CISP笔记

CISP笔记

课程

信息安全支撑技术：密码学、密码学、访问控制模型（DAC自主访问控制、MAC强制访问控制、 角色的访问控制）

‍

OSI七层模型：

1、物理层：

2、数据链路层：物理寻址（ARP、RARP--逆ARP协议）

3、网络层：路由寻址

4、传输层：建立逻辑连接

5、会话层：会话

6、表示层：数据加解密（ ）

7、应用层：应用处理（应用协议）

TCP/IP

1、网络接口层

2、互联网络层

3、传输层

4、应用层

‍

syn flood攻击原理：最广泛、最主流的DOS攻击

构造大量的虚假IP与服务机建立半开连接

应用层攻击：

DNS欺骗：冒充域名服务器

‍

cyber space security网络空间安全

国家、企业、个人信息安全

信息：数据载体

信息特性：有意义、无形的

ISO对信息安全的定义（考点）

安全目标（依据：合规性、业务系统使命、风险评估）

信息安全体系：有目标、持续改进、遵循PDCA循环

管理工作：

1、建立安全策略

2、实现安全策略

3、评估

控制措施类型：技术、管理、物理

物理：以一己之力延迟犯罪（安保人员、指纹锁）

管理：引导作用

控制措施作用：威慑、预防、检测、纠正、恢复、补偿

生命周期：创建、使用、存储、传递、更改、销毁

销毁：正确销毁、真正销毁

信息安全属性：CIA-机密性、完整性、可用性、其他属性：真实性、可问责性、不可否认性、可靠性

信息安全责任：职责、责任、义务

信息安全问题：

有责任人（决策层是最终责任人）

根本目标保障业务连续性

安全是自上而下运行

考虑成本、适度安全

技术、管理并重（7分管理、3分技术）

信息安全根源（考点）：

内因-漏洞（脆弱性）

外因-威胁（环境因素、人为因素）

威胁利用漏洞形成风险

‍

安全基本属性

1、机密性：泄漏

2、完整性：防止未授权篡改、防止越权篡改、保证数据内/外部一致性

3、可用性：保证授权用户对信息资产有效和高效的访问

4、其他属性

-真实性：来源真实性、信息的真实性

-不可否认性：签名等措施

-可问责性：accountability

-可靠性：保证信息资产在特定条件或特定时间段内完成功能（区别可用性）

国家视角：

1、网络战（国家间网络空间）、

2、关键基础设施保护（可能严重危害国家安全、国计民生、公共利益）

3、法律建设和标准化（威慑作用、指导性）

企业视角（为业务服务）：业务连续性、资产保护、合规性

个人视角：

1、隐私

2、社会工程学：

最有效应对方式--安全意识培训（内容新、形式多样）

检查效果--员工行为是否发生改变

3、个人信息保护

自我约束、技术、法律、道德

网络安全发展过程：

1、通信安全

2、计算机安全

3、信息系统安全

4、信息安全保障（27号文）：积极防御，综合防范、技术与管理并重（考点）

5、网络空间安全

‍

工业控制系统结构

类别：

1、分布式控制系统（DCS）

2、数据采集与监控系统（SCADA）

3、可编程逻辑控制气

特性：不可中断、

威胁：缺乏足够安全防护、安全可控性不高、缺乏安全管理标准和技术

管理控制：

1、认证：认证机构按照某一标准对信息系统进行评估

2、认可：组织中决策层对组织安全做出的肯定 /否定的回应

认证、认可都有期限，两者不一定同时存在

操作控制

沟通：交流、汇报、指导、通报、表态

技术控制

云计算的安全风险-标明物理存储位置

虚拟化安全-隔离

物联网安全威胁及安全架构

1、感知层-拒绝服务

2、传输层-拒绝服务、欺骗

3、支撑层

4、应用层-隐私保护、知识产权保护、取证、数据销毁

大数据安全

移动互联网安全及策略

模型

PDR（基于时间的静态模型-时间很难准确定义）：

1、固定攻击手段，看防护时间；

2、固定防守手段，看攻击时间
PPDR（动态模型）

PT（protection time）：防护时间

DT（detection time）：检测时间，发起攻击到检测到的时间、

RT（response time）：响应时间，从检测到攻击的时间到处理完成的时间）

RTO（recovery time objective）：恢复时间目标

IATF：信息技术保障框架（全方位防御、深度防御）

核心思想：深度防御（串行防御措施，在路径的各个节点上添加防御措施）

三要素：人（第一要素、意识培训、内外部组织管理、技术管理、操作管理）、技术（重要手段-防护、检测、响应 、恢复）、操作（主动防御体系）

四个焦点领域：三防护一支撑

保护计算环境（CIA）

保护区域边界（物理区域/逻辑区域）

保护网络和基础设施

支撑性的技术设施（密钥管理基础设施KMI、测试和响应基础测试）

‍

信息安全保障评估框架

安全功能保障、非功能保障（时间、成本）

技术保障（证件）、管理保障（方法）、工程保障、人员保障

ISPP（信息系统保护轮廓，一类产品的安全目的和要求）

ISST（信息系统安全目标，特定产品的安全要求）

STOE（安全评估对象--技术、管理、功能）

信息系统安全保障：

生命周期--规划组织、开发采购、实施交付、运行维护、废弃

风险分析，响应的安全保障策略，

保障要素--技术、管理、工程、人员

安全特性--机密性、完整性、可用性

信息安全技术：

密码、访问控制、审计和监控、网络安全、操作系统、数据库安全等技术

企业安全架构

SABSA（舍伍德）：一个表格、6个层级、5W1H--what、why、how、howmuch、who、wherewhere、when

Zachman（6个角色、5W2How）、TOGAF（认证、实现企业架构）

战略一致性：安全性战略与企业业务战略保持一致（能够实现）

SABSA（舍伍德）考点

背景层-战略

概念层-涉及满足战略的架构、流程

逻辑层（设计视图）-架构的具体反映及功能

物理层（建设视图）

组建层（实施者视图）

运营层（服务和管理）

‍

业务连续性（BC）

业务连续性管理（BCM）

BCM生命周期6个阶段

1、需求、组织、管理程序的确定

2、业务分析（业务树），确定关键业务流程和关键因素

3、制定业务策略

4、开发并执行业务持续计划

5、意识培养和建立

6、演习和演练（测试预案的有效性、明确具体的责任、测试各个部门之间的配合）

PDCA模型

1、策划（建立）

2、实施

3、检查（监视和评审）

4、改进（保持和改进）

BCP4个阶段

业务组织：

内、外组织

SLA-99.999%网络畅通率

清晰每个业务流程及相互依赖关系

业务影响分析（BIA）

确定业务优先级（确定投入比例、为业务建立最大允许中断时间-区别于IT系统中断时间、RTO恢复时间目标-不可能为0）

风险分析

资产优先级划分（资产清单、关键资产清单）

人员管理

职责分离-

最小特权-完成工作的最小权限

知其所需-过度收集信息违反了知其所需

岗位轮换

强制休假（突发性、强制性）-检查其工作

文档化

‍

应急响应：为应对事件发生所做的准备以及事后所采用的措施

信息安全分级分类（20986）

7类：有害程序事件（蠕虫病毒使速度变慢）、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件、其他信息安全事件

四级：特别重大事件（I级）、重大事件（II级）、较大事件（III级）、一般事件（IV级）

参考元素：信息系统的重要程度、系统损失大小、社会影响

企业内部可以有自己的定级标准

应急响应组织的一般构成：

领导组、技术保障组、专家组、实施组、日常运行组

call tree（明确联系人清单及指定联系负责人）

应急演练与演习（有风险）

桌面演练、模拟演练、实战演练

‍

等保 物理环境 机房

27001 物理安全 机房 办公环境

设备间 电池间 动力间 视频监控

异地 数百公里

同城 几十公里

GB50174

‍

物理安全

等保标准及范围-机房

27001标准-机房、混合环境？

设备间、电池间、动力间

自然灾害-

选址-避免自然灾害高发地区、远离可能的危险因素（加油站、化工厂）、消防、交通便利

抗震-特殊设防类、重点设防类（省级）、标准设防类

承重-写字楼改机房

防火

1、预防：防火设计及阻燃材料

2、检测：火灾探测器（烟、温、光、可燃气体）

3、抑制：机房不用水、二氧化碳对人有影响，最常用七佛丙烷

防水

1、远离水浸威胁（不在地下楼层和顶楼建立机房）

等保2.0可在地下室做机房（需做好防护）

2、检测-漏水传感器（可插SIM卡实现短信告警）

供电：双路供电、发电机、UPS

空气：机房专用空调（双机互为主备轮流工作长期开机）

电磁防护

1、电磁泄漏-屏蔽双绞线、屏蔽机柜（全封闭、下风口）、强电、弱电分开铺设（上走弱电、下走强电）

2、信号干扰

3、Tempest技术-泄漏信号还原以窃取

静电防护

1、防静电地板-金属网、支架、地板

2、经典消毒器

3、工作防静电手环

边界防护-双密码认证机房门禁、

日志保存6个月、机房监控视频保存3个月

传输安全

1、有线传输

2、无线传输

GB50174数据中心设计规范

机房A、B、C级别A要求最高

易地容灾（上百公里算异地、几十公里算同城容灾）

‍

syn flood（构造大量虚拟地址，消耗主机连接数）

应用协议：明文传输

DNS欺骗（构造假服务器冒充域名服务器、污染正常DNS，使用户获取到假地址访问错误的网站）

TCP/IP协议簇

IPSEC（一组协议的称呼，属于网络层）

SSL（传输层协议），TLS是SSL的标准化

HTTPS=HTTP+SSL

SET（支付协议）

IKE密钥交换协议

SSH安全远程登录

SFTP安全FTP（FTP属于明文）

POP3 SMTP邮箱明文协议

IPV4（32个bit）

IPV4（128个bit）

无线局域网

PAN（短距离、蓝牙

LAN（局域网802.11簇）

MAN（无线城域网）

WAN广域网

WEP-wire equivalent privacy 有线等效保密（已淘汰）

64位，有效56位

功能：加密、认证

WPA、WPA2-802.11i（主流）

WAPI双认证（国产）

WAI+WPI

‍

密码学的三个发展阶段

古典密码学1949之前

数据的安全基于算法的保密

近代密码学1949---1975

密码学成为一门科学

数据的安全基于密钥而不是算法的保护

现代密码1976之后

密码学的新方向---公钥密码学

公钥密码使得发送端和接收端无密钥传输的保密通信成为可能，解决了密钥分发和管理的问题

本质特征:采用特定变换的方法

处理对象：信息

主要功能：加密保护、安全认证

表现形式：技术（算法、协议）、产品（MMJ、VPN）、服务（PKI）

密码是保障网络安全的核心技术和基础支撑

网络安全的四大属性

机密性：加密算法

可认证性：数字签名

不可抵赖性：数字签名

完整性：单向加密hash或杂凑算法

密码系统安全的基本因素

密码算法复杂度、密钥机密性、密钥长度

柯克霍夫原则：密码体制也应该对外公开，仅需对密钥进行保密；如果一个密码系统需要保密的越多，可能的弱点也越多。

例外：军事、保密领域的算法不公开

RSA：依靠大素数相乘十分容易，但是想要对其乘积进行因式分解却极其困难

ECC:椭圆曲线上离散对数问题

对称算法：DES AES 3DES IDEA SM1

优点：搞笑，算法简单、计量较小、加密速度快、适合加密大量数据

缺点：安全交换密钥问题及密钥管理复杂

密钥管理复杂算法：n*(n-1)/2

‍

信息系统安全保障要素：

技术保障；

管理保障；

工程保障；

人员保障；

ISPP：信息系统保护轮廓；（一类产品或系统）

ISST：信息系统安全目标；（特定的产品或系统）

STOE：安全评估对象；（管理、技术、工程）

以上评估框架贯穿信息系统的全生命周期；

国内评估标准：GB/T 20274

企业安全架构：

SABSA：舍伍德；

背景层、概念层、逻辑层、物理层、组件层、运营层；

PDCA

Zachman（5W1H）

TOGAF：开发群组架构框架；（认证）

‍

信息安全组织架构：

决策层：提供方针政策（信息安全治理）、分配职责、提供资重大事件的决策、为信息安全有最终的责任

管理层

支撑层、

安全层：实现安全目标；

用户层

审计层（独立过程）

风险：事件发生的概率、频率和影响的组合；

风险管理

风险评估（所有信息安全活动的起点和基础）：风险识别、风险评估；

风险处理（所有有信息安全活动的核心）；把风险降到可接受的范围；

COBIT：

组件：框架、流程描述、控制目标、管理指南、成熟度模型；

‍

风险评估准备阶段：

（1）风险评估计划书；

（2）风险评估方案；

（3）入选风险评估方法和工具列表；
风险要素识别阶段：

（1）保护资产清单；

（2）面临的威胁列表；

（3）存在的脆弱性列表；

（4）已有的安全措施列表；

风险分析阶段：

（1）风险计算报告；

风险结果判定阶段：

（1）风险程度等级列表；

（2）风险评估报告；

总风险=资产&威胁&脆弱性

残余风险=总风险-控制措施；

资产分类：

GB/T 20984 2007 （以前的老标准）：数据、软件、硬件、服务、人员、其他；

GB/T 20984 2022 （新标准）：业务资产、系统资产、系统组件和单元资产；

资产价值：业务对资产的依赖程度，资产在CIA三属性达成的程度；

威胁：威胁源、动机、能力、可能性、途径、评率；

‍

信息：数据的载体，企业安全保护有价值的信息资产（软硬件、服务、无形资产、人员安全）；两个重要的特性：信息要有意义、信息是无形的

重要：信息安全的定义：为数据处理系统建立和采取技术、管理的安全保护，保护计算机硬件、软件、数据不因偶然的或恶意的原因而受到破坏、更改、泄露

安全治理：安全目标（依据：合规性、业务系统使命、风险评估）

管理：为了实现既定的目标而采取的一系列的活动

信息安全体系：要有目标、持续改进、遵循PDCA循环

信息安全管理：1、建立信息安全策略2、实现信息安全策略3、评估

控制措施类型：技术（指纹）、管理、物理（安保、指纹锁）【看保护对象】

控制措施作用：威慑、预防、检测、纠正（方向错误）、恢复、补偿

信息在生命周期内的处理方式：创建、使用、存储、传递、更改、销毁

信息销毁：是否被正确销毁、是否被真正销毁

信息安全问题：1、有负责人(决策层是信息安全最终的责任人）2、根本目标保障业务连续性3、考虑成本、适度安全4、安全事故自上而下运行5、技管并重（七分管理、三分技术）

安全属性：基本属性：CIA（机密性、完整性、可用性）其他属性：真实性、科文泽兴、不可否认性、可靠性

信息安全责任：职责（工作范围的）、责任（你干的）、义务（售后服务期间内）

信息安全根源：内因：漏洞外因：环境因素、人为因素

威胁情报：大数据搜集

态势感知：大数据分析

‍

信息安全属性：机密性：泄露

完整性：防止未授权篡改、防止越权篡改、保证数据内外部一致性

可用性：保证授权用户对信息资产高效有效的访问

其他属性：真实性：来源真实性、信息真实性

不可否认性：签名等措施

可问责性：责任人

可靠性：保证信息资产在特定条件或特定时间段内完成功能

国家视角：网络战、关键基础设施保护、法律建设和标准化

企业视角：业务连续性、保护资产、合规性

个人视角：隐私保护、社工、个人信息保护

应对社会工程学攻击最有效的方式：进行安全意识培训；检查安全意识培训的效果：员工行为是否发生改变

安全意识培训：内容新、形式多种多样

通信安全：威胁：搭线窃听、密码学分析 安全措施：加密

计算机安全：安全威胁：非法访问、恶意代码、弱口令、僵尸进程（恶意代码） 安全措施：访问控制技术

信息系统安全（网络安全）：安全威胁：网络入侵、病毒破坏、信息对抗 安全措施：防病毒、漏洞扫描、防火墙

信息安全保障：27号文（中国信息安全保障工作）

网络空间安全：“云大移物质”

‍

SYN Flood攻击：伪造虚假地址连接请求，使用虚假地址与主机建立半开连接（只完成了三次握手中的两次），消耗主机连接数，导致主机无法正常工作

​​

应用层协议定义了运行在不同端系统上的应用程序进程如何相互传递报文。

应用层协议安全问题：
拒绝服务：超长URL链接
欺骗：XSS跨站脚本、钓鱼式攻击、cookie欺骗获取数据：SQL注入
窃听：数据泄漏
伪造：应用数据篡改
暴力破解：应用认证口令暴力破解等

DNS欺骗：攻击者冒充域名服务器的一种欺骗行为，攻击者将用户想要查询的域名对应的IP地址改成攻击者的IP地址，当用户访问这个域名时，访问到的其实是攻击者的IP地址，这样就达到了冒名顶替的效果。

DNS解析污染，就是黑客用假的IP地址冒充真的域名对应的地址，存入DNS服务器

‍

工控基本结构：分布式控制系统、数据采集与监控系统、可编程逻辑控制器

工业控制系统安全威胁：缺乏足够安全防护、安全可控性不高、缺乏安全管理标准和技术

不允许中断

认证：认证结构按照某个标准对信息系统进行评估

认可：组织中的决策层对组织安全做出的肯定或否定的回应

认可与认证之间没有联系

人是最重要的信息资产 -> 人员安全

云计算的安全风险：数据管理和访问失控的风险：数据存储位置对用户失控（要表明物理位置）

虚拟化安全：确保虚拟化多租户之间的有效隔离

大数据安全（生命周期去保护）

移动互联网安全

PDR：基于时间的静态模型、时间不好确认

PPDR

Pt：防护时间

Dt：检测时间：发起攻击到检测的时间

Rt：响应时间：从监测到攻击的时间到处理完成的时间

RTO：恢复时间目标

PPDR模型则更强调控制和对抗、考虑了管理的因素，强调安全管理的持续性、安全策略的动态性等（考点、填空）

IATF：信息技术保障框架 核心思想：深度防御（防御措施要串行而不是并行）

三个要素：人（核心：安全意识培训）、技术（技术是实现信息保障的重要手段）、操作（运行）

四个焦点领域：（三防护一支撑）保护网络和基础设施、保护区域边界、保护计算环境、支持性基础设施

保护区域边界

保护计算环境（CIA）

保护网络和基础设施

支撑性基础设施：秘钥管理基础设施、检测和响应基础设施

‍

信息系统安全保障评估（认证）框架

信息系统安全风险：是具体的风险

信息系统安全保障：存在于整个生命周期、从技术、管理、工程和人员提出保障要求、确保CIA

信息系统安全：安全功能保障、非功能保障

评估框架：级别、按照标准评估

信息系统安全保障【定义】【考点】：技术保障、管理保障、工程保障、人员保障，确保CIA，把安全风险到可接受的程度，从而保障系统能够顺利实现组织机构的使命

评估：ISPP：信息系统保护轮廓，一类产品或系统

ISST：信息系统安全目标，特定的产品或系统

STOE：安全评估对象（管理、技术、工程）

保障要素、生命周期、安全特征

管理、技术、工程、人员

信息安全技术：密码技术、访问控制、审计和监控技术、网络安全技术、操作系统技术、数据库安全技术、安全漏洞与恶意代码、软件安全开发

信息安全管理：最终较量的是人不是设备

评估框架：ISPP、ISST、STOE

能力成熟度 -> 级别

企业安全架构：SABSA 【考点】（关注层次） -> 5W2H：what、why、who、where、when、how、how much 生命周期：战略与规划、设计、实施、管理与测量

企业架构：Zachman、TOGAF

‍

信息：是数据的载体

信息安全组织建构：

   决策层：提供方针政策（信息安全治理治理）、分配职责、提供资源、重大事件的决策、为信息安全事件负有最终的责任

    管理层

    支撑层

    安全层：实现安全目标

    用户层

    审计层

风险：是事件发生的概率、频率和影响（只考虑负面）的组合

风险管理：风险评估：（所有信息安全活动的起点和基础）风险识别、评估风险。

             风险处理：（所有信息安全活动的核心）把风险降低到可接受的范围内

常见风险管理模型：COBIT、COSO

COBIT组件：框架、流程描述、控制目标、管理指南、成熟度模型

‍

场地选择：

区域：避开自然灾害高发地区

环境：原理可能的危险因素

  治安、人流量、加油站、化工厂

其他：近消防、交通便利

‍

信息安全风险管理指南：

四个阶段：背景建立、风险评估、风险处理、批准监督

两个贯穿：监控审查、沟通咨询

文档输出（过程完备）

背景建立：风险管理准备、信息系统调查、信息系统分析、信息安全分析

【重点、考点】风险评估准备阶段输出文档：风险评估计划书、风险评估方案、入选风险评估方法和工具列表

风险要素识别输出文档：需要保护的资产清单、面临的威胁列表、存在的脆弱性列表、已有安全措施列表

风险分析输出文档：风险计算报告

风险结果判定：风险程度等级列表、风险评估报告

风险处理是为了将风险始终控制在可接受范围内

风险处理方式： 降低风险、规避风险（关闭、代替服务）、转移风险（外包，买保险、责任不能转移、资产可以转移）、接受风险

批准监督

沟通咨询：反馈，报告是要有流程

监控 审查：监控过程有效性：过程是否完整和有效地被执行；输出文档是否齐全和内容完备

审查结果有效性和符合性：输出结果是否符合信息系统的安全要求，输出结果是否因信息系统自身或环境变化

‍

信息安全管理体系

ISO 27001

方针、原则、资源

PDCA：paln计划、Do实施、check检查、act行动

ISMS评审：（属于PDCA中的C）

制定风险处理计划（属于D）

文档化：四级文件 建立、批准发布、评审与更新、文件保存、文件作废

14个类别、35个目标、114个控制措施

信息安全方针：信息安全方针由管理者批准、发布并传达给所有员工和外部相关方

信息安全方针评审

内部组织：

控制措施：信息安全的角色和职责、职责分离、与政府部门的联系、与相关利益方的联系、项目管理的信息安全

人力资源安全：

任用前：目标：职责、措施：审查

任用中：防止变化权限蔓延

任用终止和变化：主动离职风险大：可获取意愿信息，离职流程

资产管理：对资产负责、信息分类（分类指南）、介质处理

访问控制

密码学：使用加密控制策略、生命周期

软件开发：SDLC

供应商关系：SLA

信息安全事件管理：信息安全事态报告

符合性：法律和合同规定、信息安全审核

测量：按照27004

‍

第一节

同城容灾备份：几十公里以内

异地容灾备份：100公里以上

案例：天津港爆炸事件（化学品）

三级抗震：一级：特殊设防类：国家级

             二级：重点设防类：省级

             三级：标准设防类：一般单位

机房常用灭火气体：七氟丙烷（主流）、二氧化碳、三氟甲烷。

‍

恶意代码行为特征：

1、开机自启动（10%）；2、数据外发（20%）；3、keylog（30%）；4、文件隐藏（30%）

行为检测：设定阈值，当特征达到阈值时判断为病毒

‍

1、85年美国国防部颁发的第一部安全标准：

橘皮书（橙皮书）

操作系统保密性7个大类、8个小级

C1C2C3 B1B2

2、加拿大本国的标准：

CTCPEC

3、澳洲四国写的新的标准：

IPSec

4、Linux特权

a）使用普通用户user登录，然后使用su、sudo命令提权

b）使用su命令获取的特权一直有效；使用sudo命令获取的特权生效一次

c）suid位：任何用户都可以以root执行文件的权限（读写修改等）

5、Linux日志

Access-log、lastlog、message、sudolog、sulog

6、安全审计

单独部署日志服务器、存6个月

‍

CISP发证单位：中国信息安全测评中心，2002年推出的认证，面向个人，工作后的人群，目前V4.2版本，10门课，5天内容。

1.信息安全保障：基础性，提纲性课，CIA，国家社会企业视角看问题，新技术领域、云计算领域、工控、物联网、大数据、移动互联，

3个重要模型：PPDR,IATF,GB/T20274

2.安全工程与运营：SSE-CMM，

3.业务连续性：BCM，DRP,应急响应，取证。

4.信息安全评估：产品TCSEC,ITSEC,FCC,CC，风评20984（考试重点）

5.信息安全制程技术：难，多。密码学，身份鉴别、访问控制模型（三个：DAC,MAC,RBAC）

6.计算机环境安全：操作系统安全，应用安全，数据库安全

7.物理与网络通信安全：机房，网络

8.信息安全管理：27001，法律法规标准政策。

9.网络安全管理

10.软件安全开发：

考试2小时，100个单元，答对70个拿到证书。

CISE:技术，运维；，CISO管理，体系建设。

一、物理环境与网络通信安全

1、机房：

2、网络：2个模型，作用和风险；

‍

IDS检测技术：误用（特征）检测技术（杀毒软件） 和 异常（行为）检测技术

加密流量和0day不能发现

网闸：外部、内部、仲裁处理单元 私有协议 没有任意时间全连接 评审

‍

osi七层模型：

​​

物数网传是底层协议

会表应是高层协议

物理层的概念：

​​

数据链路层：

​​

网络层：

​​

传输层：

​​

会话层：

​​

表示层：

​​

应用层：

​​

osi模型特点：

​​

数据封装是由上到下：

​​

数据解封是由下到上：

​​

osi安全体系结构：

​​

tcp/ip模型（背会osi七层和tcp四层）：

​​

tcp/ip协议族结构：

​​

网络接口层：

​​

典型攻击arp：

​​

apr协议的工作过程：

​​

​​

​​

​​

cain可进行arp欺诈：

​​

如何防御arp欺诈：

arp-s 直接使用静态arp绑定ip地址和mac

​​

​​

网络互连层核心协议：

​​

网络互联层安全问题：

​​

IP欺骗：

​​

传输层协议-tcp：

​​

tcp首部端口号：

​​

​​

tcp三次握手过程：

​​

​​

传输层-udp协议：

​​

传输层安全问题：

​​

‍

典型攻击：syn flood

​​

应用层协议：

​​

应用层安全问题：

​​

典型攻击：dns欺诈

​​

基于tcp/ip协议簇的安全架构：

​​

下一代互联网协议-ipv6：

​​

ipv6报文机构：

​​

无线通信安全：

​​

无线技术：

​​

无线局域网安全协议-wep：

​​

无线局域网安全协议-wpa，wpa2

​​

wapi无线安全协议：

​​

无线协议间的比较：

​​

​​

无线入侵方式：

​​

无线局域网应用安全策略：

​​

​​

近距离无线通信安全-蓝牙：

​​

近距离无线通信安全-rfid：

​​

典型网络攻击与防范：

​​

​​

​​

​​

​​

​​

​​

​​

​​

​​

​​

​​

​​

​​

​​

​​

​​

​​

​​

​​

​​

​​

​​

​​

ids考点：

​​

​​

​​

​​

​​

ids局限性：

​​

安全隔离与信息交换系统（网闸）：

​​

​​

​​

​​

​​

ipsec协议考点：

​​

​​

​​

​​

​​

总结：

​​

​​

‍

操作系统的安全度量标准

1、OS

2、保密性

3、军用

4、BLP模型

TCSEC标准：

A、验证保护

B、强制访问控制级

【B1标记、B2结构化、B3安全域】B具有强制性安全保护

C、自主访问型

（DAC ）【C1任意安全保护、C2受访问控制且商用：C2系统具有C1系统中所有的安全性特征】

D、安全性最小（DOS、win98）

‍

24264《信息安全风险管理指南》

过程文档化

背景建立

风险评估

风险处理：将风险控制在可接受的范围内

处理方式：降低（漏洞）、规避（代替）、转移（外包）、接受风险

批准：机构决策层依据风险评估和风险处理的结果是否满足信息系统的安全要求，作出是否认可风险管理活动的决定

监督：检查机构及其信息系统以及信息安全相关的环境有无变化，监督变化因素是否有可能引入新风险

贯穿全过程：沟通咨询、监控审查

监督审查的内容

a、审查过程有效性

1、过程是否完整和有效的被执行

2、输出文档是否齐全和内容完备

b、审查成本有效性：执行成本与所得效果相比是否合理

c、审查结果有效性

1、输出结果是否符合信息系统的安全要求

2、输出结果是否因信息系统自身或环境的变化而过时

‍

PDCA循环（plan do check act）：顺序执行、持续改进

ISMS评审

内部评审：ISMS项目小组发起

管理评审：领导层发起

安全控制措施内部结构

14个类别、35个目标、114个控制措施

A.5 信息安全方针（决策层）

A.6 信息安全组织（内部组织、移动设备与远程办公）

A.7 人力资源安全（任用前、中、终止和变化）

A.8 资产管理（资产清单及负责人、信息分类及标记、介质处理及废弃）

A.9 访问控制（防止未授权访问）

A.10 加密技术

A.11 物理和环境安全

A.12 操作安全（审计）

A.13 通信安全（网络隔离、信息交换）

A.14 系统的获取、开发及维护

A.15 供应商关系

A.16 信息安全事件管理（事态报告）

A.17 业务连续性管理中的信息安全

A.18 符合性（法律和合同、信息安全审核）

‍

二，计数环境安全

3，恶意代码防护，应用安全，数据安全。

①、什么是恶意代码：是指能够引起计算机故障，破坏计算机数据，影响计算机系统的正常使用的程序代码，指令。

②静态分析，动态分析。

‍

应急响应

1、准备-确定重要资产及风险、编制响应计划、筹备相关资源

2、检测-确定事件性质及影响-事件通告

3、遏制

4、根除

5、恢复

6、跟踪总结-应急响应报告：事件描述、起因、处理、依据

灾备

RPO：可以定义为o，但无法绝对做到

RTO：无法为0

存储技术：

DAS--直接附加存储-大容量

NAS--网络附加存储-有独立IP

SAN--存储区域网络

备份技术：

备份速度：增量备份》差异备份〉完整备份

恢复速度：相反

增量备份-清楚备份标记

差异备份

RAID（容错、效率）

RAID-1:镜像

RAID2-6:校验

RAID5：最少三块磁盘，最多只能坏一块，替换后会自动同步

RAID10、01：最少4块磁盘

备用场所

镜像站：冗余站点、成本最高

冷站、温站、热站：租赁

灾难恢复规划的管理过程

1、灾难恢复需求分析：风险分析、业务影响分析、确定灾难恢复目标（RTO、RPO）

2、制定灾难恢复策略

3、实现灾难恢复策略

4、灾难恢复预案制定、落实和管理（培训、演练、更新）

‍

软件安全开发

模型：

瀑布模型-需求明确（只能回退一步）

迭代模型-适应需求变化（多次迭代，一次交付）

增量模型-迭代方式不一样，每次交付都是可操作产品

快速原型-需求不明确，增量过程中需要用户参加提需求

净室模型-成本高，零缺陷或接近零缺陷

软件缺陷：千行代码缺陷量：千分之三

国家漏洞库

SDL（security Development lifestyle）安全开发生命周期

七个阶段（5+2）

是气象必须的安全活动（5个阶段）

培训-要求-设计-实施-验证-发布-响应

‍

windows---安全标识符：

1、500、1000---系统管理员

 501---GUEST

‍

CISP:CISE(技术）CISO（管理、领导岗）

1、物理安全与环境安全

典型的机房区域划分图：

谁备件、电池间、动力间、视频监控

物理安全的重要性：

物理安全是基础，信息系统安全战略的一个重要组成部分

物理安全面临问题：

1、环境风险不确定性2、人类活动的不可预知性

典型的物理安全：1、自然灾害、2、环境因素、

3、设备安全、介质安全、传输安全

如何解决物理安全：1、选址2、异地（上百公里）容灾

PS 几十公里同域

场地选择：

区域：避开自然灾害高发区域

环境：远离可能的危险因素

其他：消防、交通便利

抗震及承重：

抗震：特殊设防类、重点设防类、标准设防类

承重：设计、时间因素、使用因素

防火（重点）：预防：防火设计（防火门、逃生通道）及阻燃材料

检测：火灾探测器（感烟、感温、感光、可燃气体探测）

抑制：水（较少使用，通常做周边防护）、气体（二氧化碳、七佛丙烷（主流）、三氟甲烷）

物理与环境安全：

防水、供电、空气调节

电磁防护：解决电磁辐射产生的信息泄露的问题

1、电磁屏蔽2、信号干扰3、Tempest技术

雷击及静电

1、直击雷2、感应雷3、静电

设施安全--安全区域与边界防护

设施安全--审计及监控

传输安全（重点）、

有线传输：同轴电缆：显著特征是频带较宽，最大可达10GHz

双绞线：包裹金属屏蔽层，可减少辐射和电磁干扰

光纤：光在光导纤维中传输损耗非常低，因此可长距离传输，但成本高（需要光模块）

安全风险

防护措施

无线传输：安全风险：开放信道。防护措施：加密

上走线下走电

‍

OSI七层模型：

物理层、数据链路层、网络层、传输层、会话层、表示层、应用层

（物输网传会表应）

物理层：了解

数据链路层：作用：物理寻址

典型设备：网桥、交换机

协议所在：ARP、RARP

网络层：作用：路由寻址（ip-->转发 ）

典型设备：路由器、三层交换机

传输层：作用：建立逻辑链接（三次握手）

根据端口来区分应用给和服务

协议所在：TCP（可靠数据传输）、UDP（不可靠）

会话层：作用：会话建立（Session值），维持， 终止

timeout

表示层：加密解密，字符转换，协议转换

数据格式：ASCII，Unicode，MPEG，JPEG， GIF，TIFF

应用层：流控、错误恢复

协议所在：FTP，Telnet，HTTP，SMTP，SNMP，DNS

分层优点：1、各层间相互独立2、降低复杂性3、促进标准化工作4、协议开发模块化

数据封装：由上至下

数据解封：由下至上

OSI安全体系结构：

五类安全服务：鉴别服务，访问控制，数据完整性，保密性抗抵赖服务

八种安全机制（支撑服务）：加密、数字签名（抗抵赖）、访问控制、数据完整性、鉴别交换、业务流填充、路由控制和公证

TCP/IP四层模型：

网络接口层、网络互联层、传输层、应用层（容易考）

网络接口层：（ARP（ip->MAC）、RARP（MAC->ip））

互联网络层：ICMP（ping，检测网络连通性）、IGMP（主机、路由的状态告诉周边节点）、IP

传输层：TCP、UDP

网络接口层：安全问题：ARP欺骗，嗅探，拒绝服务

cain ARP欺骗、密码破解

APR欺骗防御：使用静态ARP缓存、使用三层交换设备、IP与MAC地址绑定

IP协议

TCP提供可靠性服务：数据包分组、发送接收确认、超时重发、数据校验、数据包排序、控制流量

拒绝服务：syn flood/udp flood/Smurf

‍

习题解析

1打补丁采用技术手段属于降低风险 2 放弃功能，关闭服务器属于 规避风险 3外包第三方买保险 转移风险 4降到可接受的地步程度 属于接受风险

‍

kerberOS 认证过程

获得票据许可票据 TGT

获得服务许可票据 SGT

获得服务

A1

T1

       V1

       V2

T2

      V3

      V4

      V5

A2

T3

       V6

       V7

​​

WPA

‍

GD 适用于所有PA

入侵检测技术IDS 不能防止IP地址欺骗

CC标准先进性：通用性、实用性、完备性、开放性

所有安全产品 防火墙 网闸 waf 等都只能逻辑隔离 不能物理隔离

ACL 自主控制 按列 多用户 客体

‍

一、风险处理四种处置方式：

1、风险处理-

2、风险规避-放弃风险模块

3、风险转移-第三方签订协议，外包

4、风险降低-打补丁

5、风险接受-自然因素

二、Linux ID=0 是root用户，不能禁用；PermitRoot = no 限制使用root账户登陆（安全加固）；

三、绝对说法的话术，大部分的是错的。仅能、一定、所有等

四、风险评估：准备阶段、风险要素识别、风险分析、风险结果判定

五、最小化反馈，将错误信息隐藏

六、灾难恢复能力分 6 个等级

七、硬件响应：准备、检测、遏制、跟踪、恢复、跟踪总结

八、

‍

一、新技术带来新的风险，符合单位需求就好

二、最大限度共享和最小化授权

三、电子取证：准备、保护、提取、分析、提交

四、

‍

社会层面 组织层面 是二级系统 提及国家安全造成损害 三级 国家安全造成严重损害 四级 特别严重损害 五级别。

三级及以上需要向国家报备 二级及以上系统需要向公安报备

‍

​​

‍

​​

‍

1、.伪装身份(Spoofing identity)，对应安全认证(鉴权)

2.篡改数据(Tampering with data)，对应数据完整性

3.抵赖(Repudiation)，对应不可抵赖性

4.信息泄露 (Information disclosure)，对应机密性

5.拒绝服务(Denial of service)，对应可用性

6.提升权限!(Elevation of privilege)，对应授权

‍

RBAC（基于角色的自主访问控制）可实现最小特权、职责分离等，DAC（自主访问控制）和MAC（强强制访问控制）只能实现部分功能

‍

应急响应的六阶段为:准备、检测、遏制、跟踪、恢复、跟踪总结。

‍

根据信息安全时间分类分级指南，木马病毒，有害程序事件，根据信息系统的中药成都、系统损失和社会影响来对事件进行定级，场景是贸易公司，肯定不会是特别重大事件，是较大事件。

RPO:恢复点目标，代表当灾难发生时允许丢失的数据量（以时间来度量 ）。
RTO：回复时间目标。代表漏气也能容忍的信息系统和业务功能回复的时间。

SID以500结尾，表明当前用户是administrator，501结尾是GUEST.

PDR模型思想：承认信息系统漏洞，正视威胁，爱去湿度防护、价钱监测工作、落实响应、

‍

1、等级保护规定、三级及以上系统需要选择符合国家规定的测评机构进行等级测评。

等级保护规定：二级以上（含二级）的信息系统，需要到公安机关备案。

2、应急响应6个阶段：准备、检测、遏制、根除、恢复、跟踪。

3、ISMS建设工作：

规划和建立、实施和运行、监视和评审、保持和改进

4、应急响应常见根除措施：消除或阻断攻击源、找到并消除系统的脆弱性/漏洞、修改安全策略、加强防范措施、格式化被感染恶意程序的介质。

若使用专用系统，则根除操作必须遵循专门的操作规定。

对机密环境来说，低级格式化则更加彻底。

5、对于境外网络攻击，我国可依法惩治网络犯罪活动，维护网络空间安全和秩序。

6、风险评估个阶段的成果：

准备阶段：风险评估计划书、风险评估方案、风险评估方法和工具列表

风险要素识别阶段：资产清单、威胁列表、脆弱性识别、已有安全措施列表

风险分析：风险计算

风险结果判定：风险程度等级列表、风险评估报告

7、电子取证包括：准备、保护、提取、分析、提交 5个方面。

8、访问控制：

 1）ACL、CL是DAC自主访问控制模型实现方式。

ACL访问控制列表：是每个客梯有一串允许访问的主体。按列存储访问矩阵。很容易的查看所有能够访问一个客体的主体，也很容易撤销所有主体对客体的访问权限。（与客体关联，适合用户多的场景，增加客体相关的访问控制权限简单）

CL能力列表：是每个主体有一串可以访问的客体和对应的访问操作。是对主体访问能力的描述。按行存储访问矩阵。可以很容易查看一个主体拥有的所有访问权限。（与主体关联，适用于用户较少的场景，去除用户所有访问权限方便）

缺点：不能防备特洛伊木马、当用户数量多ACL太庞大不易维护、权限过大易造成信息泄露。

 2）Bell-LaPadula (BLP)、Biba模型是MAC强制访问控制模。

MAC是依据主体和客体的安全级别来决定主体是否对客体有访问权限。

BLP模型：上读下写，解决了信息的保密问题。

Biba模型：禁止向上“写”，没有下“读”。信息完整性高。

9、CMM的思想是：工程试试组织的能力成熟度越高，系统的风险越低，CMM模型抽取了这样一组好的工程实践并定义了过程的“能力”，CMM为工程的过程能力提供了一个阶梯式的改进框架。

10、根据《GB/Z 20986-2007 信息系统安全技术 信息安全事件分类分级指南》，将信息系统分为：特别重要信息系统、重要信息系统、一般信息系统三类。

11、CC标准的先进性体现再4个方面：结构的开放性、表达方式的通用性、结构和表达方式的内在完备性、实用性。

12、软件安全的三根支柱：应用风险管理、软件安全接触点、安全知识。

13、MD5算法：又称哈希算法、摘要算法，用于确保信息传输完整一致。

AES加密算法：对称加密算法，保障数据机密性。

AH主要提供数据来源认证、数据完整性验证、防报文回放攻击。

14、IPsec可以实现数据来源认证、数据完整性校验、防报文回放攻击、保密性。

15、常见的遏制措施：

1）关闭相关系统

2）拔掉网线

3）修改所有防火墙和路由器的过滤规则，拒绝来自发起攻击的嫌疑主机的所有流量

4）封锁或删除被攻击账号

5）提高系统、服务、网络行为的监控级别

15、我国信息安全保障工作的主要目标：

1）维护公众利益和国家利益

2）促进信息化建设健康发展、保护公众利益、明确国家企业个人的责任和义务

3）加强知识产权保护

4）保障和促进信息化发展

‍

1、软件开发安全：安全越早投入，后期成本越低。

2、具备以下条件之一的应当定位绝密级：

1）技术水平居国际领先，并且对国防建设或经济建设具备特备重大影响。

2）能够导致高新技术领域突破的。

3）能够整体反应国家防御和治安能力。

3、模糊测试

Fuzzing测试，一种通过非预期的输入（数据处理点、数据通道的入口，边界点往往是测试的对象）并监视异常结果来发现软件故障的方法。

模糊测试属于黑盒测试，不关心被测目标的内部实现，而是利用构造畸形法人输入数据引发被测目标产生异常，从而发现安全漏洞。

4、模糊测试过程：

1）生成大量的畸形数据作为测试用例

2）将这些测试用例作为输入应用于被测对象

3）监测和记录由输入导致的任何崩溃或异常现象

4）查看测试日志，深入分析生产奔溃或异常的原因

5、《关于做好重要信息系统灾难备份工作的通知》，强调“统筹规划、资源共享、平站结合”的灾备工作原则。

6、SMTP不能实现远程邮件管理，只能用于发送邮件。

‍

无线安全的问题还是存在的

很多保密单位不允许使用无线wifi

GB 国标 T推荐标准 Z指导标准

‍

Linux中 ID=0是root用户

PermitRoot为no，表示禁止Root账户登录

IPSEC可以实现数据来源认证、数据完整性验证和防保温回访攻击、保密性功能

对目录的访问权限分为读、写和可执行

Kerberos认证过程：三次通信

获得票据许可票据（工牌）--获得服务许可票据（部门权限）--获得服务（进对应部门）

风险评估（必考）（风险要素识别）

准备阶段：方案、计划书、方法、工具列表

风险要素识别：资产、威胁、脆弱性、已有安全措施

风险分析：风险计算（要定性和定量综合观察）

风险结果判定：风险程度等级列表、风险评估报告（自评估为主，检查评估为辅）

定性分析具有随意性主观性，不是随意性

WPA和WPA都是国际无线局域网协议，都是使用了密码算法对接认证

Linux中超级用户权限大于系统管理员

差异备份：备份上一次的完全备份后发生变化的所有文件。

增量备份：备份上一次备份后（包含全量备份、差异备份、增量备份），所有发生变化的文件。

TCP/IP协议：传输--网络--接口

准备、检测、遏制、跟踪、恢复、总结

GB：国标

T:推荐

Z：指导

CA（认证权威）--RA（受理用户的数字证书申请）--终端实体

‍

ISO和IATF都是美国发布的

信息安全风险管理：

四个阶段：背景建立--风险评估--风险处理--批准监督

两个贯穿：监控审查、沟通咨询

GP适用于所有PA活动

RTO中断以后多久能恢复业务，用户无感知

RPO数据量丢失的量，两小时是指者两小时可以丢失的数据量

RTO可以为0，RPO也可以为0

IDS只能检测，不能阻断，有误报率

威胁建模有四个步骤：确定建模对象、识别威胁、评估威胁和消减威胁

三根支柱：应用风险管理、软件安全接触点、安全知识

MD5是用来做数据完整性校验

AES可以提供数据加密

AH主要提供数据来源认证、数据完整性验证和放报文回放攻击

防火墙是典型的逻辑隔离的安全手段

物理隔离就是机房之间的隔离

逻辑隔离是指策略配置的

取证包括准备、保护、提取、分析、提交5个方面

网络安全等级保护要求

2,3,4级进行要求评测

BELL是强制访问控制模型

ACL（客体为视角）（用户多）

CL（主体为视角）（用户少）

‍

BLP、BiBa都是强制性访问控制

建立ISMS、实施和运行ISMS、监视和评审ISMS、保持和改进ISMS（迭代优化、促进、完善）

CMM基本思想是不是由技术落后引起的

千行代码缺陷：145/296000*1000

（缺陷数/代码总行数）*1000

Windows中 501是guest 500是admin

单次损失预期值（SLE）=资产价值（AV）*暴露因数（EF）

年度预期损失（ALE）=单次损失预期值*年度发生率（ARO）

信息系统安全保障模型：保障要素、生命周期、安全特征

‍

到达几级的信息系统的运营使用单位应当选择符合国家规定的测评机构（二级以上，实际上是三级或三级以上，不包括二级）

IPSec在网络层

SSL在传输层

二级系统以上的等级保护对象需要经过网络运营者需要组织进行专家评审、主管部门审核和备案审核

对国家和国家利益造成严重损害是三级系统

社会层面损害等定位2级

自助保护等为1级

应急响应：准备、检测、遏制、根除、恢复、跟踪总结

ISMS建设的各项：规划和建立、实施和运行、监事和评审、保持和改进

信息破坏事件：人为可能进行删库等

有害程序事件：木马

‍

1、风险处理方式

降低风险：打补丁

规避风险：关机，放弃不做

转移风险：和第三方签合同

接受风险：不作任何处理

2、我国信息安全保障工作的主要目标：保障和促进信息化发展、维护企业与公民的合法权益、保护互联网知识产权。

‍

SYNFlood属于拒绝服务

DDos属于分布式拒绝服务攻击（多对一）

IPSec是协议包，通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议簇

由：AH、ESP、SA、IKE

‍

【38】

STRIDE是微软开发的用于威胁建模的工具，将外部威胁分为6大类，如下所示：

S:spoofing,欺骗，对应安全认证（鉴权）

T:tampering,篡改，对应数据完整性

R：repudiation,否认，拒绝承认，对应不可抵赖性

I：information disclosure,信息泄露，对应机密性

D：denial of services,拒绝服务，对应可用性

E: Elevation of privieges 权限提升，对应授权

https://blog.csdn.net/tryheart/article/details/106842085

【41】

（1）TUM：市面比较少了，前身是防火墙，适用于中小企业或者预算有限的（预算多的买下一代防火墙）

（2）FW：防火墙，防火墙分为传统防火墙和下一代防火墙（包括传统防火墙+防病毒+入侵检测）

（3）IDS：IDS部署方法为旁路部署，IPS串联部署

（3）SOC：日志分析（审计）平台（系统），四代五代的叫态势感知（行为分析+超炫大屏）

‍

风险评估

通过技术手段包括开发或者啥的就是降低风险

放弃模块，关闭服务器等属于规避风险

第三方签约，外包开发，保险合同属于转移风险

参与风险，能承受风险属于接受风险

信息安全保障工作主要目标

保障促进信息化发展，维护企业公民合法权益，保护互联网知识产权

Linux系统

用户ID=0的用户是超级用户，ID越低等级越高

time=多少 策略添加时间

TMOUT=多少 策略添加超时

ssh....PermitRoot=no 策略添加禁止root账户登录

‍

【10】

无线局域网协议：WEP/WPA/WPA2

WEP不安全，已经废纸了

WPA/WPA2都使用密码算法对接入进行认证

WPA是根据80211i标准草案制定的

WPA2是根据80211i正式标准制定的

【13】

https://www.zhihu.com/question/309321847

完全备份不管档案有没有被修改过，只是机械性地备份全部文件和文件夹。这听起来实现了备份最大化，但绝对不是个好办法。如果一个企业每天变动的档案只有10MB，每晚却要花费100GB的存储空间做备份，相信这个企业很快就会因无法承受存储费用而倒闭。这就是我们不会一味采取完全备份的原因，也是推出增量备份的主要原因。

跟完全备份不同，增量备份在做​数据备份​前会先判断，档案的最后修改时间是否比上次备份的时间来得晚。如果不是，那表示自上次备份后，这档案并没有被更动过，所以这次不需要备份。

使用增量备份最大的好处在于备份速度：它的速度比完全备份快上许多，同时由于增量备份在做备份前会自动判断备份时间点及文件是否已作改动，所以相对于完全备份其对于节省存储空间也大有益处。增量备份的不足之处在于数据还原的时间较长，效率相对较低。例如，如果你要还原一个备份档案，你必须把所有增量备份的磁盘都找一遍，直到找到为止，如果您要复原整个档案系统，那就得先复原最近一次的完整备份，然后复原一个又一个的增量备份。

要避免复原一个又一个的递增数据，提升数据的复原的效率，把做法稍微改变一下，就变成了差异备份。

差异备份与增量备份一样，都只备份变动过的数据。但差异备份是累积的—— 一个档案只要自上次完整备份后，曾被更新过，那么接下来每次做差异备份时，这个档案都会被备份。这表示差异备份中的档案，都是自上次完全备份之后，曾被改变的档案。如果要复原整个系统，那么您只要先复原完全备份，再复原最后一次的差异备份即可。增量备份是针对于上一次备份（无论是哪种备份）：备份上一次备份后，所有发生变化的文件。

所以，差异备份的大小，会随着时间过去而不断增加（假设在完全备份间，每天修改的档案都不一样）。以备份空间与速度来说，差异备份介于增量备份与完全备份之间；但不管是复原一个档案或是整个系统，速度通常比完全备份、增量备份快（因为要搜寻/复原的磁盘数目比较少）

【18】

数据封装从上到下：传输互联网络接口（传输层、互联网络层、网络接口层）

数据解封从下到上。

【20】

信息安全管理体系和其他管理体系不一样，要建立自己的一套管理体系。

‍

1.风险处置的四种方式：

风险避规:躲避风险处境的决定或撤离风险处境的活动（停用、关闭、放弃）
风险转移:与另一方对风险带来的损失或负面结果的共享（与第三方签订协议）
风险降低:为降低风险的可能性或负面结果采取的行动 （采用技术手段）
风险接受:对来自特定风险的损失或负面结果的接受

2.我国信息保障的主要目标：

（1）《国家信息化领导小组关于加强信息安全保障工作的意见(中办发[2003]27 号)》：

维护公众利益和国家安全，促进信息化建设健康发展、保护公众利益、明确国家、企业、个人的责任和义务，充分发挥各方面的积极性，共同构筑国家信息安全保障体系。

（2）《国务院关于大力推进信息化发展和切实保障信息安全的若千意见-国发 (2012)23 号》：

发展先进网络文化。鼓励开发具有中国特色和自主知识产权的数字文化产品，加强知识产权保护。

3.Linux系统的安全配置

（1）ID=0用户为root用户（超级管理员）Root账户不能禁用

（2）PermitRoot 禁止Root账号登录（常见的加固方法）

（3）unlock time 自动解锁时间（常见的加固方法）

（4）TMOUT 超时退出时间（常见的加固方法）

4.互联网协议安全(internetprotocolSourity,IPsec)协议：

IPsec 可以实现数据来源认证、数据完整性验证和防报文回放攻击、保密性的功能。

5.Kerberos认证过程-三次通信（排序）：

（1）获得票据许可票据（TGT）

（2）获得服务许可票据（SGT）

（3）获得服务

6.风险评估文档（各阶段）：

（1）准备阶段：

《风险评估计划书》
《风险评估方案》

《风险评估方法和工具列表》

（2）风险要素识别阶段：

《资产清单》
《威胁列表》
《脆弱性列表》
《已有安全措施列表》

（3）风险分析阶段：

《风险计算》

（4）风险结果判定阶段：

《风险程度等级列表》

《风险评估报告》

7.风险评估方法：

（1）定性风险分析（主观）

（2）定量风险分析（客观）

（3）半定量风险分析（主观+客观）

8. WIFI WAP与WAP2

（1）WAP与WAP2都是无线局域网协议

（2）WAP与WAP2都适用于全球无线局域网协议

（3）WAP与WAP2都使用了密码算法对接入进行认证

（4）WPA是依照 802.11i 标准草案制定的，WPA2是依照 802.11i 正式标准制定的

9.Linux 特权管理机制：

（1）普通用户和其shell无任何权能，Root和其shell有全部权能

（2）Root可以剥夺和恢复系统管理员的某些权能（最高权限）

（3）进程可以放弃自己的某些权能（开发）

（4） 普通用户可以setuid（设置用户ID）来设计特权操作

10.最小化反馈：

将错误信息隐藏是最小化反馈常用机制

11.数据备份：

（1）完全备份（A+A）

（2）差异备份（A+B）

（3）增量备份（A+B+C+D）

（4）按照数据类型划分（操作系统数据备份和用户数据备份）

12.灾难恢复共分为六个等级

13.应急响应：

（1）定义：指组织为了应对突发/重大信息安全事件的发生所做的准备，以及在事件发生后所采取的措施

（2）应急响应的六个阶段：

准备、检测、遏制、跟踪、恢复、跟踪总结

（3）常见的遏制方法：关闭相应的系统（不要完全关闭所有系统）

14.信息安全事件

（1）事件分级的参考：系统重要程度、系统损失、社会影响

（2）事件分级（4级）：特别重大事件、重大事件、较大事件、一般事件

15.ISMS体系

（1）GB/T22080 GB/Z22080 GB（国标，强制性） T（推荐） Z（指导）

（2）ISO/IEC27001 国际标准

（3）不同于其他体系，有自己的管理组织机构、管理制度、技术防护体系和人员的建设内容和要求

16.《关于开展信息安全风险评估工作的意见》

（1）风险评估为自评估为主

（2）原则：“严密组织、规范操作、讲求科学、注重实效”

17.密码学（账号口令）

（1）《军事密码学》观点保密学依赖于密钥

（2）密码需要定期更换才能保证安全

（3）处理密钥的生命周期：产生、储存、备份、分配、更新和撤销

（4）保密通信可利用diffie-hellman协议进行保密通信

18.信息安全保障技术框架（IATF）

（1）分层策略允许适当降低低安全级保证来降低信息安全保障成本、关键区域使用高安全级保障

（2）从人、技术、操作三个层面实施保护

（3）IAFT由美国颁布

19. 《信息安全风险管理指南》

（1）风险管理的四个阶段：建立背景、风险评估、风险处理、批准监督

（2）风险管理的两个贯穿：监控审查、沟通咨询

20.安全工程能力成熟度模型（SSE-CMM）中的通用实施（GP）

（1）GP：涉及过程的管理、测量和制度化方面的活动

（2）GP适用于所有的PA活动

（3）GP作为基本实施（BP）

（4）评估是，GP用于判定PA的某个能力

21.信息安全需求描述报告

‍

‍

‍