CISSP培训笔记.doc

CISSP 最新学习笔记

此文是我班2014年高分考生袁同学在准备CISSP考试过程中的边看书边整理的一个学习笔记，整理的非常细致到位，特借此供各位备考学员参考。
第1章节到第10章节主要是学习all in one第六版资料时笔记；第11章到18章节主要是在学习完all in one后做cccure网站上面练习题后，补充的知识点；第19章到25章节为学习officeial guide教材后补充的知识点；最后第26章是总复习时作actual练习题时补充的知识点。
在看书3遍all in one后，主要补充学习了pre guide的学习笔记，cccure练习题和official guide进行知识点的补充，最后总复习阶段（1周左右）以本复习笔记为基础，配合actual练习题进行。

目 录

一. Chapter 3：Security management practices 6
1.1 安全管理 6
1.2 风险管理 7
1.3 Policies、standards、baselines、guidelines、procedures 8
1.4 Classification 9
1.5 employee 10
二. chapter 4：Access Control 11
2.1 Identification, Authentication（= Validating）, and Authorization（标识、认证、授权） 11
2.2 Access Control Models（访问控制模型） 13
2.3 Access Control Techniques and Technologies（方法和技术） 14
2.4 Access Control Administration（访问控制管理） 14
2.5 Access Control Methods（访问控制方法） 15
2.6 Access Control Type 16
2.7 access control practices 16
2.8 Access Control Monitoring 16
2.9 A few threats to access control 17
三. Chapter 5：Security Models and Architecture 18
3.1 Computer Architecture 18
3.2 Operation System Architecture 21
3.3 System architecture 21
3.4 安全模型 22
3.5 运行的安全模式security modes of operation 24
3.6 Systems Evaluation Methods 24
3.7 A Few Threats to Security Models and Architectures 25
四. Chapter 6：Physical Security 27
4.1 Planning process 27
4.2 Protecting assets 29
4.3 Internal Support Systems 29
4.4 Environmental issues 30
4.5 Perimeter security 32
五. Chapter 7：Telecommunications and Networking Security 34
5.1 开放系统模型 34
5.2 TCP/IP 35
5.3 Type of transmission 36
5.4 LAN Networking 36
5.5 介质访问技术Media access technology 37
5.6 LAN Protocols 38
5.7 Networking Device 38
5.8 Networking services and protocols 40
5.9 MAN、WAN 41
5.10 远程访问remote access 44
5.11 wireless technologies 45
六. Chapter 8：Cryptography 48
6.1 加密方法methods of encryption 49
6.2 对称算法的类型Type of symmetric methods 50
6.3 非对称算法的类型 51
6.4 Message Integrity hash MD5 SHA 52
6.5 PKI－Public Key infrastructure 54
6.6 链路加密和端到端加密 54
6.7 E-mail标准 54
6.8 Internet security 55
6.9 Attack 56
七. Chapter 9：Business Continuity Planning 57
7.1 Make BCP Part of the Security Policy and Program 58
7.2 业务连续性计划的需求 58
7.3 Recovery Strategies恢复策略 59
7.4 Developing Goals for the Plans 61
7.5 testing and revising the plan测试和修改计划 61
八. Chapter 10：Law, investigation and Ethics 63
8.1 Computer Crime Investigations 64
九. Chapter 11：Application and system development 66
9.1 Database Management 66
9.2 System Development 68
9.3 Application Development Methodology 71
9.4 攻击 72
十. Chapter 12：Operation Security 74
10.1 Security Operations and Product Evaluation 74
10.2 Network and Resource Availability 76
10.3 Email security 76
10.4 Hack and Attack Methods 77
十一. Cccure security management 79
十二. Cccure AC 80
十三. Cccure CPU 82
十四. Cccure AP 84
十五. Cccure encryption 86
十六. Cccure telecommunication 88
十七. Cccure OS运行安全 89
十八. Cccure 法律 91
十九. official guide 法律 92
二十. official guide BCP 93
二十一. official guide 安全管理 93
二十二. official guide AP 94
二十三. official guide密码 96
二十四. official guide Network 97
二十五. official guide OS 99
25.1 Information Protection Environment 99
二十六. Actual 100
26.1 One day 100
26.2 two 104
26.3 three 108

一. Chapter 3：Security management practices
记住几个公式 P65
ARO是年发生概率，10年发生一次，则ARO＝1*0.1
SLE是发生一次造成的损失，如37500，那么ALE＝0.1*37500＝3750
EF（暴露因素）*sset value = SLE
SLE*ARO=ALE（年损失期望）
Data owner等多种角色的职责
商业公司和政府的集中分级（4、5）
1.1 安全管理
1. 安全管理需要自顶向下（Top-Down approach）的来进行，高层引起足够的重视，提供足够的支持、资金、时间和资源。In contrast, bottom-up approach。P48
2. 安全评估分为定性和定量评估，方法有：人员访谈、问卷调查，技术评估等等。解决风险的4种办法：降低风险reduce、接受风险accept、转嫁风险transfer、和拒绝风险reject。
3. 安全控制有一个说法是，三种类型的控制，物理、技术和管理should work in a synergistic manner to protect a company’s assets.

1) 物理：cd-rom，优盘，警卫，环境，IDS，cctv
2) 技术：acl、加密、安全设备、授权与鉴别
3) 管理：策略、标准、方针、screening personnel、培训
1.2 风险管理
4. 弱点、威胁、风险、暴露、对策
1) Vulnerability：weakness，have unauthorized access to resources.
2) Threat：threat agent，威胁因素，hacker、worm…
3) Risk：threat利用vulnerability造成危害的一种可能性。
4) Exposure：instance，一次威胁因素造成loss的实例。
5) Countermeasure(safeguard)：降低潜在的风险risk。

举例：主机系统没有打上相关的系统补丁（vulnerability），有一个针对此漏洞最新的蠕虫病毒（threat agent），网络没有部署边界安全系统，蠕虫渗透网络引起了风险（risk），直接导致了主机的性能降低、死机。这整个过程就是一次exposure。然后安装补丁进行更新（safeguard）。

5. Information Risk Management
风险管理是一个过程：是识别风险、评估风险、将之降低到一个可接受的程度识别风险级别，运用合适的机制来维持风险在此程度 P53

6. Risk Analysis4个主要目标P55
1) 识别资产和资产的价值
2) 识别风险和威胁
3) 量化潜在风险对商业影响的可能性
4) 预算平衡在威胁影响和对策的花费之间
7. Risk Analysis Team最好要有高层管理人员参加，而且最好有来自各个部门的成员组成。如果没也需要面对面与他们沟通，了解他们的运作情况。P56
8. 风险管理的一些重要因素：P56-58
1) 管理层支持；
2) team由来自于不同的团队；
3) 识别资产的价值；
4) 识别威胁；
5) 还需要关注潜在和延迟的损失；
6) 下面就需要用定性或定量的方式来评估风险了。
9. quantitative and qualitative P63
定量和定性
10. Step of a Risk analysis P64
1) 给资产赋值
2) 估计每项风险的潜在损失
3) 进行威胁分析
4) 计算每项风险的全部潜在损失ALE，EF*asset value = SLE，SLE*ARO=ALE
5) Reduce、transfer、accept the Risk、ruject
11. 风险分析的成果 P66
1) 资产赋值
2) 理解威胁的特征和可能性
3) 每种威胁发生的可能性
4) 每种威胁在一年内发生对公司造成的潜在损失
5) 建议安全防护
12. 定性评估：Delphi, brainstorming, storyboarding, focus groups, surveys, questionnaires,checklists, one-on-one meetings, and interviews P66
13. Delphi技术（定性评估）
让每个人都拿出自己真实的观点，不被人影响。
14. Risk delayed loss and/or damage：从被破坏到恢复到正常的损失。
15. 风险保护的步骤

1) 明确需要保护的资产及范围，花费的money
2) 风险分析和评估（选择最合适的safeguard，功能；）
3) 选择合适的措施和执行（评估safeguard的成本，并做比较；）
16. Residual Risk P72
Total Risk=threats * vulnerability * asset value
Residual Risk=(threats * vulnerability * asset value) * control gap
1.3 Policies、standards、baselines、guidelines、procedures
策略policies是提高信息安全，支持的标准standards是数据用高度加密AES，程序procedurces是一步一步怎么来进行，方针guidelines是指导，建议作哪些（要求审计，建议审计ID、口令、事件等信息）。P45。baseline（clipping level）是最低级别的安全。安全策略提供基础，过程、标准、指导提供安全框架。策略是战略目标，过程、标准、指导等是战术目标。P78

17. Policies：
1) 最高的战略目标，email policy，那些能看不能看。如何使用数据库，如何保护数据库等等。P76
2) The policy provides the foundation.The procedures, standards, and guidelines provide the security framework.plicy是基础，程序、标准、方针是框架。P77
3) 三类：regulatory规章性的、advisory建议性的、informative提示性的（给信息）P77
18. standards：is mandatory、compulsory、enforce，强制P78
19. baselines：最低安全标准 P78
20. guidelines：指导行动，建议具体作哪些，如审计哪些内容（登录ID、时间等）。P79
21. procedures：step by step，spell out（讲清楚）策略、标准等具体怎么做。P79
1.4 Classification
22. 先分级，然后划分安全域
23. Security is not a product, it’s a process P91
24. 不同的人有不同的责任responsibility
1) Manangement对资产的安全最终负责
2) Data owner: 一般是管理者，负责，进行数据的定级，定义安全机制，哪些人可以访问等。委派custodian对数据进行保护。P89
3) Data custodian：对数据进行维护和保护，一般的IT department
4) System owner：关注系统，向data owner汇报
5) Supervisor：发密码，解雇收回密码
6) User：routinely
7) management管理者的工作是确定个人的安全需求，如何授权；security administrator是具体执行这些需求。
1.5 employee
25. Separation of duties有两个方面：split knowledge（一个人知道整体的一部分） and dual control（一个人知道一个整体，需要多个确认才能ok，发射nuclear）P92
26. rotation of duties，岗位轮换，mandatory vacation P93
27. 培训三类：管理者、一般雇员、技术雇员

二. chapter 4：Access Control
1. access control：physical、technical、administrative。subject and object
2. Three principles：
1) Availability：stockbroker，accuracy、timely，no privacy。
2) Integrity：美国总统的邮件被修改。
3) Confidentiality
3. 一次性口令，可以同步认证，也可以异步认证
4. 一般来说一个标准的权限管理过程应该是这样的，User （copy boy）根据工作需要提出权限申请----〉Owner批准权限申请 ----〉administrator 根据领导（就是Owner）授权开通相应权限
2.1 Identification, Authentication（= Validating）, and Authorization（标识、认证、授权）
5. 标识/鉴别（用户名）、认证（密码）、授权

6. Authentication：方式有下面几种
1) Something a person knows知道的
2) Something a person has有的
3) Something a person is他是谁
4) Strong authentication/two-factory authentication：需要两个以上的认证方式。
7. Identity management:
1) Biometrics生物(有的)，identity unique attribute属性和behavior行为。成本高、复杂、推广难P137
i. Type I error：reject 正确的P138
ii. Type II error：accept impostor
iii. Crossover error rate，CER，EER，越小越好/精确(accurate)
iv. 常见类型：Fingerprint、retina视网膜、voice、palm scan（creases, ridges, and grooves，褶皱等）、hand geometry手纹路（宽、长、shape形状）、iris虹膜 scan、face scan、（behavior）signature dynamics动态签名、keyboard dynamics动态键盘、Hand topography（peaks and valleys）手型P139
2) Passwords（知道的）双因素是PIN＋现实的密码：jeaf+显示的P141
i. 密码攻击：electronic monitoring（replay attack）、access the password file、brute force attacks（暴力破解）、dictionary attacks、social engineering P141
ii. Password checkers（检查密码的工具）、password hashing and encryption（加密）P142、password aging（保存以前5到10次的密码）P143、limit logon attempts P143
iii. Cognitive password（你妈妈的名字？XX）
iv. one-time password：token device(我们公司就是这种，分为time or counter（初始化），是强密码，用到了两种认证方式：has和knows)，分为同步(输入显示的数字)和异步（显示的东西输入令牌，结果再次输入进行认证）P144

异步
v. Cryptographic keys（密码字）：PKI P145
vi. Passphrase,密码词（ILoveYou,ILY）, Virtual password P146
vii. Memory car（强认证，has & knows）P146
1. memory card，只存储信息，类似银行卡，需要读卡器card reader
2. smart card，能处理信息，接触和不接触/无线。攻击（fault generation产生错误，比较正确和错误的区别找出密码；noninvasive：side-channel attacks、power analysis、software attacks（软件bug/flaw））
8. authorization
1) role、group、time、logical & physical location、time、transaction（根据动作，能建数据库，但不能访问里面的内容）。Autorization creep（授权蔓延，一个人在转到其他部门，以前的权限没有清除权限就越来越多）P149
2) default to no access，默认全部拒绝
3) need-to-know，最小权限，least privilege
9. single sign-on：SSO单点登录（kerberos、SEMSAME、security domain、thin client）
1) Kerberos，特色是只相信KDC（Key Distribution Center），KDC存储所有用户和服务的key，通讯双方之间不信任，只信任KDC。举例：A和B两人互相不信任，但都相信KDC，那么A从KDC取得ticket，然后给B看，然后B就相信了并与之通信。是一个验证协议 P153
i. 基于C/S（客户端/服务器）结构，symmetric key对称性key
ii. 是异构网络SSO的事实标准facto。P154
iii. KDC是key分发中心
iv. 由于开放性，则不同vendor间的互操作性和兼容性不好
v. timestamp防止replay attack P155
vi. 还可以设置认证有效时间，如8小时，过了后需要重新认证。P156
vii. 提供完整性Integrity、机密性privacy，但不提供可用性。PPP
viii. 用户和KDC之间共享secret key，用于彼此间通讯的认证；session key用于用户和打印机之间通讯的认证，通信结束即destroy。通信数据不加密。P155
ix. 类似于PKI，彼此不相信，都只相信CA。CA用digital certificates担保vouches，KDC用ticket担保。P156
x. 缺点：KDC是单点故障；ticket和session key存在本地；P156
2) SEMSAME，在Kerberos基础扩展的一个欧洲。使用symmetric对称和asymmetric非对称来保护通讯。PAC=ticket，PAS=KDC，S=server P157
3) Security domains：高级能访问低级，firewall、router ACLs、directory services、different subnet mask address。每个subject在同一时间只能属于一个domain。P158
4) Directory services：LDAP、NDS（Novell NetWare directory service）、MS Active Directory.P160
5) Thin client：本地什么也没有，所有的操作都需要与central interactive.P160
2.2 Access Control Models（访问控制模型）
What determines if an organization is going to operate under a discretionary,mandatory, or nondiscretionary access control model?――Security policy
10. Three model：可多种一起使用
1) (DAC)Discretionary Access Control：owner决定，非中央集中控制。user-directed，执行了access control matrix P161
2) (MAC)Mandatory Access Control：覆盖DAC（即owner的决定），操作系统administrator强制控制，subject和object都严格分级，基于Security labels（又称Sensitivity Labels）访问，有顶级保密级别的并不能访问所有顶级的东西，需要根据授权（但下级绝对不能访问上级）。分为secret、top secret、confidential。一般用在military。SE Linux NAS、Trusted Solaris P162
3) (RBAC)Role-Based Access Control，基于角色、功能任务，集中控制，适合高人员流动high employee turnover P164

2.3 Access Control Techniques and Technologies（方法和技术）
11. Rule-Based Access Control：基于规则的访问控制，针对所有用户的强制，没有identity这一步 P167
12. Constrained User Interface：限制用户接口P167
1) Menu and Shells：菜单和命令，functionality、command
2) Data view
3) Physical：ATM
13. Access Control Matrix（矩阵），针对个体，os强制，一般是DAC模型的一个属性，即DAC使用它。P168
1) Capability Tables：Kerberos就是这样的，仅针对individual，因为需要identity
2) Access Control Lists：ACL，可以针对individual or group
14. Content-Dependent Access Control：基于内容，数据库、关键字等,web surfing、email
15. Context-Dependent Access Control：基于上下文（次序），状态检测防火墙处理TCP三次握手，syn-syn/ack-ack P169
2.4 Access Control Administration（访问控制管理）
16. 一个安全的过程：先policy等等、再access control model、再access control 方法和技术，再access control administration方式（集中、分散和混合）P170
17. Centralize：集中式，由一个人或者一个部门进行控制。C/S结构（只能client主动发请求）
1) AAA指：authentication, authorization, and auditing。P171
2) 三种认证协议：PAP, CHAP, EAP P171
3) RADIUS：C/S结构，集成authentication, authorization。传输只加密帐号、密码等认证信息，其他都是cleartext。UDP传输，需要另外进行package检查。ISP上网认证使用，简单环境允许还是deny。P171
4) TACACS，C/S结构：TACACS（authentication & authorization）、XTACACS（分开AAA）、TACACS+（增加SSO/双因素）。TACACS+，TCP传输。传输内容全部加密。可结合kerberos。使用方式更灵活但更复杂。P172
5) Diameter：overcome RADIUS的很多不足，提供AAA，the diameter is twice the radius，兼容RADIUS，peer-based protocol（服务器能主动发送信息）。 提供一个基础协议，支持很多协议。能支持IPSEC OR TLS,RADIUS不支持。AVP更大2的32方，RADIUS为2的8方。Mobile IP，用户从一个网络到另外一个网络仍然使用同一个IP。P174

18. Decentralized：分散式管理，closer 离的近的分配权限，functional manager P176

2.5 Access Control Methods（访问控制方法）
19. Administrative Controls管理控制 P177
1) Policy and Procedure：a High-Level plan
2) Personal Controls：人员变动，职责分离和职责轮换，人力部门和法律部门参与。
3) Supervisory Controls：监管控制，每个人有上级，汇报和负责
4) Training
5) Testing，All security controls, mechanisms, and procedures need to be tested on a periodic
20. Physical Controls物理控制 P178
1) Network Segregation：通过物理和逻辑都能进行网络分段
2) Perimeter Security：边界安全，门卡、监控monitor,TV
3) Computer Controls：FDD、CD-ROM
4) Work area separation：工作区域
5) Data backup：保存数据在防火的地方
6) Cabling：布线，防干扰，防火burnt、防窃听eavesdropped
21. Technical Control（logical）P179
1) System Access，MAC、DAC、RADIUS、TACACS、kerberos
2) Network Architecture：不同网络区域
3) Network Access，Router、Switch、Firewall、Bridge
4) Encryption and Protocols，perserve confidentiality and integrity of data
5) Control Zone：技术和物理和结合(A control zone is physical control.)，防止emit electrical signal
6) Auditing审计
2.6 Access Control Type
22. preventive（access control model）、detect、corrective、deterrent、recovery、compensative
23. Preventive预防：administrative、physical、technology。
24. accountability：稽查/审计，行为的事后审计，网络管理员、安全专家确认安全机制部署的place和configuration是否合理；提供法律材料；重构环境和事件、生成报告、检测入侵等，usually deciphering it and presenting it in a useful and understandable format。P181
1) system event
2) application event
3) user event
4) review of audit information审计信息查看。自动、手动。可以实时、一段时间。三种审计分析工具：减少检测reduction、变化检测variance(以前和现在比较)、攻击特征检测attack signature。P183
5) keystroke monitor：击键监控，木马收集资料，如果公司采用需要inform用户。P184
6) protect audit data and log information：保护审计数据。攻击者删除log称为scrubbing。P184
2.7 access control practices
25. Unauthorized Disclosure of Information(非授权的信息泄漏)P185
1) Object Reuse：FDD、TAPE等，仅仅format，delete还不够，overwrite后才能清除。Object reuse can unintentionally disclose information.P185
2) Tempest抑止和防止信息无线泄漏airwaves。信息源通常为monitors, computers, printers, and so on。Faraday cage。通常军方使用，complex、cumbersome、expensive，可以用white noise 和control zone替代alternatives。卖这种类型的设备under constant secutiny P186
i. White noise白噪音，uniform spectrum of random noise
ii. Control zone 大号法拉第笼 P187
2.8 Access Control Monitoring
攻击IDS：dos使其off line；让ids报警错误的攻击，正式的攻击不报。
只有异常检查的IDS能识别新攻击。
26. Intrusion Detection（IDS）：sensor、analyzer、administrator；host-base & net-base
27. 检测技术的类型：after-the-fact
1) Signature based特征：每个攻击都有一个特征，the most popular的一种技术，更新，不能识别最新的攻击。Signature data。识别Land Attack P188
2) Statistical anomaly base异常统计：基于行为，长期进行学习，学习完毕后生成profile，以后所有的traffic & activity都与之进行比较。进行分项打分，然后加起来，超过normal的分数，就认为是一个攻击/异常。0 day attacks，存在误报、漏报的可能性。需要管理员人为进行判断，因此对管理员以前较高。能检测出low and slow的攻击。false positives and false negatives（误报和漏报）P189
i. Protocol anomaly base协议异常：每个协议都有一个normal的描述，这个normal是基于RFC的，协议理论上theoretical是基于RFC，但实际real-world不然。P190
ii. Traffic anomaly base流量异常：检测dos攻击，新流量。P191
3) Rule base规则：更复杂，expert system，有artificial intelligence人工智能。需要更新，不能检测新的攻击。P191
iii. stat