么类型的攻击，如何预防？ A. SQL injection, use of stored procedures / SQL注入、存储过程的使用 B. Buffer overflow, automatic buffer expansion / 缓冲区溢出，自动缓冲区扩展 C. Cross-site scripting, turning on XSS prevention on the web server / 跨站脚本，在 web 服务器上开启 XSS 防护 D. Cross-site request forgery, requiring signed requests / 跨站请求伪造，需要签名请求 A
      • Bob 正在审查他计划在其组织中使用的开源应用程序的代码。他发现一段代码： int list[9]; list[9] = 0; 正在发生什么类型的攻击？ A. Mismatched data types / 不匹配的数据类型 B. Overflow / 溢出 C. SQL injection / SQL注入 D. Covert channel 隐蔽渠道 B
        • 以下哪种攻击将用户在网页上的选择重定向到另一个恶意目标，而不是预期位置，通常利用在显示的页面上添加不可见或隐藏的叠加层。 A. 域名仿冒 B. 域欺骗 C. 会话劫持 D. 点击劫持 D
    • 作为应用程序渗透测试过程的一部分，会话劫持可以通过以下哪一种方式实现？ A Known-plaintext attack 已知明文攻击 B Denial of Service (DoS) 拒绝服务 C Cookie manipulation Cookie操纵 D Structured Query Language (SQL) injection 结构化查询语言（SQL）注入 C
      • A packet containing a long string of NOP's followed by a command is usually indicative of what? A. A synscan. B. A half-portscan. C. A buffer overflow attack. D. A packet destined for the network's broadcast address. 一个包含一长串NOP和一个命令的数据包通常表示什么？ A.同步扫描。 B.半程扫描。 C.缓冲区溢出攻击。 D.发往网络广播地址的数据包。 C
  • SAMM CMM CMMI RMM BSIMM
    • SAMM 专注于软件安全实践的成熟度评估和改进。‌ CMM 侧重于软件过程管理能力的成熟度评估。‌ CMMI 是CMM的集成和发展，‌提供了更广泛的工程领域应用，‌并包含了更详细的评估和改进方法。 RMM风险成熟度模型RMM是专门为评估企业风险管理计划而设计的。 RMM是一种评估组织风险管理能力的框架。它通过一系列的标准和指标，衡量组织在风险识别、评估、应对和监控方面的成熟程度。在审计中，RMM帮助审计师了解组织的风险管理架构、流程及其有效性，从而确保组织能够有效地识别和管理风险。审计师在审计过程中使用RMM来评估组织的风险管理水平。他们会关注组织的风险策略、风险文化、风险流程等方面，并基于RMM的评估结果，确定审计的重点和范围。此外，RMM还能帮助审计师发现组织在风险管理方面的不足，并提出改进建议，以提高组织的整体风险管理能力。
      • CMM分为五个等级：一级为初始级，二级为可重复级，三级为已定义级，四级为已管理级，五级为优化级。
        • (1)初始级(initial)。工作无序，项目进行过程中常放弃当初的计划。管理无章法，缺乏健全的管理制度。开发项目成效不稳定，项目成功主要依靠项目负责人的经验和能力，他一旦离去，工作秩序面目全非。 (2)可重复级(Repeatable)。管理制度化，建立了基本的管理制度和规程，管理工作有章可循。 初步实现标准化，开发工作比较好地按标准实施。 变更依法进行，做到基线化，稳定可跟踪，新项目的计划和管理基于过去的实践经验，具有复现以前成功项目的环境和条件。 (3)已定义级(Defined)。开发过程，包括技术工作和管理工作，均已实现标准化、文档化。建立了完善的培训制度和专家评审制度，全部技术活动和管理活动均可控制，对项目进行中的过程、岗位和职责均有共同的理解 。 (4)已管理级(Managed)。产品和过程已建立了定量的质量目标。开发活动中的生产率和质量是可量度的。已建立过程数据库。已实现项目产品和过程的控制。可预测过程和产品质量趋势，如预测偏差，及时纠正。 (5)优化级(Optimizing)。可通过采用新技术、新方法，集中精力改进过程。具备防缺陷、识别薄弱环节以及改进的手段。可取得过程有效性的统计数据，并可据此进行分析，从而得出最佳方法。
      • CMMI 的等级：CMMI 等级共五级， Maturity Levers，通常简写为 ML。 ML1初始级 软件过程是无序的，有时甚至是混乱的，对过程几乎没有定义，成功取决于个人努力。管理是反应式的。 ML2已管理级 建立了基本的项目管理过程来跟踪费用、进度和功能特性。制定了必要的过程纪律，能重复早先类似应用项目取得的成功经验。 ML3已定义级 已将软件管理和工程两方面的过程文档化、标准化，并综合成该组织的标准软件过程。所有项目均使用经批准、剪裁的标准软件过程来开发和维护软件，软件产品的生产在整个软件过程是可见的。 ML4量化管理级 分析对软件过程和产品质量的详细度量数据，对软件过程和产品都有定量的理解与控制。管理有一个作出结论的客观依据，管理能够在定量的范围内预测性能。 ML5优化级 过程的量化反馈和先进的新思想、新技术促使过程持续不断改进。
    • SAMM SAMM成熟度模型包含5个大方向（治理、设计、实施、验证、运营） SAMM（Software Assurance Maturity Model）旨在帮助组织建立、改进和评估其软件安全实践。SAMM提供了一个结构化的方法，将不同的软件安全实践分为几个阶段，并根据每个阶段的成熟度指标来进行评估。 关于 SAMM 模型 SAMM 是一个规范性模型，是一个易于使用、完全定义和可测量的开放框架。即使对于非安全人员，解决方案详细信息也很容易遵循。它可以帮助组织分析其当前的软件安全实践、 在定义的迭代中构建安全程序、显示安全实践的改进状况、定义和衡量与安全相关的活动。 SAMM 的定义具有灵活性，因此使用任何开发风格的商业、中型和大型组织都可以自定 义和采用它。它提供了一种了解组织在软件保障建设过程中当前所处位置、及进一步发展进入下一成熟度等级的建议方式。 SAMM 并不坚持要求所有组织在每个类别中实现最大成熟度级别。每个组织都可以确定每个安全实践的目标成熟度等级，以为每个特定需求最匹配和最适用的模板。 治理（战略、策略、教育和指导） 治理阶段 - 战略与指标：战略与指标实践的目标是建立一个有效的计划，以在组织内实现软件安全目标。 治理阶段 - 策略与合规：策略与合规的实践重点是理解和满足外部法律和规范要求，同时推动内部安全标准以确保符合组织业务目的的合规。 治理阶段 - 教育与指导：教育与指导的实践重点是为软件生命周期中的相关人员提供知识和资源，以设计、开发和部署安全的软件。通过对信息访问的优化，项目团队可以主动识别和减轻适用于其组织的特定安全风险。 设计（威胁评估、需求和架构） 设计阶段 - 威胁评估：威胁评估实践的重点是基于正在开发的软件功能和运行时的环境特征，识别和理解项目级风险。通过分析每个项目威胁和潜在攻击的详细信息，对安全措施的优先级设置进行更好的决策，从而使整个组织更有效地运作。 设计阶段 - 安全需求：安全需求实践聚焦于对安全软件而言重要的安全需求。第一种类，处理典型的与软件相关需求，以指定目标和期望，从而保护应用软件核心的服务和数据。第二种类，涉及与供应商组织有关的需求，这些需求属于应用软件开发上下文的一部分，尤其是对于外包开发而言。 设计阶段 - 安全架构：安全架构实践聚焦于与在软件架构设计期间要处理的组件和技术相关的安全。安全架构设计着眼于有关解决方案构成基础的组件选择和组成，并着重于其安全性。 开发（构建、部署、管理） 开发阶段 - 安全构建：安全构建实践强调以标准化、可重复的方式构建软件以及使用安全组件（包括第三方 软件依赖项）进行构建的重要性。 开发阶段 - 安全部署：交付安全软件的最后阶段之一是确保在部署过程中不损害已开发应用软件的安全性和完整性。 开发阶段 - 缺陷管理：缺陷管理实践聚焦于收集、记录和分析软件安全缺陷，并用信息丰富它们，以驱动基于测量的决策。 验证（架构评估，需求、安全测试） 验证阶段 - 架构评估：架构评估实践的可确保应用软件和基础架构充分满足所有相关的安全性和合规要求，并充分缓解已识别的安全威胁。 验证阶段 - 需求驱动的测试：需求驱动测试实践的目标是确保已实施的安全控制按预期运行，并满足项目规定的安全需求。它通过逐步构建一组安全测试和回归案例并定期执行来实现 验证阶段 - 安全测试：安全测试实践利用了以下事实：尽管自动化安全测试快速且可以很好地扩展到众多应用软件，但是有关应用软件及其业务逻辑深入知识的深度测试通常只能通过较慢的人工专家安全测试来执行。因此，每个活动流的核心都是一种方法。 运营（3个管理） 运营阶段 - 事件管理：将安全事件定义为至少一项资产的安全目标受到破坏或迫在眉睫的威胁，无论是由于恶意行为还是过失行为。安全事件的示例可能包括：对云应用软件的成功拒绝服务（DoS）攻击、应用软件用户通过滥用安全漏洞访问另一用户的私有数据、攻击者修改应用软件源代码。事件管理实践聚焦于在组织中处理这些事件。 运营阶段 - 环境管理：默认情况下，任何应用软件堆栈中的大多数技术都不安全。这通常是有意的，以增强向后兼容性或易于安装。因此，要确保组织技术堆栈的安全运行，就需要对所有组件始终应用安全基线配置。 运营阶段 - 运营管理：运营管理实践聚焦于在整个运营支持功能中确保安全性得到维护的活动。尽管这些功能不是由应用软件直接执行的，但应用软件及其数据的整体安全取决于它们的适当性能。 小结 SAMM 是一个规范性模型，是一个易于使用、完全定义和可测量的开放框架。即使对于非安全人员，解决方案详细信息也很容易遵循。 SAMM为所有类型的组织提供一种有效的、可衡量的方式来分析和改进其软件安全状况。
      • 在模型的最顶层，SAMM定义了五种关键业务功能。 每种业务功能是一组软件开发过程中具体细节的相关措施；就是任何组织的软件开发团队要在某种程度上必须运用到的每一个业务功能。 对于每类业务功能，SAMM 定义了三个安全实践。 每个安全实践都是一个为业务功能建立保障而与安全相关的领域。因此，总体来说，有15个独立的安全实践活动映射到五组业务功能，以改善软件开发中相对应的业务功能。 对于每种实践活动，SAMM定义了三个成熟度等级以作为目标。
    • BSIMM( The Building Security In Maturity Model) 软件安全构建成熟度模型 (BSIMM) 是一项针对当前软件安全方案或计划开展的研究。BSIMM 量化不同行业、规模和地域的众多组织的应用安全 (appsec) 实践，并识别各个组织独特的差异。 作为一套随时间的不断发展演进的数据驱动的描述性模型，BSIMM的唯一目标就是观察和报告。其通过对大量企业进行评估得出的统计数据，进行分类归纳，形成的软件安全评估模型。 用途 BSIMM的最重要的用途是作为一个标尺来确定企业目前采用的方法相对于其他企业处于何种位置。企业只需要梳理已经开展了哪些活动，在软件安全框架中找到这些活动，然后再构建自己的记分卡并将其与BSIMM记分卡进行比较，就可以发现自身的不足之处。 BSIMM 是一套随时间的不断发展演进的数据驱动的模型。随着本项目的演进，不断根据所观察到的数据来添加、删除和调整各类活动的级别。 BSIMM主要是用于观察企业开发的安全活动与行业进行一个比较，给企业开发组织反馈一份的分析报告。
    • BSIMM模型是一套观察报告类型的描述式模型，旨在判断描述的实践活动存在与否形成评估报告，以标尺的作用来衡量企业开发组织目前安全活动水平相对于其他企业处于何种位置。并没有为组织提供落地性的指导建议，仅作为组织用以改善自身软件安全能力的参考。 SAMM 是一个规范性模型。旨在帮助组织分析其当前的软件安全实践、 在定义的迭代中构建安全程序、显示安全实践的改进状况、定义和衡量与安全相关的活动 无论是BSIMM，SAMM也罢，二者都为评估模型，是用以辅助安全治理的工具，而具体实施流程的关键还是在于人。需要对不同的实际情况而做出不同的改变。
    • 下列哪一项是由OWASP (开放Web应用程序安全项目) 维护的开源项目，旨在提供一个框架，用于将安全活动集成到软件开发和维护过程中，并为组织提供评估其成熟度的能力。 A. SAMM B. BSIMM C. SW-CMM D. RMF A
      • 关于 BSIMM (Building Security In Maturity Model) 的正确描述是： A．是一个非开放的基于软件安全实践模块的框架 B．是一个安全产品评估的概念模型 C．了解、执行、计划软件安全开发的积极行动 D．是一个为软件安全漏洞提供严重程度的评级模型 C
  • SAST、DAST、IAST、RASP
    • SAST 与 DAST SAST(静态应用程序安全测试)也被称为“白盒测试”，已经存在了十多年。它允许开发人员在软件开发生命周期的早期发现应用程序源代码中的安全漏洞。在不实际执行底层代码的情况下检测是否符合编码指南和标准，直接面向所有源码，并且可以定位缺陷所在的代码行数。OWASP TOP 10 安全漏洞中60-70%的安全漏洞类型可通过源代码静态分析技术检测出来。但是有30%以上的误报，所以需要花时间处理误报。 DAST，或动态应用安全测试，也称为“黑盒”测试，可以发现运行中的应用程序的安全漏洞和弱点，通常是web应用程序。通过在应用程序上使用故障注入技术(例如向软件提供恶意数据)来识别常见的安全漏洞，例如SQL 注入和跨站点脚本。DAST 可以聚焦静态分析无法识别的运行时问题，例如身份验证和服务器配置问题，以及仅在已知用户登录时可见的缺陷。 SAST 和 DAST SAST和DAST经常同时使用，因为SAST不会发现运行时错误，而DAST不会标记编码错误，至少不会标记到代码行。SAST 可以集成在项目开发流程当中，而DAST 可以理解参数和函数调用，可以确定调用是否正常运行。 交互式应用程序安全测试 (IAST) IAST旨在通过结合SAST 和 DAST 两种方法来解决SAST和DAST各自的缺点。IAST在应用程序中放置一个探针，并在开发过程 IDE、持续集成环境、QA 甚至生产中的任何位置实时在应用程序中执行所有分析。 因为IAST探针在应用程序内部工作，它可以将其分析应用于整个应用程序所有代码。其运行控制和数据流信息、它的配置信息、HTTP请求和响应、库及框架和其他组件、以及后端连接信息。 运行时应用程序安全保护 (RASP) 与IAST一样，RASP或运行时应用程序安全保护在应用程序内部工作，但它不是一个测试工具，而是一个安全工具。它被插入到应用程序或其运行时环境中，可以控制应用程序的执行。RASP 保护应用程序，即使网络的外围防御被破坏并且应用程序包含开发团队错过的安全漏洞。RASP允许应用程序对自身进行持续的安全检查，并通过终止攻击者的会话并向防御者发出攻击警报来响应实时攻击。
      • 运行时应用程序自我保护（RASP）是一种在应用上运行的技术，在应用程序运行时发挥作用，旨在实时检测针对应用程序的攻击。一旦应用程序开始运行，RASP可以通过分析应用程序的行为和这种行文的上下文来保护它不受恶意注入或行为的影响。通过使用应用程序不断地监控其行为，攻击可以在不需要人工干预的情况下立即被识别和缓解。运行时应用程序自我保护。
    • 以下哪些技术可用于监视和动态响应 Web 应用程序上的潜在威胁? A. 字段级标记化 B. 应用程序漏洞扫描程序 C. 运行时应用程序自我保护（RASP） D. 安全断言标记语言（SAML） C
      • 113.以下哪项技术在测试或运行阶段分析应用程序的运行状态，模拟黑客行为对应用程序进行攻击，分析应用程序的反应，从而确定该Web应用是否易受攻击。 A. 静态应用程序安全测试 SAST (Static Application Security Testing) B. 动态应用程序安全测试 DAST (Dynamic Application Security Testing) C. 交互式应用程序安全测试 IAST (Interactive Application Security Testing) D. 运行时应用程序安全保护RASP (Runtime application self-protection) B
  • 漏洞相关
    • NVD（National Vulnerability Database）的重要性： NVD的主要目标之一是提供一个全面且及时的漏洞信息库，帮助安全专业人员更好地了解和管理已知的漏洞。这有助于： 1. 漏洞识别和管理： NVD收集并展示了各种软件和硬件中的漏洞信息。这些信息包括漏洞的严重性、影响的范围、可能的解决方案以及相关的参考资料。这使得企业和组织能够及早识别并适当地管理可能影响其系统和应用程序的漏洞。 2. 安全补丁发布： 厂商和开发者可以通过参考NVD中的漏洞信息，为其产品创建并发布补丁。这有助于修复漏洞，提高系统和软件的安全性，并减少受到攻击的风险。 3. 漏洞研究： 安全研究人员可以利用NVD的信息来深入了解不同漏洞的工作原理，从而更好地理解攻击技术并开发相应的防御策略。 4. 决策支持： 企业和政府可以根据NVD中的信息，制定安全策略、风险评估和漏洞修复计划，以保护其关键信息基础设施。 NVD的结构和内容： NVD的内容包括丰富的漏洞信息，每个漏洞都有一份详细的报告，其中包括以下关键信息： 1. 漏洞标识符： 每个漏洞都有一个唯一的标识符，例如CVE（通用漏洞和暴露，Common Vulnerabilities and Exposures）标识符。这有助于快速识别和引用漏洞。 2. 漏洞描述： 提供了漏洞的详细描述，包括漏洞的性质、可能的攻击方式以及受影响的组件或系统。 3. 漏洞评分： 使用CVSS（通用漏洞评分系统，Common Vulnerability Scoring System）对漏洞进行评分，以衡量其严重性。这有助于组织确定哪些漏洞需要优先处理。 4. 参考资料： 提供了与漏洞相关的链接、参考文档和厂商公告，有助于进一步研究和解决漏洞。 5. 漏洞解决方案： 对于一些漏洞，可能会提供建议的解决方案或临时措施，以减轻漏洞带来的风险。
    • 以下哪个框架提供漏洞指标来支持国家漏洞数据库(NVD)? A. 常见漏洞和披露（CVE） B. 互联网安全中心（CIS） C. 通用漏洞评分系统（CVSS) D. 开放 Web 应用程序安全项目（OWASP） C
  • 软件开发生命周期
    • SDLC方法论侧重于软件开发的以下阶段： 需求分析 规划 软件设计，如架构设计 软件开发 测试 部署
      • SDLC如何解决安全性问题？ 安全性是任何软件开发过程中的重要方面。然而，与传统的将安全性作为单独阶段来解决的软件开发不同，SDLC通过DevSecOps实践在整个过程中始终考虑安全性。 DevSecOps是DevOps的扩展，它强调在整个SDLC过程中整合安全评估。它确保软件从初始设计到最终交付都是安全的，并能够抵御任何潜在的威胁。在DevSecOps过程中，团队进行安全保证活动，如代码审查、架构分析、渗透测试和自动化检测，这些活动被整合进集成开发环境（IDE）、代码仓库和构建服务器中。 如何将DevSecOps整合到SDLC中？ 规划和需求分析：在这个阶段，确定安全需求和适当的安全选择，以减轻潜在的威胁和漏洞，并考虑使用哪些安全设计原则和最佳实践。 架构设计：开发团队使用安全设计原则和架构来考虑潜在风险。这个阶段涉及威胁建模、访问控制、加密机制和架构风险分析。 软件开发和测试：进行代码审查以确保软件符合代码标准，并实现安全控制。还进行安全漏洞测试，如渗透测试，以确定潜在问题。 部署：使用自动化的DevSecOps工具来提高应用程序的安全性。为了确保软件安全部署，配置防火墙、访问控制和安全设置。 维护：部署后安全性仍然存在。团队必须持续监控软件的安全漏洞。团队还需要根据需要更新软件，安装安全补丁和更新。
    • 在审核软件开发生命周期 (SDLC) 时，以下哪个是高级别审核阶段之一? A. Planning / 规划 B. Risk assessment / 风险评估 C. Due diligence / 尽职调查 D. Requirements / 需求 A
      • During which phase of an IT system life cycle are security requirements developed? 安全需求是在以下IT 系统生命周期的哪个阶段开发的？ A. Functional design analysis and Planning功能设计分析和规划 B. Implementation实施 C. Operation 操作 D. Initiation 启动 正确答案：A 见上图，CBK和NIST中，CBK没有设计阶段，NIST启动和设计合并，所以选A
        • When considering an IT System Development Life-cycle, security should be: 当考虑到一个IT 系统发展生命周期，安全应该： A. Mostly considered during the development phase. 在开发阶段应考虑最多 B. Mostly considered during the initiation phase.在启动阶段应考虑最多 C. Added once the design is completed. 一旦设计完成就添加 D. Treated as an integral part of the overall system design. 被当做总体系统设计的主要部分 答案B
          • Which of the following phases of a system development life-cycle is most concerned with maintaining proper authentication of users and processes to ensure appropriate access control decisions? 下列哪个阶段是SDLC中最关心用户和进程保持适当的身份验证以确保适当的访问控制决策？ A.Development/acquisition开发和获取 B.Implementation u C.Operation/Maintenanc操作和维护 D.Initiation启动 答案 C 强调是用户，所以是操作和维护阶段
    • Which of the following phases of a software development life cycle normally addresses Due Care and Due Diligence? 下列几个“软件开发生命周期”的阶段中，哪个通常强调了适度谨慎（DUE Care）和适 REAL (DUE Diligence ) A. Software plans and requirements软件计划和需求 B. Implementation实施 C. Product design产品设计 D. System feasibility系统可行性 答案 A
      • 下列几个软件开发生命周期的阶段中，哪个通常包含安全规范、确定访问控制和评估 加密选项？ A. Software plans and requirements软件计划和需求 B.Detailed design 详细设计 C. Product design产品设计 D. Implementation实施 正确答案：C 没有B这个阶段
        • 哪个模型，是基于一个软件产品的质量是与其软件开发和维护过程相联系的一个直接功能的前提条件，并用参与了软件进程的组织成熟度的评估来引进五个级别的？ A. The Software Capability Maturity Model 软件能力成熟度模型 B. The Total Quality Model （TQM）全面质量模型（TQM） C. The Spiral Model 螺旋模型 D. The IDEAL Model IDEAL模型 正确答案：A
          • 信息安全团队在开发生命周期那个阶段参与可以发挥最大作用 A. 系统设计阶段 B． 开发和文档编写阶段 C. 与项目的每个阶段并行开展工作 D. 项目初始化和计划阶段 答案C
  • DC和DD
    • 具体化的操作和管理都属于Due care，策略性指导性的属于Due Diligence。 Due Care 应尽关心：在正确的时间采取正确的行动。应尽关注原则描述了一个人应该在一种情况下用正常人所期望的相同级别的关注来响应。如果一个公司没有做到充分的安全策略、适当的安全意识培训，则没有达到 DC。 Due Diligence 应尽审查：职责是什么，应该做什么，制定计划。在日常管理中尽到责任。应尽职责原则是应尽关注的一个更具体的组成部分，它描述被指派责任的个人应该以应尽关注的方式准确和及时的完成责任。在做信息安全时，应该尽可能收集信息以进行最佳决策，查看并了解风险。
    • Bob的职责是保护组织的利益，以及他负责保护其信息的客户的利益。什么术语描述了在做出决定和行动之前进行的准备和研究？ A. Due care 尽职关注 B. Compliance 合规 C. Due diligence 尽职调查 D. Regulatory action 监管行动 此题说的是动作，而不是政策一类，所以选DD
      • When an organization takes reasonable measures to ensure that it took precautions to protect its network and resources is called: 当一个组织采取合理措施，以确保它采取预防措施来保护其网络和资源，被称为： A. Reasonable Action 合理的行动 B. Security Mandate 安全要求 C. Due Care 应有的关注 D. Due Dilliengce 应有的勤勉
  • 业务连续性计划，BCP
    • 业务连续性目标 (Goal)
      • 保障组织面对各种状况时依然保持业务的运营
      • 从更加长远的角度来解决问题，主要为长期停产和灾难事件提供方法和措施
    • 目标 (Objectives)
      • 保护生命和确保人员安全 出现紧急情况时提供及时和适当的应对措施 减少对业务的影响 恢复关键业务功能 在灾难时减少混乱 确保企业的生存能力 在灾难发生后迅速“启动并运行“ BCP应该与是机构的业务目标一致，是整体决策的一部分 BCP应该是机构安全项目的一部分，并 与安全项目的其他内容相协调
    • 标准和最佳实践 BCP流程
      • NIST SP800-34
        • 制定连续性规划策略(policy) 执行业务影响分析(Business impact analysis，BIA) 确定预防性控制方法 制定恢复战略 制定BCP 测试BCP 维护业务连续性计划
      • ISO27031 ICT 连续性管理指南 ISO22301 业务连续性管理体系
    • 灾难恢复计划，DRP
      • 灾难恢复目标
        • 降低灾难或业务中断的影响 采取必要的步骤保证资源、人员和业务流程尽快恢复运作
    • BCP项目范围和计划
      • 业务组织分析
        • 目的:识别与BCP流程有利害关系的所有部门和个人
      • 选择BCP团队
        • BCP项目的关键角色
          • 恢复团队，灾难后进行评估、恢复、复原等相关工作的多个团队 业务部门代表，识别机构的关键业务功能，协助恢复策略的选择和制定 IT部门 通信部门 信息安全部门 法律代表
        • 高级管理层与BCP
          • 业务连续性协调人作为BCP项目负责人全面负责项目的规划、准备、培训等各项工作
      • 资源需求
        • 制定 测试、培训和维护 实施(激活/执行)三个阶段所需要的资源
      • 法律和法规要求
    • 业务影响评估 BIA (业务影响分析)
      • https://zhuanlan.zhihu.com/p/487487372 BIA示例
      • BIA过程
        • 确定信息收集技术 选择受访者 识别关键业务功能(critical business functions)及其支持资源 确定如果失去这些资源的支持这些功能能存活多久 识别弱点和威胁 计算每个业务功能的风险 准备提交BIA报告（存在的问题+应对建议）
      • BIA的信息分析
        • 定性和定量的自动化工具 辅助进行信息的整体和分析 业务的代表检查和确认信息分析的结果 整理(Organize) 归纳(Correlate) 分析(Analyses)确认(Confirm)
      • 确定允许中断时间 MTD
        • 业务影响分析的核心任务是确定关键业务功能及 其支持资源的最大允许中断时间 MTDs 支持多个业务功能的资源其关键程度较高 中断时间超过最大允许中断时间(Maximum Tolerable Downtime) 将造成业务难以恢复，越是关键的功能或资源 根据MTDs排定关键业务功能及其支持资源的恢复顺序
      • 支持资源的确定
        • 确定关键功能的所有支持资源(包括非计算机资源)、资源的使用时间段、缺少该资源对功能的影响以及资源之间的相互依赖
      • 灾难恢复的度量
        • 恢复时间目标，Recovery Time Object，RTO
          • 在系统的不可用性严重影响到机构之前所允许消耗的最长时间 RPO之前备份了的数据也在这段时间里导入系统
        • 恢复点目标，Recovery Point Objectives，RPO
          • 数据必须被恢以便继续进行处理的点。也就是所允许的最大数据丢失量
        • 工作复原时间， Work Recovery Time，WRT
          • 需要由业务来恢复RPO中丢失的数据，业务确认验证系统
        • RTO+WRT=MTD
        • 备用站点的服务级别叫SDO，通常低于主站点的SLA 服务交付目标 (SDO) 与业务需求直接相关，是恢复正常状况之前在备用流程模式期间所要达到的服务等级。SDO 是在 RTO 期间可接受的服务等级。
    • 连续性计划
      • 策略开发
        • 目标、范围、需求 基本原则和指导方针 职责和责任 关键环节的基本要求 BCP规划最终应该形成业务连续性策略
      • 预备和处理
        • BCP团队设计具体的过程和机制来减轻再策 略开发阶段被认为不可接受的风险
    • 计划批准和实施
      • 计划批准
        • 策略条款应得到高级管理层的正式批准，并公布成为机构的政策，指导业务连续性的相关工作。
      • 计划实施 培训和教育 BCP 文档化
    • Business Case在BCP中起到了桥梁的作用，它不仅为管理层提供了一个清晰的项目愿景和计划，还通过综合分析项目的成本、收益、风险等因素，帮助管理层做出明智的决策，获得支持，确保业务连续性计划的成功实施‌
    • 按CBK，BCP/DRP演练的类型主要有以下几种： 1、核对性检查Read-through，也就是文件通读，验证灾难期间沟通所需的信息和程序，目标是发现缺失或过时的细节（比如联系人列表和备品备件是否正常），以及任何不正确的假设。 2、桌面演练tabletop，角色扮演，会在口头或纸面上谈及、讨论将执行的步骤，但不会操作（不论测试环境还是真实环境）这些步骤。 CBK把桌面演练跟前项“核对性检查”写在一起，而与后面的其他几项是并列的，说明这核对性检查和桌面演练的目的、效果以及对运营的影响都相近。但两者的具体形式上是有区别的，也很容易区分。 强调： 核对性检查和桌面演练可以、也应该按更高的频次施行，即使已经有了每年一次的模拟（及并行或全中断）演练；另一方面，如果只实施核对性检查和桌面演练，不管每年做多少次，都不能被认为已尽责。 3、结构化的排练式测试 Structured Walk-through，CBK中说它“扩展了桌面演练”，“但在适当的计划步骤中进行物理的行走或移动”，把除软硬件技术操作以外的人员、物资的调度、迁移、安装等实际的走一遍。比如说火灾时的人员撤离路线和所需时间（与警报响起后多长时间可以启用气体灭火装置强相关）、某个特定的设备运送到场的路线和时间，入场需要多少人手和怎样的工具器械才能上架等等。如果问题涉及人身安全、物资设备的顺利就位等，那选排练式测试Walk-through的几率就大了。 4、模拟测试 Simulation Test，会基于特定场景和特定范围，以模拟simulated或仿真realistic的环境，实施完整的流程和操作，以测试计划的可行性feasibility。 强调： 模拟测试是非真实场景，not real but realistic，证明可行性feasibility。 但在考试时，realistic极有可能被翻译成“真实的”或“现实的”，其实不对！！！realistic是仿真的意思！！！ 建议考试时遇到这个领域的问题切换到英文原文看下。 5、并行测试 Parallel Test（也叫功能演练functional drill） 6、全中断测试 Full-interruption Test 这两种可顾名思义，应不必多解释，需要强调的是它们与模拟测试 Simulation Test的不同，就在于这两种都是在真实real场景下的演练，用于验证计划的有效性effective。
    • 在温站进行的灾难恢复计划测试结果表明，客户端(内部和外部客户端)无法登录到恢复的在线系统，因为没有足够的数据线将客户端场所连接到恢复站点。最有可能得出的结论是： A.The impact of a potential disaster was not fully analyzed. 未充分分析潜在灾难的影响 B.The external communications service providers were not involved in the test. 外部通信服务提供商未参与试验 C.The use of a warm site is inappropriate. 使用温站是不恰当的 D.The business units were not sufficiently involved or consulted in plan development. 计划开发时业务部门没有充分参与或被咨询 D
      • 审查两家公司的灾难恢复互惠协议时，主要担心的是什么？ A.Hardware and software compatibility. 硬件和软件兼容性 B.The soundness of the business impact analysis. 业务影响分析的合理性 C.Frequency of system testing. 系统测试频率 D.Differences in IS policies and procedures. 不同的IS政策和程序 A
        • 下面哪项对 IT 应急计划维护陈述不正确的？ A. The plan should be reviewed at least once a year for accuracy and completeness. 该计划应每年至少进行一次准确性和完备性审查 B. Strict version control should be maintained. 应该保持严格的版本控制 C. The Contingency Planning Coordinator should make sure that every employee gets an up-to-date copy of the plan. 应急计划的协调者应确保每个员工有这一计划的最新副本 D. Copies of the plan should be provided to recovery personnel for storage offline at home and office. 计划的副本应该提供给恢复人员以便离线存储在家和办公室 C
          • 您的任务是制定业务连续性计划/灾难恢复 (BCP/DR) 计划。在对组织的各个领域进行了几个月的研究之后，您已准备好向高级管理层展示该计划。在演示会议期间，您尽职尽责地制定的计划并没有得到积极的接受。高级管理层不相信他们需要制定您的计划，他们也不准备在计划中投资任何资金。高级管理层不愿意认可你的计划的最佳理由是？ A.A Business Impact Assessment was not performed. 业务影响评估没有执行 B. They were not included in any of the Business Impact Assessment meetings. 他们不包括在任何业务影响评估会议内 C. The business case was not initially made and thus did not secure their support. 最初没有制定业务论证，因此没有获得他们的支持 D.They were not included in any of the Risk Assesment meetings 他们没有参加任何风险评估会议内 B
            • 为什么高级管理层明确传达正式的最大可容忍停机时间 (MTD) 很重要? A. 为每位经理选择合适的恢复替代方案提供指导 B. 向董事会证明高级管理层致力于连续性恢复工作 C. 根据内部审计的要求，以证明良好的业务实践 D. 向监管机构证明公司认真对待业务连续性 A
    • DRP测试中，停用主站点业务，将生产切换到备用站点运行的测试是： A.并行测试 B.全面测试 C.模拟测试 D.准备情况测试 B
      • 当发现一个组织的业务连续性计划中，备用站点的业务处理能力只是主站点的业务处理能力的一半时，以下哪种行为是最合适的？ A.Recommend that the information processing facility arrange for an alternate processing site with the capacity to handle at least seventy five percent of normal processing. 建议备用站点的处理能力至少提升至主站点的处理能力的75％。 B.Ensure that critical applications have been identified and that the alternate site could process all such applications.保障关键应用已被识别，而且备用站点能够处理这些应用。 C.Identify applications that could be processed at the alternate site and develop manual procedures to back up other processing. 识别备用站点能够处理的所有业务应用，并且开发手工方式处理其他业务应用。 D.Do nothing, because generally, less than twenty five percent of all processing is critical to an organizations survival and the backup capacity is therefore adequate. 什么都不用做，因为一般来说，企业的关键业务占企业所有业务的25%甚至更低，因此备用站点的处理能力是足够的。 B
        • .您的任务是制定业务连续性计划/穴难恢复（BCP/DR）计划。在对组织的各个领域进行了几个月的研究之后，您已准备好向高级管理层展示该计划。在演示会议期间，您尽职尽责地制定的计划并没有得到积极的接受。高级管理层不相信他们需要制定您的计划，他们也不准备在计划中投资任何资金。高级管理层不愿意认可你的计划的最佳理由是？ A.A Business Impact Assessment was not performed. 业务影响评估没有执行 B. They were not included in any of the Business Impact Assessment meetings. 他们不包括在任何业务影响评估会议内 C. The business case was not initially made and thus did not secure their support. 最初没有制定业务论证，因此没有获得他们的支持 D.They were not included in any of the Risk Assesment meetings 他们没有参加任何风险评估会议内 C
          • The Recovery Point Objective (RPO) in Disaster Recovery Planning refers to whic h of the following? 在灾难恢复计划中的恢复点目标（RPO）是指？ A.Point to which information system must be operational at alternate site 信息系统必须在备用站点运行的时间点 B.POINt tO WhICh APPlICAtION dAtA mUSt be reCovered to resume business transactions 应用程序数据才能恢复业务事务的时间点 C.Maximum elapsed time required to complete recovery of application data 用于完成应用程序的数据恢复的最长的时间 D.Point to which application data must be recovered to resume system operations 必须恢复哪些应用程序数据才能恢复系统运行的时间点 B
            • 以下哪些活动不包括在应急计划过程阶段？ A.申请的优先次序 B.制定测试程序 C.评估威胁对组织的影响 D.制定恢复方案 B
    • Which of the following focuses on sustaining an organization's business functions during and after a disruption? A. Businesscontinuityplan B. Businessrecoveryplan C. Continuity of operations plan D. Disaster recovery plan A Disaster recovery plan is a plan developed to help a company recover from a disaster. It does not include operations to sustain business functions during a disruption
      • Which of the following enables the person responsible for contingency planning to focus risk management efforts and resources in a prioritized manner only on the identified risks? A. Risk assessment B. Residualrisks C. Securitycontrols D. Business units 以下哪一项使应急计划负责人能够以优先的方式将风险管理工作和资源集中在已识别的风险上？ A.风险评估 B.剩余风险 C.安全控制 D.业务单位 A
        • Which of the following is less likely to accompany a contingency plan, either within the plan itself or in the form of an appendix? A. Contact information for all personnel. B. Vendor contact information,including offsites to rage and alternate site. C. Equipment and system requirements lists of the hardware, software, firmware and other resources required to support system operations. D. The Business Impact Analysis. A混淆是D，业务影响分析是包含在内的，这道题极易理解为恢复文档中不包括，但是题中考的是BCP文档。
    • Failure of a contingency plan is usually: A. A technical failure. B. A management failure. C. Because of a lack of awareness. D. Because of a lack of training. B
  • IPsec 和 TLS、SSL
    • IPsec 安全关联 （Security Association 缩写SA，有些文章翻译为"安全联盟"），是建立ipsec通信所需的相关参数。比如加密密钥、认证密钥等，保存在SAD（SA Database）中。 SP 描述了需要做什么；而 SA 描述了它应该如何实现。 一对SA和SP负责一个方向的数据处理，双向都需要IPsec就需要两对SA和SP。 建立SA，手工配置又复杂又不安全，生产上应该没人会用。利用软件自动配置是首选，软件配置是通过 Internet Key Exchange 协议(有IKEv1 和 IKEv2两个版本) 自动协商。IKE是一个复合协议，协议建立在Internet安全联盟和密钥管理协议ISAKMP定义的框架上，是基于UDP的500 端口的应用层协议，在NAT环境下会切换为4500端口。 IKE的精髓在于它永远不在不安全的网络上传送密钥，通信双方计算出共享的密钥，其中的核心技术就是DH（Diffie Hellman）交换技术。 IKE是一种秘钥交换框架体系。IKE采用ISAKMP所定义的秘钥交换框架体系。 IKE有三个组件：（了解一下不细聊） SKEME，Oakley ，ISAKMP。： ISAKMP：在两个实体间进行分组格式及状态转换的消息交换的体系结构。互联网安全关联和密钥管理协议(ISAKMP) 用子组织和管理OAKLEY和SKEME 生成和交换的加密密钥。 Oakley：定义了秘钥交换的顺序，提供多种秘钥交换模式，基于到达两个对等体间的加密密钥的机制 模式 是一种类似于 Diffie-hellman 的密钥生成和交换协议。 SKEME：定义了秘钥交换的方法，实现公钥加密认证的机制 阶段 安全密钥交换机制”(SKEME) 是一种安全地交换密钥的方法，类似于数字信封。 IKE与ipsec的关系：IKE为ipsec提供自动协商交换秘钥、建立sa的服务，并且为ipsec安全协议负责提供实际的安全服务 IKE协商分两个阶段： 第一阶段 ，用来协商自己用的连接信息，被称为 IKE SA（或 ISAKMP SA ），期间需要完成身份验证和密钥信息交换。 身份验证的方法 Public Key Authentication Pre-Shared-Key Authenticiation (PSK) Extensible Authentication Protocol (EAP) 用户名密码 eXtended Authentication (XAuth) 这个阶段有主模式（Main Mode）和野蛮模式（Aggressive Mode）两种协商方法。感兴趣的可以自行搜索或参考文后的扩展链接了解。 第二阶段 ，是在第一阶段建立的 **IKE SA ** 的保护下来确立 IPsec SA，使用快速模式。根据配置的 AH/ESP 安全协议等参数协商出 IPsec SA。 协商出IPSec 需要使用的认证算法和加密算法及相关密钥 （1）认证算法 IPSec可以使用三种认证算法： MD5（Message Digest 5）：MD5 通过输入任意长度的消息，产生 128bit 的消息摘要。 SHA-1（Secure Hash Algorithm）：SHA-1 通过输入长度小于 2 的 64 次方比特的消息，产生 160bit 的消息摘要。 SHA-2：SHA-2 算法相对于 SHA-1 加密数据位数有所上升，安全性能要远远高于SHA-1 （2）加密算法：加密算法实现主要通过对称密钥系统，它使用相同的密钥对数据进行加密和解密。IPSec使用以下三种加密算法： DES：使用 56bit 的密钥对一个 64bit 的明文块进行加密。 3DES：使用三个 56bit 的 DES 密钥（共 168bit 密钥）对明文进行加密。 AES：使用 128bit、192bit 或 256bit 密钥长度的 AES 算法对明文进行加密。 工作模式和封装协议 工作模式有隧道模式(Tunnel mode)和传输模式(Transport mode)。 封装协议有 AH (Authentication Header头部验证) 和 ESP (Encapsulating Security Payload安全载荷封装)两种，协议号分别为51、50。IPSEC 使用 ESP 来支持加密，使用 AH来保护报文的完整性。二者可以单独使用， 也可以一起使用。 AH 认证头协议： 鉴别头 AH：（不提供保密性，只对整个IP数据包提供保护） 无连接数据完整性：通过哈希函数产生的校验来保证 数据源认证：通过计算验证码时加入一个共享密钥来实现 抗重放服务：AH报头中的随机序列号可以防止重放攻击 ESP 封装安全载荷协议： 除提供 AH 认证头协议的所有功能之外，还有数据保密和有限的数据流保护。ESP 协议允许对 IP 报文净荷进行加密和认证、只加密或者只认证，ESP 没有对 IP头的内容进行保护。 保密服务通过使用密码算法加密 IP 数据包的相关部分来实现。 数据流保密由隧道模式下的保密服务提供。 ESP 通常使用 DES、3DES、AES 等加密算法实现数据加密，使用 MD5 或 SHA1 来实现数据完整性认证
      • TLS 由两层组成： TLS 记录协议（TLS Record）和 TLS 握手协议（TLS Handshake） 基本原理 TLS协议在客户端和服务器之间建立安全通信时使用数字证书来进行身份验证，不同版本的流程稍有差异，但是基本原理都一样，下面先大致看一下基本原理： 客户端发起连接：客户端（例如，Web浏览器）向服务器发起一个安全连接请求，通常这是通过在URL中使用https而不是http来完成的。 服务器提供证书：作为响应，服务器将自己的数字证书（通常包含服务器的公钥）发送给客户端。这个证书由一个信任的证书颁发机构（CA）签发。 客户端验证证书：客户端接收到服务器的证书后，进行以下检查： 证书的合法性：客户端使用预先安装的信任CA的根证书来验证服务器证书的签名。如果签名有效，表明证书是由信任的CA颁发的。 证书的有效期：客户端检查证书的有效日期，确保证书在有效期内。 证书的撤销状态：客户端可能会检查该证书是否已被吊销，这可以通过访问CA的证书吊销列表（CRL）或使用在线证书状态协议（OCSP）完成。 服务器的身份：客户端验证证书中的“Subject Name”或“Subject Alternative Name”字段是否与请求的服务器域名匹配。 其他扩展：客户端还可以检查证书的其他扩展，如“Basic Constraints”、“Key Usage”等，以确保证书的用途符合预期。 密钥交换：如果证书验证成功，客户端使用证书中的公钥对一个生成的随机密钥（预主密钥）进行加密，并将其发送给服务器。服务器使用自己的私钥解密这个预主密钥。 建立加密会话：客户端和服务器使用预主密钥生成会话密钥，并使用这个密钥对接下来的通信进行加密。 通信：一旦安全通道建立，客户端和服务器就可以开始加密的通信了。
      • IKE（互联网密钥交换）协议 IPSec VPN需要预先协商加密协议、散列函数、封装协议、封装模式和密钥有效期等内容。具体执行协商任务的协议叫做互联网密交换协议 IKE。 IKE主要完成如下3个方面的任务： 对建立IPSec 的双方进行认证(要预先协商认证方式)。 通过密钥交换，产生用于加密和 HMAC 的随机密钥。 协商协议参数 (加密协议、散列函数、封装协议、封装模式和密有效期)。 协商完成后的结果就叫做安全关联 SA，也可以说IKE 建立了安全关联SA。 一共有两种类型，一种叫做IKE SA，另一种叫做 IPSec SA。 IKE SA维护了安全防护 (加密协议、散列函数、认证方式、密钥有效期等)IKE 协议的细节。 IPSec SA 则维护了安全防护实际用户流量 (通信点之间流量)的细节。 SKEME 决定了IKE的密钥交换方式，IKE主要使用DH来实现密钥交换。 Oakley 决定了IPSec 的框架设计，让IPSec 能够支持更多的协议。 ISAKMP 是 IKE 的本质协议，它决定了 IKE 协商包的封装格式，交换过程和模式的切换。 ISAKMP是IKE的核心协议，所以经常会把IKE与ISAKMP 这两个词语换着使用。例如，IKE SA 也经常被说成ISAKMP SA。 在配置 IPSec VPN 的时候，主要的配置内容也是ISAKMP。SKEME 和Okley 没有任何相关的配置内容。 如果一定要对IKE和ISAKMP进行区分的话，那么由于 SKEME 的存在，因此IKE 能够决定密钥交换的方式，但是ISAKMP只能够为密钥交换来交换数据包，但却不能决定密钥交换实现的方式。
    • IKE协议在哪一个阶段执行对等身份验证？ A. Phase 1 / 阶段1 B. Phase 2 / 阶段2 C. Pre Initialization Phase / 预初始化阶段 D. No peer authentication is performed / 没有执行对等身份验证 A
      • TLS协议是一个两层接口层安全协议，包括TLS记录协议和？ A. Transport Layer Security (TLS) Internet Protocol. / 传输层安全(TLS)互联网协议 B. Transport Layer Security (TLS) Data Protocol. / 传输层安全(TLS)数据协议 C. Transport Layer Security (TLS) Link Protocol. / 传输层安全(TLS)连接协议 D. Transport Layer Security (TLS) Handshake Protocol. / 传输层安全(TLS)握手协议 D
        • Which of the following statements pertaining to Secure Sockets Layer (SSL) is false? 关于安全套接层(SSL), 下面哪个描述是错误的？ A.The SSL protocol's primary use is to authenticate the client to the server using public key cryptography and digital certificates. / SSL的主要用途是使用公钥密码学和数字签名技术为服务器验证客户端 B.Web pages using the SSL protocol start with HTTPS / 使用了SSL的Web网页地址以HTTPS开头 C.High-level application layer protocols (such as HTTP, Telnet, FTP etc. ) can be transparently built on top of the SSL protocol. / 高层的应用层协议(如HTTP, Telnet, FTP等)可以透明地建立于SSL协议之上。 D.The SSL protocol was developed by Netscape to secure Internet client-server transactions. / SSL协议是网景公司(Netscape)发明的，用于Internet的客户端—服务器安全通信 A
          • 在TLS中，用于加密web服务器和客户端之间通信的实际内容的是哪种密钥？ A. 客户的公钥 B. 短期会话密钥 C. 服务器的公钥 D. 服务器的私钥 B
            • 在互联网协议语音 （VoIP） 网络中配置可扩展身份验证协议 (EAP) 时，以下哪种身份验证类型最安全? A. PEAP B. EAP-TLS C. EAP-TTLS D. EAP-PSK C
    • What is called the standard format that was established to set up and manage Security Associations (SA) on the Internet in IPSec? IPSec 协议中建立和管理安全联合（SA）的标准（协议）是什么？ A. Internet Key Exchange （IKE） Internet 密钥交换（IKE） B. Secure Key Exchange Mechanism 安全密钥交换机制 C. Internet Security Association and Key Management Protocol, Internet 合和密钥交换协议 D. Oakley Oakley 协议 答案：A
      • 118. In a SSL session between a client and a server, who is responsible for generating the master secret that will be used as a seed to generate the symmetric keys that will be used during the session? 客户端和服务器之间的SSL会话，哪一方负责生成主密秘作种子来生成对称密钥，该密钥用于会话中的通信保密。 A Both client and server 客户端和服务器共同参与 B. The web server Web 服务器 C The merchant's Certificate Server 商家证书服务器 D. The client's browser 客户端浏览器 答案：D
        • 传输层安全性（TLS）中使用的数字证书支持以下哪一项？ A Information input validation 信息输入验证 B Non-repudiation controls and data encryption 不可否认控制和数据加密 C Multi-Factor Authentication (MFA) 多因素身份认证（MFA） D Server identity and data confidentially 服务器身份和数据保密 D
          • 以下哪一项是独立于任何特定密钥生成技术、密钥建立协议、加密算法或身份验证机制的细节，用于协商、建立、修改和删除安全关联以及交换密钥生成和身份验证数据的互联网IPsec协议？ A.OAKLEY B.互联网安全关联和密钥管理协议（ISAKMP） C.互联网协议的简单密钥管理（SKIP） D.IPsec密钥交换（IKE） B
            • 以下哪一项被定义为基于为IPsec提出但被IKE取代的Diffie-Hellman算法的密钥建立协议？ A.Diffie-Hellman密钥交换协议 B.互联网安全关联和密钥管理协议（ISAKMP） C.互联网协议的简单密钥管理（SKIP） D.OAKLEY D
    • 以下哪一项最适合定义为使用混合加密传递会话密钥的密钥分发协议？该协议只建立一次长期密钥，然后不需要事先通信，就可以在逐个会话的基础上建立或交换密钥？ A.互联网安全协会和密钥管理协议（ISAKMP） B.互联网协议的简单密钥管理协议（SKIP） C.Diffie-Hellman密钥分发协议 D.IPsec密钥交换（IKE） B
      • Which of the following statements is NOT true of IPSec Transport mode? A. It is required for gateways providing access to internal systems B. Set-upwhenend-pointishostorcommunicationsterminatesatend-points C. If used in gateway-to-host communication, gateway must act as host D. When ESP is used for the security protocol, the hash is only applied to the upper layer protocols contained in the packet 以下关于IPSec传输模式的陈述中，哪一项不正确？ A.网关需要提供对内部系统的访问 B.设置终端点主机通信终止标记点C.如果用于网关到主机通信，网关必须充当主机 D.当ESP用于安全协议时，哈希仅应用于数据包中包含的上层协议 A B: Transport mode is allowed between two end hosts only. C: As Transport mode only is allowed between two end hosts, the gateway must act as a host. D: ESP operates directly on top of IP. The encryption is only applied to the upper layer protocols contained in the packet.
        • Which of the following statements pertaining to IPSec is NOT true? A. A security association has to be defined between two IPSec systems in order for bi-directional communication to beestablished. B. Integrity and authentication for IP data grams are provided by AH. C. ESP provides for integrity, authentication and encryption to IP datagrams. D. In transport mode, ESP only encrypts the data payload of each packet. 以下关于IPSec的陈述中，哪一项是不正确的？ A.为了建立双向通信，必须在两个IPSec系统之间定义安全关联。B.AH提供IP数据报的完整性和身份验证。C.ESP为IP数据报提供完整性、身份验证和加密。D.在传输模式下，ESP仅对每个数据包的数据有效载荷进行加密。 看英文问题，说的是一个，但是应该是两个
  • 网络和通信
    • 子主题
    • SOCKS 协议工作在 OSI/ISO哪一层？ A. Data link layer / 数据链路层 B. Session layer / 会话层 C. Network layer / 网络层 D. Transport layer / 传输层 根据OSI模型，SOCKS是会话层的协议，位于表示层与传输层之间。
      • 以下哪一个可以在数据链路层实现源身份认证和数据加密？ A. IEEE 802.1AR B. IEEE 802.1AE C. IEEE 802.1AF D. IEEE 802.1X D
  • 数据分级和DLP
    • DLP： 数据丢失预防 (Data Loss Prevention，DLP) 系统旨在阻止数据外泄。DLP分为两类： 基于网络的DLP：扫描所有外出数据，丛中查找特定数据。一般部署在网络边缘，以便扫描准备外出的所有数据，如果包含受限数据文件，DLP 系统会检测出来并阻止外发，同时发出告警。 基于端点的DLP：扫描保存在系统上的文件，也可扫描发送给外设的文件。
    • 数据分级
      • 数据估值（分级是根据敏感性和重要性，并不是根据价值来分级） 识别数据所有者《第一步是识别数据，同时识别数据所有者》 风险评估（除了影响还要考虑可能性，分级主要是考虑影响） 实现数据分类：七步骤： 1、确定管理人员（数据所有者），并且定义职责 2、指定信息如何分类和标记的评估标准 3、对每个资源进行数据分类和增加标签 4、记录数据分类策略中发现的任何异常，并且集成到评估标准中 5、选择将应用于每个分类级别的安全控制措施，以提供必要的保护级别 6、指定解除资源分类的流程，以及将资源保管权转移给外部实体的流程 7、建立组织范围的培训程序来指导所有人员使用分类标签
    • 数据丢失防护 (DLP) 方案 (program) 中应考虑的第一步是什么? A. Policy creation / 政策创建 B. Information Rights Management (IRM) / 信息权限管理 C. Data classification / 数据分级 D. Configuration management (CM) / 配置管理 虽然 CBK6 提到： Discovery and classification:The first stage of DLP is discovery and classification. Discovery is the process of finding all instances of data, while classification is the act of categorizing th at data based on its sensitivity and value to the organization. 但题目里问的是program,program 包括了policy｛信息安全计划（program）是组织为了达成信息安全可接受风险和业务中断水平的目标而制定的一系列信息安全政策（policy）、控制措施及实施方案的总和。｝ OSG 9 : Data classifications are typically defined within security policies or data policies.（数据分级通常在安全策略或数据政策中定义）
      • 为什么数据分级控制对组织很重要？ A. 支持数据发现 B. 确保安全控制与风险保持一致 C. 确保数据完整性、保密性和可用性 D. 根据组织策略控制数据保留 B
        • 下列哪项是确定数据分级的最重要的标准？ A. The level of damage that could be caused if the data were disclosed/如果数据被披露，可能造成的損害程度 B. The likelihood that the data will be accidentally or maliciously disclosed/些数据会被偶然的或悪意的披露的可能性 C. Regulatory requirements in jurisdictions within which the organization is operating 组织运营所在司法管辖区的监管要求 D. The cost of implementing controls for the data / 实现数据控制的成本 A分级是根据敏感性和重要性，并不是根据价值来分级
  • JavaScript
    • 及时更新浏览器客户端
    • 执行JavaScript子集如：ADsafe、Secure ECMAScript或Caja
    • 落实一项内容安全策略，努力对大多数浏览器端活跃技术执行同源限制
    • Web 应用程序防火墙 (WAF)或下一代防火墙 (NGFW)的支持
    • 插件、浏览器辅助对象 (BHO)和扩展来降低 JavaScript 风险，Mozilla Firefox 的 NoScript 和用于(基千 Chromium 的)Chrome 及 Edge 的 UBlock Origin 便是两个例子
  • 802.1X
    • 基于以太网端口认证的802.1x协议有如下特点：IEEE802.1x协议为二层协议，不需要到达三层，对设备的整体性能要求不高，可以有效降低建网成本；借用了在RAS系统中常用的EAP（扩展认证协议），可以提供良好的扩展性和适应性，实现对传统PPP认证架构的兼容；802.1x的认证体系结构中采用了"可控端口"和"不可控端口"的逻辑功能，从而可以实现业务与认证的分离，由RADIUS和交换机利用不可控的逻辑端口共同完成对用户的认证与控制，业务报文直接承载在正常的二层报文上通过可控端口进行交换，通过认证之后的数据包是无需封装的纯数据包；可以使用现有的后台认证系统降低部署的成本，并有丰富的业务支持；可以映射不同的用户认证等级到不同的VLAN；可以使交换端口和无线LAN具有安全的认证接入功能。
  • Enterprise Simple Sign-On SSO
    • https://blog.csdn.net/lwsolos/article/details/876796
    • 单点登录的模型和实现
      • 通用的标准解决方案
        • 通用安全服务应用程序接口（GSS-API ） OSF [ 开放软件基金会 ] 分布式计算环境 DCE 嵌入式认证模块，PAM
      • Broker-Based SSO 的方案
        • Kerberos Kerberos v5 是业界的标准网络身份验证协议，该协议是在麻省理工学院起草的，旨在给计算机网络提供"身份验证"。Kerberos协议的基础是基于信任第三方，如同一个经济人（broker）集中的进行用户认证和发放电子身份凭证，它提供了在开放型网络中进行身份认证的方法，认证实体可以是用户或用户服务。这种认证不依赖宿主机的操作系统或主机的IP地址，不需要保证网络上所有主机的物理安全性，并且假定数据包在传输中可被随机窃取篡改。 Kerberos协议具有以下的一些优势： 与授权机制相结合； 实现了一次性签放的机制，并且签放的票据都有一个有效期； 支持双向的身份认证，既服务器可以通过身份认证确认客户方的身份，而客户如果需要也可以反向认证服务方的身份； 支持分布式网络环境下的认证机制，通过交换"跨域密钥"来实现。
        • Sesame Sesame, 代表欧洲安全多环境应用系统（Secure European System for Application in Multivendor Environment）。是一个欧洲团体安全项目，被认为是一种欧洲版本的Kerberos。Sesame是建造在GSS-API上，提供单点登录服务和的在分布式环境中的数据安全性。尽管Sesame与Kerberos基于同样范例，但它们不是一对一的复制，而是在原有的设计中增加了一些新的特性。这些包括 异种环境， 访问控制， 可扩展的公钥系统， 更好的可管理性， 审计， 委托授权。 在Kerberos中，用户首先到一个认证服务器认证自己。从认证服务器获得标识在呈现给其他服务器以获得访问最终应用系统的授权。而在Sesame中，这些服务器被统称为特权属性服务器。从一个特权属性服务器，用户获得特权属性证书，最后把访问权利给需要的服务。
        • IBM KryptoKnight KryptoKnight是IBM公司的一种类似于Kerberos的鉴别和密钥分配系统。它是一种秘密密钥协议并使用DES-CBC模式或MD5增加版。支持四项保密功能： 用户鉴别 双方鉴别 密钥分配 数据源和数据内容的鉴别。 它和Kerberos的区别在于 采用单向散列函数鉴别和加密票据 不依靠同步时钟，而使用当前时间 如果甲试图和乙通信，可以允许甲发一条消息给乙，然后乙初始化密钥交换协议。 KryptoKnight极大的优化了消息数量，长度和加密的数量，而且不仅支持IP协议也支持其他通信协议如NetBIOS协议。
        • 可实施性 Broker-based解决方案的主要的问题，例如Kerberos，是确定现有哪些应用程序需要被修改的，或"kerberized"以接受票据，而对于旧系统的改造，是项艰巨的工作。 管理 集中式的管理是在Broker-based解决方案的主要好处，一个中央数据库易于进行管理。 安全性 一个Broker-base的解决方案的设计实现安全的实际水平，取决于实施。Kerberos存在有若干安全上的争论。 旧的鉴别码有可能被存储和重用。尽管时间标记可用于防止这种攻击，但在票据有效时间内仍有风险。典型的票据有效时间是八小时。 鉴别码还基于一个假设，即网络中的所有时钟基本是同步。如果能够欺骗主机，使它的正确时间发生错误，就的鉴别码则能够被重放。大多数网络时间协议是不安全的，因此将可能导致严重问题。 在Kerberos中的认证仅仅基于口令, 这样使系统在口令猜测面前显得很脆弱。攻击者收集到大量的票据，则会有很大的可能性找到口令。 最严重的是，Kerberos假设Client已被信任，而恶意的Kerberos软件可以完成Kerberos协议并记录口令来替代所有客户的Kerberos应用。任何一种安装在不安全的计算机环境中的密码软件都会面临这样的问题。 和Kerberos一样，Sesame有一样的脆弱, 也就是口令猜测攻击的危险。 KryptoKnight在密码技术上的改进应该使了它比 Kerberos 更安全。 加强Kerberos的工作包括使用PKI技术和密钥管理中心的智能卡接口。 使用性 在集中式的模型管理中，容易受到批评的是如果认证服务器宕掉，则所有的应用，所有的用户都会受到影响。
      • Agent-Based SSO 方案
      • Token-Based SSO 的方案
      • Agent and Broker-Based SSO 解决方案
    • kerberos认证过程
      • Kerberos 身份验证过程 Kerberos 身份验证的每个步骤都采用加密技术来保护数据包不被更改或读取，并提供相互身份验证。客户端向 KDC 请求用户的票证，并使用用户的密码对请求进行加密。如果 KDC 可以使用其存储的用户密码解密请求，则它知道客户端已为用户提供了正确的密码。 KDC为用户创建票证授予票证（TGT），用用户的密码对其进行加密，然后返回给客户端。如果客户端可以使用用户的密码解密该票证，则它知道 KDC 是合法的。 客户端通过提供其 TGT 和票证授予服务 (TGS) 请求（其中包括其想要访问的服务的服务主体名称）来向 KDC 请求服务票证。 KDC 创建使用服务的密码哈希（TGS 密钥）加密的服务票证 (TGS)，使用共享票证授予服务会话密钥对票证和身份验证器消息进行加密，最后将 TGS 发送回客户端。 客户端通过向应用程序服务器提供从 KDC 获取的服务票证来请求访问应用程序服务器（服务），应用程序服务器使用自己的密码哈希来解密该消息。如果成功解密 TGS，应用程序服务器将授予客户端访问权限。 kerberos的影响因素 ● 域控制器之间需要复制。 如果部署了多个域控制器（因此也有多个 KDC），则必须启用并及时进行复制。如果复制失败或延迟，用户更改密码时身份验证可能会失败。 ● 客户端和 KDC 必须使用 NetBIOS 和 DNS 名称解析。 Kerberos 服务主体名称通常包括 NetBIOS 和 DNS 地址，这意味着 KDC 和客户端必须能够以相同的方式解析这些名称。在某些情况下，IP 地址也可以用在服务主体名称中。 ● 客户端和 KDC 的时钟必须同步。 准确测量时间对于防止重放攻击非常重要。 Kerberos 支持可配置的时间偏差（默认情况下为 5 分钟），超出该时间偏差客户端身份验证将失败。 ● 客户端和 KDC 必须能够在网络上进行通信。 Kerberos 流量发生在 TCP 和 UDP 端口 88 上，所有客户端都必须能够访问该端口，并且至少有一个 KDC。 ● 客户端、用户和服务必须具有唯一的名称。 计算机、用户或服务主体名称的重复凭据可能会导致意外的 Kerberos 身份验证 Kerberos 原理 在深入了解 Kerberos 原理之前，先介绍一下 Kerberos 协议的几个大前提，帮助大家理解： Kerberos 基于 Ticket 实现身份认证，而非密码。如果客户端无法利用本地密钥，解密出 KDC 返回的加密Ticket，认证将无法通过。 客户端将依次与 Authentication Service, Ticket Granting Service 以及目标Service进行交互，共三次交互。 客户端与其他组件交互是，都将获取到两条信息，其中一条可以通过本地密钥解密出，另外一条将无法解密出。 客户端想要访问的目标服务，将不会直接与KDC交互，而是通过能否正确解密出客户端的请求来进行认证。 KDC Database 包含有所有 principal 对应的密码。 Kerberos 中信息加密方式一般是对称加密（可配置成非对称加密）。 下面，我们将以客户端访问 http 服务为例，解释整个认证过程。 Kerberos认证流程 上面说到了简化版的Kerberos认证流程，基本上分为两步。 第一步，客户端向KDC请求获得他想要访问的服务的服务授予票据（可以想象成去动物园，想去买一张能够进入动物园的门票）。第二步，拿着这张服务授予票据（Ticket）去访问服务端的服务。 大致的过程确实可以看作这两步，但其中还存在一些问题： 问题1. KDC怎么知道你（客户端）就是真正的客户端？凭什么给你发放服务授予票据（Ticket）呢？ 问题2. 服务端怎么知道你带来的服务授予票据（Ticket）就是一张真正的票据呢？ 这就需要开始细节的描述一下整个Kerberos认证的过程了~ 上面提到整个流程可以简化为两大步，但其实在第一步中共做了两件事，这两件事解决了上述问题中的问题1；然后第二步解决了问题2，最终结束认证过程建立通信。所以整个Kerberos认证流程可以细化为三个阶段也可以 理解为三次通信!接下来从三个阶段三次通信的角度细说认证过程。 在具体描述整个认证流程之前，我们需要知道几个Kerberos认证的前提条件： kerberos协议他是一个“限权”的认证协议，kerberos中会自带一个数据库，这个数据库会由创建kerberos的运维人员提前在库中添加好整个系统中拥有使用kerberos认证权限的用户和网络服务。在后续的认证中也是根据数据库中是否存在该用户和服务来判断该对象是否能够通过认证服务的。 所有使用kerberos协议的用户和网络服务，在他们添加进kerberos系统中时，都会根据自己当前的密码（用户密码，人为对网络服务随机生成的密码）生成一把密钥存储在kerberos数据库中，且kerberos数据库也会同时保存用户的基本信息（例如用户名，用户IP地址等）和网络服务的基本信息（IP，Server Name） kerberos中存在的三个角色，只要是发生了两两之间的通信，那么都需要先进行身份的认证 第一次通信 ① 客户端用户向KDC以明文的方式发起请求。该次请求中携带了自己的用户名，主机IP，和当前时间戳； ② KDC当中的AS（Authentication Server）接收请求（AS是KDC中专门用来认证客户端身份的认证服务器）后去kerberos认证数据库中根据用户名查找是否存在该用户，此时只会查找是否有相同用户名的用户，并不会判断身份的可靠性； ③ 如果没有该用户名，认证失败，服务结束；如果存在该用户名，则AS认证中心便认为用户存在，此时便会返回响应给客户端，其中包含两部分内容： ● 第一部分内容称为TGT，他叫做票据授予票据，客户端需要使用TGT去KDC中的TGS（票据授予中心）获取访问网络服务所需的Ticket（服务授予票据），TGT中包含的内容有kerberos数据库中存在的该客户端的Name，IP，当前时间戳，客户端，即将访问的TGS的Name，TGT的有效时间以及一把用于客户端和TGS间进行通信的Session_key(CT_SK)。整个TGT使用TGS密钥加密，客户端是解密不了的，由于密钥从没有在网络中传输过，所以也不存在密钥被劫持破解的情况。 ● 第二部分内容是使用客户端密钥加密的一段内容，其中包括用于客户端和TGS间通信的Session_key(CT_SK),客户端即将访问的TGS的Name以及TGT的有效时间，和一个当前时间戳。该部分内容使用客户端密钥加密，所以客户端在拿到该部分内容时可以通过自己的密钥解密。如果是一个假的客户端，那么他是不会拥有真正客户端的密钥的，因为该密钥也从没在网络中进行传输过。这也同时认证了客户端的身份，如果是假客户端会由于解密失败从而终端认证流程。 此时的客户端收到了来自KDC（其实是AS）的响应，并获取到了其中的两部分内容。此时客户端会用自己的密钥将第二部分内容进行解密，分别获得时间戳，自己将要访问的TGS的信息，和用于与TGS通信时的密钥CT_SK。首先他会根据时间戳判断该时间戳与自己发送请求时的时间之间的差值是否大于5分钟，如果大于五分钟则认为该AS是伪造的，认证至此失败。如果时间戳合理，客户端便准备向TGS发起请求，其次请求的主要目的是为了获取能够访问目标网络服务的服务授予票据Ticket（进入动物园需要的门票）。 在第二次通信请求中，客户端将携带三部分内容交给KDc中的TGS，第二次通信过程具体如下所述： ① 客户端使用CT_SK加密将自己的客户端信息发送给KDC，其中包括客户端名，IP，时间戳； ② 客户端将自己想要访问的Server服务以明文的方式发送给KDC； ③ 客户端将使用TGS密钥加密的TGT也原封不动的也携带给KDC； TGS行为： ① 此时KDC中的TGS（票据授予服务器）收到了来自客户端的请求。他首先根据客户端明文传输过来的Server服务IP查看当前kerberos系统中是否存在可以被用户访问的该服务。如果不存在，认证失败结束，。如果存在，继续接下来的认证。 ② TGS使用自己的密钥将TGT中的内容进行解密，此时他看到了经过AS认证过后并记录的用户信息，一把Session_KEY即CT_SK，还有时间戳信息，他会现根据时间戳判断此次通信是否真是可靠有无超出时延。 ③ 如果时延正常，则TGS会使用CK_SK对客户端的第一部分内容进行解密（使用CT_SK加密的客户端信息），取出其中的用户信息和TGT中的用户信息进行比对，如果全部相同则认为客户端身份正确，方可继续进行下一步。 ④ 此时KDC将返回响应给客户端，响应内容包括： ● 第一部分：用于客户端访问网络服务的使用Server密码加密的ST（Servre Ticket），其中包括客户端的Name，IP，需要访问的网络服务的地址Server IP，ST的有效时间，时间戳以及用于客户端和服务端之间通信的CS_SK（Session Key）。 ● 第二部分：使用CT_SK加密的内容，其中包括CS_SK和时间戳，还有ST的有效时间。由于在第一次通信的过程中，AS已将CT_SK通过客户端密码加密交给了客户端，且客户端解密并缓存了CT_SK，所以该部分内容在客户端接收到时是可以自己解密的。 第三次通信就是客户端与要访问的服务器通信。 此时的客户端收到了来自KDC（TGS）的响应，并使用缓存在本地的CT_SK解密了第二部分内容（第一部分内容中的ST是由Server密码加密的，客户端无法解密），检查时间戳无误后取出其中的CS_SK准备向服务端发起最后的请求。 客户端： ① 客户端使用CK_SK将自己的主机信息和时间戳进行加密作为交给服务端的第一部分内容，然后将ST（服务授予票据）作为第二部分内容都发送给服务端。 服务端： ① 服务器此时收到了来自客户端的请求，他会使用自己的密钥，即Server密钥将客户端第二部分内容进行解密，核对时间戳之后将其中的CS_SK取出，使用CS_SK将客户端发来的第一部分内容进行解密，从而获得经过TGS认证过后的客户端信息，此时他将这部分信息和客户端第二部分内容带来的自己的信息进行比对，最终确认该客户端就是经过了KDC认证的具有真实身份的客户端，是他可以提供服务的客户端。此时服务端返回一段使用CT_SK加密的表示接收请求的响应给客户端，在客户端收到请求之后，使用缓存在本地的CS_ST解密之后也确定了服务端的身份（其实服务端在通信的过程中还会使用数字证书证明自己身份）。 至此，第三次通信完成。此时也代表着整个kerberos认证的完成，通信的双方都确认了对方的身份，此时便可以放心的进行整个网络通信了。 黄金、白银票据 在 Windows 的 kerberos 认证过程中，Client 将自己的信息发送给 KDC，然后 KDC使用 Krbtgt 用户的 NTLM-Hash 作为密钥进行加密，生成 TGT。那么如果获取到了Krbtgt 的 NTLM-Hash 值，不就可以伪造任意的 TGT 了吗。因为 Krbtgt 只有域控制器上面才有，所以使用黄金凭据意味着你之前拿到过域控制器的权限，黄金凭据可以理解为一个后门。 先假设这么一种情况，原先已拿到的域内所有的账户 Hash，包括 Krbtgt 这个账户，由于有些原因导致你对域管权限丢失，但好在你还有一个普通域用户权限，碰巧管理员在域内加固时忘记重置 Krbtgt 密码，基于此条件，我们还能利用该票据重新获得域管理员权限。利用 Krbtgt 的 Hash 值可以伪造生成任意的 TGT，能够绕 过对任意用户的账号策略，让用户成为任意组的成员，可用于 Kerberos 认证的任何服务。 白银票据（Silver ticket ） 白银票据不同于黄金票据，白银票据的利用过程是伪造 TGS，通过已知的授权服务密码生成一张可以访问该服务的 TGT。因为在票据生成过程中不需要使用KDC，所以可以绕过域控制器，很少留下日志。而黄金票据在利用过程中由 KDC颁发 TGT，并且在生成伪造的 TGT 得 20 分钟内，TGS 不会对该 TGT 的真伪进行 效验。白银票据依赖于服务账号的密码散列值，这不同于黄金票据利用需要使用 Krbtgt账号的密码哈希值，因此更加隐蔽。 MS14-068 这里便用到了我们之前所讲到的 PAC 这个东西，PAC 是用来验证 Client 的访问权限的，它会被放在 TGT 里发送给 Client，然后由 Client 发送给 TGS。但也恰恰是这个 PAC 造成了 MS14-068 这个漏洞。该漏洞是位于 kdcsvc.dll 域控制器的密钥分发中心（KDC）服务中的 Windows 漏洞，它允许经过身份验证的用户在其获得的票证 TGT 中插入任意的 PAC 。普通用户可以通过呈现具有改变了 PAC 的 TGT 来伪造票据获得管理员权限。 密码喷洒攻击 在实际渗透中，许多渗透测试人员和攻击者通常都会使用一种被称为 “密码喷洒”（Password Spraying）的技术来进行测试和攻击。对密码进行喷洒式的攻击，这个叫法很形象，因为它属于自动化密码猜测的一种。这种针对所有用户的自动密码猜测通常是为了避免帐户被锁定，因为针对同一个用户的连续密码猜测会导致帐户被锁定。所以只有对所有用户同时执行特定的密码登录尝试，才能增加破解的概率，消除帐户被锁定的概率。普通的爆破就是用户名固定，爆破密码，但是密码喷洒，是用固定的密码去跑用户名。 ———————————————— 版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。 原文链接：https://blog.csdn.net/2401_83799022/article/details/139173846
    • 25. There are parallels between the trust models in Kerberos and Public Key Infrastructure (PKI). When we compare them side by side, Kerberos tickets correspond most closely to which of the following? 在Kerberos和公共密钥基础设施（PKI）的信任模型之间有相似之处。当对比两样技术，Kerberos票证更相似以下哪一项？ A.private keys 私钥 B.public-key certificates 公钥认证 C.private-key certificates 私钥认证 D.public keys 公钥 答案：B
      • Which of the following is implemented through scripts that replay the users multiple log-ins, authentication servers to verify a user's identity, or encrypted authentication tickets to permit access to system services? 下列哪项是通过脚本实现回应用户多重登录，授权服务器验证用户身份或加密身份验证单来允许访问系统服务？ A.Single Sign-On 单点登录 B. Dynamic Sign-On 动态登录 C.Kerberos Kerberos认证系统 D.Smart cards 智能卡 答案：A
        • The authenticator within Kerberos provides a requested service to the client after validating which of the following? 在验证下列哪一项后，Kerberos认证提供所请求的服务给客户端？ A.server public key 服务器公钥 B.timestamp 时间戳 C. client public key 客户端公钥 D.client private key 客户端私钥 答案：B
          • Which of the following is addressed by Kerberos? TEW EKerberos? Kerberos解决了下面那些问题？ A. confidentiality and integrity 保密性和完整性 B.auditability and integrity 可审计性和完整性 C.authentication and availability 身份验证和可用性 D.validation and integrity 验证和完整性 答案：A 不是validation 而是authentication，所以D不对
            • 83. Like the Kerberos protocol, SESAME is also subject to which of the following? 像Kerberos协议，SESAME还受制于以下哪项？ A. timeslot replay 时隙重播 B.asymmetric key guessing 不对称密钥猜测 C.password guessing 密码猜测 D.symmetric key guessing 对称密钥猜测 答案：C
    • The authenticator within Kerberos provides a requested service to the client after validating which of the following? 在验证下列哪一项后，Kerberos验证者提供所请求的服务给客户端？ A. server public key 服务器公钥 B.timestamp 时间戳 C. client public key 客户端公钥 D.client private key 客户端私钥 authenticator（验证者）是服务器用于验证客户机用户主体的信息。验证者包含用户的主体名称、时间标记和其他数据。与票证不同，验证者只能使用一次，通常在请求访问服务时使用。验证者使用客户机和服务器共享的会话密钥进行加密。通常，客户机会创建验证者，并将其与服务器或服务的票证一同发送，以便向服务器或服务进行验证。 Kerberos 是对称加密，没有使用公钥
      • 以下哪一项不是 Kerberos 的弱点？ A. The KDC is a single point of failure./ KDC 是单点故障 B. Compromise of the KDC would allow attackers to impersonate any user./ IX4KDCH7 允许攻击者冒充任何用户。 C. Authentication information is not encrypted. 验证信息未加密 D. It is susceptible to password guessing. 易受密码猜测攻击 C.Kerberos 使用密钥加密消息，为身份验证流量提供保护(密码明文发送不是验证信息未加密)。 KDC 都是单点故障，如果受到破坏，可能会导致问题。 因为密钥存储在 KDC上，允许攻击者冒充任何用户。 与许多身份验证方法一样，Kerberos 容易受到密码猜测的影响。
        • . 以下哪些服务可以通过云服务或本地部署，以与标识即服务（IDaaS）集成作为用户标识的权威源？ • A. 多因素身份验证（MFA） • B. 目录（Directory） • C. 用户数据库（User database） • D. 单点登录 （SSO） B
  • 轻量目录访问协议（LDAP）
    • LDAP（Lightweight Directory Access Protocol，轻量目录访问协议）是一种基于TCP/IP的应用层协议，用于访问和维护分布式目录信息。它是X.500标准目录访问协议的一个简化版本，专为广域网设计，以提供快速的读取访问。 X.500标准目录访问协议（Directory Access Protocol, DAP） DAP是国际电信联盟电信标准化部门（ITU-T）提出的一套标准，它属于X.500系列标准的一部分。X.500标准旨在定义一个全球范围内的目录服务框架，使得组织能够在一个统一的结构中存储和检索有关实体（如个人、组织单元、设备等）的信息。 X.500架构概述： 目录模型：X.500使用一个分层的目录模型，这个模型类似于文件系统中的目录结构，但更复杂，支持多父节点和复杂的属性。 目录系统代理（DSA）：DSA是目录服务的核心组件，负责存储目录信息，并处理来自目录用户代理（DUA）的请求。DSA可以与其他DSA通信，形成一个分布式的目录网络。 目录用户代理（DUA）：DUA是与DSA通信的客户端，它可以是任何需要访问目录服务的应用程序或用户界面。 目录访问协议（DAP）：DAP定义了DUA与DSA之间的通信规则，包括如何查询、更新和管理目录信息。 DAP的特点： 复杂性：DAP提供了非常全面的功能，包括复杂的查询语言和事务处理能力，这使得它在功能上非常强大，但同时也增加了实现和使用的复杂度。 效率：DAP最初的设计考虑到了大型企业级应用的需求，因此在效率和扩展性方面表现良好。 标准化：作为一个国际标准，X.500和DAP确保了不同供应商和不同地理位置之间的互操作性。 DAP的复杂性和对资源的要求使其在早期互联网上的普及受到限制。因此，后来发展出了轻型目录访问协议（LDAP），它是DAP的简化版本，旨在降低资源消耗并提高在互联网环境中的可用性。 LDAP保留了X.500的基本概念和目录模型，但是简化了协议栈，去除了许多复杂的功能，使之更适合在广域网中高效运行。如今，LDAP已经成为最广泛使用的目录服务协议之一，尤其在企业网络和互联网服务中。 特点： 层次结构：LDAP使用树状结构存储数据，每个节点可以有多个子节点。 属性定义：每个目录对象都有一个唯一标识符（DN, Distinguished Name），并可以拥有多个属性。 查询功能：支持复杂的查询语言（如LDAP过滤器），允许用户进行精确或模糊搜索。 安全性：支持SSL/TLS加密，确保数据传输的安全性。 可扩展性：支持自定义属性和对象类，易于扩展以满足特定需求。 应用场景： 1. 企业身份管理：LDAP常被用作企业内部的身份管理系统，存储员工的详细信息（如姓名、邮箱、部门等），并作为统一的认证源，支持单点登录（SSO）。 2. 资源权限控制：在大型网络环境中，LDAP可以用来控制对各种资源的访问权限，如文件系统、网络服务等。 3. 配置管理：用于存储和管理设备配置信息，如网络设备的设置参数。 4. 邮件系统：许多邮件服务器使用LDAP来存储用户账号信息，以便于查找和管理。 5. 教育机构：大学和研究机构常用LDAP来管理学生、教师和员工的信息，以及实验室和图书馆资源的访问权限。 6. 云服务提供商：提供多租户环境下的用户管理和权限控制。 注意事项 确保LDAP服务器的安全性，例如使用LDAPS（LDAP over SSL）。 对于大规模部署，考虑使用更专业的SSO解决方案，如OAuth2或SAML，它们通常提供了更丰富的功能和更好的安全性。
    • 32.以下哪一项是目录服务在TCP/IP上的实现？ A.X.500 B.X.509 C.目录访问协议 DAP D.轻量目录访问协议 LDAP D
  • 软件保障SwA
    • 软件保障(Software Assurance,SwA)指对软件免于存在漏洞(无论是有意设计到软件中的漏洞还是在其生命周期中的任何时候意外插入的漏洞)以及软件按预期方式运行的信心水平。
    • 软件保障SwA所讨论的对象应该包含任何来源的软件，包括自研、外包或采购的。但在备考CISSP的语境下，SwA主要涉及软件采购的场景，描述了为了达到上述信心水平的软件采购过程的4个阶段：
      • 1、计划planing阶段： (1)确定获取软件服务或产品的需求，识别潜在的备选软件方案，并识别与这些备选方法相关的风险。 (2)开发软件需求(包括SwA需求)，作为工作说明书的一部分； (3)创建采购策略和/或计划，包括识别与各种软件采购策略相关联的风险； (4)制定评估标准和评估计划，评估应是客观、专业的独立测试independent testing。 2、合同Contracting阶段 (1)创建/发布招标或RFP，包括工作说明、报价人/供应商说明、条款和条件(含验收条件)、资格预审和证明； (2)评估响应招标或RFP而提交的建议书(就是评标啦)； (3)完成合同谈判，正式确认条款和条件的变更，并授予合同。 3、监控和验收Monitoring&Acceptance阶段 (1)建立并同意(consenting)合同工作进度表；（consenting是非常正式的知情同意哈，手术前那份同意书就是这个词） (2)实施变更(或配置)控制程序； (3)审查并接受软件交付成果。 4、后续follow-on阶段 (1)支持sustainment，包括风险管理、保证案例管理和变更管理；(考虑从软件供应方得到的支持，而不是甲方自己的运维) (2)处置或退役。
    • 23.在应用开发过程中的SwA(software assurance软件保障)用于？ A.防止产生易受攻击的软件 B.鼓励开发开源软件 C.有助于生成可信计算基(TCB)系统 D.有助于生成高可用性的系统
  • 洋葱路由、大蒜路由
    • 子主题
    • 大蒜路由（Garlic routing）是洋葱路由的一个变体，它将传输的原始数据拆散为加密数据包通过多条隧道交叉疏散传递，令攻击者的流量分析难上加难。在洋葱路由中一条或多条数据流的上传与下载共用一条隧道，而这种路由方式的上传与下载隧道相互独立而且两个方向上的隧道数量都可能>1，所以被称为大蒜路由。
  • EAP-TLS、EAP-TTLS、PEAPkongz
    • 子主题
  • 数据字典
    • 1、数据元就是”个人所得税记录表“中的字段，比如示例中的”个人所得税金额“，注意，数据元既有描述内容，也是数据的一部分，最小单元而已，图中蓝色虚框包含的部分就是数据元。 2、数据模型就是”个人所得税记录表“这张表本身，它是现实世界的一个抽象，见图中黑色虚框包含的部分。 3、”个人所得税金额“的元数据是对”个人所得税金额“这个字段的描述，见图中红色虚框部分，可见它不包含数据。 4、”个人所得税记录表“的元数据是对”个人所得税记录表“这张表的描述，见图中咖啡虚框部分。 5、数据字典就是针对表，字段等数据库对象元数据的一种重新组织形式，示意如上。 6、有了对数据模型的理解再看元模型，元模型是模型的模型，定义了描述某一模型的规范，具体来说就是组成模型的元素和元素之间的关系，如上图对实体和实体间的1:1依赖关系做了定义，对实体的属性做了name、field定义，元模型实例化就成了模型和元数据。
    • What is NOT included in a data dictionary？哪个不是包含在数据字典中的？ A. Structured Query Language结构化查询语言 B. Schema Objects模式对象 C. Reference Keys引用键 D. Data Element Definitions数据元素定义 正确答案：A
  • 散列函数 单向散列函数 消息验证码 数字签名
    • 单向散列函数也被称为消息摘要函数(message digest function) 、哈希函数或者杂凑函数，输入单向散列函数的消息也成为原像(pre-image)。单向散列函数的输出值也称为消息摘要(message digest)护或者指纹(fingerprint) 单向散列函数的实际应用 1.4.1 检测软件是否被篡改 可以使用单向散列函数来确认自己下载的软件是否被篡改。很多软件，都会把散列值公布在官方网站上。用户下载完软件后可自行计算散列值，与官方的散列值进行比对。来确认自己下载的软件是否与提供者的一致。 1.4.2 消息认证码 使用单向散列函数可以构造消息认证码，消息认证码在SSL/TLS中也有使用 1.4.3 数字签名 在进行数字签名时会使用单向散列函数。 1.4.4 伪随机生成器 使用单向散列函数可以构造伪随机数生成器。 1.4.5 一次性口令 使用单向散列函数可以构造一次性口令(one-time password)，即使窃听者窃取了口令，也无法使用。 常用的单向散列函数 MD4 MD5 SHA1 SHA-224 SHA-256 SHA-384 SHA-512 1、校验值的长度不同，MD4、MD5校验位的长度是16个字节（128位）；SHA1是20个字节（160位）；SHA256是32个字节（256位）； SHA384为48字节（384位）、SHA512为64字节（512位）。 2、运行速度不同，SHA-3的运行速度最慢，然后是SHA-2，SHA1，最后是MD5。
    • 消息验证码:
      • 消息认证码定义 是经过特定算法后产生的一小段信息，检查某段消息的完整性，以及消息源的认证性. 消息认证码目的 消息源认证：验证消息来源真实而非伪造. 消息的完整性验证：验证消息在传送或存储过程中未被篡改、重放或延迟. MAC特点 跟hash算法一样，可以验证数据的完整性。 可以验证数据确实是由原始发送方发出的。 MAC值 = mac(消息+密钥) MAC值一般和原始消息一起传输，原始消息可以选择加密，也可以选择不加密，通信双方会以相同的方式生成MAC值，然后进行比较,一旦两个MAC值相同表示MAC验证正确，否则验证失败。
      • HMAC（散列处理的消息鉴别码），私钥混入明文计算散列值 （完整性、数据源身份验证（真实性，不是不可否认性）、不提供机密性），HMAC 结合了哈希函数和加密密钥（对称算法+哈希）
      • CBC-MAC，密码分组链接解密 CBC 模式下，把明文分组，最后一组加密后密文最为MAC值和明文一起发送（完整性、数据源身份验证、不提供机密性）
      • CMAC，是CBC-MAC的一种变体，提供与 CBC-MAC相同的数据源认证和完整性，但在数学上更为安全。 把密钥加密后得出散列值（有身份验证）散列，（完整性、不提供机密性或身份验证，只能检测无意的更改）。
      • 更多解释
        • 消息认证码MAC MAC是消息认证码（messageauthentication code）的简称，是一种确认完整性并进行认证的技术。 消息认证码的输入包括任意长度的消息和一个发送者和接收者之间共享的密钥。它可以输出固定长度的数据，这个数据就称为消息认证码，也称为MAC值（这一点和单向散列函数很类似，但是注意：单向散列函数计算的过程中是不需要密钥的，但是计算消息认证码的时候是需要发送者和接收者之间的共享密钥的）。 认证：要计算MAC必须要持有消息发送者和接收者之间的共享密钥，没有共享密钥的人是根本没办法计算MAC值的，即MAC就是通过这一性质来完整对消息的认证的。 完整性：消息只要发生1比特的变化，MAC值也会产生巨大的变化，这一点和单向散列函数很相似，MAC就是利用这一性质来确认消息的完整性的。 MAC流程 例如Alice向Bob发送汇款请求，认证过程如下： 发送者Alice银行和接收者Bob银行事先共享密钥； 发送者Alice银行根据汇款请求信息使用第1步的共享密钥计算出MAC值； 发送者Alice银行将汇款请求信息和第2步计算得到的MAC值一起发送给接收者Bob银行； 接收者Bob银行收到消息后，使用第1步的共享密钥对汇款请求信息计算出MAC值； 接收者Bob银行将自己计算出的MAC与发送者Alice银行发送过来的MAC进行比较； 如果两者MAC一致，则接收者Bob银行可以确认这个消息确实来自发送者Alice（即认证成功），最后可以发起汇款；如果不一致，则可以判定消息不是来自发送者Alice银行（即认证失败），最后不可以发起汇款。 MAC实现方法 使用Hash函数实现 基于SHA-1、MD5之类的单向散列函数实现消息认证码，简称为HMAC，其中一种方法称为HMAC。 使用分组密码实现 使用DES、AES之类的分组密码实现。（可以将分组密码的密钥作为消息认证码的共享密钥来使用，并使用CBC模式将全部的消息进行加密，由于消息认证码不需要解密，因此可以将除了最后一个分组以外的密文数据全部丢弃，而将最后一个分组用作MAC值。由于CBC模式的最后一个分组会收到整个消息以及密钥的双重影响，因此可以用作消息认证码。 其他方法 使用流密码或者非对称密码也可以实现消息认证码。 MAC无法解决的问题 MAC的密钥分发困难问题 对第三方证明 防止否认 就此，需要引入PKI/CA，数字签名技术。 MAC应用 IPsec、SSL/TLS、SWIFT等都应用了MAC技术。
        • MAC是通过MAC算法+密钥+要加密的信息一起计算得出的。 同hash算法（消息摘要）相比，消息摘要只能保证消息的完整性，即该消息摘要B是这个消息A生成的。而MAC算法能够保证消息的正确性，即判断确实发的是消息A而不是消息C。 同公私钥体系相比，因为MAC的密钥在发送方和接收方是一样的，所以发送方和接收方都可以来生成MAC，而公私钥体系因为将公钥和私钥分开。 MAC有很多实现方式，比较通用的是基于hash算法的MAC，比如今天我们要讲的HMAC。还有一种是基于分组密码的实现，比如(OMAC, CBC-MAC and PMAC)。 HMAC的应用 hmac主要应用在身份验证中，如下是它的使用过程： 1. 客户端发出登录请求（假设是浏览器的GET请求） 2. 服务器返回一个随机值，并在会话中记录这个随机值 3. 客户端将该随机值作为密钥，用户密码进行hmac运算，然后提交给服务器 4. 服务器读取用户数据库中的用户密码和步骤2中发送的随机值做与客户端一样的hmac运算，然后与用户发送的结果比较，如果结果一致则验证用户合法。在这个过程中，可能遭到安全攻击的是服务器发送的随机值和用户发送的hmac结果，而对于截获了这两个值的黑客而言这两个值是没有意义的，绝无获取用户密码的可能性，随机值的引入使hmac只在当前会话中有效，大大增强了安全性和实用性。
        • CBC MAC是基于IEEE 802.1x认证的加密技术，以AES(Advanced Encryption Standard)为核心算法，采用CBC-MAC加密模式，具有分组序号的初始向量。 CBC-MAC从名称上看就知道使用到了块密码算法的密文分组连接模式，简单回顾下CBC模式，就是先将密文等分成多个分组数据块，从第一块数据块开始先与一个随机生成的初始化向量IV进行异或运算，运算结果再和密钥进行加密运算，得到第一块分组密文。第二块数据块把前一块数据块的分组密文当作IV，先与其进行异或运算，再和密钥进行加密得到第二块分组密文，这样下去，第n个分组数据块会与第n-1个密文分组进行异或运算，然后和密钥进行加密，得到第n个分组密文，最后将所有分组密文按顺序组合在一起，得到完整的密文。CBC-MAC算法就是将最后一个密文分组的值作为MAC值。
    • 数字签名
      • 数字签名不提供机密性 数字签名解决，抗抵赖、验证真实性、数据完整性。 数字签名最重要的三个功能，完整性、真实性、不可抵赖性
        • ‌真实性关注信息的完整性和来源的真实性，‌而不可否认性关注操作的责任归属和防止抵赖。 不可否认性依赖真实性。
      • 散列处理的消息鉴别码(Hashed Message Authentication Code,HMAC)
        • 经过HMAC算法执行部分数字签名——可保证消息在传输过程中的完整性，但不提供不可否认性服务
      • 数字签名标准(Data Signature Standard,DSS)
        • 数字签名标准DSS可以提供以下服务。（身份验证、数字签名、完整性）
        • 当前得到批准的三种标准加密算法：
          • FIPS 186-4规定的数字签名算法(DSA)。 ANSIX9.31规定的Rivest-Shamir-Adleman(RSA)算法。 ANSIX9.62 规定的椭圆曲线DSA(ECDSA) 。
        • 代码签名（Code signing）
          • 用于保证代码的完整性的技术，确定谁开发的那段代码， 并确定开发者打算将这段代码用于何处。 代码签名证书和数字证书帮助用户免于下载泄密文件或应用程序。 代码被签名可以确定代码的可靠度并检测是否被开发人员之外的人所修改。
          • 作用
            • 确保代码片段不被修改； 识别代码来源（开发者或签名者）； 确定代码是否值得为特定目标的信任。
            • 不能保证代码片段免于安全漏洞； 不能保证在执行过程中APP不会装载不安全或更改的代码（如不可行的插件）； 不是数字版权管理（DRM）或拷贝保护技术。
    • 下面哪一个使用对称密钥和哈希算法？ A．HMAC B．Triple-DES C．ISAKMP D．RSA A
      • Which of the following is NOT a known type of Message Authentication Code (MAC)? 以下哪个不是已知的消息鉴别码（MAC）？ A. Stream cipher-based MAC 基于流密码的MAC B. Signature-based MAC 基于签名的MAC C. Block cipher-based MAC 基于分组加密的MAC D. Hash function-based MAC HMAC 答案：B
        • *102. Which of the following best describes the difference between HMAC and CBC- МАС? 下面哪一个是HMAC和CBC-MAC之间最好的描述？ •А.НМАС creates a message digest and is used for integrity; СВС-MAC is used to encrypt blocks of data for confidentiality. HMAC创建了消息摘要，提供完整性；CBC-MAC用于加密数据块，提供保密性 • B.HMAC uses a symmetric key and a hashing algorithm; CBC-МАС uses the first block for the checksum. HMAC使用对称密钥和一个散列算法；CBC-MAC使用第一个加密块进行校验 • C.HMAC provides integrity and data origin authentication; CBC-MAC uses a block cipher for the process of creating a MAC. HMAC提供完整性和数据来源的身份验证，CBC-MAC使用分组密码创建一个MAC • D.HMAC encrypts a message with a symmetric key and then puts the result through a hashing algorithm; CBC-MAC encrypts the whole message. HMAC使用对称密钥加密消息，然后将结果再通过散列算法；CBC-MAC加密整个消息 C
    • 108. What is the definition of an algorithm's work factor? 算法的工作因素定义了什么？ C A.The time it takes to encrypt and decrypt the same plaintext 加密和解密相同明文所花费 的时间 ◎ B.The time it takes to break the encryption 破解加密所需要的时间 • C.The time it takes to implement 16 rounds of computation 实现16轮计算所花费的时间 • D.The time it takes to apply substitution functions 申请置换功能所花费的时间 解析： 加密算法的工作因素定义了破解加密所需要的时间，通常和密钥长度、算法复杂度相关。
      • Using PBKDF2 (Password Based Key Derivation Function 2) to generate a key hash, which value is not normally involved in the key hash generation process? 使用 PBKDF2（基于口令的密钥派生函数2），在密钥哈希生成过程中通常不涉及哪个值？ • A. Cost Fact 成本因子 • B. initial vector 初始向量 • C. Salts 盐 • D. Passwords 密码/口令 2017年6月，NIST发布了新版本的数字认证指南 SP800-63-3 Digital Identity Guidelines SP 800-63B: Authentication & Lifecycle Management 密钥派生函数将口令、盐和成本因子作为输入，然后生成密码哈希。 对于 PBKDF2，成本因子是迭代次数：PBKDF2 函数迭代的次数越多，计算密码哈希所需的时间就越长。因此，迭代计数应该是验证服务器性能允许的最大值，通常至少10,000次迭代。
        • Which Application Layer security protocol requires two pair of asymmetric keys and two digital certificates? 以下哪个应用层协议需要两对非对称秘钥和两个数字证书 • A.SSL • B.PEM (OpenSSL 1##) Privacy Enhanced Mail) • c.S/HTTP • D.SET SET协议 （Secure Electronic Transaction）安全电子交易协议 SET协议应用了双重签名（Dual Signatures）技术。在一项安全电子商务交易中，持卡人的定购信息和支付指令是相互对应的。商家只有确认了对应于持卡人的支付指令对应的定购信息才能够按照定购信息发货；而银行只有确认了与该持卡人支付指令对应的定购信息是真实可靠的才能够按照商家的要求进行支付。为了达到商家在合法验证持卡人支付指令和银行在合法验证持卡人订购信息的同时不会侵犯顾客的私人隐私这一目的，SET协议采用了双重签名技术来保证顾客的隐私不被侵犯。
  • 流密码、块密码 各种加密算法 各种哈希算法
    • 流密码 ‌流密码，也称为流密码算法或流加密，是一种加密算法，它逐位或逐字节处理明文数据，生成一个密钥流，然后使用这个密钥流对明文进行加密。流密码的基本思想是利用一个密钥k产生一个密钥流z=z0z1z2…，这个密钥流与明文X=X0X1X2…逐位进行异或操作，从而得到加密后的密文。流密码具有实现简单、便于硬件实施、加解密处理速度快、没有或只有有限的错误传播等特点，因此在专用或机密机构中保持着优势。 流密码的工作原理 密钥流生成：使用密钥k和某种算法（如线性反馈移位寄存器LFSR）生成一个随机的密钥流。 加密过程：将生成的密钥流与明文逐位进行异或操作，得到密文。 解密过程：使用相同的密钥和算法生成相同的密钥流，再次与密文进行异或操作，恢复原始明文。
      • 块密码（block cipher） 又被称为分组加密或者叫分块加密，是对称加密的一种常见形式。 块密码是非常常见的加密方法。典型的采用了块密码方式的加密协议，如 DES 和 AES ，都是美国政府核定的标准加密算法，应用领域从电子邮件加密到银行交易转帐，非常广泛。 块密码基本思路是这样。首先，将明文分成多个等长的块（ block ），然后用相同的一个密钥，对每个块进行加密，得到密文块。 非对称加密是不适合加密大段数据的，而在对称加密算法中，块密码是最常见的，所以可以认为通常用来加密大段数据的方法就是块密码。除了块密码，另外一种对称加密的方式是流密码。 DES ，是64比特一个块，当前使用的 AES 是128比特或者更大。IDEA - 它是一个足够强大的块密码，块大小为64，密钥大小为128位。许多应用程序使用IDEA加密，包括早期版本的Pretty Good Privacy（PGP）协议。由于专利问题，IDEA方案的使用受到限制。
    • DES算法为密码体制中的对称密码体制。需要加密的明文按64位进行分组，加密密钥是根据用户输入的秘钥生成的，密钥长64位，但密钥事实上是56位参与DES运算（第8、16、24、32、40、48、56、64位是校验位， 使得每个密钥都有奇数个1，在计算密钥时要忽略这8位），分组后的明文组和56位的密钥按位替代或交换的方法形成密文组的加密方法。详情计算看本文的2.1.1秘钥置换选择。 算法的入口参数有三个：key、data、mode。 key：加密解密使用的密钥，8个字节共64位的工作密钥； data：8个字节共64位的需要被加密或被解密的数据； mode：DES的工作模式，即加密或者解密。当模式为加密模式时，明文按照64位进行分组，形成明文组，key用于对数据加密，当模式为解密模式时，key用于对数据解密。 DES算法特点： （1）分组加密算法：以64位为分组。64位明文输入，64位密文输出。 （2）对称算法：加密和解密使用同一秘钥。 （3）有效秘钥长度为56位：秘钥通常表示为64位数，但每个第8位用作奇偶校验，可以忽略。 （4）代替和置换：DES算法是两种加密技术的组合：混乱和扩散。先替代后置换，一共16轮。 （5）易于实现：DES算法只是使用了标准的算术和逻辑运算，其作用的数最多也只有64 位，因此用70年代末期的硬件技术很容易实现，算法的重复特性使得它可以非常理想地用在一个专用芯片中。 算法的优缺点： （1）优点： 效率高，算法简单，系统开销小；适合加密大量数据；明文长度和密文长度相等； （2）缺点： 需要以安全方式进行秘钥交换；秘钥管理复杂；DES算法无法抵抗差分密码分析攻击，这种攻击可以通过比较相同明文的密文，分析加密算法的行为并推断出密钥；密钥短，易受到暴力破解。
      • 加密与安全_常见的分组密码 ECB、CBC、CFB、OFB模式介绍 1. ECB 模式（电子密码本模式） ECB 将明文进行分组后直接加密产生密文分组 工作原理：将明文分割成多个固定长度的分组。每个分组独立加密。 优点：计算简单，速度快。支持并行处理。 缺点：相同的明文分组会产生相同的密文分组，无法隐藏明文的模式和结构。容易受到统计分析攻击。 应用场景：不适合用于敏感信息的加密，不推荐在正式场合使用。 2. CBC 模式（密文分组链接模式） 密文分组链接模式 工作原理：第一个明文分组与初始向量（IV）异或后进行加密，产生第一个密文分组。后续每个明文分组与前一个密文分组异或后进行加密，产生相应的密文分组。 优点：能够隐藏明文的模式和结构，提高安全性。支持并行解密。 缺点：加密时不支持并行处理，需串行进行。若某个密文分组损坏，会影响当前和下一个分组的解密。 应用场景：适用于高安全性需求的场景，如文件加密，推荐使用。 3. CFB 模式（密文反馈模式） 对 CBC 模式的一种改进，在 CFB 模式中，明文分组和密文分组之间只做异或操作就可以了。在此时此刻，密码算法的输出有一些一次性密码本的意思了. 工作原理：第一个明文分组与初始向量（IV）异或后进行加密，产生第一个密文分组。后续每个明文分组与前一个密文分组异或后进行加密，产生相应的密文分组。 优点：支持并行解密。可以解密任意的密文分组。 缺点：不能抵御重放攻击。 应用场景：实时通信加密，如网络数据传输。 4. OFB 模式（输出反馈模式） 输出反馈模式。 密码算法的输出会反馈到密码算法的输入中。OFB 并不是通过密码算法对明文进行加密的，而是通过将明文分组和密码算法的输出进行异或来产生密文的。所以 OFB 和 CFB 也有一些类似. 工作原理：初始向量（IV）输入到加密算法中，产生一个伪随机输出。明文分组与该伪随机输出异或，产生密文分组。伪随机输出反馈给加密算法，继续生成下一个伪随机输出。 优点：不需要填充（Padding）。若密文包含错误比特，仅对应的明文比特会出错。 缺点：不支持并行解密。存在比特反转攻击风险。 应用场景：对错误容忍性要求较高的场景，如视频流加密。
    • IDEA IDEA算法使用128位的密钥，数据块大小为64位。‌在3DES算法基础上发展出来 ‌IDEA算法的工作原理‌ IDEA算法的加密过程包括子密钥生成和明文加密两个主要步骤。首先，选定一个128位的密钥，并将其分成8个16位的子密钥。然后，通过循环左移25位生成新的128位密钥，并再次分为8个子密钥。这个过程重复直到生成足够的子密钥。在明文加密阶段，输入的64位明文被分为4个16位的明文分组。每轮迭代中使用6个子密钥与明文分组进行异或、模加、模乘等操作，结果作为下一轮的输入继续迭代。完成8轮迭代后，使用最后4个子密钥进行输出变换，得到最终的密文。‌
    • ElGamal 在密码学中，ElGamal加密算法是一个基于迪菲-赫尔曼密钥交换的非对称加密算法，它在1985年由塔希尔·盖莫尔提出 [1]。 EIGamal公开密钥密码体制是基于有限域中离散对数问题的难解性。它所根据的原理是：求解离散对数是困难的，而其逆运算可以应用平方乘的方法有效的计算出来。在相应的群 G中，指数函数是单向函数。既能用于数据加密也能用于数字签名（DSA基于～），其安全性依赖于计算有限域上离散对数这一难题。在加密过程中，生成的密文长度是明文的两倍，且每次加密后都会在密文中生成一个随机数K，在密码中主要应用离散对数问题的几个性质：求解离散对数（可能）是困难的，而其逆运算指数运算可以应用平方-乘的方法有效地计算。也就是说，在适当的群G中，指数函数是单向函数。 ECC 椭圆曲线密码学（英语：Elliptic curve cryptography，缩写为ECC），一种建立公开密钥加密的演算法，基于椭圆曲线数学。椭圆曲线在密码学中的使用是在1985年由Neal Koblitz和Victor Miller分别独立提出的。 ECC的主要优势是在某些情况下它比其他的方法使用更小的密钥——比如RSA加密算法——提供相当的或更高等级的安全。ECC的另一个优势是可以定义群之间的双线性映射，基于Weil对或是Tate对；双线性映射已经在密码学中发现了大量的应用，例如基于身份的加密。不过一个缺点是加密和解密操作的实现比其他机制花费的时间长。160位的椭圆密钥与1024位的RSA密钥安全性相同 DSA Digital Signature Algorithm(DSA)是Schnorr和ElGamal签名算法的变种，被美国国家标准技术研究院(NIST)作为DSS(Digital Signature Standard)。DSA是基于整数有限域离散对数难题的，其安全性与RSA相比差不多。DSA的一个重要特点是两个素数公开，这样，当使用别人的p和q时，即使不知道私钥，也能确认它们是否是随机产生的，还是做了手脚。RSA算法却做不到。 RSA RSA公钥算法是由 MIT (麻省理工学院, Massachusetts Institute of Technology) 的Rivest, Shamir和Adleman在1978年提出来的。RSA方案是被最广泛接受并实现的通用公开密钥密码算法，目前已成为公钥密码的国际标准。该算法的数学基础是初等数论中的欧拉定理，其安全性建立在大整数因子分解的困难性之上。 Diffie-Hellman Diffie-Hellman(简称 DH) 密钥交换是最早的密钥交换算法之一，基于离散对数，它使得通信的双方能在非安全的信道中安全地交换密钥，用于加密后续的通信消息。 Whitfield Diffie 和 Martin Hellman 于 1976 提出该算法，之后被应用于安全领域，比如 Https 协议的 TLS(Transport Layer Security) 和 IPsec 协议的 IKE(Internet Key Exchange) 均以 DH 算法作为密钥交换算法。
    • SHA (Security Hash Algorithm) 是美国的 NIST 和 NSA 设计的一种标准的 Hash 算法，SHA 用于数字签名的标准算法的 DSS 中，也是安全性很高的一种 Hash 算法。 SHA-1 是第一代 SHA 算法标准，后来的 SHA-224、SHA-256、SHA-384 和 SHA-512 被统称为 SHA-2 SHA-1 工作原理 SHA-1 的工作原理可以分为以下几个步骤： 1.预处理： 填充：消息首先被填充，使其长度模 512 等于 448。填充方法是在消息末尾添加一个 1 位，然后添加足够多的 0 位，使得总长度（包括 64 位的消息长度）是 512 的倍数。 附加长度：在填充后的消息末尾附加 64 位的消息长度表示，这样填充后的消息长度总是 512 的倍数。 2. 初始化哈希值： 3. 处理消息块： 消息被分成 512 位的块，每个块进一步被分成 16 个 32 位的字。然后对每个块进行 80 轮的处理，每轮操作包括位运算、选择函数和常数相加。 4. 更新哈希值： 每个 512 位块的处理结果用于更新前面的哈希值，通过一系列的逻辑运算和位移操作。 5. 输出： 所有块处理完后，五个寄存器的值连接起来，形成 160 位（20 字节）的散列值。 我们以单词 China 为例，如何将其进行MD5加密呢？ 第一步：首先将China单词转化为ASCII码的十六进制表示方式 China的十六进制为：43 68 69 6E 61 第二步：对得到的数据 4368696E61 进行填充和附加，使其能够被512整除。 对于任意长度的明文，SHA1的明文分组过程与MD5相类似，首先需要对明文添加位数，使明文总长度为448（mod512）位。在明文后添加位的方法是第一个添加位是 1，其余都是0。然后将真正明文的长度（没有添加位以前的明文长度）以64位表示，附加于前面已添加过位的明文后，此时的明文长度正好是512位的倍数。与MD5不同的是SHA1的原始报文长度不能超过2的64次方，另外SHA1的明文长度从低位开始填充。 第三步：将得到数据进行拆分，按照512位分块。SHA1有4轮运算，每一轮包括20个步骤（一共80步），最后产生160位摘要。xia
      • SHA-1和SHA-256区别 SHA-1 和 SHA-256 都是安全哈希算法（Secure Hash Algorithms），它们用于生成固定长度的散列值（哈希值）来代表输入数据。这些算法的设计目的是为了在确保数据完整性、密码学和数据安全方面提供可靠的散列值。虽然它们有一些相似之处，但也有显著的区别。以下是 SHA-1 和 SHA-256 的主要区别： 基本属性和结构 SHA-1 算法 摘要长度：160 位（20 字节） 安全性：已被证明不安全，存在碰撞攻击和预映射攻击 结构：基于 Merkle-Damgård 构架，使用 Davies-Meyer 压缩函数 速度：比 SHA-256 快，但安全性较低 发布时间：1993 年（作为 SHA-0 的改进），1995 年正式发布 SHA-256 算法 摘要长度：256 位（32 字节） 安全性：目前认为是安全的，抗碰撞和预映射攻击能力更强 结构：也是基于 Merkle-Damgård 构架，但使用不同的设计细节和更多的迭代 速度：比 SHA-1 慢，但安全性更高 发布时间：2001 年，作为 SHA-2 家族的一部分发布 安全性 SHA-1 碰撞攻击：在 2005 年，研究人员发现 SHA-1 存在实际的碰撞攻击方法。2017 年，谷歌和荷兰信息安全机构联合展示了第一个实际的 SHA-1 碰撞实例。 预映射攻击：SHA-1 也更容易受到预映射攻击，这使得它在密码学应用中不再安全。 强度：SHA-1 的安全性被认为约为 2^63.4 次操作，比理想情况下的 2^80 次操作（160/2）要弱得多。 SHA-256 碰撞攻击：目前没有已知的实际碰撞攻击。 预映射攻击：SHA-256 提供了更强的抗预映射攻击能力。 强度：SHA-256 的安全性被认为约为 2^128 次操作（256/2），提供了更高的安全性。 性能 SHA-1：由于其较短的摘要长度和较少的迭代次数，SHA-1 的计算速度通常比 SHA-256 快。然而，随着现代计算机性能的提升，这种差异在许多应用中变得不那么明显。 SHA-256：尽管速度稍慢，但由于其更高的安全性，SHA-256 更适合安全敏感的应用。 用途 SHA-1 过去：曾广泛用于 SSL/TLS 证书、数字签名、版本控制系统（如 Git）等。 现在：由于其安全性问题，SHA-1 已经被逐渐淘汰，不再推荐用于新的安全应用。许多标准和协议已经停止支持 SHA-1。 SHA-256 现在和未来：广泛应用于 SSL/TLS、数字签名、区块链（如比特币）、数据完整性校验等领域。SHA-256 被认为是当前推荐使用的安全哈希算法之一。
    • PBKDF2算法概述 定义 PBKDF2（Password-Based Key Derivation Function 2）是一种基于密码的密钥生成算法，由PKCS（Public-Key Cryptography Standards）组织制定。该算法旨在通过用户密码生成加密密钥，以实现对数据的安全加密和解密。 算法输入 PBKDF2算法所需的输入包括： 用户密码（Password）：用于生成密钥的初始值。 盐（Salt）：用于确保密钥生成过程的唯一性。 迭代次数（Iterations）：控制密钥生成过程中的计算复杂度，又叫迭代因子。 哈希函数（Hash Function）：用于计算 key 的摘要。 算法流程 PBKDF2算法的基本流程如下： 对用户密码进行哈希计算，得到初始摘要（Initial Hash）。 将盐与初始摘要进行异或操作，得到新的摘要（New Hash）。 使用新的摘要作为下一轮计算的输入，重复上述过程指定次数，直至达到迭代次数。 最后，将所有轮次的摘要进行拼接，得到最终的密钥（Key）。 三、PBKDF2算法原理 安全性 PBKDF2算法的安全性主要依赖于哈希函数的单向性和迭代过程的复杂度。哈希函数具有单向性，即给定任意长度的输入，难以通过逆向计算得到原始输入。通过增加迭代次数，可以提高计算复杂度，从而增强密钥的安全性。 盐的作用 盐在PBKDF2算法中起到确保密钥生成过程唯一性的作用。不同盐值会导致生成的密钥不同，即使用户密码相同。盐的使用避免了因多个用户共享相同密码而导致密钥泄露的风险。 哈希函数的选择 PBKDF2算法中，哈希函数的选择对密钥安全性至关重要。常用的哈希函数包括SHA-1、SHA-256等。为确保安全性，建议使用国密算法SM3或其他强度较高的哈希函数。 四、PBKDF2应用场景 密码认证 在网络认证等场景中，可以使用PBKDF2算法生成会话密钥，实现用户身份验证。通过迭代计算，确保密码在传输过程中不被泄露。 加密存储 在数据存储场景中，可以使用PBKDF2算法对数据进行加密。通过对数据和密码进行多次哈希计算，生成加密密钥，实现数据的安全存储。 无线通信 在无线通信领域，PBKDF2算法可用于生成加密密钥，保障通信安全。由于无线通信容易受到窃听和干扰，使用PBKDF2算法可以提高密钥的安全性。 五、总结 PBKDF2算法作为一种基于密码的密钥生成方法，在保障数据安全和隐私方面具有重要意义。通过对算法的原理和应用进行深入了解，可以更好地应对日益严峻的网络安全挑战。在实际应用中，应根据具体情况选择合适的哈希函数和迭代次数，以实现最佳的安全性能。同时，关注盐的作用和算法实现细节，确保密钥生成过程的可靠性和安全性。
    • What is the key size of the International Data Encryption Algorithm (IDEA)? 国际数据加密算法（IDEA）的密钥长度是多少？ A. 128 bits B. 192 bits C. 64 bits D. 160 bits 答案：A
      • How many rounds are used by DES? DES 算法使用几轮运算？ A. 16 B. 48 C. 64 D. 32 答案：A
        • Which of the following is more suitable for a hardware implementation? 以下哪种模式更适合硬件实现？ A. Electronic code book 电子密码本 B. Cipher block chaining 密文分组链接 C. Block ciphers 分组密码 D. Stream ciphers 流密码 答案：D
          • What can be defined as an instance of two different keys generating the same ciphertext from the same plaintext? 当两个不同的密钥加密同一个明文得到相同的密文，这种现象称为？ A Ciphertext collision（密文冲突） B Key collision（密钥冲突） C Hashing（散列） D Key clustering（密钥汇聚） 答案：D 密钥冲突是指在密钥管理系统中，由于密钥生成算法不当或者密钥空间不足等原因，导致生成的密钥出现重复的情况。
            • 下列哪一个选项不属于3-DES算法执行模式？ A．DES-EEE2 使用两个密钥 B．DES-EEE3 使用三个密钥 C．DES-EDE2 使用两个密钥 D．DES-EEE1 使用一个密钥 D
    • Which of the following statements pertaining to stream ciphers is correct? 关于流密码以下哪个陈述是正确的？ A. A stream cipher generates what is called a keystream.流密码要生成密钥流 B. A stream cipher is slower than a block cipher. 流密码比分组密码速度慢 C. A stream cipher is not appropriate for hardware-based encryption. 不适合于硬件加密 D. A stream cipher is a type of asymmetric encryption algorithm. 流密码是一种非对称加密算法 答案：A Which of the following statements pertaining to block ciphers is incorrect? 关于分组密码以下哪个陈述是错误的？ A. It operates on fixed-size blocks of plaintext. 对固定长度明文进行操作 B. Some Block ciphers can operate internally as a stream. 某些分组密码内部是流密码操作的 C. Plain text is encrypted with a public key and decrypted with a private key. 明文用公钥加密，用私钥解密 D. It is more suitable for software than hardware implementations. 它更适合用软件而不是硬件来实现 答案：C
      • Which of the following statements pertaining to key management is incorrect? 关于密钥管理以下哪个描述是错误的？ A. The more a key is used, the shorter its lifetime should be. 密钥使用频率越高，生命期应该越短 B. When not using the full keyspace, the key should be extremely random. 当不使用整个密钥空间，密钥应该极度随机 C. Keys should be backed up or escrowed in case of emergencies. 密钥应该要备份或托管，以备紧急情况下使用 D. A key's lifetime should correspond with the sensitivity of the data it is protecting. 密钥的生命期应该与它保护的数据敏感度有关 答案：B
        • Which of the following best describes the difference between HMAC and CBC-MAC? 下面哪一个是HMAC和CBC-MAC之间最好的描述？ A.HMAC creates a message digest and is used for integrity; CBC-MAC is used to encrypt blocks of data for confidentiality. HMAC创建了消息摘要，提供完整性；CBC-MAC用于加密数据块，提供保密性 B.HMAC uses a symmetric key and a hashing algorithm; CBC-MAC uses the first block for the checksum. HMAC使用对称密钥和一个散列算法；CBC-MAC使用第一个加密块进行校验 C.HMAC provides integrity and data origin authentication; CBC-MAC uses a block cipher for the process of creating a MAC. HMAC提供完整性和数据来源的身份验证，CBC-MAC使用分组密码创建一个MAC D.HMAC encrypts a message with a symmetric key and then puts the result through a hashing algorithm; CBC-MAC encrypts the whole message. HMAC使用对称密钥加密消息,然后将结果再通过散列算法；CBC-MAC加密整个消息 C CBC-MAC是最为广泛使用的消息认证算法之一，同时它也是一个ANSI标准（X9.17）。CBC-MAC实际上就是对消息使用CBC模式进行加密，取密文的最后一块作为认证码。所以B不对
    • What is the definition of an algorithm’s work factor? 算法的工作因素定义了什么？ 分值1分 A.The time it takes to encrypt and decrypt the same plaintext 加密和解密相同明文所花费的时间 B.The time it takes to break the encryption 破解加密所需要的时间 C.The time it takes to implement 16 rounds of computation 实现16轮计算所花费的时间 D.The time it takes to apply substitution functions 申请置换功能所花费的时间 B 加密算法的工作因素定义了破解加密所需要的时间，通常和密钥长度、算法复杂度相关。
      • 以下哪个方法与密钥管理无关？ A. Key Exchange Algorithm （KEA）密钥交换算法（KEA） B. Internet Security Association Key Management Protocol (ISAKMP) Internet 安全联合和密钥管理协议（ISAKMP） C. Cryptology (CRYPTO) D. Diffie-Hellman (DH) 答案：C
        • 80.What uses a key of the same length as the message? 什么加密模式使用和消息一样长的密钥？ ◎ A. Cipher block chaining / 密码块链接 • B. Steganography / 隐写术 • C. One-time pad /一次性填充 O D. Running key cipher / 滚动密码 C
          • Cryptography does NOT help in: 密码学无法提供什么保护：分值1分 • A.Detecting fraudulent insertion.检测欺骗性插入 • B.Detecting fraudulent modification. 检测欺骗性篡改 • C.Detecting fraudulent disclosure. 检测欺骗性泄露 ◎ D.Detecting fraudulent deletion. 检测欺骗性删除 C
  • OAuth和SAML、SPML OIDC、OpenID
    • 联合身份管理和SSO 组织在联邦域内共享凭证，它使用SAML(安全断言标记语言)和SPML(服务供应标记语言)。 考试小贴士：思考一下为你的假期预订机票，你可以选择在同一网站上预订酒店。一旦你登录到酒店网站，它就不会再次要求你提供凭证，因为机票预订和酒店预订网站都在联邦域名下。 SAML：基于XML，用于在相关组织之间交换身份验证和授权。SAML主要用于浏览器, 是一种标记语言，SAML协议的核心是: IDP和SP通过用户的浏览器的重定向访问来实现交换数据。 SPML：基于XML，专门为交换用户目的信息而设计，用于联邦域内安全的单点登录。 XACML：可扩展访问控制标记语言，用于在XML格式中定义访问控制策略，它通常实现RBAC。 OpenID和OAuth：OpenID用于身份验证，提供去中心化认证，不是RFC标准，用户登录多个不同的网站，凭证由第三方提供。 过程：两次重定向，第一次是重定向到OpenID提供商输入口令，然后重定向回启用OpenID服务站点。 OAuth用于授权，及时被授权的程序遭到破坏，用户的凭证也不会暴露。使用API交换信息。 *考试提示：SAML用于企业用途，OAuth用于商业用途(by us) OIDC：使用OAuth 2.0的授权框架的身份认证层，同时提供身份认证和授权。使用JSON web令牌
      • • 三个实体：用户（委托人）、服务提供商、身份提供者（LdP） 三种类型的XML消息：1. 认证声明：正确的身份凭证，标识身份认证方法，标识用户代理登录的时间 2. 授权声明：是否有权访问服务，被拒绝会说明原因 3. 属性声明：关于用户代理的任何信息
    • OpenID是一个去中心化的网上身份认证系统。对于支持OpenID的网站，用户不需要记住像用户名和密码这样的传统验证标记。取而代之的是，他们只需要预先在一个作为OpenID身份提供者（identity provider, IdP）的网站上注册。OpenID是去中心化的，任何网站都可以使用OpenID来作为用户登录的一种方式，任何网站也都可以作为OpenID身份提供者。OpenID既解决了问题而又不需要依赖于中心性的网站来确认数字身份。 OpenID正在被越来越多的大网站采用，比如作为身份提供者的AOL和Orange。OpenID可以和.NET Framework的Windows CardSpace一起使用。 由于URI 是整个网络世界的核心，它为基于URI的用户身份认证提供了广泛的、坚实的基础。 OpenID 系统的第一部分是身份验证，即如何通过 URI 来认证用户身份。目前的网站都是依靠用户名和密码来登录认证，这就意味着大家在每个网站都需要注册用户名和密码，即便你使用的是同样的密码。如果使用 OpenID ，你的网站地址（URI）就是你的用户名，而你的密码安全的存储在一个 OpenID 服务网站上（你可以自己建立一个 OpenID 服务网站，也可以选择一个可信任的 OpenID 服务网站来完成注册）。
    • SAML---XML OAuth---API OpenID---URI OIDC---JSON web令牌
    • 以下哪个授权标准是为处理联合身份管理（FIM）的应用程序编程接口（API）访问而构建的？ A Remote Authentication Dial-In User Service (RADIUS) 远程身份验证拨入用户服务（RADIUS） B Terminal Access Controller Access Control System Plus (TACACS+) 终端访问控制器访问控制系统增强（TACACS+） C Open Authorization (OAuth) 开放授权（OAuth） D Security Assertion Markup Language (SAML) 安全声明标记语言（SAML） C 在处理联邦身份管理(FIM)的应用程序编程接口(API)访问时，‌OpenAuthentication(OAuth)是一个重要的授权标准。‌OAuth是一种开放授权协议，‌它允许用户在不直接提供其凭据的情况下，‌通过授权第三方应用访问他们在某个服务上的数据。‌这种机制不仅保护了用户的账户安全，‌同时也使得第三方应用能够以安全的方式访问用户的数据，‌从而实现了联合身份管理中的身份验证和授权需求。
  • 密码攻击方式
    • 蛮力攻击（Brute-Force Attack） 蛮力攻击是密码攻击中最简单的。攻击者只需通过对系统中的每一个可能的密码组合进行高度密集的自动搜索，又称为穷举攻击，是一种密码分析的方法，即将密码进行逐个推算直到找出真正的密码为止。可以通过字典攻击来缩小密码组合的范围。 尽管暴力攻击很难完全停止，但它们很容易检测到，监视日志文件是否存在暴力攻击非常重要，防御措施还有用户遵循强密码的基本规则：使用不可预测的长密码，避免字典单词，避免重复使用密码，并定期更改密码 其他方式还包括： 1）锁定用户（黑客可能会利用这个功能造成DoS） 2）使用验证码，防止自动搜索提交，例如：随机数字或数字计算，点击图片式认证，短信验证码，滑动拼图等形式。 3）使用双因素身份验证
    • 统计分析攻击法 统计分析攻击法是密码分析者根据明文、密文和密钥构成的统计规律来进行破译密码的一种方法。 数学分析攻击法 数学分析攻击法是指密码分析者对加密/解密算法的数学基础和某些密码科学的特性，通过数学求解的方法来破译密码的一种方法。数学分析攻击，则是对基于数学难题的各种密码算法的主要威胁。
    • 密码学中的四种攻击方式和两种攻击手段
      • 一、四种攻击的定义 （1）唯密文攻击(COA, Ciphertext-Only Attack) 在这种攻击中，密码分析者只知道一些或全部的密文，但没有任何关于明文或加密密钥的信息。分析者的目标是从密文中恢复出明文或密钥。这是攻击强度最低的一种，也是密码系统应该能够抵御的最基本类型的攻击。 COA攻击者掌握的内容： 截获的部分密文 加密算法 （2）已知明文攻击(KPA, Known Plaintext Attack) 在这种情况下，密码分析者不仅有密文，还有一部分明文和对应的密文。这使得分析者有可能通过比较明文和密文来推断出加密算法的模式或密钥的部分信息。这种攻击比唯密文攻击更强大，因为分析者有额外的信息可用。 KPA攻击者掌握的内容： 截获的部分密文 加密算法 已知的部分明文以及对应的密文 （3）选择明文攻击(CPA, Chosen Plaintext Attack) 分析者能够选择任意的明文并获得其对应的密文。这允许分析者通过实验来收集有关加密算法和密钥的信息。选择明文攻击比已知明文攻击更进一步，因为分析者可以主动控制输入，从而更有效地收集数据。 CPA攻击者掌握的内容： 截获的部分密文 加密算法 攻击者选择的明文以及对应的密文 （4）选择密文攻击(CCA, Chosen Ciphertext Attack) 这是最强大的攻击类型之一，分析者可以选择任意的密文并获得其对应的明文。这种能力允许分析者尝试破解加密算法，甚至在某些情况下，通过逆向工程来确定密钥。选择密文攻击通常针对公钥加密系统，因为公钥是公开的，攻击者可以利用公钥来加密他们选择的数据并观察结果。 CCA攻击者掌握的内容： 截获的部分密文 加密算法 选择的部分密文以及对应的明文 四种攻击的攻击强度与实现难度 攻击强度：选择密文攻击 > 选择明文攻击 > 已知明文攻击 > 唯密文攻击 实现难度：选择密文攻击 < 选择明文攻击 < 已知明文攻击 < 唯密文攻击
      • 攻击手段分类
        • 攻击手段分类 攻击手段可以根据它们的行为特征进行分类，主要分为两大类：被动攻击和主动攻击。 （1）被动攻击（Passive Attacks） 被动攻击的特征是攻击者不会主动干预或改变目标系统中的信息，而是侧重于秘密地获取信息。这类攻击主要威胁的是信息的机密性，即确保信息不被未授权的个体或系统访问。被动攻击包括但不限于以下几种方式： 监听（Eavesdropping）：攻击者通过监听网络传输的数据包来获取信息，包括消息的内容或者分析业务流模式。 业务流分析（Traffic Analysis）：虽然不获取实际的消息内容，但通过分析数据包的大小、频率和流向等，攻击者可以推断出有用的信息，例如用户的在线行为或通信模式。 （2）主动攻击（Active Attacks） 主动攻击则涉及到攻击者直接与目标系统交互，通过各种手段来破坏或操纵系统，这类攻击可以影响信息的完整性、真实性和可用性。主要的主动攻击方式包括： 中断（Denial of Service, DoS）：通过消耗目标系统的资源或带宽，使得合法用户无法访问服务，从而影响系统的可用性。 篡改（Data Tampering）：攻击者在数据传输过程中修改信息，破坏信息的原始状态，影响数据的完整性。 伪造（Fabrication）：攻击者创建虚假信息，冒充合法实体发送信息，或者插入伪造的数据
    • What type of attack against confidentiality uses algorithm and algebraic manipulation weaknesses to reduce complexity? 哪种针对机密性的攻击利用算法和代数运算的漏洞来降低复杂度？ A. Brute force 蛮力 B. Statistical 统计 C. Codebook 代码本 D. Analytic 分析 答案：D
      • 应用程序的用户凭据存储在关系数据库中。哪个控件在存储凭据时保护凭据的机密性? A. 使用口令的加盐哈希。 B. 使用存储过程验证密码。 C. 仅允许应用程序访问密码字段以验证用户身份验证。 D. 加密整个数据库并在应用程序中嵌入加密密钥。 A
  • 风险、威胁、脆弱性
    • 脆弱性： 脆弱性也可称为弱点或漏洞，是资产或资产组中存在的可能被威胁利用造成损害的薄弱环节。脆弱性一旦被威胁成功利用就可能对资产造成损害。脆弱性可能存在于物理环境、组织、过程、人员、管理、配置、硬件、软件和信息等各个方面。 脆弱性是与资产紧密相连的，是其固有的属性，客观存在是绝对的，但存在脆弱性不一定就绝对造成安全事件。如果没有被相应的威胁利用，单纯的脆弱性本身不会对资产造成伤害。 威胁 ：对资产或组织可能导致负面结果的一个事件的潜在源。威胁利用管理对象自身的脆弱性，采用一定的途径和方式，对评估对象造成损害或损失，从而形成风险。 威胁源分三类：自然威胁、人为威胁和环境威胁。 网络信息安全风险是指特定的威胁利用网络管理对象所存在的脆弱性，导致网络管理对象的价值受到损害或丢失的可能性。简单的说，网络安全风险就是网络威胁发生的概率（可能性）和所造成影响的乘积。
    • What is called the probability that a threat to an information system will materialize? 什么是信息系统威胁会发生的可能性？ A.Threat 威胁 В.Vulnerability 脆弱性 C.Hole 漏洞 D.Risk 风险 答案：D The absence of a safeguard, or a weakness in a system that may possibly be exploited is called a(n)? 缺乏保护措施或系统中存在弱点可能被利用称为？ A.Risk风险 В.Vulnerability 脆弱性 С.Exposure 暴露 D.Threat 威胁 答案：B What can be described as a measure of the magnitude of loss or impact on the value of an asset? 什么可以被描述为衡量资产价值遭受损失或影响的大小？ A.Exposure factor 暴漏因子 B.Probability 概率 C.Vulnerabilty 脆弱性 D.Threat 威胁 答案：A 95. What can be defined as an event that could cause harm to the information systems? 什么可以被定义为一个可能导致信息系统损害的事件？ A.Athreat威胁 B.A vulnerability 脆弱性 C.A weakness 弱点 D.A risk 风险 答案：A
      • 对比记忆
  • SCAP
    • 1.CVE(Common Vulnerabilities and Exposures)通用漏洞披露是一种通用的漏洞和暴露标 识符体系，用于标识计算机系统中的漏洞和安全性问题。CVE 分配给漏洞唯一的标识符，方便 供应商、研究人员和用户跟踪和引用。 2.CVSS(Common Vulnerability Scoring System)通用漏洞评分系统是一种被广泛接受的 漏洞评分系统，用于标识漏洞的严重程度。 CVSS评分标准由三个维度构成,分别是基础分 (Base Score)、环境分(Environmental Score)和改进分(Temporal Score)。 3.CCE(Common Configuration Enumeration)通用配置枚举是一种关于计算机配置的通用标准。 CCE 使用命名约定来命名特定的计算机配置项，方便各个安全方案的测试工具和流程之间共享相关信息。 4.CPE(Common Platform Enumeration)通用平台枚举是一种关于计算机系统平台的通用描述和 分类的标准。CPE 描述计算机系统及其应用程序的特征和版本信息，方便各个安全方案识别系统 中的软件和硬件，以便更好地分析和评估风险。 5.XCCDF (eXtensible Configuration Checklist Description Format)可扩展配置清单描述 格式是一种描述配置数据和评估结果的格式。它提供了一种标准的格式来定义针对某些安全策略 的检查清单。这些检查清单可以针对不同的系统和产品，确保对所有系统应用相同的安全策略， 并帮助进行自动化风险和合规性评估。 6. OVAL(Open Vulnerability and Assessment Language)开放式漏洞和评估语言是一种用来 定义检查项、脆弱点等技术细节的描述语言。OVAL同样使用标准的XML格式组织其内容。 OVAL 能够清晰地对与安全相关的检查点作出描述，并且这种描述是机器可读的，能够直接应用到自 动化的安全扫描中。
    • 112.以下哪一项被设计用来评测漏洞的严重程度，并帮助确定所需反应的紧急度和重要度： A．CC B．CVE C．CVSS D．BSIMM C
  • GRC（治理、风险、合规）
    • GRC（治理、风险、合规的缩写）具有在解决不确定性[风险管理]和诚信[合规]的同时可靠地实现目标[治理]的能力。 第一道防线：运营管理 第一道防线由对风险和控制具有日常所有权和管理权的一线和中线经理处理。该团队承担风险，并执行相应的控制措施，以提高实现组织目标的可能性。 第二道防线：内部监控和监督职能 第二道防线的建立是为了通过提供给第一线提供专业知识和监控来支持高级管理层，以确保适当地管理风险和控制措施。这是一种管理和监督功能，包括风险管理流程的各个方面。第二线职能可以开发、实施或修改组织的内部控制和风险流程。根据组织的规模和所处行业，第二线的组成可能会有很大差异。 第三道防线：内部审计 第三道防线向高级管理层和董事会保证第一和第二线的工作与预期一致。该团队是由内部审计师职能执行的保证职能。内部不过，查询又说审计师通过采用系统的方法来评估和提高风险管理，控制和治理流程的有效性来实现其目标。他们最终确保组织内的独立性和专业性。第三道防线与前两道防线的主要区别在于组织的高度独立性和客观性。 GRC框架整合了整个企业的系统和流程，‌用于监督治理、‌企业风险管理和合规管理的各个方面。‌通过采用结构化方法协调业务战略与IT运营，‌GRC框架帮助企业有效管理风险并满足合规要求。‌在这个过程中，‌董事会评审作为最高层的治理机制，‌确保企业战略和决策与公司的长期目标和价值观一致，‌是GRC框架中不可或缺的一部分，‌也是最后一道防线。‌通过董事会的定期评审和监督，‌可以确保企业在治理、‌风险和合规方面的问题得到及时的处理和解决，‌从而保障企业的长期稳定发展
    • 122.GRC(治理、风险、合规)的最后一道防线是： A．董事会评审 B．审计 C．持续监控 D．合规报告 A
      • 安全架构的正确执行顺序是什么? A. 治理、战略和方案管理、运营、项目交付 B. 治理、战略和方案管理、项目交付、运营 C. 战略和方案管理、项目交付、治理、运营 D. 战略和方案管理、治理、项目交付、运营 B
  • BCP/DRP演练
    • 按CBK，BCP/DRP演练的类型主要有以下几种： 1、核对性检查Read-through，也就是文件通读，验证灾难期间沟通所需的信息和程序，目标是发现缺失或过时的细节（比如联系人列表和备品备件是否正常），以及任何不正确的假设。 2、桌面演练tabletop，角色扮演，会在口头或纸面上谈及、讨论将执行的步骤，但不会操作（不论测试环境还是真实环境）这些步骤。 CBK把桌面演练跟前项“核对性检查”写在一起，而与后面的其他几项是并列的，说明这核对性检查和桌面演练的目的、效果以及对运营的影响都相近。但两者的具体形式上是有区别的，也很容易区分。 强调： 核对性检查和桌面演练可以、也应该按更高的频次施行，即使已经有了每年一次的模拟（及并行或全中断）演练； 另一方面，如果只实施核对性检查和桌面演练，不管每年做多少次，都不能被认为已尽责。 3、结构化的排练式测试 Structured Walk-through，CBK中说它“扩展了桌面演练”，“但在适当的计划步骤中进行物理的行走或移动”，把除软硬件技术操作以外的人员、物资的调度、迁移、安装等实际的走一遍。比如说火灾时的人员撤离路线和所需时间（与警报响起后多长时间可以启用气体灭火装置强相关）、某个特定的设备运送到场的路线和时间，入场需要多少人手和怎样的工具器械才能上架等等。如果问题涉及人身安全、物资设备的顺利就位等，那选排练式测试Walk-through的几率就大了。 4、模拟测试 Simulation Test，会基于特定场景和特定范围，以模拟simulated或仿真realistic的环境，实施完整的流程和操作，以测试计划的可行性feasibility。 强调： 模拟测试是非真实场景，not real but realistic，证明可行性feasibility。 但在考试时，realistic极有可能被翻译成“真实的”或“现实的”，其实不对！！！realistic是仿真的意思！！！ 建议考试时遇到这个领域的问题切换到英文原文看下。 5、并行测试 Parallel Test（也叫功能演练functional drill） 6、全中断测试 Full-interruption Test 这两种可顾名思义，应不必多解释，需要强调的是它们与模拟测试 Simulation Test的不同，就在于这两种都是在真实real场景下的演练，用于验证计划的有效性effective。
    • 83.以下哪种灾难恢复计划的测试最有效且风险最小： A.结构化穿行测试 B.模拟测试 C.全面中断测试 D.并行测试
  • 密钥托管
    • 密钥托管 目的：为了有效控制密码技术的使用，保证对个人没有绝对的隐私和绝对不可跟踪的匿名性。 用途：提供一个备用的解密途径，政府机构在需要时，可通过密钥托管技术解密用户的信息，而用户的密钥若丢失或损坏，也可通过密钥托管技术恢复自己的密钥。 密钥托管 密钥托管密码体制组成： （1）用户安全组件USC (user security component) 作用：提供数据加解密能力以及支持密钥托管功能; USC可用于通信和数据存储的密钥托管； USC使用的加密算法可以是保密的、专用的,也可以是公钥算法。 （2）密钥托管组件KEC (key escrow component) 作用：存储所有的数据恢复密钥，通过向DRC提供所需的数据和服务以支持DRC。 托管代理机构也为可信赖的第三方，需要在密钥托管中心注册。 职责：操作KEC，协调托管代理机构的操作或担当USC或DRC的联系点 （3）数据恢复组件DRC (data recovery component) 作用：由KEC提供的用于通过密文及DRF中的信息获得明文的算法、协议和仪器。 它仅在执行指定的已授权的恢复数据时使用。 Skipjack算法 Skipjack加密算法是一种对称分组加密算法，密钥长度为 80比特、明文和密文长度均为64比特、轮数为32轮。它在防篡改硬件中实现，是在Clipper芯片和Fortezza PC卡中使用的密钥加密算法。
    • In a Key Escrow solution, which of the following provides the encryption and decryption function? 在密钥托管体制中，下面哪个提供了加密和解密的功能？ A. Data recovery component 数据恢复组件 B. Key registry component 密钥注册组件 C. Key escrow component 密钥托管组件 D. User security component 用户安全组件
      • Clipper芯片使用什么密钥大小？ A.40比特 B.56比特 C.64位 D.80比特 The Clipper Chip made use of the Skipjack algorithm, which is a symmetric cipher that uses an 80-bit key
  • 通用准则CC
    • 通用准则CC CC将评估过程划分为功能和保证两部分，评估等级分为EAL1、EAL2、EAL3、EAL4、EAL5、EAL6和EAL7共七个等级。每一级均需评估7个功能类，分别是配置管理、分发和操作、开发过程、指导文献、生命期的技术支持、测试和脆弱性评估。 从EAL1到EAL7一共有7个等级。等级越高，表示通过认证需要满足的安全保证要求越多，系统的安全特性越可靠。EAL不衡量系统本身的安全性，只表示测试的严格程度。实现特定的EAL等级，产品或系统需要满足特定的安全保证要求。大多数要求包括设计文档、设计分析、功能测试、穿透测试。等级越高，需要越详细的文档、分析和测试。一般实现更高的EAL认证，需要耗费更多的时间和金钱。通过特定级别的EAL认证，表示产品或系统满足该级别的所有安全保证要求。 通用准则在评估过程中使用了保护样板。保护样板描述了对环境的假设、目标以及功能性和保障级别期望。 评估过程只是判断产品功能和保证的一个方面。一旦害怕获得了特定的评级，它只适用于特定的版本，只适用于该产品的某种配置。因为会受限产品部署的环境、配置限制，评估环境是一个最理想状态的评价，也只是针对某款产品。 通用准则的不同组成部分： 保护样板：描述所需的安全解决方案 评估目标（TOE）：提供所需安全解决方案的建议产品 安全目标（ST）：供应商的书面说明，解析满足所需安全解决方案的安全功能和保证机制。 安全功能要求（PP）：产品必须提供的每一个安全功能。 安全保证要求：在对产品开发和评估过程中，为保证合乎所声称的安全功能的规定而采取的措施。 数据包（EAL）：把功能和保证需求封装起来，以便今后使用。这部分详细描述要实现特定EAL评级所必须满足的要求。 EAL保障等级 评估保障级别(EAL)：描述评定TOE保障要求满足情况的尺度，EAL级别大致代表了IT产品的安全功能的质量水平。EAL等级越高，表明质量水平越高，需要越详细的文档、分析和测试来提供质量水平的证明，产品的研发保证过程需要耗费更多的时间和金钱。从EAL1到EAL7一共有7个等级，等级越高，表示通过认证需要满足的安全保证要求越多，系统的安全特性越可信。 (1) 评估保证级1(EAL1)——功能测试； (2) 评估保证级2(EAL2)——结构测试； (3) 评估保证级3(EAL3)——系统地测试和检查； (4) 评估保证级4(EAL4)——系统地设计、测试和复查； (5) 评估保证级5(EAL5)——半形式化设计和测试； (6) 评估保证级6(EAL6)——半形式化验证的设计和测试； (7) 评估保证级7(EAL7)——形式化验证的设计和测试。
      • TOE:评估对象（Target of Evaluation），用于安全评估的信息技术产品、系统或子系统（如防火墙、计算机网络、密码模块等），包括相关的管理员指南、用户指南、设计方案等文档。 PP：保护轮廓（Protection Profile），为既定的一系列安全对象提出功能和保证要求的完备集合，表达了一类产品或系统的用户需求。PP与某个具体的TOE无关，它定义的是用户对这类TOE的安全需求。PP主要内容包括：需保护的对象、确定安全环境、TOE的安全目的、IT安全要求、基本原理等。 对于一类产品的评估方法，CC的解决办法是由业界专家共同对某个类型产品定制一个PP。由PP定义此类产品需要保护的资产，所面临的安全问题，以及与实现无关的安全需求。因PP由业界专家共同编制，所以定义的内容具有普适性。 ST：安全目标（Security Target），ST针对具体TOE而言，它包括该TOE的安全要求和用于满足安全要求的特定安全功能和保证措施。ST包括的技术要求和保证措施可以直接引用该TOE所属产品或系统类的PP。ST是开发者、评估者、用户在TOE安全性和评估范围之间达成一致的基础。
    • TCSEC中哪一级是自主保护级？ C A.A级 ◎B. B级 О С. С4 • D.D级 D为无保护级，C为自主保护级，B为强制保护级，A为验证保护级。
  • 关键风险指标KRI
    • 什么是KRI(key risk indicators)？ KRI是企业全面风险管理不可或缺的一环，一般来说，如果以下风险管理的要素在企业内已经构成，我们就可以开始构建KRI了： 识别到的风险列表 确定的风险严重性层级 企业风险管理框架 明确的风险评估以及严重性评估指标 高层的支持 接下来进一步的理解KRI： KRI可以通过使用数据来监控企业内的风险水位，他可以帮助挖掘已知风险的风险水位，思维框架如下： 同时KRI的选取也不用局限在企业的可用数据中（这是我作为常年数分背景的思维局限），大类来说可以分为内部数据和外部数据，框架如下： 我们如何挖掘KRI？ 需要注意的是，KRI只能用于监控已知风险，因为只有已知的风险，我们才可以通过趋势来判断风险的水位，而未知的风险我们都不知道要监控啥，所以自然无法建立KRI监控体系。 KRI的挖掘很大程度上依赖于企业的全面风险管理成熟度，风险的复杂性以及当前对于风险的理解，所以为了挖掘KRI，我们往往需要对风险场景进行深入研究。并且由于这个过程往往十分耗时，所以企业对于如何监控风险，监控哪些风险需要做一些综合性的考量。
    • 以下哪个是关于关键风险指标的（KRIs）正确描述？ • A. They tell managers where an organization stands with regard to its goals. / 它们告诉管理者一个组织在其目标方面的立场。 • B. They are inputs to the calculation of single loss expectancy （SLE）. / 它们是计算单一预期损失（SLE）的输入。 • C. They tell managers where an organization stands with regard to its risk appetite. / 它们告诉管理者相对于风险偏好的组织的立场。 • D. An interpretation of one or more metrics that describes the effectiveness of theISMS./ 描述ISMS 有效性的一个或多个指标的解释。 CEKRI(Key Risk Indicator) ALKGI (Key Goal Indicator) DEKPI (Key Performance Indicator) AIO 9. p.702 KRI 能向组织展示当前的风险偏好。
  • 备份
    • 子主题
    • *43.A Differential backup process will: 差异备份过程： • A Backs up data labeled with archive bit 0 and changes the data label to archive bit 1 / 备份归档位0的数据，并更新归档位为1 • B Backs up data labeled with archive bit 0 and leaves the data labeled as archive bit 0 / 备份归档位0的数据，并保持归档位为0 • C Backs up data labeled with archive bit 1 and changes the data label to archive bit 0 / 备份归档位1的数据，并更新归档位为0 • D Backs up data labeled with archive bit 1 and leaves the data labeled as archive bit 1 / 备份归档位1的数据，并保持归档位为1 D
      • 哪种备份方法通常在备份后重置归档位？ • A.Tape backup method. / 磁带备份方法 • B.Differential backup method. / 差分备份方法 • C.Partial backup method. / 局部备份方法 ◎ D. Incremental backup method. / 增量备份方法 D *45.Which common backup method is the fastest on a daily basis? 哪种常用备份方法最快？ • A. Full backup method / 完全备份 • B. Incremental backup method / 差异备份 • C. Fast backup method / 快速备份 • D. Differential backup method / 增量备份 D 如果备份时间很紧迫，并且磁带空间非常宝贵
  • 数字证书
    • PKI术语与定义 属性权威（Attribute Authority，AA） 通过发布属性证书进行权限分配的权限属性管理机构，也叫权限认证中心。 属性证书（Attribute Certificate，AC） 由授权管理机构作数字签名的证书，用以证明持有者的认证信息和其相应权限属性的确定性。属性证书也叫权限属性证书。 属性证书撤消表（Attribute Certificate Revocation List，ACRL） 一个标记一系列不再被属性证书发布者所信任的证书的签名列表（通称权限证书黑名单）。 证书认证中心（Certificate Authority， CA） 一个被终端实体所信任的签发公钥证书的证书认证实体，它是一个可信的权威机构，通常叫做“证书认证中心”或“证书管理中心”。 CA证书 （CA-Certificate） 一个由CA给另一个CA签发的证书。 CA撤消列表 （Certificate Authority Revocation List， ARL） 一个标记已经被注销的CA的公钥证书的列表，表示这些证书已经无效。 证书策略（ Certificate Policy） 是一个指定的规则集合，它指出证书对于具有普通安全需求的一个特定团体和（或）具体应用类的适用性。 证书撤消列表 （Certificate Revocation List， CRL） 一个标记一系列不再被证书发布者所信任的证书的签名列表（通称黑名单）。 证书验证（ Certificate Validation） 确定证书在指定的时间内是否有效的过程，证书验证包括有效期验证、签名验证以及证书状态的检验。 验证路径 （Certification Path） 一个在目录信息树中对象证书的一个有序的序列。路径的初始节点是最初待验证对象的公钥，可以通过路径获得最终的顶点的公钥。 CRL分布点（ Certificate Revocation List Distribution Point） 一个目录条目或其他的CRL分布源。一个通过CRL分布点发布的CRL，可以包括由一个CA分布的所有证书中的一个证书子集的注销条目，也可以包括全部证书的注销条目。 增量CRL （delta-CRL， dCRL） 是一个部分的CRL，它只包括那些在基础CRL确认后注销状态改变的证书的条目。 证书序列号 （certificate serial number） 在一个认证权威所签发的证书中用于唯一标识数字证书的一个整数。 数字证书 （Digital Certificate） 由认证权威数字签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及一些扩展信息的数字文件。 终端实体 （end entity） 数字证书的主体用户，通称用户或客户。 完全的CRL （full CRL） 在给定的范围内，包含所有已经被注销的证书的证书注销列表。 策略映射（ policy mapping） 当一个域中的一个CA为另一个域中的一个CA进行证明时，用于说明后一个CA的一个特定的策略可以被认为等同于第一个CA的一个特定的策略相同（注意：这里并不要求两个CA的全部策略都等同）的规则。 私钥 （private key） 在公钥密码系统中，用户的密钥对中只有用户本身才能持有的密钥。 公钥（ public-key） 在公钥密码系统中，用户的密钥对中可以被其它用户所持有的密钥。 公钥基础设施 (Public Key Infrastructure ，PKI) 一个能够对公钥进行管理以支持身份验证、加密、完整性以及不可否认性服务的基础设施。 权限（Privilege） 由认证中心分配给用户实体的属性、特性或特定权限。 权限管理基础设施（Privilege Management Infrastructure，PMI） 支持对用户进行授权服务的特权管理基础设施，它与公钥基础设施有密切的联系。 角色分配证书 一个证书，它包含角色的属性，为证书对象持有者分配一个或多个角色。 安全策略（ security policy） 由安全权威机构发布的用于约束安全服务以及设施的使用和提供方式的规则集合。 认证权威源（Source of Authority） 一个属性权威，它是特定资源的权限管理者。它验证用户实体的属性、权限，并作为最终认证中心为用户实体分配相应的权限。 信任（ trust） 通常说一个实体信任另一个实体表示后一个实体将完全按照第一个实体的规定进行相关的活动。在本标准中，信任用来描述一个认证实体与认证权威之间的关系。 目录查询协议 （Lightweight Directory Acess Protocol，LDAP） 本规范指轻型目录查询协议LDAP。用户可使用LDAP协议，通过网络到目录服务器查询系统中的证书或证书撤消列表。 在线证书状态查询协议 （Online Certificate Status Protocol，OCSP） 用户可使用OCSP协议，通过网络到OCSP服务器实时查询系统中证书的当前有效/无效状态。 对称密钥对 通指加密时使用的密钥与脱密时使用的密钥二者是相同的一对密钥。通常用于对称密钥密码算法。 非对称密钥对 通指加密时使用的密钥与脱密时使用的密钥二者是紧密相关但不相同的一对密钥。通常用于非对称密钥密码算法。 注册机构 （Registration Authority,RA） 为用户办理证书申请，身份审核，证书下载、更新、注销以及密钥恢复等实际业务的办事机构或业务受理点，也叫证书注册审核中心。 简单对象访问协议（Simple Object Access Protocol,SOAP） 用该协议实现电子政务客户端与服务器端信息安全交换的功能。 扩展标记语言 (Extensible Markup Language, XML) 用于WWW上保存和传递信息的语言。
    • 数字信封
      • 数字信封的两种密钥 从概念介绍，我们可以看到数字信封其实有两种密钥： 密钥1：用于对内容进行加密和解密； 密钥2：用于对密钥1进行加密和解密。 由于需要处理的内容有可能很长，一般密钥1使用对称密钥，而且密钥1往往是临时(随机)生成； 密钥2则可以是对称密钥，也可以是非对称密钥： 如果是1对1发送信息，建议密钥2使用非对称密钥，发送者用公钥加密，接收者用私钥解密； 如果是1对多发送信息，建议密钥2使用对称密钥，发送者用对称密钥加密，接收者也用同样的密钥解密。 同时，数字信封可以添加数字签名
    • What can be defined as a data structure that enumerates digital certificates that were issued to CAs but have been invalidated by their issuer prior to when they were scheduled to expire? 颁发机构撤销列表（ARL）是颁发给已被撤销的证书颁发机构的公钥证书的序列号列表，因此不应依赖。 A. Certificate revocation list 证书吊销清单 B. Certificate revocation tree 证书吊销树 C. Authority revocation list 撤销权限清单 D. Untrusted certificate list 不可信证书列表 C CA 在证书撤销列表 (CRL) 中发布已撤销的个人证书。 已经被撤销的 CA 证书发布在权限撤销列表 (ARL) 中。
      • 谁为数字证书中的数据项之间的绑定提供担保？ A.登记机关 B.认证机构 C.发证机关 D.开票机关 B
        • 以下哪一项最能定义数字信封？ A.用数字证书加密和签名的消息。 B.用密钥签名并用发送者的私钥加密的消息。 C.用附在消息上的密钥加密的消息。密钥用接收器的公钥加密。 D.用收件人的公钥加密并用发件人的私钥签名的消息。 C
    • 以下哪一项将主题名称绑定到公钥值？ A.公钥证书 B.公钥基础设施 C.密钥基础设施 D.私钥证书 A
  • ISO/IEC 15408 通用准则 CC 认证、认可
    • 通用准测（CC），ISO/IEC 15408 7个评估保证级别（EAL） EAL1 功能测试 EAL2 结构测试 EAL3 系统地测试和检查 EAL4 系统地设计、测试和复查 EAL5 半正式地设计和测试 EAL6 半正式地验证设计和测试 EAL7 正式地验证设计和测试 2. 某款产品被分配了保证级别，还应该被正确配置 3. CC的组成部分 PP（保护样板，Protection Profile，OSG称保护范畴）：客户的安全要求 TOE（评估目标）：提供安全解决方案的产品 ST（安全目标）：供应商的书面说明（即产品的功能和如何实现这些功能） 安全功能要求：产品必须提供的每一个安全功能 安全保证要求：为保证所声称的安全功能而采取的措施 数据包（即EAL） 4. ISO/IEC 15408的三个部分 ISO/IEC 15408-1 入门和通用评估模型，即确定TOE的核心概念 ISO/IEC 15408-2 安全功能组件，即要评估的安全功能要求 ISO/IEC 15408-3 安全保证组件，即考量TOE保证的标杆 5. 对产品进行评估的原因：独立第三方的全面检测 6. 认证（Certification）与认可（Accrediation，OSG称鉴定） 认证：对安全组件全面的技术评估，目标是确保产品能够适合客户的目的 认可：管理对系统整体安全和功能的充分性的认定 这里还有个概念Validation，验证产品是否满足实际需求 7. （OSG P211）TESEC，可信计算机系统评估标准 可与EAL7个等级进行类比 D 最小保护 C1 自主保护 C2 受控访问保护（介质清除） B1 标签化安全 B2 结构化保护（不能存在隐蔽通道） B3 安全域 A1 已验证保护 B1、B2、B3基于安全标签
  • 电子发现
    • 电子发现(eDiscovery) 在诉讼过程中，任何一方都有责任保留与案件相关的证据，并在发现过程中在控诉双方分享信息。 这个发现过程应该用纸质档案和电子记录及电子发现的过程促进电子信息披露的处理。 电子发现参考模型描述了发现的标准过程，共需要如下9 步： (1) 信息治理 确保信息系统针对将来的发现有良好的组织。 (2) 识别 当组织相信起诉很有可能时，要指出电子发现请求信息的位置。 (3) 保存 确保潜在的发现信息不会受到篡改或删除。 (4) 收集 将敏感信息收集起来用于电子发现过程。 (5) 处理 过滤收集到的信息并进行无关信息的“粗剪＂，减少需要详细检查的信息。 (6) 检查 检查剩下的信息，确定哪些信息是敏感的请求，并移除律师与客户之间保护的信息。 (7) 分析 对剩余的内容和文档执行更深层次的检查。 (8) 产生 用需要分享他人的信息标准格式产生信息。 (9) 呈现 向证人、法院和其他当事方展示信息。 进行eDiscovery 是一个复杂过程，需要在IT 专业人员和法律顾问之间精心协调。
  • 侧信道攻击
    • 侧信道攻击 1.1.概述 侧信道攻击属于密码学的物理攻击（Physical Attack）范畴，是密码学中的一个重要分支。这种攻击利用计算设备在执行密码算法时泄露的物理信息，如功耗、时间、电磁辐射、声波等，来推测内部的秘密数据（如密钥）。与传统的密码分析不同，侧信道攻击并不直接针对算法的数学结构，而是利用实现过程中不可避免的物理信息泄漏。 1.2.侧信道攻击的起源与发展 侧信道攻击的概念起源于20世纪90年代末。1996年，保罗·科彻（Paul Kocher）发表了关于时序攻击的论文，揭示了通过测量加密操作的执行时间来推断密钥信息的可能性。这标志着侧信道攻击研究的开端。随后，他与他人合作，提出了差分功耗分析（Differential Power Analysis, DPA），这进一步推动了侧信道攻击的研究和发展。 1.3.侧信道攻击的详细分类及介绍 侧信道攻击是通过分析加密设备在执行操作时泄漏的物理信息来获取敏感数据的技术。以下是侧信道攻击的几种主要类型及其详细介绍： 1.3.1功耗分析攻击（Power Analysis Attacks） 功耗分析攻击通过测量设备在执行加密操作时消耗的电力来获取信息。这类攻击分为简单功耗分析（SPA）和差分功耗分析（DPA）。 简单功耗分析（Simple Power Analysis, SPA） 原理：SPA利用设备在执行不同操作时功耗变化的直接观测。攻击者可以通过观察这些变化，推断出加密过程中具体操作的类型和顺序。例如，在执行加密算法时，设备在处理不同数据位时的功耗可能会有所不同。 举例：假设一个设备在处理二进制“1”时消耗的功率比处理“0”时高。通过观察功耗图，可以推断出每一位是“1”还是“0”，从而推断出整个密钥。 差分功耗分析（Differential Power Analysis, DPA） 原理：DPA更加复杂和强大。攻击者收集大量功耗曲线，并利用统计方法分析功耗数据中的微小差异。通过对这些差异进行统计处理，攻击者可以找出与密钥相关的信息。 举例：攻击者可以使用数千次加密操作的功耗数据，计算每次操作的平均功耗。然后，通过对不同密钥假设下的功耗进行统计比较，找到最有可能的密钥。 1.3.2.电磁分析攻击（Electromagnetic Analysis, EMA） 电磁分析攻击通过测量设备在执行操作时产生的电磁辐射来获取信息。这类攻击分为简单电磁分析（SEMA）和差分电磁分析（DEMA）。 简单电磁分析（Simple Electromagnetic Analysis, SEMA） 原理：SEMA类似于SPA，利用设备在执行不同操作时产生的电磁辐射变化来获取信息。攻击者通过观察这些变化，推断出加密过程中具体操作的类型和顺序。 举例：通过在设备附近放置一个电磁探头，攻击者可以记录设备在执行加密操作时产生的电磁信号。通过分析这些信号的强度和频率变化，可以推断出密钥信息。 差分电磁分析（Differential Electromagnetic Analysis, DEMA） 原理：DEMA类似于DPA，通过收集大量电磁辐射数据，并利用统计方法分析其中的微小差异。通过对这些差异进行统计处理，攻击者可以找出与密钥相关的信息。 举例：攻击者收集数千次加密操作的电磁辐射数据，通过统计方法比较不同密钥假设下的电磁信号，找到最有可能的密钥。 1.3.3.时序攻击（Timing Attacks） 时序攻击通过测量设备在执行操作时所需的时间来获取信息。 原理：不同的操作或相同操作处理不同数据所需的时间可能不同。攻击者可以通过测量这些时间差异，推断出内部操作细节和密钥信息。 举例：某些加密算法的执行时间取决于输入数据和密钥。通过多次测量加密操作的执行时间，攻击者可以推断出密钥的某些部分。例如，RSA加密算法中的模幂运算时间可能会泄露关于密钥的信息。 1.3.4.缓存攻击（Cache Attacks） 缓存攻击通过分析处理器缓存的行为来获取信息。 原理：加密算法在执行过程中会访问缓存，不同数据访问模式会导致不同的缓存命中率和访问时间。攻击者可以通过分析这些访问模式，推断出密钥信息。 举例：一个常见的缓存攻击是“Prime+Probe”攻击。攻击者首先将自己的数据加载到缓存中，然后让加密算法运行。通过测量加密算法运行后自己数据的访问时间，攻击者可以推断出加密算法访问缓存的模式，从而推断出密钥。 1.3.5.声学攻击（Acoustic Attacks） 声学攻击通过分析设备在执行操作时产生的声波来获取信息。 原理：不同操作可能会产生不同的声音模式，攻击者可以通过测量和分析这些声音，推断出内部操作和密钥信息。 举例：某些设备在执行不同的加密操作时会产生不同频率或强度的声音。通过使用麦克风记录这些声音，并进行频谱分析，攻击者可以推断出加密操作的类型和密钥。 1.3.6.光学攻击（Optical Attacks） 光学攻击通过观察设备的光学辐射（如LED指示灯的闪烁）来获取信息。 原理：设备在执行不同操作时可能会发出不同的光学信号。攻击者可以通过测量这些光信号的变化，推断出内部操作和密钥信息。 举例：某些设备的LED指示灯在执行加密操作时可能会闪烁不同的模式。通过使用高速摄像设备记录这些闪烁模式，并进行分析，攻击者可以推断出加密操作的类型和密钥。 2.侧信道攻击的防御 为了防御侧信道攻击，可以采取多种技术和策略，包括但不限于： 2.1.掩码技术（Masking） 原理：在计算过程中引入随机掩码，使得泄露的信息与实际密钥无关。即使攻击者获得了侧信道信息，也无法直接推断出密钥。 具体措施：在加密过程中，使用随机数对密钥进行掩码处理，使得功耗、时间或其他物理特征不再直接与密钥相关联。 2.2.均衡功耗技术（Balancing Power Consumption） 原理：通过设计电路和算法，使得不同操作消耗的功率尽可能一致，从而减少功耗分析的有效性。 具体措施：设计硬件电路时，确保所有加密操作的功耗变化保持在一个固定范围内，避免特定操作的功耗差异过大。 2.3.时间均衡技术（Balancing Timing） 原理：确保所有操作的执行时间尽可能一致，防止时序攻击。 具体措施：通过添加伪随机延迟或固定所有操作的执行时间，使得攻击者无法通过时间测量推断出密钥信息。 2.4.噪声引入（Noise Injection） 原理：在侧信道信号中引入随机噪声，增加攻击者提取有用信息的难度。 具体措施：在加密设备的输出中添加随机噪声信号，使得实际操作的物理特征被噪声掩盖。 2.5.硬件防护（Hardware Countermeasures） 原理：通过设计更安全的硬件架构，如使用电磁屏蔽和物理隔离，来减少侧信道信息的泄漏。 具体措施：在芯片设计中加入电磁屏蔽层，减少电磁辐射泄漏；通过物理隔离技术，降低功耗和时序信息的外部可观测性。
    • 有一些攻击可以用来攻击智能卡。下面哪个不是旁路攻击？ A. 差分功率分析 Differential power analysis B. 简单功耗分析 Simple power analysis C. 微探测分析 Microprobing analysis D. 时序分析Timing analysis C
  • DRP
    • 恢复站点策略
      • Dual Data Center双数据中心 (冗余站点/镜像站点/立即恢复)
        • 使用该战略使得应用不能接受宕机影响组织 停机时间非常短(分钟级/秒级) 优势 费用较高 缺点
      • 冷站点
        • 冷站就是一个壳或空数据中心，且地板上没有任何技术设施
        • 低成本 恢复时间太长，没有前期完全的测试工作
      • 热站点
        • 优势
          • 允许测试恢复策略 站点可在数小时内恢复 (需要导入数据)
        • 缺点
          • 外部热站存在软硬件兼容问题
      • 温站点
        • 有线路和设备-同热站点
        • 有程序，但是没有数据
        • 部分配置有一些设备 ，天级的恢复
      • 移动站点
        • 一般是冷、温
        • 是内部配置适当电信装备和IT设备的 可移动拖车或标准的集装箱， 可以被机动拖放和安置在所需的备用场所， 提供关键的应用服务，如电话交换功能等。
      • 云计算
      • 处理协议
        • 相互援助协议 MAA
          • 组织间用来分享宕机风险，在灾难发生时，每个组织承诺承担彼此的数据和处理任务
          • 组织承诺为他人保留空余处理能力或在其他组织宕机时降低处理能力 首先需要组织能够遵守这些协议，在行业内或竞争对手间很难找到合适的合作伙伴
        • outsourcing 外包
          • 符合企业的成本效益需求
            • 承担未知能力以及能够符合要求的风险，SAL协议能表明在一段时间内提供服 务，但不能真正保障在灾难时提供保障
            • 优点
              • 按需服务，所有要求和执行责任都在第三方 较少的成本 提供更广的地域选择
            • 缺点
              • 更多主动测试和评估来确认能力保持情况 协议争论使得厂家不能执行 如果部署私有系统将锁定厂商 如果频繁发生中断可能能力构建的费用更多
    • 数据库恢复
      • 电子传送/电子跳跃/电子保险库/电子链接 (Electronic Vaulting )
        • 通过网络定期远程传送批量备份数据 Electronic Vaulting 阶段性的传送，不是实时的
      • 远程日志/远程日记(remote journaling)
        • 批量方式，速度更快
        • 实时传送交易日志 AIO 定期传送交易日志 OSG 备注中的解释所以AIO是不对的
          • 有了远程日志，数据传输就能以更快的方式进行。数据传输仍以批量传输模式进行，但传输的频率更高，通常是每小时一次，有时更频繁。 远程日志与电子保险库类似，转移到远程站点的交易日志不应用于实时数据库服务器，而是保存在一个备份设备中。当宣布发生灾难时，技术人员会检索相应的交易日志并将其应用到生产数据库中，使数据库达到当前的生产状态。
      • 远程镜像
    • 恢复计划开发
      • 应急响应
      • 职员和通信
      • 评估
      • 备份和离站存储
        • 完整备份
        • 增量备份
        • 差异备份
        • 差别：增量备份后归档位位0，差异备份后不改变归档位 相同：都只复制归档位被打开、启用或设置为1的 差异备份还原时间短、备份时间长
      • 软件托管协议
      • 公用设施
      • 物流和供应
      • 恢复与还原比较
        • Recovery阶段, 从主到备
        • 计划中最后一部分是关于主环境复原以及迁移到正常运行 (重建/还原 reconstitution/restoration - 从备到主 )
        • 恢复系统的顺序和Recovery阶段是相反的
      • 培训、意识与文档记录
    • 测试与维护
      • 测试策略包含测试目标和范围
        • BCP/DRP 每年至少测试一次
        • 当重大变更发生时需要进行测试
        • 测试不要危及正常业务运行
      • 检测清单测试 Checklist test《CBK、AIO》 通读测试 Read-through《OSG》
        • 最简单最重要
        • BCP/BRP/DRP拷贝分发给每个关键业务部门的经理，请求他们评审适合他们部门的计划部分
      • 桌面演练/结构化穿行演练测试 Table-top exercise/ Structured Walk-through
        • 作为计划初始测试的工具
        • 确保来自所有领域的关键人员熟悉BCP /DRP，确保计划反应组织从灾难恢复过来的能力
        • 会议室演练，低成本，role-play
      • 排演演练/模拟演练 Simulation test (模拟测试的特点是模拟一个真实的灾难场景)
        • 比桌面演练包含的内容更多，参加者选择具体的事件场景应用在BCP中
      • 并行测试 Parallel test (DRP）
        • 备用站点的运行结果和主站点的运行结果进行比对
      • 完全中断/全面测试 Full-interruption test (DRP/风险最高)
        • 切换到备用站点运行
      • 经验教训
        • 在任何灾难恢复操作或其他安全事件结束时，组织应召开经验教训会议。经验教训流程旨在为参与事件响应工作的每个人提供一个机会来反思他们在事件中的个人角色和团队的整体响应。 这是一个改进事件响应中使用的流程和 技术以更好地应对未来安全危机的机会。 进行经验教训最常见的方式是将每个人聚集在同一个房间， 或通过视频会议或电话将他们联系起来，并请训练有素的 主持人主持经验教训会议。理想情况下，这个协调人不应 该在事件响应中发挥任何作用，让他们对响应没有先入为 主的观念。 主持人应该是中立的一方，只是帮助引导对话。 时间对于经验教训会议至关重要，因为随着时间的流逝，细节很快就会变得模糊，记忆也会丢失。您开展经验教训会议的速度越快，您就越有可能收到有助于指导未来响应的宝贵反馈。
      • 更新和维护计划
        • 任何团队都有义务参与变更控制流程 计划文档和所有相关程序每三个月检查一次 计划的正式审计每年至少一次 计划必须控制版本
    • A site that is owned by the company and mirrors the original production site is referred to as a _______? A. Hot site. B. Warm Site. C. Reciprocal site. D. Redundant Site D题中说的是mirrors，热站点只是有设备，没有数据，所以不是冗余站点
      • 为了达成承诺给业务部门的IT服务指标，在IT部门内部签订的支持协议被称为？ • A. Service-level agreement （SLA）/ 服务水平协议 • B. Operational-level agreement （OLA）/ 操作级协议 • C. Underpinning Contract （UC） / 支持合同 • D. Statement of work （SOW）/ 工作说明书 SLA是服务提供方和服务接收方之间签订。OLA 位于IT部门内部，用于支持SLA。UC是供应商对IT部门的支持合同。SOW 是描述要执行的工作的合同的附录。
        • 1 James 正在与组织领导层一起工作，帮助他们了解灾难恢复在网络安全战略中所起的作用。领导们不清楚交难恢复和业务连续性之问的区别。什么是灾难恢复计划的最终目标？ A.防止业务中断 B. 临时恢复业务运营 C. 恢复正常的业务活动 D. 最小化灾难影响 C
  • GPDR
    • 欧盟充分认定的国家
      • 截至2021年4月，共有安道尔公国、阿根廷、加拿大（商业组织）、法罗群岛、根西岛、以色列、马恩岛、日本、泽西岛、新西兰、瑞士和乌拉圭12个国家和地区获得了认定。
    • 受适当保护的传输
      • 使用 SCC (标准合同模版) 经批准的 BCR (绑定公司规则) (Binding Corporate Rules）
        • 适用于集团企业内跨国的数据传输
• 其他知识点的错题
  • 安全控制措施
    • 系统强化
      • 网络设备的物理控制措施
        • 机柜上锁
      • 大容量存储设备介质的控制
        • 物理控制+技术控制
      • 工作站的安全防护措施
        • 做一个硬拷贝镜像，称做 Gold Master (GM) 母盘
      • 应用系统的安全防护
        • 关注脆弱性检测与修复
      • 组件的安全防护
        • 对组件进行恰当的配置
    • 保护措施通用流程
      • 1、识别和评估风险 2、选择恰当的控制措施 3、正确的使用控制措施 4、管理配置 5、评估操作
    • 什么是确定操作系统的控制是否适当运作的最有效手段？ A Review of software control features and/or parameters / 审查软件的控制功能和参数 B Review of operating system manual / 审查操作系统手册 C Interview with product vendor / 专访产品供应商 D Interview with computer operator / 专访电脑操作员 A
      • The controls that usually require a human to evaluate the input from sensors or camera s to determine if a real threat exists are associated with: 通常需要一个人评估来自传感器或摄像机的输入来确定是否存在真实的威胁，这样的控制是？分值份分 A.Detective/administrative 检测的/管理的 B.Detective/technical 检测的/技术的 C.Preventive/physical 预防的/物理的 D.Detective/physical 检测的/物理的 D
    • Fault tolerance countermeasures are designed to combat threats to which of the following? 容错对策旨在对抗针对以下哪项的威胁？ • A backup and retention capability. / 备份和保留能力 O B data integrity. / 数据完整性 • c an uninterruptible power supply. / 不间断电源 • D design reliability. / 设计的可靠性 解析： 容错性，是指软件检测应用程序所运行的软件或硬件中发生的错误并从错误中恢复的能力，通常可以从系统的可靠性、可用性等方面来衡量。
  • 取证过程
    • 在计算机取证调查中，当计算机取证调查员锁定了目标计算机，下一步是什么？ A.Label and put it into a container, and then label the container / 标签并将其放入容器中，然后标记容器. B.Dust the evidence for fingerprints / 获取指纹的证据 C.Make an image copy of the disks / 做磁盘镜像副本 D.Lock the evidence in the safe / 将证据锁在保险柜里 C
      • 公司没有正式的数据销毁政策。在刑事诉讼的哪个阶段，这将产生最大的影响? A. Sentencing / 判刑 B. Trial / 审判 C. Discovery / 发现 D. Arraignment / 提审 C
  • 外部用ITIL，内部用OLA
    • 为了达成承诺给业务部门的IT服务指标，在IT部门内部签订的支持协议被称为？ A. Service-level agreement (SLA) / 服务水平协议 B. Operational-level agreement (OLA) / 操作级协议 C. Underpinning Contract (UC) / 支持合同 D. Statement of work (SOW) / 工作说明书
  • 变更管理
    • 以下哪项是系统或安全故障的最常见原因? A. 缺乏物理安全控制 B. 缺乏变更控制 C. 缺乏记录和监测 D. 缺乏系统文件 B
  • 日志
    • 以下哪项是为生成的审计日志选择适当详细级别的主要原因? A. 避免冗长的审计报告 B. 能够生成纠正措施报告 C. 促进根本原因分析 D. 降低整个系统开发生命周期的成本
      • 以下哪项可确保不覆盖旧的日志数据? A. Log retention / 日志保留 B. Implement Syslog / 实施系统日志 C. Increase log file size / 增加日志文件大小 D. Log preservation / 日志保存
      • 从技术角度确定必须如何处理日志保存命令，例如保护和防止特定日志记录被更改和破坏的法律要求。 日志保存：保留通常会被丢弃的日志，因为它们包含特别关注的活动记录。 日志保留：定期归档日志，作为标准操作活动的一部分。
  • 安全控制措施
    • In biometric identification systems, at the beginning, it was soon apparent that truly positive identification could only be based on : 在生物识别系统中，最开始真正的有效识别很明显只能基于？ A.sex of a person 人的性别 B. physical attributes of a person 人的物理属性 C.age of a person 人的年龄 D.voice of a person 人的声音 答案：B
    • Technical controls such as encryption and access control can be built into the operating system, be software applications, or can be supplemental hardware/software units. Such controls, also known as logical controls, represent which pairing? 技术控制，如加密和访问控制可以内置到操作系统，成为应用软件，或者可以辅助硬件/软件单元。这样的控制，也被称为逻辑控制，表述的是哪一项？ A.Detective/Technical Pairing 检测/技术配对 B.Preventive/Administrative Pairing 预防/行政配对 C.Preventive/Technical Pairing 预防/技术配对 D.Preventive/Physical Pairing 预防/物理配对 答案：C
      • 这道题很有代表性，题中问加密和访问控制，所以要从这个点分析，所以选C不选A
    • 68. Which of the following is true of biometrics? 下列对于生物计量学描述正确的是？ A. Biometrics has not role in logical controls. 生物识别技术已经不存在逻辑控制的作用。 B. It is used for authentication in physical controls and for identification in logical controls. 它是用于在物理控制和逻辑控制身份认证。 C. It is used for identification in physical controls and for authentication in logical controls. 它是用于在物理控制和逻辑控制认证标识。 D.It is used for identification in physical controls and it is not used in logical controls. 它用于在物理控制识别，不用于逻辑控制。 答案：C
      • 记住 authentication和identification的区别
    • 以下哪一项通常用作授权工具？ • A. 访问控制列表 • B. 令牌 • C. 用户名 • D. 密码 A.访问控制列表用于确定用户的授权级别。 用户名是识别工具。 密码和令牌是身份验证工具。
  • 风险缓解 reduce Risk Mitigation 风险规避 eliminate Risk Avoidance 风险接受 acceptance Risk Acceptance 风险转移 transference Risk transfer
    • 风险规避策略，涉及避免某些可能导致风险的活动或决策，从而完全消除风险。比如：改变项目计划，改变业务方式等，例子：避免遭受DNS欺骗，取消DNS对外服务。 风险减轻策略，则通过采取措施来降低风险发生的可能性或减轻其潜在影响。比如：增加防火墙，入侵检测等。 风险转移策略，涉及将风险转移给第三方，如通过购买保险来转移潜在损失的风险。 风险接受策略，则是在评估了风险后，决定不采取任何特别措施，而是接受风险可能带来的后果。
    • 企业打算将废弃的硬盘交给供应商进行安全地销毁，在此之前，企业对硬盘做了净化处理（sanatizing），从风险管理的角度来看，这属于？ A.避免风险 B.缓解风险 C. 转移风险 D. 接受风险 B
      • .Bob启用了由其云基础设施供应商提供的应用防火墙，旨在阻止多种类型的应用程序攻击。从风险管理的角度来看，这降低了以下哪一项？ A. RTO 恢复时间目标 B. RPO 恢复点目标 C.impact 影响 D. likelihod 可能性
  • 简化分析
    • 简化分析（reduction analysis）， 分解应用程序、系统或环境、目的是更好地理解产品的逻辑及其与外部元素的交互。对应用、系统或环境越了解，越有助于识别出对他们的攻击。从攻击树引出的一种方法 作用： 一方面减少组织必须考虑的攻击数量，找到攻击的共性来减少需要缓解的条件的数量。 一方面减少攻击造成的威胁，实施缓减技术时，离根节点越近，就越能缓解叶节点的攻击。
  • TCSEC
    • TCSEC定义了四个大类七个级别，四个大类：D，C，B和A，其中部门A具有最高的安全性。每个类都代表个人或组织对评估系统的信任度存在显着差异。此外，C，B和A分为一系列详细分级：C1，C2，B1，B2，B3和A1。TCSEC分级为：D、C1，C2，B1，B2，B3和A1。其中: D级为无保护级、C级为自主保护级(C1级为机动安全保护，C2级为控制访问保护)、B级为强制保护级(B1级为标签安全，B2级为结构保护，B3级为安全域)、A级为验证保护级。随着安全等级的提高，系统的可信度随之增加，风险逐渐减少。
  • 隐蔽通道
    • A shared resource matrix is a technique commonly used to locate? 一个共享资源矩阵是一项技术，常用来定位？ A. Trap doors 陷门 B. Covert channels 隐蔽通道 c. Security flaws 安全缺陷 D. Malicious code 恶意代码
  • 可信计算
    • 可信系统的特征还包括：‌ 安全性：‌可信系统通过采用一系列硬件和软件的完整措施来确保其安全性，‌这些措施包括但不限于数字签名、‌安全启动功能，‌以及利用设备硬件能力配合不可更改的初始启动代码和验签密钥建立信任根。‌ 可靠性：‌系统可靠性是指在规定的时间内和规定的工况下，‌系统完成规定功能的能力或概率。‌随着科学技术的进步，‌系统的组成越来越复杂，‌系统可靠性问题也日益突出。‌可信系统的设计和实现考虑了高可靠性指标，‌通过容错和非容错两种方法来实现。‌ 可维护性：‌系统的可维护性指的是系统可维修的状况，‌通常用平均修复时间（‌MTRF）‌来表征。‌可信系统的设计和实现也考虑了系统的可维护性，‌以确保在出现问题时能够迅速、‌有效地进行修复。‌ 可用性：‌计算机系统的使用效率，‌以系统在任意时刻能正确运行的概率来表示。‌可信系统的设计和实现同样考虑了系统的可用性，‌确保系统能够持续、‌稳定地提供服务。‌
    • *41.A trusted system does NOT involve which of the following? 可信系统并不涉及以下哪一项？ • A.Independently-verifiable evidence that the security policy-enforcing mechanisms are sufficient and effective.关于安全策略执行机制独立核查证据是足够的和有效的。 • B. Enforcement of a security policy. 安全策略的强制执行。 • C. Assurance that the security policy can be enforced in an efficient and reliable manner.保证以可靠和高效率的方式执行的安全策略。 • D. Sufficiency and effectiveness of mechanisms to be able to enforce a security policy. 充分性和有效性机制以加强安全策略 C
      • 在操作安全中，可信路径提供： • A trusted access to unsecure paths. 信任的访问不安全的路径 • B trustworthy interfaces into priviledged user functions. 受信接口进入特权账户功能 • C trustworthy interfaces into failover functions. 受信接口进入故障切换功能 • D trustworthy integration into integrity functions. 受信整合完整性功能。 CBK：可信路径为特权用户功能提供可信接口，旨在提供一种方法来确保通过该路径的任何通信都不会被拦截或破坏。例如，当用户在本地登录到系统时，重要的是可以通过从用户界面到访问控制子系统的路径安全地共享他的凭据。然而，许多攻击旨在通过将输入重定向到可以拦截、披露或操纵的替代通道来专门攻击此类可信路径。这种攻击的成功率随着特权级别的增加而增加，使得使用特权用户帐户的攻击非常危险。 确认 正确答案为：B
  • 子主题
    • Fault: A momentary loss of power Blackout: A complete loss of power Sag: Momentary low voltage Brownout: Prolonged low voltage Spike: Momentary high voltage Surge: Prolonged high voltage Inrush: An initial surge of power usually associated with connecting to a power source, whether primary or alternate/secondary Noise: A steady interfering power disturbance or fluctuation Transient: A short duration of line noise disturbance Clean: Nonfluctuating pure power Ground: The wire in an electrical circuit that is grounded 故障：瞬间断电停电：完全断电 衰变：瞬间低电压 掉电：长时间低电压 尖峰：瞬时高压 浪涌：长时间的高压 浪涌：通常与连接到电源相关的初始功率浪涌，无论是主电源还是备用/辅助电源噪声：稳定的干扰电源干扰或波动 瞬态：短时间的线路噪声干扰 清洁：无波动的纯电力 接地：电路中接地的导线
      • Power excess: Spike Momentary high voltage Surge Prolonged high voltage Power loss: Fault Momentary power outage Blackout Prolonged, complete loss of electric power Power degradation: Sag/dip Momentary low-voltage condition, from one cycle to a few seconds Brownout Prolonged power supply that is below normal voltage In-rush current Initial surge of current required to start a load
        • 功率过剩： 尖峰瞬时高压 浪涌持续高压 功率损失： 故障瞬时停电 停电持续时间长，完全断电 电源退化： 凹陷/骤降瞬时低电压状态，从一个周期到几秒钟 断电电源电压低于正常值 浪涌电流启动负载所需的初始浪涌电流
    • 因为普通电缆在火灾事件中会产生有害气体，因此在起增温、通风和空调（有时称为HVAC）作用的空气循环的独立区域需要用到特种电缆，特别是在天花板和吊顶之间的空间。这个区域称之沩？ • A. smoke boundry area/ 烟雾边界区 • B. fire detection area / 火警侦测区 • C. Plenum area / 增压区 • D. Inergen area / 烟烙尽区 C
  • 数据库备份
    • 1、Electronic Vaulting 电子保险箱/电子分批复制 自动化技术按计划（通常是每天）将数据库备份从主数据库服务器移动到远程站点。 2、Remote Journaling 远程日志记录 有了远程日志，数据传输就能以更快的方式进行。数据传输仍以批量传输模式进行，但传输的频率更高，通常是每小时一次，有时更频繁。 远程日志与电子保险库类似，转移到远程站点的交易日志不应用于实时数据库服务器，而是保存在一个备份设备中。当宣布发生灾难时，技术人员会检索相应的交易日志并将其应用到生产数据库中，使数据库达到当前的生产状态。 3、Remote Mirroring 远程镜像 远程镜像是最先进的数据库备份解决方案。毫不奇怪的是，它也是最昂贵的! 远程镜像超越了远程日志和电子保险箱所使用的技术；通过远程镜像，在备份站点保持一个实时数据库服务器。远程服务器在数据库修改应用到主站点的生产服务器的同时，也会收到这些修改的副本。因此，被镜像的服务器准备好在任何时候接管一个操作角色。 对于寻求实施热站点的组织来说，远程镜像是一种流行的数据库备份策略。然而，在权衡远程镜像解决方案的可行性时，一定要考虑到支持镜像服务器所需的基础设施和人力成本，以及将添加到镜像服务器上的每个数据库交易的处理费用。
    • Which of the following is a transaction redundancy implementation? A. On-site mirroring B. Electronic Vaulting C. Remote Journaling D. Database Shadowing Correct Answer: A
      • 以下哪一项是事务冗余实现？ A.现场镜像 B.电子保险箱 C.远程日记 D.数据库阴影
  • 操作安全
    • 资产，脆弱性和威胁之间的关系称为操作安全三元组（Operations Security Triple）
  • 职责分离
    • 职责分离可分为知识分割（Split Knowledge）和双重控制（Dual Control）。这两种情况下，两名或更多的授权人员共同履行职责或执行任务。在知识分割的情况下，没有单独的人员知道 或拥有执行任务需要的全部细节。例如，需要两名经理才能打开银行金库，每个人只知道口 令组合的一部分。在双重控制的情况下，仍然需要授权两名人员共同执行任务，但两者都应 在各自的参与范围之内完成各自的任务。例如，两名军官应在一艘核导弹潜艇上同时转动各 自的钥匙，而且两个人距离远到无法碰触对方，才能发射导弹。这里的控制措施确保没有人 员可单独发射导弹，因为想单独发射导弹的人员无法同时转动两把钥匙。
    • 下列哪个角色受职责分离的约束最少？ • A. 最终用户 • B.服务台支持人员 • C. 计算机操作人员 • D. 质量保证人员 正确答案为：D
  • SET协议
    • SET协议的安全机制 SET使用多种密钥技术来达到安全交易的要求，其中对称密钥技术、公钥加密技术和Hash算法是其核心。 综合应用以上三种技术产生了数字签名、数字信封、数字证书等加密与认证技术。 在ISO/IEC 10181系列中阐述了开放式信息系统的安全架构标准，共包含七个部分：鉴别、访问控制、抗抵赖性、机密性、完整性、安全跟踪与告警、密钥管理等服务；目前SET将访问管理、安全跟踪告警、密钥管理三个部份留给应用系统开发人员自行处理。 鉴别安全： SET的鉴别工作必须依赖公开密钥的运作体系（public key infrastructure，PKI），使得系统是否能实际运作必须依赖整体大环境是否成熟而定，例如签证体系的建立等，这将导致系统建设成本的大幅提升。 完整性安全 SET协议使用数字签名与哈希函数技术来达成完整性的要求，运作方式为发送方先将交易信息经过哈希函数的计算产生消息摘要后，再使用发送方的私钥加密产生签名。 SET使用的哈希函数算法是SHA-1，其产生的消息摘要长度为160位，而只要更改消息中任一个位，平均来说，将导致一半的消息摘要位改变，故可提升签名的安全性。 机密性安全 SET协议采用了对称性与非对称性的密码系统。 每一次交易双方建立新的连接就是一次通信期间的开始，而每次通信期间都会产生新的通信密钥（session key），也就是说每个通信密钥的有效期为通信期间，而这个期间通常都不长；基于这些特性，相对于长期间都使用同一把密钥加密来说，就算某次的通信密钥遭到破解，也不会影响到其它交易数据的安全性。 抗抵赖性 SET协议可以利用数字签名技术来产生不可否认的证据，其中双重签名也隐含了这个功能。 基于银行对于商店不信任的假设，银行可利用商店转交持卡人的支付信息以及请求授权信息，来防止商店否认交易内容。 隐私权的安全保护 SET协议为了提供消费者隐私权的保护，使用了一个重要的创新技术 ── 双重签名 SET协议是从银行的角度来考虑，所以对于隐私的保护是建立在信任银行的假设上。事实上，银行可能汇集持卡人个别交易的支付信息，如果缺乏适当的防范措施，将导致持卡人隐私泄露的风险。 双重签名 双重签名的目的在连结两个不同接收者消息。在这里，消费者想要发送订单信息OI到特约商店，且发送支付命令PI给银行。特约商店并不需要知道消费者的信用卡卡号，而银行不需要知道消费者订单的详细信息。消费者需要将这两个消息分隔开，而受到额外的隐私保护。在必要的时候这两个消息必须要连结在一起，才可以解决可能的争议、质疑。这样消费者可以证明这个支付行为是根据他的订单来执行的，而不是其它的货品或服务。 先假设消费者发送两个消息给特约商店：签名过的OI及PI，而特约商店将PI的部分传递给银行。如果这个特约商店能获得这个消费者的其它OI，那么特约商店就可以声称后来的这个OI是和PI一起来的，而不是原来的那个OI。因此如果将两个消息连结起来，就可以避免这样的情况发生。
    • 以下哪一项最能描述安全电子交易（SET）协议？ A.由VISA和万事达卡发起，作为使用消息验证码的互联网信用卡协议。 B.由VISA和万事达发起，作为使用数字签名的互联网信用卡协议。 C.由VISA和万事达发起，作为使用传输层的互联网信用卡协议。 D.由VISA和美国运通发起，作为使用SSL的互联网信用卡协议。 B
  • S-HTTP
    • S-HTTP协议概述 S-HTTP，全称为Secure Hypertext Transfer Protocol，是一种安全的超文本传输协议，最早于1994年提出，并在1995年正式发布。作为HTTP（Hypertext Transfer Protocol）的一个扩展，S-HTTP旨在通过网络通信提供加密和认证机制，确保数据传输过程中的安全性和完整性。每个S-HTTP文件都经过加密处理，或者包含数字验证，甚至两者兼备，这一特性使得S-HTTP成为需要高安全性数据传输场景下的理想选择。 S-HTTP的主要特点 加密机制 S-HTTP通过引入加密机制来保护数据的传输安全。虽然S-HTTP本身不直接使用任何加密系统，但它支持如RSA这样的公共密钥基础结构加密系统。这种加密机制能够确保数据在传输过程中不被窃取或篡改，从而保护用户的隐私和数据安全。 灵活的授权与身份验证 S-HTTP在授权方面表现出极高的灵活性。它允许客户发送证书授权给用户，这在需要双向认证的场景下特别有用。相比之下，HTTPS通过SSL/TLS协议提供服务器身份验证，确保客户端正在与正确的服务器进行通信，但缺乏S-HTTP那样的双向认证能力。 细粒度控制 S-HTTP对单个消息的细粒度控制是其另一大特点。这意味着它能够对每个消息进行独立的安全处理，这在金融交易、敏感信息交换等需要高度安全性的场景中尤为重要。通过这种细粒度控制，S-HTTP能够确保每个消息在传输过程中都受到严格的保护。 S-HTTP与HTTPS的区别 尽管S-HTTP和HTTPS都旨在保障网络通信的安全，但它们在实现方式和应用场景上存在一些差异。HTTPS是在HTTP的基础上加入TLS/SSL协议，以保障数据的保密性和完整性。它适用于需要保护整个会话安全的场景，如Web浏览、在线购物、电子邮件等。而S-HTTP则更注重对单个消息的安全处理，适用于需要对每个消息进行独立安全处理的场景，如金融交易、敏感信息的交换等。 此外，S-HTTP在授权和身份验证方面表现出更高的灵活性，支持双向认证，而HTTPS则主要通过SSL/TLS协议提供服务器身份验证。这使得S-HTTP在某些特定场景下具有更高的安全性。 应用场景 由于S-HTTP的独特优势，它在多个领域得到了广泛应用。在金融领域，S-HTTP被用于保护银行交易、股票交易等敏感信息的传输安全；在医疗领域，S-HTTP被用于保护患者数据的隐私和安全；在政府和企业领域，S-HTTP也被用于保护敏感文件和信息的安全传输。
  • SCA安全控制评估
    • 安全控制评估（Security Control Assessment，SCA）:是根据基线或可靠性期望对安全基础设施的各个机制进行的正式评估，可作为渗透测试或漏洞评估的补充内容，或作为完整的安全评估被执行。 SCA的目标是确保安全机制的有效性，评估组织风险管理过程的质量和彻底性，并生产已部署的安全基础设施相对优缺点的报告。 还需要考虑是否影响隐私。 NIST SP 800-53 实施SCA流程。
  • DMARC
    • [DMARC]协议基于现有的[DKIM]和[SPF]两大主流电子邮件安全协议，由Mail Sender方（域名拥有者Domain Owner）在[DNS]里声明自己采用该协议。当Mail Receiver方（其MTA需支持DMARC协议）收到该域发送过来的邮件时，则进行DMARC校验，若校验失败还需发送一封report到指定[URI]（常是一个邮箱地址）。DMARC有效识别和拦截欺诈及钓鱼邮件，保障用户信息安全。
  • SPF
    • SPF 是发送方策略框架 (Sender Policy Framework) 的缩写，希望能成为一个防伪标准，来防止伪造邮件地址。SPF 使用电子邮件头部信息中的 return-path (或 MAIL FROM) 字段，因为所有的 MTA 都可以处理包含这些字段的邮件。不过微软也提出了一种叫做 PRA (Purported Responsible Address)的方法。PRA 对应于 MUA (比如 thunderbird) 使用的终端用户的地址。 这样，当我们把 SPF 和 PRA 结合起来的时候，就可以得到所谓的“Sender ID”了。Sender ID 允许电子邮件的接收者通过检查 MAIL FROM 和 PRA 来验证邮件的合法性。有的说法认为，MAIL FROM 检查由 MTA 进行，而 PRA 检查由 MUA 来完成。事实上，SPF 需要 DNS 以某种特定的方式来工作。也就是必须提供所谓的“反向 MX 解析”记录，这些记录用来解析来自给定域名的邮件对应的发送主机。这和目前使用的 MX 记录不同，后者是用来解析给定域名对应的接收邮件的主机的。
  • DKIM
    • DKIM让企业可以把加密签名插入到发送的电子邮件中，然后把该签名与域名关联起来。签名随电子邮件一起传送，而不管是沿着网络上的哪条路径传送，电子邮件收件人则可以使用签名来证实邮件确实来自该企业。 DKIM 的基本工作原理同样是基于传统的密钥认证方式，他会产生两组钥匙，公钥(public key)和私钥(private key)，公钥将会存放在 DNS 中，而私钥会存放在寄信服务器中。数字签名会自动产生，并依附在邮件头中，发送到寄信者的服务器里。公钥则放在DNS服务器上，供自动获得。收信的服务器，将会收到夹带在邮件头中的签名和在DNS上自己获取公钥，然后进行比对，比较寄信者的域名是否合法，如果不合法，则判定为垃圾邮件。 由于数字签名是无法仿造的，因此这项技术对于伪造域名的垃圾邮件制造者将是一次致命的打击，他们很难再像过去一样，通过盗用发件人姓名、改变附件属性等小伎俩达到目的。在此之前，垃圾邮件制造者通过把文本转换为图像等方式逃避邮件过滤，并且使得一度逐渐下降的垃圾邮件数目再度抬头。
  • 风险管理框架
    • RMF风险框架用于评估、解决和监控风险的指南或方法。 1+6个循环的阶段：先进行准备，准备上下文和优先级（优先处理哪些系统） 分类：根据对损失影响的分析，对信息及系统进行分类 选择：选择合适的控制手段，可以将风险降到可接受水平 实施：实施上面描述的控制 评估：确保控制实施到位（也就是检查） 授权：在确定风险可接受的基础上，授权上线（类似于认可） 监控：持续监控系统，保证控制的有效性
    • CSF
    • ISO 31000
    • ISACA IT风险框架
    • OCTAVE OCTAVE的含义如下： O——可操作性，C——关键性，T——威胁，A——资产，V——脆弱性，E——评估。也就是说，它最注重的是O，可操作性，其次对C操关键性也很注重。 有两个版本的OCTAVE可供选择：OCTAVE-S是一种专为具有扁平层次结构的小型组织设计的简化版本；OCTAVE Allegro则是一种更全面的框架，适用于大型组织或具有复杂结构的组织。
    • FAIR
    • TARA
  • SIEM、SOAR 和 XDR 的区别
    • SIEM 系统收集、存储和报告日志数据，用于事件响应、取证和合规性。虽然首字母缩略词 SIEM 是 Gartner 在 2005 年首次创造的，但 SIEM 的功能基础已经存在了更长时间。早在 1990 年代，有远见的组织就认识到他们需要将不同的安全日志整合到一个系统中，以促进分析和满足合规性要求。 SIEM 工具聚合日志数据，为 SecOps 团队提供统一的遥测资源。他们还保留用于取证和合规目的的数据，跨系统查询数据以进行威胁检测和调查，并提供仪表板和报告以帮助 SecOps 员工按需监控环境并遵守审计要求。
    • 什么是 SOAR？ 安全自动化是自动处理与安全操作相关的任务，包括管理职责和事件检测与响应。安全自动化使安全团队能够随着工作负载的增长而扩展。安全编排是一种连接安全工具和集成不同安全系统的方法，是简化安全流程和支持自动化的连接层。如今，66% 的分析师认为他们一半的任务可以自动化。出于这个原因，一些组织转向 SOAR 平台。 SOAR 通常作为 SIEM 系统的扩展添加，可以提供剧本来自动化经常使用的分析师工作流，并可以帮助实施允许不同安全工具进行通信的“安全中间件”。SOAR 工具通过丰富数据、改进警报分类和自动执行重复性任务来改进 SOC 流程。
    • 什么是扩展检测和响应 (XDR)？ 安全行业正在经历向称为 XDR 的新型解决方案的转变。因为 XDR 聚合了整个企业的安全数据，所以有些人可能会认为它只是 SIEM 的进化版本。但事实是，XDR 远远超出了传统 SIEM 的特征，它通过更有效的安全性、更快的工作流、更好的事件管理和更高的可见性提供有形价值。 XDR 中的“X”代表保护在整个 IT 生态系统中的集成和扩展，从而比以往任何时候都更进一步地“扩展”保护。XDR 的前身是端点检测和响应 (EDR)，专注于监控和保护组织免受端点威胁。随着数据越过边界，XDR 有必要将保护范围扩展到网络、服务器、云以及端点。XDR 一词于 2018 年首次引入，指的是新一代安全解决方案，分析公司 Gartner 将其描述为“威胁检测和事件响应工具，将多种安全产品原生集成到一个有凝聚力的安全操作系统中。” XDR 提供高级检测、快速响应和直观的自动化，可满足大多数客户的需求，而无需 SIEM 不可预测的定价或第三方 SOAR 解决方案的额外成本。通过将多个安全工具整合到一个威胁检测和响应平台中，XDR 减少了管理多个独立解决方案所带来的时间、精力和增加的复杂性。
  • FTP、TFTP、SFTP
    • FTP 不安全：FTP在传输过程中不加密数据或用户凭据，因此存在安全风险。 功能丰富：FTP支持各种功能，包括文件上传、下载、目录浏览、文件重命名等。 传输速度：FTP通常具有较快的传输速度，特别适用于大文件传输。 使用场景：常用于局域网内的文件传输，或在对安全性要求不高的情况下，例如在内部网络中。 SFTP 安全：SFTP通过SSH进行加密传输，提供了安全的文件传输环境，包括认证和数据加密。 功能较多：SFTP提供了与FTP类似的功能，但其数据传输是加密的，因此更安全。 传输速度：由于加密的额外开销，SFTP可能比FTP稍慢一些，但通常不会影响太多。 使用场景：适用于需要在Internet上进行安全文件传输的情况，例如远程服务器管理、文件备份等。 TFTP 简单：TFTP是一个简化的文件传输协议，不提供认证或加密功能，因此非常简单。 不安全：由于缺乏安全功能，TFTP传输的数据不受保护，容易受到攻击。 功能有限：TFTP仅支持文件的简单上传和下载，不支持目录操作、认证等高级功能。 传输速度：由于简单性，TFTP可能比FTP和SFTP更快，特别适用于小文件的快速传输。 使用场景：主要用于内部网络中快速传输小文件的场景，如设备之间的固件更新、配置文件传输等。
  • 差分密码攻击/差分密码分析
    • 差分密码分析（Differential Cryptanalysis）是一种密码分析方法，旨在通过观察密码算法在不同输入差分下产生的输出差分，来推断出密码算法的密钥信息。差分密码分析主要用于破解分组加密，但也适用于流加密和加密哈希函数。它是对称密码算法的攻击方法之一，通过对明文差分的追踪来获取密钥。 差分密码分析的基本原理是利用输入差分对输出结果的影响来推断出密钥信息。具体来说，攻击者通过控制明文的差分，观察密文的差分变化，从而得到密钥的一些信息。这种方法的关键在于寻找输入差分和输出差分之间的关联，以便从中提取出有用的信息。 已知明文攻击的一种
  • EDR、HIDS、NDR、MDR、XDR
    • 【EDR】 (Endpoint Detection & Response，EDR)，中文翻译为：端点检测与响应。 顾名思义，EDR主要使用场景为终端，不仅具备检测功能还具备处置能力，可以发现终端上的风险并自动处置。 说到终端防护，常见的杀毒引擎就不能不谈，市面上成熟的商业杀毒软件一般是基于文件签名来发现风险，重点在于对“落盘文件”的查杀，这种检测机制很容易被绕过，这也是早年间各种木马变种较多的原因，所以这种检测手段是不稳妥的，无法适用日益复杂的安全环境。 Gartner 于 2013 年定义了这一术语，被认为是一种面向未来的终端解决方案，以端点为基础，结合终端安全大数据对未知威胁和异常行为进行分析，并作出快速响应。为终端安全的未来发展指明了新的方向。 EDR与传统杀毒引擎的最本质区别在于，EDR是基于文件行为做分析并响应，而传统杀毒大部分还是停留在文件签名，如MD5 的检验上。 EDR可以做的事情很多，大型企业一般要求核心部门的终端100% EDR覆盖，其他部门逐步推动，实现全覆盖。 EDR可以提取终端的元数据，包括CPU、内存、网卡（IP、MAC）、操作系统、安装软件、硬件数据、Device数据等。还有一些网络信息，比如终端设备上的DNS和ARP表以及其它实时网络数据、开放的端口以及相关的进程数据、终端的网络连接数据、可访问终端的URL数据等。用户操作的一些信息、包括用户登录注销数据、（IPC）数据、进程行为数据（例如数据读写）等。存储数据检测：文件（通常只包含特定的文件或者可执行文件）以及文件元数据（比如文件名/大小/类型、校验和等）、文件变更信息、syslog、主引导记录（MBR）信息等。此外EDR还具备其他数据的检测，比如加载的DLL、激活的设备驱动程序、已加载的内核模块、CMD或者PowerShell历史命令等数据。 所以EDR的出现，很大程度提高了终端安全的“安全标准线”。 【HIDS】 （Host-based Intrusion Detection System，HIDS)，中文翻译为：主机型入侵检测系统。 HIDS实际是传统入侵检测系统，IDS的升级，从网络流量层面到主机流量层面检测的升级。HIDS的优势在于使用用户基本无感，基于agent的安装方式以及逻辑旁路风险检测的机制，可以在不影响用户使用和保证业务稳定的同时，实现本地的安全监测。 在大型的攻防演练中，HIDS往往可以发挥奇效，在靶标网络边界区域部署HIDS，可以快速检测到异常行为，由于是基于本地agent的实时反馈，误报率较低，实战效果非常好。 【NDR】 NTA (Network Traffic Analysis) 网络流量分析这个概念在2013年被提出，NTA是一种网络威胁检测的技术，而NDR（Network Detection and Response）是在检测的基础上加入了流量响应能力，正因为可以对流量进行清洗，很多厂商也会将该解决方案应用于防DDOS 攻击。 【MDR】 （Managed Detection & Response，MDR），托管检测与响应服务。 MDR 是一整套解决方案，不是一类或者一套产品可以完成的。MDR是一套缓冲机制，企业安全从业人员不足的情况下，可以选择MDR的解决方案。这种安全即服务（SaaS）产品使公司可以访问外部分析师，这些分析师掌握所有XDR功能的专业知识，能够连续、有效地接收告警事件并确定事件的优先级，从而减轻了内部IT团队的分流负担，并在误报事件升级之前调查高风险事件，从而减少误报，同时为企业提供最新的情报。 【XDR】 （Extended Detection and Response，XDR），可拓展威胁检测与响应。 更像是组合拳，集合多种安全能力，进行功能拓展和场景定制化，XDR与更传统的安全行业主打产品，安全信息和事件管理产（Security,Information, and EventManagement,SIEM）相似，为具有多个不同分析人员和控制台的企业提供了方案。通过SIEM，企业期望通过汇总所有控制台并将所有内容（包括入侵信息）放在一个地方来消除这些低效率的问题。因此，SIEM和XDR从本质上讲是相同的，并且受同一问题的困扰：即企业需要精通这些工具的人员，以从中获得收益。
• 其他题目
  • 在 DevOps 环境中，以下哪些操作对于对所做变更的质量充满信心最必要? A. 准备迅速采取纠正措施。 B. 自动执行功能测试。 C. 查看日志中是否有任何异常。 D. 获得变更审查委员会的批准。 B
  • 在季度系统访问评审中，发现了在生产系统上的先前评审中不存在的活动特权帐户。该帐户是在上次访问评审一小时后创建的。除了季度访问评审之外，以下哪项是降低总体风险的最佳选项? A. 实施半年审查。 B. 创建系统访问策略。 C. 实施和审查基于风险的警报。 D. 提高日志记录级别。 C
  • 安全专业人员可以通过以下哪些控制措施来部署应用程序以最好地降低使用商用现成软件 (COTS) 解决方案的风险? A. 网络分段 B. 黑名单申请 C. 白名单申请 D. 强化配置
  • 43. Which of the following control pairing places emphasis on "soft" mechanisms that support the access control objectives? 下列哪种控制配对强调“软”的机制，支持访问控制的目标？ A. Preventive/Physical Pairing 预防/物理配对 B.Preventive/Administrative Pairing 预防/行政配对 C.Preventive/Technical Pairing 预防/技术配对 D.Detective/Administrative Pairing 检测/行政配对 答案：B
  • 什么可以确保控制机制在整个信息系统生命周期正确的执行了安全策略？ A. Mandatory access controls 强制访问控制 B. Administrative controls 管理权控制 C. Assurance procedures 保障程序 D. Accountability controls 问责控制 答案：C
  • 哪项技术是回拨系统特有的弱点？ A. social engineering. 社会工程学 B. between-the-lines entry. 之间的线路输入 C. call forwarding. 呼叫转移 D. spoofing. 欺骗 C
  • .在系统项目中，下面哪个选项对于项目活动与资源的计划与控制时恰当的 A. 甘特图 B. 项目评审技术 （PERT） C. 关键路径法（CPM） D. 功能点分析方法（FPA） 答案 B
  • Who is responsible for initiating corrective measures and capabilities used when there are security violations? 当安全违规发生时，谁负责启动纠正措施及能力 A.Information systems auditor 信息系统审计师 В.Data owners数据拥有者 С.Management 管理层 D.Security administrator 安全管理员 答案：C
  • . 以下哪些服务可以通过云服务或本地部署，以与标识即服务（IDaaS）集成作为用户标识的权威源？ •A. 多因素身份验证（MFA） • B. 目录 （Directory） • C. 用户数据库（User database） • D. 单点登录 （SSO） B
  • 云服务接受来自用户的安全断言标记语言（SAML）断言，以在安全域之间交换身份验证和授权数据。但是攻击者能够欺骗网络上的注册帐户并查询 SAML 提供程序。针对此缺陷的最常见攻击是什么？ • A. 攻击者利用 SAML 断言在安全域上注册帐户 • B.攻击者伪造请求以其他用户身份进行身份验证 • C. 攻击者在安全域之间交换身份验证和授权数据 • D.攻击者通过重复以同一用户身份进行身份验证来对安全域执行拒绝服务（DOS） B
  • 在OSI/ISO模型中，SSL协议在哪两层运作？ • A.Application layer/ Session Layer| 应用层/会话层 • B.Application layer/Presentation layer | 应用层/表示层 C.Session Layer /Transport layer|会话层/传输层 ◎ D.Transport layer/Network layer | 传输层/网络层 C
  • Bob正准备为其公司网络和系统的渗透测试招标。他希望最大限度地提高测试的效率，而不是测试的真实性。他在投标过程中应该要求什么类型的渗透测试？ • A. Black box / 黑盒 ◎ B. White box / 白盒 C. Gray box /灰盒 • D. Zero box / 零盒 B. 白盒测试为测试人员提供有关网络、系统和配置的信息，从而实现高效测试。它不像黑盒和灰盒测试那样模拟实际攻击，因此没有相同的真实性。它可能导致攻击成功，而在零知识或有限知识攻击中可能会失败。
  • .Bob 开发的应用系统需要使用数据库，他的应用系统需要良好的数据完整性支持，使用的数据结构存在一对多的层次关系，Bob最有可能选择下列哪种数据库？ • A. 层次型数据库 / Hierachical Databases • B. 关系型数据库 / Relational Databases • C. 网状数据库 / Network Database • D. 面向对象数据库 / Object-Oriented Databases （0ODB） A
  • Bob的应用程序需要使用数据库，他的应用程序： 1.数据模型比较简单； 2. 不需要高度的数据一致性； 3. 对数据库性能要求较高； 4.有唯一的键能够和值相关联。 他最有可能选择以下哪种数据库？ • A.层次型数据库 • B. 网状数据库 • C.关系型数据库 • D. NoSQL数据库 D