CISSP 思维导图（最近更新2023年5月16）

我超怕的 https://www.cnblogs.com/iAmSoScArEd/p/17213464.html
内容及备注：OSG 第一遍
什么时候看：学完速刷回忆 以后用快查
最近更新：2023年5月16

CISSP

1.安全与风险管理15%

安全概念

CIA P2

DAD、过度保护、真实性、不可否认性、AAA服务 P5

AAA服务 P6

安全边界 P9

评估和应用安全治理原则

安全治理：第三方治理、文件审查 P10

管理安全功能：安全功能、组织的流程、组织的角色与责任、安全控制框架、应尽关心和尽职审查 P12

安全策略、标准、程序和指南

安全策略 P17

安全标准、基线和指南 P18

安全程序 P18

应用供应链风险（SCRM）概念

硬件、软件和服务相关风险 P23

第三方评估与监测 P24

最低安全要求 P24

服务水平要求 P24

人员安全策略和程序

岗位描述与职责 P33

候选人筛选及招聘 P33

经历背景调查

在线/社交网络账户审查

入职：雇佣协议及策略 P34

AUP可接受的使用策略

NDA（nondisclosure agreement）保密协议

员工监管 P35

定期审查或审计

员工管理和评估

UBA（user behavior analytics）用户行为分析

UEBA（user and entity behavior analytics）用户和实体行为分析

离职、调动和解雇流程 P36

调动视为开除/重新雇佣

禁用权限代替删除权限以供审计

解雇代替调动有问题的员工

解雇提前做好风险预防措施

供应商、顾问和承包商的协议和控制 P38

SLA服务水平协议

VMS 供应商管理系统

合规策略要求 P39

隐私策略要求 P39

PII（personally identifiable information）个人身份信息 可以容易追溯到个人的任何数据

隐私收集和使用合规问题，遵守所有政府规定。 HIPAA、SOX、FERPA美国相关法规，GDPR欧盟数据保护法规

理解并应用风险管理概念

风险术语和概念 P41

Asset 资产：业务流程或任务中使用的任何事物，包括有形或无形

AV 资产估值：根据重要性、实际成本、人力成本等多因素给资产指定的货币价值

Threat 威胁：任何可能发生的对组织或资产造成不良或非预期结果的潜在事件

威胁代理/主体：威胁代理/主体有目的地利用脆弱性。主体通常是人，也可以是程序、硬件和系统

威胁事件：对脆弱性的有意或无意的利用。如火灾、地震、洪水、系统故障、人为疏忽错误、断电等

威胁向量：也称攻击向量，指为了造成伤害而访问目标时所采用的路径或手段。如：电子邮件、网页浏览、Wi-Fi网络、物理访问、供应链、云、社交媒体等

Vulnerability 脆弱性：资产、防护措施/控制措施的弱点，或者是缺乏的防护措施/控制措施。如漏洞、缺陷、疏忽、局限性、薄弱环节等

Exposure 暴露： 威胁导致资产受到破坏的可能性。不意味是一个真实的正在发生的威胁，仅代表有发生损害的可能性

Risk 风险：威胁利用脆弱性对资产造成损害的可能性/概率以及可能造成损害的严重程度。

风险=威胁脆弱性
风险=损害的可能性损害的严重程度

Safeguard 防护措施：防护措施、安全控制、保护机制或控制措施指任何能消除或减少/抵御一个或多个威胁的事物

Attack 攻击：威胁主体故意尝试利用脆弱性对资产造成破坏、丢失或泄漏。

Breach 破坏：破坏、入侵或渗透指安全机制被威胁主体绕过或阻止。是成功的攻击

术语密切关联，资产被威胁利用脆弱性绕过安全防护措施攻击导致暴露/风险

资产估值 P43

资产价值直接影响和引导为了保护资产而部署的防护措施和安全水平。

防护成本大于资产价值的措施将不会被实施

资产估值存在定性和定量分析，大概参考评估项目见P44

识别威胁和脆弱性 P44

属于风险管理的基础行动

为每个资产提供尽可能详尽的威胁主体、威胁事件列表

风险评估高度棘手、琐碎、复杂和冗长，可以考虑外聘风险顾问、借助风险评估软件

风险评估/分析 P45

所有的风险评估、结果、决策和产出都需要得到高层管理人员的理解和批准（属于应尽关心/尽职审查的一部分）

定量风险分析：基于数学计算，用实际货币价值计算资产损失 P47

最终结果通常包含风险级别、潜在损失、安全措施成本、防护措施价值等货币数据报告

并不是所有内容都可以量化，因此定量依然包含定性、主观、无形的元素

资产价值AV（asset value）、暴露因子EF（exposure factor）、单一损失期望SLE（single loss expectancy）、年度发生率ARO（annualized rate of occurrence）年度损失期望ALE（annualized loss expectancy）

• SLE=AV*EF
• ALE=SLEARO
  ALE=AVEF*ARO

定性风险分析：用主观和无形的价值来表示资产损失，考虑观点、感受、直觉、偏好 P46

参考定性分析方法见P46

有效性和有用性随着参与者的数量和多样性的增加而提高

定量和定性两种方法都是必要的，通常混合使用，以获得均衡的看法

定量风险分析和定性风险分析比较见P50

风险评估目标是识别风险（基于威胁-资产组合）并按重要性进行优先级排序

风险响应 P50

Risk mitigation风险缓解：通过实施安全防护措施减少或消除脆弱性或阻止威胁

Risk assignment风险转移：将风险带来的损失转移给另一个实体或组织

Risk deterrence风险威慑：对可能违反安全和策略的违规者实施威慑的过程

Risk avoidance风险规避：选择替代的选项或活动过程

Risk acceptance风险容忍：成本分析表明控制措施的成本超过风险可能造成损失后的结果

Risk rejection风险拒绝：一个不可接受但可能发生的风险响应

需要验证操作和策略是否合法，是否符合声明的安全策略、行业义务、合同和法规

总风险=威胁脆弱性资产价值。没有实施防护措施情况下的全部风险

残余风险=总风险-控制间隙。残余风险存在表明成本分析显示现有防护措施不具有成本效益。控制间隙为通过实施防护措施而减少的风险

安全控制的成本与收益 P52

降低潜在的破坏比例来降低风险，如ARO

ACS（annual cost of the safeguard） 安全措施的年度成本。常见影响因素见P52

防护措施成本不应该大于资产价值本身

防护措施的价值=防护措施实施前ALE-防护措施实施后ALE-防护措施年度成本ACS

即：防护措施价值=ALE1-ALE2-ACS

定量风险分析公式表见P54

选择与实施安全对策 P54

评估安全控制措施应考虑的因素见P55

安全控制、对策、措施可以是管理性、逻辑/技术性、物理性的

管理性控制措施依据组织的安全策略和其他法规和要求而规定的策略和程序。如背景调查、安全意识和培训、报告审查等

逻辑/技术性控制措施包括硬件和软件控制。如身份认证的方法、加密、接口限制、协议、防火墙、IDS等

物理性控制措施专为真实世界对象提供保护。如保安、栅栏、上锁的门、刷卡、摄像头、报警器等

适用的控制类型 P56

预防控制：阻止非预期或未授权的活动发生。如锁、访问控制门厅、职责分离、DLP、渗透测试、加密、安全意识培训、杀毒软件等

威慑控制：阻止违反安全策略的行为。与预防类似，但威慑需要说服个人不要进行相关威胁活动。如策略、安全意识培训、安全标识、摄像头等

检测控制：发现或检测非预期或未授权的活动。如保安、审查摄像头捕捉的事件、强制休假、蜜罐、IDS、对用户的监督和审查以及事件调查等

补偿控制：为已有控制提供帮助增强和支持安全策略。为其他控制进行补充或替代选项。如备份、备用电源等（阻止数据破坏或丢失失败，阻止停电情况失败）。

纠正控制：修改环境，使系统从非预期或未授权活动中恢复到正常状态。如删除或隔离病毒、保证备份可正常恢复的计划、IPS、完整性检查并替换损坏或丢失文件等

恢复控制：纠正的扩展，但更高级更复杂。安全策略被破坏后尝试修复或恢复资源、功能和能力。如备份和恢复、容错驱动系统、系统镜像、服务器集群、热温冷站点等

指示控制：指导、限制或控制主体的行为，强制或鼓励主题遵守安全策略。如安全标准、安全要求、发布的通知、保安的指引、监控、逃生出口标志等

安全控制评估 P58

SCA（security control assessment）安全控制评估，可作为渗透测试或漏洞评估的补充内容，根据基线或可靠性的期望对基础设施进行评估

监视和测量 P58

安全控制提供的收益需要有监视、测量，以此对安全措施进行量化

风险报告和文档 P58

存在哪些风险？风险的严重性和优先级？有哪些风险响应措施？持续跟踪风险的解决或缓解进度

持续改进 P59

若某个安全控制措施不能持续改进，需要将其替换

RMM（risk maturity model）风险成熟度模型，从成熟、可持续和可重复方面评估风险管理流程的关键指标和活动

1，初始级（ad hoc） 开始进行风险管理时的混乱状态

2，预备级（preliminary）初级尝试遵守风险管理流程，但各部门标准各不相同

3，定义级（defined）在整个组织范围内采用通用或标准化风险框架

4，集成级（integrated）风险管理操作被集成到业务流程中，风险为业务战略决策的一个元素

5，优化级（optimized）风险管理侧重实现目标，而不仅对外部威胁做出响应；增加战略规划是为了业务成功，而不是避免事故；将吸取的经验教训重新纳入风险管理过程。

ERM（enterprise risk management）企业风险管理

EOL（end-of-life）制造商停止生产产品的时间。需要在产品的支持期终止或服务期终止 EOSL（end-of-service life）前替换产品。可以是硬件和软件。

风险框架 P60

NIST 美国国家标准与技术研究院

RMF（risk management framework）风险管理框架，2010年为联邦机构制定的强制性要求

• 准备 从组织级和系统级角度执行
• 分类 根据损失影响，对系统处理、传输、存储的信息进行分类
• 选择 为系统选择一组初始控制并根据需要定制控制
• 实施 实施控制并描述如何在系统及其操作系统环境使用控制
• 评估 评估控制是否正确实施、按预期运行、产生满足安全和隐私要求的结果
• 授权 在确定授权方面临的风险是可接受的情况下，授权系统或共同控制
• 监控 持续监控系统和安全控制，评估控制有效性，记录系统和操作环境的变化，进行风险评估和影响分析，报告系统的安全隐私状况

CSF（cybersecurity framework）网络安全框架，2014年为关键基础设施和商业组织设计

• 五个核心：识别、保护、检测、响应、恢复，不是检查清单和程序，为支持和改进安全而需要持续执行的操作活动的规定，更像是改进系统

ISO/IEC 31000 风险管理-指南

ISO/IEC 31004 风险管理31000-实施指南
ISO/IEC 27005 信息技术-安全技术-信息安全风险管理
其他非重点了解即可框架：COSO、ISACA的IT风险框架、OCTAVE、FAIR、TARA

社会工程

社会工程原理 P63

权威、恐吓、共识、稀缺性、熟悉、信任、紧迫性

获取信息P65

前置词P65

网络钓鱼P65

鱼叉式网络钓鱼 P66

网络钓鲸 P67

短信钓鱼P67

语音网络钓鱼P68

垃圾邮件P68

肩窥P69

发票诈骗P69

恶作剧P69

假冒和伪装P70

尾随和捎带P70

垃圾箱搜寻P71

身份欺诈P71

误植域名P72

影响力运动P73

混合战争

社交媒体

建立和维护安全意识、教育和培训计划

安全意识P74

培训P75

教育P75

改进P75

有效性评估P76

业务连续性需求的识别、分析和优先级排序

BCP（business continuity plan）业务连续性计划 P86

项目范围和计划 P87

组织分析

选择BCP团队

资源需求

法律和法规要求

BIA（business impact analysis）业务影响分析 P92

确定优先级

• MTD（maximum tolerate downtime）最大允许中断时间
• MTO（maximum tolerate outage）最大容忍中断时间
• RTO（recovery time objective）恢复时间目标
• RPO（recovery point objective）恢复点目标，根据备份间隔可能导致无法挽回多久的数据

风险识别

• 自然风险、人为风险
• SOC（service organization control）服务组织控制 外部审计公司提供对供应商的业务灾难恢复承诺进行评估的服务

可能性评估

• 确定ARO年度风险发生率

影响分析

• 定量分析
  • 单一损失期望SLE=AV*EF
  • 年度损失期望ALE=SLE*ARO
• 定性分析
  • 客户信誉、停工后员工流失、社会或道德责任、负面宣传

资源优先级排序

• 根据ALE降序排序、再结合定性分析结果给出终极排序

连续性计划 P97

策略开发：确定哪些风险需要缓解，缓解任务需要的资源水平

预备和处理：设计具体的流程和机制，来减轻在策略开发阶段认为不可接受的风险

• 必须保护的三类资产：人、建筑物/设施、基础设施

计划批准和实施 P99

计划批准

计划实施

培训和教育

BCP文档化

• 连续性计划的目标、重要性声明、优先级声明、组织职责声明、紧急程度和时限声明、风险评估、风险接受/风险缓解、重要记录计划、应急响应指南、维护、测试和演练

法律、法规和合规

法律分类P108

刑法：社会中违反我们信仰的基本原则的侵害行为的法律

民法：人与组织间的商业交易提供框架

行政法：政府机构用于有效执行日常事务的法律

法律P111

计算机犯罪

《计算机欺诈和滥用法案》CFAA

《1994年计算机滥用修正案》

《国家信息基础设施保护法案》

联邦量刑指南

《联邦信息安全管理法案》FISMA

2014年的联邦网络安全法案：《联邦信息系统现代化法案》FISMA、《网络安全增强法案》

知识产权

版权和《数字千年版权法》

商标

专利

商业秘密

许可

进出口控制

隐私

美国隐私法

• 第四修正案
• 1974年 《隐私法案》 只适用于政府
• 1986年 《电子通信隐私法案》ECPA
• 1994年 《通信执法协助法案》CALEA
• 1996年 《经济间谍法案》
• 1996年 《健康保险流通与责任法案》HIPAA
• 2009年 《健康信息技术促进经济和临床健康法案》HITECH，包含数据泄漏通知
• 1998年 《儿童在线隐私保护法》 COPPA
• 1999年 《Gramm-Leach-Bliley法案》GLBA，金融机构限制
• 2001年 《美国爱国者法案》
• 《家庭教育权利和隐私法案》FERPA
• 1998年 《身份盗用与侵占防治法》

欧盟隐私法

• 欧盟数据保护指令DPD
• 《通用数据保护条例》GDPR
• 跨境信息共享

加拿大 《个人信息保护和电子文件法》PIPEDA

州隐私法 《加州消费者隐私法案》CCPA

合规 P127

支付卡行业数据安全标准 PCI DSS

合同和采购 P128

2.资产安全10%

信息和资产的识别和分类 P136

定义敏感数据 P136

个人身份信息PII

受保护的健康信息

专有数据

定义数据分类 P137

部分政府机构：绝密、秘密、机密、未分类

其他组织：机密/专有、私有、敏感、公开

敏感信息通常泛指任何非公开信息

定义资产分类 P139

资产的分类应该要与数据分类匹配

理解数据状态P139

静态数据

也称为存储中的数据

传输中的数据

也称为动态数据，通过网络传输的任何数据

使用中的数据

也称为处理中的数据，应用程序使用的内存或缓冲区的数据

确定合规要求P140

确保满足投放各个地区的法律要求

确定数据安全控制P141

对资产和数据分类后，必须对不同级别的数据定义相匹配的安全要求并确定安全控制满足安全要求

建立信息和资产的处理要求 P142

数据维护P143

物理隔离、网络隔离

数据丢失预防P143

基于网络的DLP、基于终端的DLP

标记敏感数据和资产P144

资产物理标签、数字水印、桌面背景提示

处理敏感信息和资产P145

对不同级别数据有不同的处理方式，保证数据安全传输

数据收集限制P145

防止数据丢失最简单的方式之一就是不收集数据

数据位置P146

数据备份或副本的位置，应确保不会因为一个灾难全部丢失

存储敏感数据P146

加密数据，防止未经授权的访问

遵循物理安全如防丢失、控制环境温度湿度等，HVAC系统

数据销毁P147

消除残留数据

本应擦除却仍遗留在介质上的数据

销毁：消磁器、粉碎机

常见数据销毁方式

erasing擦除，只对文件或整个介质执行删除操作

clearing清理，清理或覆盖，以便重新使用介质，且传统复原工具无法恢复

purging清除，更强烈的清理形式，多次重复清理且可其他方法组合完全去除数据

degaussing消磁，消磁器产生强磁场，擦除某些介质的数据

destruction销毁，生命周期最后阶段，最安全的介质净化方法

加密擦除

数据在介质中被加密，可直接擦除销毁数据。通常可删除数据、加密密钥、备份密钥等

确保适当的数据和资产保留期P149

适用于数据或记录、保存敏感数据的介质、处理敏感数据的系统和访问敏感数据的人员

在需要时保留和维护重要信息，在不需要时销毁

EOL、EOS、EOSL适用软件、硬件

数据保护方法P150

数字版权管理P151

DRM许可证、持久在线认证、持续审计跟踪、自动过期

云访问安全代理P152

CASB

假名化P152

令牌化P153

注册、使用、验证、完成流程

匿名化P154

理解数据角色P155

数据所有者

对数据的最终的组织负责人，如CEO、总裁、部门主管DH

资产所有者

拥有处理敏感数据的资产和系统的人员

业务/任务所有者

敏感数据资产和系统相关业务的使用者

数据处理者和数据控制者

控制数据处理的个人或实体，如收集员工信息用来制作工资单的人

数据托管员

数据所有者将日常任务委托给数据托管员custodian

管理员

泛指任何具有高级权限的人员都是管理员

用户和主体

通过计算机系统访问数据以完成工作任务的人，只能访问执行工作任务所需的数据。用户是更广泛的主体，主体可以是程序、用户、进程、服务或任何可以访问其他资源的东西

使用安全基线P158

低影响基线、中影响基线、高影响基线、隐私控制基线

对比定制和范围界定

选择标准

3.安全架构与工程13%

利用安全设计原则研究、实施和管理工程过程

保护机制：纵深防御、抽象、数据隐藏、加密 P8

威胁建模 P19

识别威胁 P19

确定和绘制潜在的攻击 P21

执行简化分析 P22

优先级排序和响应 P22

密码学基础知识P168

密码学目标P168

confidentiality保密性

symmetric crypto system对称密码系统

asymmetric crypto system非对称密码系统

data at rest静态数据，或被存储的数据

data in motion动态数据，或线路上的数据

data in use使用中的数据

integrity完整性

authentication身份认证

non-repudiation不可否认性

密码学的概念P169

plaintext明文P、ciphertext密文C、encrypt加密、decrypt解密

密码算法依赖key的安全

科克霍夫原则：所有密码都依赖算法，只要保证密钥安全，算法公开，密码系统也应该安全

密码数学P170

Boolean mathematics布尔数学

逻辑运算：AND、OR、NOT、Exclusive OR

modulo模函数

one-way function单向函数

nonce

zero-knowledge proof零知识证明

aplit knowledge分割知识

work function代价函数

密码P175

代码与密码

代码一般是代表的单词或短语的符号构成的密码系统，不一定提供保密性

密码是始终要隐藏信息的真实含义

transposition cipher位移密码

重新排列明文消息的字母形成密文

substitution cipher替换密码

用一个不同的字符替换明文消息的每个字符或位，如凯撒密码Caesar cipher 也称为ROT3 因为轮换Rotate了三位

one-time pad单词密码

极强的一种替换密码，也称Vernam密码，需要保证密码本必须随机、密码本必须处于物理保护下、每个单次密码本仅使用一次、密钥必须至少与需要加密的消息一样长

running key cipher运动密钥密码

也称为书密码cipher book，加密密钥与明文消息一样长，可以来自一本图书、杂志或报纸等

block cipher块密码

将消息按指定长度分块后，对各块分别执行加密。位移密码是一种块加密。

stream cipher流密码

一次在消息的一个字或一个位上运行加密。如单词密本

混淆和扩散

confusion混淆：明文和密文有极其复杂嗯嗯关系，改动明文分析密文无法分析出密钥

diffusion扩散：明文发生一点变化都会导致多个变化在整个密文中扩散传播

密码生命周期 P195

现代密码学P181

密码密钥

对称密钥算法

依靠分发给所有参与者"共享秘密"加密密钥。也称密钥密码secret key cryptography和私钥密码private key cryptography

对称密钥会与只用于一次会话的短暂密钥一起使用，此时的密钥被称为临时密钥ephemeral key，如TLS中

弱点：密钥分发、不提供不可否认性、缺乏可扩展性、需要经常重新生成

密钥数=n（n-1）/2

asymmetric key algorithm非对称密钥算法

密钥数=2n

优点：添加新用户 只需要生成一对新的公钥-私钥对、方便移除和管理用户、提供完整性，身份认证和不可否认性、分发简单易行、不需要时哦预先建立通信关联

对称和非对称比较见P186

哈希算法

提供完整性和不可否认性

存在被碰撞的可能

混合加密法 P218

对称密码P187

密码运行模式P187

ECB Electronic Code book电子密码本

CBC Cipher Block Chaining 密码块链接模式

CFB Cipher Feedback密码反馈模式

OFB Output Feedback 输出反馈模式

CTR Counter 计数器模式

GCM Galois/Counter Mode Galois/计数器模式

CCM 带密码块链接消息验证码的计数器模式，将CRT与CBC-MAC组合

数据加密标准DES P189

三重DES/3DES P189

国际数据加密算法IDEA P190

PGP Pretty Good Privacy 良好隐私 安全邮件软件包应用了该算法

Blowfish P190

DES和IDEA的代替方案，SSH应用该算法

Skipjack P191

Clipper 和 Capstone加密芯片支持该算法

Rivest Ciphers P191

RC4、RC5、RC6

高级加密标准AES P192

Rijndael加密算法

CAST P192

曾经为AES候选，有预白化处理prewhitening、白化后处理postwhitening

各种对称加密算法熟记表 P193

对称密钥管理 P193

创建和分发对称密钥、存储和销毁对称密钥、密钥托管和恢复

非对称密码 P202

公钥和私钥P202

RSA，利用因式分解大素数乘积计算难度P203

ElGamal P204

椭圆曲线密码 ECC Elliptic curve cryptography ，利用椭圆曲线的离散对数问题P205

Diffle-Hellman密钥交换，利用公钥密码建立隧道交换共享密钥P205

量子密码 quantum computing P206

量子比特qubit

量子霸权quantum supremacy

量子密码quantum cryptography

量子密钥分发quantum key distribution QKD

非对称密钥管理 P217

哈希函数 P207

哈希函数基本要求P207

输入任意长度

输出可以有固定长度

计算任意输入内容都相对简单

函数计算是单向的

扛碰撞的

SHA P208

MD5 P209

RIPEMD P209

各种哈希算法的哈希值长度比较 P210

数字签名 P210

HMAC 基于哈希的消息身份认证码 P211

DSS数字签名标准 P212

公钥基础设施 P212

certificate证书 P212

CA certificate authority 发证机构 P213

证书的生命周期 P214

注册

CSR Certificate Signature Request 证书签名申请

DV Domain Validation域验证证书

EV Extended Validation 扩展验证证书

验证

CRL Certificate Revocation List 证书注销列表

OCSP Online Certificate Status Protocol 在线证书状态协议

certificate pinning证书固定

注销

CPS Certificate Practice Statement 证书实践规范陈述

certificate stapling 证书装订

证书的格式 P217

应用密码学 P219

便携设备P219

TPM Trusted Platform Module 专用密码组件

电子邮件P220

PGP Pretty Good Privacy

S/MIME Secure/Multipurpose Internet Mail Extension 安全/多用途互联网邮件扩展

Web应用P222

安全套接字

传输层安全

TLS框架密码套件

洋葱网和暗网

隐写术steganography和水印P224

LSB

联网P225

线路加密

link encryption 链路加密

end-to-end encryption 端到端加密 如SSH

IPsec

身份认证头AH

封装安全荷载ESP

SA security association 安全关联

新兴的应用P227

区块链、轻量级加密、同态加密

密码攻击 p228

分析攻击、实现攻击、统计攻击、暴力破解攻击、故障注入攻击、边信道攻击、计时攻击、频率分析和唯密文攻击、已知明文、选择明文、选择密文、中间相遇、中间人、生日攻击

安全设计原则P238

客体和主体P238

封闭系统和开放系统P239

默认安全配置P240

失效安全P241

保持简单P243

零信任P243

PbD通过设计保护隐私P244

信任但要验证P245

用于确保保密性、完整性和可用性的技术P245

限定P246

界限P246

隔离P246

访问控制P247

信任与保证P247

理解安全模型的基本概念P247

可信计算基P248

安全边界

参考监视器reference monitor和内核

state machine model状态机模型P249

information flow model 信息流模型P250

noninterference model无干扰模型P250

take-grant model获取-授予模型P251

access control matrix访问控制矩阵P252

Bell-LaPadula模型P252

Biba模型P254

Clark-Wilson模型P256

Brewer and Nash模型P257

Goguen-Meseguer模型P258

Sutherland模型P258

Graham-Denning模型P258

Harrison-Ruzzo-Ullman模型P259

根据系统安全要求挑选控制P259

CC common Criteria通用准则P260

EAL evaluation assurance level 评估保证级别 P261

ATO Authorization To Operate操作授权P262

理解信息系统的安全能力P263

内存保护

虚拟化

TPM可信平台模块

接口

容错

加密解密

共担责任 P273

AIS automated indicator sharing 迹象自动共享

STIX structured threat information eXpression 结构化威胁信息表述

TAXII trusted automated eXchange of intelligence information 可信情报信息自动交换

评价和弥补安全架构、设计和解决方案元素的漏洞P274

硬件P274

处理器

执行类型：多任务处理、多重处理、多核、多程序设计、多线程

保护机制：保护环、进程状态（就绪状态、运行状态、等待状态、管理程序状态、停止状态）

操作模式：用户模式】特权模式

存储器：只读存储器（可编程只读存储器PROM、可擦除可编程只读存储器EPROM、电子可擦除可编程只读存储器EEPROM、闪存）、随机存取存储器（真实内存、高速缓存RAM、寄存器、内存寻址、二级内存）

数据存储设备：主存储设备与辅助存储设备、易失性存储设备与非易失性存储设备、随机存取与顺序存取、存储器的安全问题

存储介质的安全：发射安全

输入和输出设备：显示器、打印机、键盘/鼠标、调制解调器

firmware固件P286

BIOS basic input/output system 基本输入/输出系统

UEFI unified extensible firmware interface 统一可扩展固件接口

基于客户端的系统P287

移动代码P287

本地缓存P289

基于服务端的系统P290

parallel data system大规模并行数据系统P290

gird computer网格计算P291

P2P对等网络P292

ICS工业控制系统P292

DCS distributed control system分布式控制系统

PLC Programable logic controller 可编程逻辑控制器

SCADA supervisory control and data acquisition 监测控制和数据采集

分布式系统P293

DCE distributed computing environment 分布式计算环境

HPC高性能计算系统P295

物联网P296

边缘和雾计算P298

嵌入式设备和信息物理融合系统P299

静态系统P300

可联网设备P300

信息融合系统P301

与嵌入式和静态系统相关的元素P301

嵌入式和静态系统的安全问题P302

专用设备P304

微服务P305

IaC基础设施即代码P306

虚拟化系统P307

虚拟软件P310

虚拟化网络P310

SDx软件定义一切P310

虚拟化的安全管理P312

容器化P314

无服务器架构P315

移动设备P315

移动设备的安全性能P317

MDM mobile device management 移动设备管理P317

• UEM unified endpoint management 统一端点管理P317

设备身份认证P318

FDE全设备加密P318

通信保护P319

远程擦除P319

设备锁定P319

屏幕锁P320

GPS和定位服务P320

内容管理P321

• MCM mobile content management

应用程序控制P322

推送通知P322

第三方应用商店P323

存储分段P323

资产跟踪和存货控制P323

可移动存储P324

连接方法P324

禁用无用性能P324

rooting生根和jailbreaking越狱P325

旁加载P325

自定义固件P325

运营商解锁P325

固件无线OTA更新P326

密钥管理P326

凭证管理P326

手机短信 P327

移动设备的部署策略P327

BYOD bring your own device 自带设备P327

COPE corporate-owned,personally enabled公司拥有，个人使用 P328

CYOD choose your own device 自选设备 P328

COMS corporate-owned mobile strategy 公司拥有移动设备战略P328

移动设备部署策略的细节P328

数据的拥有权P329

对拥有权的支持P329

补丁和更新管理P329

安全产品管理P329

取证P329

隐私P330

列装/退役P330

遵守公司策略P330

用户接受P330

架构/基础设施方面的考虑P330

法律问题P331

AUP可接受的使用策略P331

板载相机/摄像头P331

可录音的麦克风P331

Wi-Fi Direct P331

网络共享和热点P332

无接触支付方式P332

SIM卡克隆P332

基本安全保护机制P332

进程隔离P333

硬件分段P333

系统安全策略P333

常见的安全架构缺陷和问题P334

隐蔽通道：隐蔽时序通道、隐蔽存储通道P334

基于设计或编码缺陷的攻击P335

rootkit P336

增量攻击P337

站点与设施设计的安全原则P349

安全设施计划P349

站点选择P349

设施设计P350

CPTED 通过环境设计预防犯罪

实现站点与设施安全控制P351

设备故障P352

MTTF mean time to failure 平均故障时间

MTTR mean time to repair 平均恢复时间

MTBF mean time between failures 平均故障间隔时间

配线间P353

接入设施entrance facility

设备间equipment room

骨干配线系统backbone distribution system

配线间wiring closet

水平配线系统horizontal distribution system

服务器间与数据中心P354

智能卡和胸卡

接近式设备

入侵检测系统P356

动作探测器

入侵警报

二次验证机制

摄像头P358

访问滥用P359

介质存储设施P359

证据存储P360

受限区与工作区安全P360

基础设施关注点P361

电力

UPS uninterruptible power supply 不间断电源

故障fault

停电blackout

电压骤降sag

低电压brownout

尖峰spike

浪涌surge

合闸电流inrush

接地ground

噪声

EMI electromagnetic interference电磁干扰

RFI radio-frequency interference无线电频率干扰

温度、湿度与静电

关于水的问题

火灾预防、探测与消防P365

灭火器

火灾探测系统

喷水消防系统

气体消防系统

破坏

4.通信与网络安全13%

OSI模型P385

OSI模型的历史P385

OSI功能P385

封装/解封P386

OSI模型层次P387

应用层

表示层

会话层

传输层

TCP transmission control protocol 传输控制协议

UDP user datagram protocol 用户数据报协议

TLS transport layer security传输层安全

网络层

路由器

• 距离矢量路由协议 RIP、IGRP
• 链路状态路由协议OSPF、IS-IS
• 高级距离向量路由协议 EIGRP
• 边界网关协议 BGP

数据链路层

交换机、网桥、ARP协议

物理层

NIC、集线器、中继器、集中器、放大器

TCP/IP协议P390

别名DARPA模型/DOM模型

应用层、传输层、互联网层、链路层

网络流量分析P391

通用应用层协议P391

telnet23、ftp20/21、tftp69、smtp25、pop3110、imap143、dhcp67/68、http80、https443、lpd515、x- window6000～6063、nfs2049、snmp161

传输层协议P392

域名系统P393

PTR指针可通过ip反查域名

FQDN完全限定域名

顶级域名TLD、注册域名、子域或主机名

总长不超过253包括点，任何单个部分不超过63个字符

DNSSEC域名系统安全扩展

HTTP(DoH)

DNS中毒P395

流氓DNS服务器、执行DNS缓存中毒、DNS域欺骗、改变HOSTS文件、破坏IP配置、DNS查询欺骗、使用代理伪造

DNS中毒预防措施P397

域名劫持P398

误植域名攻击

误植域名攻击、同形词攻击、URL劫持、点击劫持

互联网协议网络P399

IPV4和IPV6 P399

IP分类P400

ICMP P401

IGMP P401

ARP关注点P402

安全通信协议P403

IPsec、kerberos、SSH、信令协议、安全远程过程调用S-RPC、传输层安全

多层协议的含义P403

融合协议P404

存储区域网络storage area network SAN

以太网光纤通道fibre channel over ethernet FCoE

多协议标签交换multiprotocol label switching MPLS

互联网小型计算机系统接口internet small computer system interface iSCSI

网络电话VoIP P405

软件定义网络SDN P406

微分网段P407

无线网络P408

802.11

保护SSID P409

无线信道P409

进行现场调查P410

无线安全P410

OSA open system authentication 开放系统身份认证

SKA shared key authentication 共享密钥身份认证

WEP、WPA、WPA2、WPA3、802.1X/EAP、LEAP、PEAP

Wi-Fi保护设置P413

无线MAC过滤器P413

无线天线管理P413

强制门户P414

常见Wi-Fi安全程序P414

无线通信P415

通用无线概念

FHSS frequency hopping spread spectrum调频扩频

DSSS direct sequence spread spectrum 直接序列扩频

OFDM orthogonal frequency-division multiplexing 正交频分复用

蓝牙

802.15、2.4GHz

攻击：蓝牙嗅探bluesniffing、蓝牙攻击bluesmacking、蓝牙劫持bluejacking、蓝牙侵吞bluesnarfing、蓝牙窃听bluebugging

RFID

NFC

无线攻击P417

Wi-Fi扫描器、恶意接入点、Evil Twin、解除关联、阻塞、初始化向量滥用、重放

其他通信协议P420

LiFi、卫星通信、窄带无线通信、Zigbee

蜂窝网络P421

内容分发网络CDN P421

安全网络组件P422

硬件的安全操作P422

常用网路设备P423

中继器、集中器、放大器、集线器、调制解调器、网桥、交换机、路由器、LAN扩展器、跳转箱、传感器、采集器、聚合器

网络访问控制NAC P425

防火墙P425

静态数据包过滤防火墙、应用级防火墙、电路级防火墙、下一代防火墙NGFW、内部分段防火墙ISFW、代理、内容/URL过滤器

端点安全P430

EDR endpoint detection and response端点监测和响应

MDR managed detection and response 托管检测和响应

SIEM、NTA网络流量分析、EDR和IDS的组合

EPP endpoint protection platform 端点保护平台

XDR extended detection and response扩展检测和响应

MSSP managed security service provider 托管安全服务提供商

布线、拓扑和传输介质技术P432

传输介质P433

同轴电缆、基带和宽带电缆、双绞线、导线、光缆

网络拓扑P435

环形拓扑、总线拓扑、星形拓扑、网状拓扑

以太网P437

子技术P338

模拟和数字

同步和异步

基带和宽带

广播、多播和单播

局域网介质访问

CSMA carrier-sense multiple access载波侦听多路访问

CSMA/CD CSMA with Collision Detection 载波侦听多路访问/冲突检测

CSMA/CA CSMA with Collision avoidance 载波侦听多路访问/冲突避免

令牌传递

轮询

子主题 17

5.身份和访问管理（IAM）13%

6.安全评估与测试12%

7.安全运营13%

物理安全的实现与管理P370

边界安全控制P370

围栏、门、旋转门与访问控制门厅

照明

安全警卫与警犬

内部安全控制P373

钥匙与密码锁

环境与生命安全

监管要求

物理安全的关键性能指标P375

8.软件开发安全11%