01 CISSP认证考试指南复习.doc

第三章信息安全与风险管理1、 脆弱性指的是缺少防护措施或防护措施存在能够被利用的缺陷2、 威胁是某人或某物有意或无意地利用某种脆弱性并导致资产损失的可能 性3、 风险是威胁主体利用脆弱性的可能性以及相应的潜在损失4、 减少脆弱性和／或威胁就可以降低风险5、 暴露是由于威胁而造成资产损失的实例6、 对策（也称为防护措施）能够缓解风险7、 对策可以是应用程序、软件配置、硬件或措施8、 如果某人行使“适当关注”，那么说明他对自己的行为负责如果出现安 全入侵，那么他被发现失职和承担的可能性更小9、 因为网络已经从集中化环境发展成为分布式环境，所以安全管理最近几年 变得更为重要10、 安全计划的目标是为数据和资源提供机密性、完整性和可用性11、 战略规划是长期规划，战术规划是中期规划，而操作规划是日常规划它 们组成了一个远景规划12、 ISO/IEC27002 （以前的ISO17799Part1 ）是一组内容全面的控制措施， 包括信息安全方面的最佳实践，并且为如何制订和维护安全计划提供指导 原则13、 安全组件可以是技术性的（防火墙、加密以及访问控制列表），也可以是 非技术性的（安全策略、措施以及实施遵从）。

14、 资产标识应当涉及有形资产（设施和硬件）和无形资产（企业数据和声誉）15、 评估项目规模指的是理解和记录项目的范围，必须在进行风险分析之前进 行这种评估16、 保证是提供特定安全级别的信任程度17、 CobiT是一个架构，它定义了应该用于正确管理IT并确保IT满足业务需 求的控制措施的目标18、 CibiT分为4个领域：计划与组织、获取与实现、交付与支持以及监控与 评估19、 ISO / IEC27001是用于建立、实现、控制和完善信息安全管理系统的标准20、 安全管理应该由顶向下进行（从高级管理层向下至普通职员）21、 治理是董事会和执行管理层履行的一组职责和实践，其目标在于提供战略 指导，确保目标得以实现，风险得到适当管理，并验证企业的资源得到合 理利用22、 一个公司选择的安全模式取决于该公司的业务类型及其关键任务和目标23、 OECD 是一个帮助不同政府展开合作、处理全球经济所面临的经济、社会 和管理挑战的国际性组织24、 风险可以转移、规避、缓解或接受25、 公司购买保险就是风险转移的示例26、 缓解风险的方式包括改善安全措施和实现防护措施27、 威胁*脆弱性*资产价值二总风险。

28、 （威胁*脆弱性*资产价值）*控制间隙=剩余风险29、 风险分析由下列4个主要目标：确定资产及其价值，识别脆弱性和威胁， 量化潜在威胁的可能性与业务影响，在威胁的影响和对策的成本之间达到预算的平衡30、 信息风险管理（IRM）是指标识和评估风险、将风险降低至可接受级别、 实施适当机制以维护这种风险级别的过程31、 失效模式及影响分析（FMEA）是一种确定功能、标识功能失效以及通过 结构化过程评估失效原因和失效影响的方法32、 故障数分析是一种有用的方法，用于检测复杂环境和系统中可能发生的故 障33、 定量风险分析会尝试为分析中的各个组件指派货币价值34、 纯粹的定量风险分析是不可能的，因为定性项无法被精确量化35、 在执行风险分析时，了解不确定性程度非常重要，因为它表明团队和管理 层对于分析数据的信任程度36、 在确定信息价值时，应该考虑下列问题：获取和开发这些数据的成本；维 护和保护这些数据的成本；这些数据对所有者、用户和竞争对手所具有的 价值；在损失的情况下更换这些数据所需的费用；其他人为购买这些数据 愿意付出的价格；这些数据不可用时所失去的机会以及这些数据的用处37、 自动化风险分析工具可以减少风险分析中的手动工作量。

这些工具用于估 计将来的预期损失，并计算各种不同安全措施的好处38、 单一损失期望（SLE）是某个特定的威胁主体利用脆弱性可能造成的损失 量39、 单一损失期望*年发生比率=年度损失期望（SLE*ARO=ALE）40、 定性风险分析使用判断和直接，而不是数字41、 定性风险分析使富有经验的、接受过相关教育的人基于个人经验来评估威 胁场景并估计每种威胁的可能性、潜在损失和严重程度42、 Delphi 技术是一种群体决策方法，此时每位成员都可以进行匿名沟通43、 选择正确的防护措施以减弱某个特定的风险时，必须对成本、功能和效用 进行评估，并且需要执行成本／收益分析44、 安全策略是高级管理层决定的一个全面声明，它规定安全在组织机构内所 扮演的角色45、 措施是为了达到特定目标而应当执行的详细的、分步骤的任务46、 标准指定如何使用硬件和软件产品，并且是强制性的47、 基准是最小的安全级别48、 指导原则是一些推荐和一般性方法，它们提供建议和灵活性49、 工作轮换是一种检测欺诈的控制方法50、 强制性休假是一种有助于检测欺诈活动的控制方法51、 责任分离确保没有人能够完全控制一项活动或任务52、 知识分割与双重控制是责任分离的两种方式。

53、 数据分类将为数据分配优先级，从而确保提供合理的保护级别54、 数据所有者指定数据的分类55、 安全具有功能需求，它定义一个产品或系统的期望行为；此外还具有保证 要求，它确定已实现产品或整个系统的可靠性56、 安全计划应当融入当前的业务目标和目的之中57、 管理层必须定义安全管理的范围和目的，提供支持，指定安全团队，委托 职责，以及查看安全团队发现的结果58、 风险管理团队应当包括来自组织机构内不同部门的人员，而不应该只是技术人员59、 定性分析的级别可以采用高、中、地的方式表示，也可以采用1〜5或1〜10 的等级表述定量分析的结果应当采用货币和百分比来表述60、 防护措施应当默认具有最小权限，并且具有故障防护默认状态和重写能力61、 防护措施应当统一贯彻执行，从而使每个人都具有相同的限制和功能62、 在开始实施安全计划时，一个关键的要素就是规定报告联系制度63、 数据看管员（信息看管员）负责维护和保护数据64、 安全分析员在战略层面上进行工作，帮助制订策略、标准和指导原则，并 设立各种基准65、 应用程序所有者负责规定哪些人有权访问他们的应用程序，以及这些应用 程序为公司和处理的数据所提供的保护级别。

第四章访问控制1、 访问是主体和客体之间的信息传输2、 主体是请求访问客体的主动实体，客体是被访问的被动实体3、 主体可以是一个用户、程序或进程4、 机密性就是保证信息不向未授权主体泄露5、 能够提供机密性的安全机制包括加密、逻辑性和物理性访问控制、传输协 议、数据库视图和流量控制6、 身份管理解决访问包括目录、 Web 访问管理、密码管理、遗留单点登录、 账户管理和配置文件更新7、 密码同步降低了保留不同系统的各种密码的复杂性8、 自助式密码重设通过允许用户重新设置其密码来减少服务台收到的 数量9、 辅助式密码重设为服务台减少有关密码问题的决策过程10、 IdM 目录包含所有资源信息、用户属性、授权配置文件、角色以及可能的 访问控制策略，以便其他身份管理应用程序通过一个集中式资源来收集这 些信息11、 提供IdM解决方案的账户管理产品常常采用自动化工作流程组件12、 用户指配指的是为相应业务过程而创建、维护和删除存在于一个或多个系 统、目录或应用程序中的用户对象与属性13、 人力资源数据库常被认为是用户实体的权威来源，因为这是最早创建并正 确维护用户实体的地方14、 访问控制模型主要有三种：自主、强制型和非自主访问控制。

15、 自主访问控制（DAC）使数据所有者能够指定哪些主体可以访问他们所有 的文件和资源16、 强制访问控制（MAC）使用了安全标签系统用户具有访问许可，资源具 有包含数据分类的标签MAC通过比较两者来决定访问控制能力17、 非自主访问控制使用角色型方法来决定访问权限18、 角色型访问控制基于用户在公司内部的角色和职责来访问资源19、 限制性接口主要有三种：菜单和外壳、数据库视图以及物理限制接口20、 访问控制列表和客体绑定在一起，并且指示什么样的主体才能访问这些客 体21、 功能表和主体绑定在一起，并且列出主体能够访问什么样的客体22、2324252627282930313233343536373839404142434445464748495051、访问控制的管理方式主要有两种：集中式和分散式集中式管理访问控制技术的示例包括RADIUS、TACACS+和Diameter 分散式管理的示例是对等工作组行政管理性控制的示例包括安全策略、人员控制、监管结构、安全意识培 训和测试物理性控制的示例包括网络分段、周边安全、计算机控制、工作区分隔、 数据备份和布线技术性控制的示例包括系统访问、网络体系结构、网络访问、加密和协议 以及审计。

访问控制机制提供下列的一个或多个功能包括：预防、检测、纠正、威慑、 恢复、补偿或指令为了使主体能够访问资源，主体必须进行身份标识、身份验证和授权，并 且其动作应当可被问责生物测定学、密码、密码短语、感知密码、一次性密码或令牌都可以实现 身份验证存储卡不能处理信息，但是智能卡能够处理信息 访问控制应当默认为不能访问最小特权和“知其所需”原则限制用户只具有执行任务或完成其职责所需 的权限单点登录技术使用户在访问特定网络时只需一次身份验证通过Kerberos、SESAME、域和瘦客户端可以实现单点登录功能在 Kerberos 中，用户从 KDC 接收验证，从而能够通过身份验证以使用某 服务Kerberos用户接收一张票证授予票证（TGT），该票证允许用户请求通过 票证授予服务（TGS）访问资源TGS使用会话密钥生产新的票证访问控制攻击的类型包括：拒绝服务、欺骗、字典、蛮力和战争拨号 审计日志能够跟踪用户活动、应用程序事件和系统事件击键监控使一种跟踪用户每次击键记录的审计过程 审计日志应当被保护和检查客体重用可能会无意识地泄露信息 仅仅删除文件的指针往往不能为客体重用提供彻底的保护通过电磁波可以获取信息。

解决这类入侵的方法使TEMPEST、白噪声和 控制域通过“某人知道的内容”、“某人所拥有的物品”以及“某人的身份”可以 实现身份验证一次性密码生成令牌设备能够使用同步或异步方法强身份验证需要 3 种身份验证属性（“某人知道的内容”、“某人所拥有的 物品”以及“某人的身份”）中的两种属性Kerberos 涉及隐私性和完整性，但不涉及可用性Kerberos存在下列弱点：KDC使单一故障点，容易遭受密码猜测攻击， 会话和秘密密钥在本地存储，KDC必须总是可用，秘密密钥必须被妥善 管理IDS 可以使统计性的（监视行为）或特征型（检测已知攻击）消磁是一种防止机密信息泄露的措施，因为它可以将介质恢复回原始状态52、1、2、3、4、5、6、7、8、9、10111213141516171819202122、网络钓鱼使一种社会工程攻击，其目标使获取个人信息、凭证、信用卡号 或财务数据两个系统可以具有完全相同的硬件、软件组件和应用程序，但却会因为系 统建立。