CISSP培训笔记.doc

CISSP 最新学习笔记 此文是我班2014年高分考生袁同学在准备CISSP考试过程中的边看书边整理的一个学习笔记，整理的非常细致到位，特借此供各位备考学员参考。第1章节到第10章节主要是学习all in one第六版资料时笔记；第11章到18章节主要是在学习完all in one后做cccure网站上面练习题后，补充的知识点；第19章到25章节为学习officeial guide教材后补充的知识点；最后第26章是总复习时作actual练习题时补充的知识点。在看书3遍all in one后，主要补充学习了pre guide的学习笔记，cccure练习题和official guide进行知识点的补充，最后总复习阶段（1周左右）以本复习笔记为基础，配合actual练习题进行。目 录一. Chapter 3：Security management practices61.1 安全管理61.2 风险管理71.3 Policies、standards、baselines、guidelines、procedures81.4 Classification91.5 employee10二. chapter 4：Access Control112.1 Identification, Authentication（= Validating）, and Authorization（标识、认证、授权）112.2 Access Control Models（访问控制模型）132.3 Access Control Techniques and Technologies（方法和技术）142.4 Access Control Administration（访问控制管理）142.5 Access Control Methods（访问控制方法）152.6 Access Control Type162.7 access control practices162.8 Access Control Monitoring162.9 A few threats to access control17三. Chapter 5：Security Models and Architecture183.1 Computer Architecture183.2 Operation System Architecture213.3 System architecture213.4 安全模型223.5 运行的安全模式security modes of operation243.6 Systems Evaluation Methods243.7 A Few Threats to Security Models and Architectures25四. Chapter 6：Physical Security274.1 Planning process274.2 Protecting assets294.3 Internal Support Systems294.4 Environmental issues304.5 Perimeter security32五. Chapter 7：Telecommunications and Networking Security345.1 开放系统模型345.2 TCP/IP355.3 Type of transmission365.4 LAN Networking365.5 介质访问技术Media access technology375.6 LAN Protocols385.7 Networking Device385.8 Networking services and protocols405.9 MAN、WAN415.10 远程访问remote access445.11 wireless technologies45六. Chapter 8：Cryptography486.1 加密方法methods of encryption496.2 对称算法的类型Type of symmetric methods506.3 非对称算法的类型516.4 Message Integrity hash MD5 SHA526.5 PKIPublic Key infrastructure546.6 链路加密和端到端加密546.7 E-mail标准546.8 Internet security556.9 Attack56七. Chapter 9：Business Continuity Planning577.1 Make BCP Part of the Security Policy and Program587.2 业务连续性计划的需求587.3 Recovery Strategies恢复策略597.4 Developing Goals for the Plans617.5 testing and revising the plan测试和修改计划61八. Chapter 10：Law, investigation and Ethics638.1 Computer Crime Investigations64九. Chapter 11：Application and system development669.1 Database Management669.2 System Development689.3 Application Development Methodology719.4 攻击72十. Chapter 12：Operation Security7410.1 Security Operations and Product Evaluation7410.2 Network and Resource Availability7610.3 Email security7610.4 Hack and Attack Methods77十一. Cccure security management79十二. Cccure AC80十三. Cccure CPU82十四. Cccure AP84十五. Cccure encryption86十六. Cccure telecommunication88十七. Cccure OS运行安全89十八. Cccure 法律91十九. official guide 法律92二十. official guide BCP93二十一. official guide 安全管理93二十二. official guide AP94二十三. official guide密码96二十四. official guide Network97二十五. official guide OS9925.1 Information Protection Environment99二十六. Actual10026.1 One day10026.2 two10426.3 three108一. Chapter 3：Security management practices记住几个公式 P65ARO是年发生概率，10年发生一次，则ARO1*0.1SLE是发生一次造成的损失，如37500，那么ALE0.1*375003750EF（暴露因素）*sset value = SLESLE*ARO=ALE（年损失期望）Data owner等多种角色的职责商业公司和政府的集中分级（4、5）1.1 安全管理1. 安全管理需要自顶向下（Top-Down approach）的来进行，高层引起足够的重视，提供足够的支持、资金、时间和资源。In contrast, bottom-up approach。P482. 安全评估分为定性和定量评估，方法有：人员访谈、问卷调查，技术评估等等。解决风险的4种办法：降低风险reduce、接受风险accept、转嫁风险transfer、和拒绝风险reject。3. 安全控制有一个说法是，三种类型的控制，物理、技术和管理should work in a synergistic manner to protect a companys assets.1) 物理：cd-rom，优盘，警卫，环境，IDS，cctv2) 技术：acl、加密、安全设备、授权与鉴别3) 管理：策略、标准、方针、screening personnel、培训1.2 风险管理4. 弱点、威胁、风险、暴露、对策1) Vulnerability：weakness，have unauthorized access to resources.2) Threat：threat agent，威胁因素，hacker、worm3) Risk：threat利用vulnerability造成危害的一种可能性。4) Exposure：instance，一次威胁因素造成loss的实例。5) Countermeasure(safeguard)：降低潜在的风险risk。举例：主机系统没有打上相关的系统补丁（vulnerability），有一个针对此漏洞最新的蠕虫病毒（threat agent），网络没有部署边界安全系统，蠕虫渗透网络引起了风险（risk），直接导致了主机的性能降低、死机。这整个过程就是一次exposure。然后安装补丁进行更新（safeguard）。5. Information Risk Management风险管理是一个过程：是识别风险、评估风险、将之降低到一个可接受的程度识别风险级别，运用合适的机制来维持风险在此程度 P536. Risk Analysis4个主要目标P551) 识别资产和资产的价值2) 识别风险和威胁3) 量化潜在风险对商业影响的可能性4) 预算平衡在威胁影响和对策的花费之间7. Risk Analysis Team最好要有高层管理人员参加，而且最好有来自各个部门的成员组成。如果没也需要面对面与他们沟通，了解他们的运作情况。P568. 风险管理的一些重要因素：P56-581) 管理层支持；2) team由来自于不同的团队；3) 识别资产的价值；4) 识别威胁；5) 还需要关注潜在和延迟的损失；6) 下面就需要用定性或定量的方式来评估风险了。9. quantitative and qualitative P63定量和定性10. Step of a Risk analysis P641) 给资产赋值2) 估计每项风险的潜在损失3) 进行威胁分析4) 计算每项风险的全部潜在损失ALE，EF*asset value = SLE，SLE*ARO=ALE5) Reduce、transfer、accept the Risk、ruject11. 风险分析的成果 P661) 资产赋值2) 理解威胁的特征和可能性3) 每种威胁发生的可能性4) 每种威胁在一年内发生对公司造成的潜在损失5) 建议安全防护12. 定性评估：Delphi, brainstorming, storyboarding, focus groups, surveys, questionnaires,checklists, one-on-one meetings, and interviews P6613. Delphi技术（定性评估）让每个人都拿出自己真实的观点，不被人影响。14. Risk delayed loss and/or damage：从被破坏到恢复到正常的损失。15. 风险保护的步骤1) 明确需要保护的资产及范围，花费的money2) 风险分析和评估（选择最合适的safeguard，功能；）3) 选择合适的措施和执行（评估safeguard的成本，并做比较；）16. Residual Risk P72Total Risk=threats * vulnerability * asset valueResidual Risk=(threats * vulnerability * asset value) * control gap1.3 Policies、standards、baselines、guidelines、procedures策略policies是提高信息安全，支持的标准standards是数据用高度加密AES，程序procedurces是一步一步怎么来进行，方针guidelines是指导，建议作哪些（要求审计，建议审计ID、口令、事件等信息）。P45。baseline（clipping level）是最低级别的安全。安全策略提供基础，过程、标准、指导提供安全框架。策略是战略目标，过程、标准、指导等是战术目标。P7817. Policies：1) 最高的战略目标，email policy，那些能看不能看。如何使用数据库，如何保护数据库等等。P762) The policy provides the foundation.The procedures, standards, and guidelines provide the security framework.plicy是基础，程序、标准、方针是框架。P773) 三类：regulatory规章性的、advisory建议性的、informative提示性的（给信息）P7718. standards：is mandatory、compulsory、enforce，强制P7819. baselines：最低安全标准 P7820. guidelines：指导行动，建议具体作哪些，如审计哪些内容（登录ID、时间等）。P7921. procedures：step by step，spell out（讲清楚）策略、标准等具体怎么做。P791.4 Classification22. 先分级，然后划分安全域23. Security is not a product, its a process P9124. 不同的人有不同的责任responsibility1) Manangement对资产的安全最终负责2) Data owner: 一般是管理者，负责，进行数据的定级，定义安全机制，哪些人可以访问等。委派custodian对数据进行保护。P893) Data custodian：对数据进行维护和保护，一般的IT department4) System owner：关注系统，向data owner汇报5) Supervisor：发密码，解雇收回密码6) User：routinely7) management管理者的工作是确定个人的安全需求，如何授权；security administrator是具体执行这些需求。1.5 employee25. Separation of duties有两个方面：split knowledge（一个人知道整体的一部分） and dual control（一个人知道一个整体，需要多个确认才能ok，发射nuclear）P9226. rotation of duties，岗位轮换，mandatory vacation P9327. 培训三类：管理者、一般雇员、技术雇员二. chapter 4：Access Control1. access control：physical、technical、administrative。subject and object2. Three principles：1) Availability：stockbroker，accuracy、timely，no privacy。2) Integrity：美国总统的邮件被修改。3) Confidentiality3. 一次性口令，可以同步认证，也可以异步认证4. 一般来说一个标准的权限管理过程应该是这样的，User （copy boy）根据工作需要提出权限申请-Owner批准权限申请 -administrator 根据领导（就是Owner）授权开通相应权限2.1 Identification, Authentication（= Validating）, and Authorization（标识、认证、授权）5. 标识/鉴别（用户名）、认证（密码）、授权6. Authentication：方式有下面几种1) Something a person knows知道的2) Something a person has有的3) Something a person is他是谁4) Strong authentication/two-factory authentication：需要两个以上的认证方式。7. Identity management:1) Biometrics生物(有的)，identity unique attribute属性和behavior行为。成本高、复杂、推广难P137i. Type I error：reject 正确的P138ii. Type II error：accept impostoriii. Crossover error rate，CER，EER，越小越好/精确(accurate)iv. 常见类型：Fingerprint、retina视网膜、voice、palm scan（creases, ridges, and grooves，褶皱等）、hand geometry手纹路（宽、长、shape形状）、iris虹膜 scan、face scan、（behavior）signature dynamics动态签名、keyboard dynamics动态键盘、Hand topography（peaks and valleys）手型P1392) Passwords（知道的）双因素是PIN现实的密码：jeaf+显示的P141i. 密码攻击：electronic monitoring（replay attack）、access the password file、brute force attacks（暴力破解）、dictionary attacks、social engineering P141ii. Password checkers（检查密码的工具）、password hashing and encryption（加密）P142、password aging（保存以前5到10次的密码）P143、limit logon attempts P143iii. Cognitive password（你妈妈的名字？XX）iv. one-time password：token device(我们公司就是这种，分为time or counter（初始化），是强密码，用到了两种认证方式：has和knows)，分为同步(输入显示的数字)和异步（显示的东西输入令牌，结果再次输入进行认证）P144异步v. Cryptographic keys（密码字）：PKI P145vi. Passphrase,密码词（ILoveYou,ILY）, Virtual password P146vii. Memory car（强认证，has & knows）P1461. memory card，只存储信息，类似银行卡，需要读卡器card reader2. smart card，能处理信息，接触和不接触/无线。攻击（fault generation产生错误，比较正确和错误的区别找出密码；noninvasive：side-channel attacks、power analysis、software attacks（软件bug/flaw）8. authorization1) role、group、time、logical & physical location、time、transaction（根据动作，能建数据库，但不能访问里面的内容）。Autorization creep（授权蔓延，一个人在转到其他部门，以前的权限没有清除权限就越来越多）P1492) default to no access，默认全部拒绝3) need-to-know，最小权限，least privilege9. single sign-on：SSO单点登录（kerberos、SEMSAME、security domain、thin client）1) Kerberos，特色是只相信KDC（Key Distribution Center），KDC存储所有用户和服务的key，通讯双方之间不信任，只信任KDC。举例：A和B两人互相不信任，但都相信KDC，那么A从KDC取得ticket，然后给B看，然后B就相信了并与之通信。是一个验证协议 P153i. 基于C/S（客户端/服务器）结构，symmetric key对称性keyii. 是异构网络SSO的事实标准facto。P154iii. KDC是key分发中心iv. 由于开放性，则不同vendor间的互操作性和兼容性不好v. timestamp防止replay attack P155vi. 还可以设置认证有效时间，如8小时，过了后需要重新认证。P156vii. 提供完整性Integrity、机密性privacy，但不提供可用性。PPPviii. 用户和KDC之间共享secret key，用于彼此间通讯的认证；session key用于用户和打印机之间通讯的认证，通信结束即destroy。通信数据不加密。P155ix. 类似于PKI，彼此不相信，都只相信CA。CA用digital certificates担保vouches，KDC用ticket担保。P156x. 缺点：KDC是单点故障；ticket和session key存在本地；P1562) SEMSAME，在Kerberos基础扩展的一个欧洲。使用symmetric对称和asymmetric非对称来保护通讯。PAC=ticket，PAS=KDC，S=server P1573) Security domains：高级能访问低级，firewall、router ACLs、directory services、different subnet mask address。每个subject在同一时间只能属于一个domain。P1584) Directory services：LDAP、NDS（Novell NetWare directory service）、MS Active Directory.P1605) Thin client：本地什么也没有，所有的操作都需要与central interactive.P1602.2 Access Control Models（访问控制模型）What determines if an organization is going to operate under a discretionary,mandatory, or nondiscretionary access control model?Security policy10. Three model：可多种一起使用1) (DAC)Discretionary Access Control：owner决定，非中央集中控制。user-directed，执行了access control matrix P1612) (MAC)Mandatory Access Control：覆盖DAC（即owner的决定），操作系统administrator强制控制，subject和object都严格分级，基于Security labels（又称Sensitivity Labels）访问，有顶级保密级别的并不能访问所有顶级的东西，需要根据授权（但下级绝对不能访问上级）。分为secret、top secret、confidential。一般用在military。SE Linux NAS、Trusted Solaris P1623) (RBAC)Role-Based Access Control，基于角色、功能任务，集中控制，适合高人员流动high employee turnover P1642.3 Access Control Techniques and Technologies（方法和技术）11. Rule-Based Access Control：基于规则的访问控制，针对所有用户的强制，没有identity这一步 P16712. Constrained User Interface：限制用户接口P1671) Menu and Shells：菜单和命令，functionality、command2) Data view3) Physical：ATM13. Access Control Matrix（矩阵），针对个体，os强制，一般是DAC模型的一个属性，即DAC使用它。P1681) Capability Tables：Kerberos就是这样的，仅针对individual，因为需要identity2) Access Control Lists：ACL，可以针对individual or group14. Content-Dependent Access Control：基于内容，数据库、关键字等,web surfing、email15. Context-Dependent Access Control：基于上下文（次序），状态检测防火墙处理TCP三次握手，syn-syn/ack-ack P1692.4 Access Control Administration（访问控制管理）16. 一个安全的过程：先policy等等、再access control model、再access control 方法和技术，再access control administration方式（集中、分散和混合）P17017. Centralize：集中式，由一个人或者一个部门进行控制。C/S结构（只能client主动发请求）1) AAA指：authentication, authorization, and auditing。P1712) 三种认证协议：PAP, CHAP, EAP P1713) RADIUS：C/S结构，集成authentication, authorization。传输只加密帐号、密码等认证信息，其他都是cleartext。UDP传输，需要另外进行package检查。ISP上网认证使用，简单环境允许还是deny。P1714) TACACS，C/S结构：TACACS（authentication & authorization）、XTACACS（分开AAA）、TACACS+（增加SSO/双因素）。TACACS+，TCP传输。传输内容全部加密。可结合kerberos。使用方式更灵活但更复杂。P1725) Diameter：overcome RADIUS的很多不足，提供AAA，the diameter is twice the radius，兼容RADIUS，peer-based protocol（服务器能主动发送信息）。 提供一个基础协议，支持很多协议。能支持IPSEC OR TLS,RADIUS不支持。AVP更大2的32方，RADIUS为2的8方。Mobile IP，用户从一个网络到另外一个网络仍然使用同一个IP。P17418. Decentralized：分散式管理，closer 离的近的分配权限，functional manager P1762.5 Access Control Methods（访问控制方法）19. Administrative Controls管理控制 P1771) Policy and Procedure：a High-Level plan2) Personal Controls：人员变动，职责分离和职责轮换，人力部门和法律部门参与。3) Supervisory Controls：监管控制，每个人有上级，汇报和负责4) Training5) Testing，All security controls, mechanisms, and procedures need to be tested on a periodic20. Physical Controls物理控制 P1781) Network Segregation：通过物理和逻辑都能进行网络分段2) Perimeter Security：边界安全，门卡、监控monitor,TV3) Computer Controls：FDD、CD-ROM4) Work area separation：工作区域5) Data backup：保存数据在防火的地方6) Cabling：布线，防干扰，防火burnt、防窃听eavesdropped21. Technical Control（logical）P1791) System Access，MAC、DAC、RADIUS、TACACS、kerberos2) Network Architecture：不同网络区域3) Network Access，Router、Switch、Firewall、Bridge4) Encryption and Protocols，perserve confidentiality and integrity of data5) Control Zone：技术和物理和结合(A control zone is physical control.)，防止emit electrical signal6) Auditing审计 2.6 Access Control Type22. preventive（access control model）、detect、corrective、deterrent、recovery、compensative23. Preventive预防：administrative、physical、technology。24. accountability：稽查/审计，行为的事后审计，网络管理员、安全专家确认安全机制部署的place和configuration是否合理；提供法律材料；重构环境和事件、生成报告、检测入侵等，usually deciphering it and presenting it in a useful and understandable format。P1811) system event2) application event3) user event4) review of audit information审计信息查看。自动、手动。可以实时、一段时间。三种审计分析工具：减少检测reduction、变化检测variance(以前和现在比较)、攻击特征检测attack signature。P1835) keystroke monitor：击键监控，木马收集资料，如果公司采用需要inform用户。P1846) protect audit data and log information：保护审计数据。攻击者删除log称为scrubbing。P1842.7 access control practices25. Unauthorized Disclosure of Information(非授权的信息泄漏)P1851) Object Reuse：FDD、TAPE等，仅仅format，delete还不够，overwrite后才能清除。Object reuse can unintentionally disclose information.P1852) Tempest抑止和防止信息无线泄漏airwaves。信息源通常为monitors, computers, printers, and so on。Faraday cage。通常军方使用，complex、cumbersome、expensive，可以用white noise 和control zone替代alternatives。卖这种类型的设备under constant secutiny P186i. White noise白噪音，uniform spectrum of random noiseii. Control zone 大号法拉第笼 P1872.8 Access Control Monitoring攻击IDS：dos使其off line；让ids报警错误的攻击，正式的攻击不报。只有异常检查的IDS能识别新攻击。26. Intrusion Detection（IDS）：sensor、analyzer、administrator；host-base & net-base27. 检测技术的类型：after-the-fact1) Signature based特征：每个攻击都有一个特征，the most popular的一种技术，更新，不能识别最新的攻击。Signature data。识别Land Attack P1882) Statistical anomaly base异常统计：基于行为，长期进行学习，学习完毕后生成profile，以后所有的traffic & activity都与之进行比较。进行分项打分，然后加起来，超过normal的分数，就认为是一个攻击/异常。0 day attacks，存在误报、漏报的可能性。需要管理员人为进行判断，因此对管理员以前较高。能检测出low and slow的攻击。false positives and false negatives（误报和漏报）P189i. Protocol anomaly base协议异常：每个协议都有一个normal的描述，这个normal是基于RFC的，协议理论上theoretical是基于RFC，但实际real-world不然。P190ii. Traffic anomaly base流量异常：检测dos攻击，新流量。P1913) Rule base规则：更复杂，expert system，有artificial intelligence人工智能。需要更新，不能检测新的攻击。P191iii. stat