交大慧谷培训中心 内部资料，仅供参考CISSP 最新学习笔记 此文是我班2014年高分考生袁同学在准备CISSP考试过程中的边看书边整理的一个学习笔记，整理的非常细致到位，特借此供各位备考学员参考。第1章节到第10章节主要是学习all in one第六版资料时笔记；第11章到18章节主要是在学习完all in one后做cccure网站上面练习题后，补充的知识点；第19章到25章节为学习officeial guide教材后补充的知识点；最后第26章是总复习时作actual练习题时补充的知识点。在看书3遍all in one后，主要补充学习了pre guide的学习笔记，cccure练习题和official guide进行知识点的补充，最后总复习阶段（1周左右）以本复习笔记为基础，配合actual练习题进行。目 录一. Chapter 3：Security management practices61.1 安全管理61.2 风险管理71.3 Policies、standards、baselines、guidelines、procedures81.4 Classification91.5 employee10二. chapter 4：Access Control112.1 Identification, Authentication（= Validating）, and Authorization（标识、认证、授权）112.2 Access Control Models（访问控制模型）132.3 Access Control Techniques and Technologies（方法和技术）142.4 Access Control Administration（访问控制管理）142.5 Access Control Methods（访问控制方法）152.6 Access Control Type162.7 access control practices162.8 Access Control Monitoring162.9 A few threats to access control17三. Chapter 5：Security Models and Architecture183.1 Computer Architecture183.2 Operation System Architecture213.3 System architecture213.4 安全模型223.5 运行的安全模式security modes of operation243.6 Systems Evaluation Methods243.7 A Few Threats to Security Models and Architectures25四. Chapter 6：Physical Security274.1 Planning process274.2 Protecting assets294.3 Internal Support Systems294.4 Environmental issues304.5 Perimeter security32五. Chapter 7：Telecommunications and Networking Security345.1 开放系统模型345.2 TCP/IP355.3 Type of transmission365.4 LAN Networking365.5 介质访问技术Media access technology375.6 LAN Protocols385.7 Networking Device385.8 Networking services and protocols405.9 MAN、WAN415.10 远程访问remote access445.11 wireless technologies45六. Chapter 8：Cryptography486.1 加密方法methods of encryption496.2 对称算法的类型Type of symmetric methods506.3 非对称算法的类型516.4 Message Integrity hash MD5 SHA526.5 PKIPublic Key infrastructure546.6 链路加密和端到端加密546.7 E-mail标准546.8 Internet security556.9 Attack56七. Chapter 9：Business Continuity Planning577.1 Make BCP Part of the Security Policy and Program587.2 业务连续性计划的需求587.3 Recovery Strategies恢复策略597.4 Developing Goals for the Plans617.5 testing and revising the plan测试和修改计划61八. Chapter 10：Law, investigation and Ethics638.1 Computer Crime Investigations64九. Chapter 11：Application and system development669.1 Database Management669.2 System Development689.3 Application Development Methodology719.4 攻击72十. Chapter 12：Operation Security7410.1 Security Operations and Product Evaluation7410.2 Network and Resource Availability7610.3 Email security7610.4 Hack and Attack Methods77十一. Cccure security management79十二. Cccure AC80十三. Cccure CPU82十四. Cccure AP84十五. Cccure encryption86十六. Cccure telecommunication88十七. Cccure OS运行安全89十八. Cccure 法律91十九. official guide 法律92二十. official guide BCP93二十一. official guide 安全管理93二十二. official guide AP94二十三. official guide密码96二十四. official guide Network97二十五. official guide OS9925.1 Information Protection Environment99二十六. Actual10026.1 One day10026.2 two10426.3 three108一. Chapter 3：Security management practices记住几个公式 P65ARO是年发生概率，10年发生一次，则ARO1*0.1SLE是发生一次造成的损失，如37500，那么ALE0.1*375003750EF（暴露因素）*sset value = SLESLE*ARO=ALE（年损失期望）Data owner等多种角色的职责商业公司和政府的集中分级（4、5）1.1 安全管理1. 安全管理需要自顶向下（Top-Down approach）的来进行，高层引起足够的重视，提供足够的支持、资金、时间和资源。In contrast, bottom-up approach。P482. 安全评估分为定性和定量评估，方法有：人员访谈、问卷调查，技术评估等等。解决风险的4种办法：降低风险reduce、接受风险accept、转嫁风险transfer、和拒绝风险reject。3. 安全控制有一个说法是，三种类型的控制，物理、技术和管理should work in a synergistic manner to protect a companys assets.1) 物理：cd-rom，优盘，警卫，环境，IDS，cctv2) 技术：acl、加密、安全设备、授权与鉴别3) 管理：策略、标准、方针、screening personnel、培训1.2 风险管理4. 弱点、威胁、风险、暴露、对策1) Vulnerability：weakness，have unauthorized access to resources.2) Threat：threat agent，威胁因素，hacker、worm3) Risk：threat利用vulnerability造成危害的一种可能性。4) Exposure：instance，一次威胁因素造成loss的实例。5) Countermeasure(safeguard)：降低潜在的风险risk。举例：主机系统没有打上相关的系统补丁（vulnerability），有一个针对此漏洞最新的蠕虫病毒（threat agent），网络没有部署边界安全系统，蠕虫渗透网络引起了风险（risk），直接导致了主机的性能降低、死机。这整个过程就是一次exposure。然后安装补丁进行更新（safeguard）。5. Information Risk Management风险管理是一个过程：是识别风险、评估风险、将之降低到一个可接受的程度识别风险级别，运用合适的机制来维持风险在此程度 P536. Risk Analysis4个主要目标P551) 识别资产和资产的价值2) 识别风险和威胁3) 量化潜在风险对商业影响的可能性4) 预算平衡在威胁影响和对策的花费之间7. Risk Analysis Team最好要有高层管理人员参加，而且最好有来自各个部门的成员组成。如果没也需要面对面与他们沟通，了解他们的运作情况。P568. 风险管理的一些重要因素：P56-581) 管理层支持；2) team由来自于不同的团队；3) 识别资产的价值；4) 识别威胁；5) 还需要关注潜在和延迟的损失；6) 下面就需要用定性或定量的方式来评估风险了。9. quantitative and qualitative P63定量和定性10. Step of a Risk analysis P641) 给资产赋值2) 估计每项风险的潜在损失3) 进行威胁分析4) 计算每项风险的全部潜在损失ALE，EF*asset value = SLE，SLE*ARO=ALE5) Reduce、transfer、accept the Risk、ruject11. 风险分析