2022年CISA高分考生复习笔记知识要点

TASKSTATEMENTS评估逻辑访问控制的设计，部署和监控，以保证信息资产的CIA评估networkinfrastructure的安全性评估环境控制评估物理访问控制评估存储，retrieve，传递和解决机密信息资产的过程和流程KnowledgeSTATEMENTS安全的设计，部署和监控的技术逻辑访问控制逻辑访问架构（SSO,顾客辨认，身份管理）袭击手段和技术安全事件响应挽留过和internet安全设别，合同和技术：SSL,SET,VPN,NATIDS,IPS,Firewall的部署，操作，配备和维护加密算法技术，PKI病毒检测工具和控制技术安全测试和评估工具环保实践和设备物理安全系统和实践VoIP机密信息资产的生命周期保护手动，无线设备的控制和有关风险。信息安全管理的重要性信息安全的目的CIA信息安全管理的核心要素IS安全不仅仅是一种机制，同样反映的是公司的文化。高层支持方略和流程组织安全意识和交易监控和合规性事件解决和响应信息安全管理角色和职责ISsecuritysteeringcommittee：不同管理层的人员足赤回忆Eexcutivemanagement：对信息资产保护、发布和维护信息安全方略框架负责securityadvisorgroup：需要由bussiness人员设计，检查组织的安全筹划，想CSO提供安全建议，以及向业务部门沟通安全项目与否符合业务需要CPO首席隐私官CISO首席信息安全官processowner：保证合适的安全措施与机构的方略一致，并得到维护informationassetownersanddataowner：usersexternalpartiessecurityadministrator：staff级别的而为之，提供合适的物理和逻辑安全项目securityspecialists、advisorITdevelopersISauditor：独立性assurance信息资产的目录和分级信息资产分级将安全与业务目的有效结合起来，减少风险，节省成本classification应当根据机构规模尽量简化。data是核心的信息资产，dataclassification应当定义：owneraccessrights（needtoknow）levelofaccesstobegranted决定访问权限和级别的人谁审批访问需求安全控制的范畴和深度数据分级应当考虑CIA,尚有隐私和合规等事务。Systemaccesspermission物理或逻辑系统访问应当基于一种书面的NEED-TO-KNOW的基本，这个基本是基于最小授权和职权分离的合法的业务需求。逻辑安全下的信息技术资产可以分为：networks，platforms，databases和applications信息owner应当书面授权对信息的访问对访问的授权状况应当定期检查，检查应当与HR流程结合。非组织雇员的访问活动同样需要合规性控制MAC,DACMACs强制访问控制：缺省实行，不受顾客或者dataowner的控制DACs可以由顾客或者dataowner来配备和更改MAC比较的是信息资源的sensitivity和访问实体的securityclearance安全许可。MACs是严禁性的prohibitive，任何没有例外管理的都要严禁。只有管理员可以更改。DACs,dataowner决定访问权限，DACs不容许超越MACs。隐私管理事务，IS审计师的角色privacy必须从一开始就要进行关注，执行privacyimpactanalysisIS审计师为管理成的隐私合规提供合理保证辨认理解合规规定检查个人数据的管理合规性验证与否采用恰当的安全措施检查管理层的隐私方略。信息安全管理的核心成功因子管理层对安全培训的有力支持基于风险的资产辨认、风险评估信息安全和外部parties对customer，thirdparty等的控制为避免未授权访问，所有打印的文档必须在站访问建立DRMdigitalrightsmanagement来限制对文档的复制，打印等若信息安全管理外包，则有关合同应当定义第三方如何保证安全规定。要考虑第三方无法提供服务时的应急解决（replacementserives）HR安全和thirdparties通过恰当的jobdescription来贯彻安全责任入职调查基于安全角色签订合同，含保密合同等根据公司安全方略来书面定义雇员合同，第三方的顾客的安全责任与合同方和第三方签订的合同中应当涉及背景调查的内容backgroundverificationchecksComputercrimeandexposure计算机犯罪导致的影响：FinanciallossLegalrepercussionsLossofcredibilityofcompetitiveedgeBlackmail、industrialespionage、organizedcrimeDisclosureofconfidential，sensitiveorembarrassinginformationSabotage怠工犯罪分子类型HackerscrackersScriptkiddiesCrackersEmployeesISpersonnalEndusersFormeremployeesInterestedoreducatedoutsidersParttimeandtemporarypersonnelThirdpartiesAccidentialignorant计算机是犯罪对象图：DoS,hacking计算机是犯罪的subject：DDoS,virus计算机是犯罪工具：fraud，未授权访问，phishing，安装keyloggers计算机symbolizes犯罪：社会工程一般的袭击机制和技术Altertionattack：篡改工具破坏数据的完整性，对策使用加密哈希Botnets僵尸网络暴力破解：DoSSmurfattack：误配备的网络设备容许通过广播地址发送到特定网段的所有hostsPingflood：SYNFlood：Teardropattack：发送损毁的IPfragmentsPeertopeerattack：PDoSphlashing：伤害的是硬件，应用层级的flood袭击：bufferoverflow，暴力破解，带宽饱和型flood袭击，bananaattack（将客户端发送的消息重定向回客户端），pulsingzombie：nuke：损坏的ICMP包发送给受害目的DDoSReflectedattack：Unintentionalattack拨号渗入袭击，waidialingEavesdroppingEmailBombingandspammingEmailspoofingFloodingInterruptattackMaliciouscodesLogicbombsTrapdoorsTrojanhorses中间人袭击Masquerading伪装MessagemadificaitonNetworkanalysisPacketreplayPhishing钓鱼：涉及社会工程，linkmanipulation，和websiteforgerySpearphishing：Pharming：将流程或网页重定向到一种boguswebsite。防病毒以及防间谍软件不能制止pharming社会工程学PiggybackingRaceconditions：TOC/TOU袭击：竞争状态由于nonatomic，deadlockfailure导致。需要良好的编程和管理来控制Remote维护工具Resourceenumerationandbrowsing：资源穷举，其中browsing袭击时使用手动搜索的方式来耗尽资源Salami袭击把末尾删掉Roundingdown：把末尾数减小Spam：uce，junkemail垃圾邮件：使用贝叶斯过滤来控制Trafficanalysis通过WWW的非授权访问病毒，蠕虫，间谍软件Wardriving战争驾驶WarwalkingWarchaclking安全事件解决和响应逻辑安全逻辑安全exposures生物认证技术：FRR第一类错误回绝率FAR第二类错误接受率EERFER错误注册的比例Retina的FAR比例最低，成本高，顾客接受度低SSO单点登录Kerberos-分布式环境中使用授权事务ACL逻辑安全管理：集中式，分布式远程访问安全audittrail分析的工具auditreductiontoolstrend/variance-detectiontoolsattack-signature-detectiontools网络基本设施安全LAN安全LAN由于管理员经验，难以原则化管理等问题。C/S安全无线安全威胁和风险处置Internet威胁和安全passive袭击active袭击偶尔性防火墙安全系统包过滤：简朴操作，性能稳定应用防火墙：app-level每个应用服务使用一种代理，circuit-level：一种应用代表所有服务。性能差，规模性受制约状态检测防火墙：难以管理防火墙部署架构Screened-hostfirewallDual-homedfirewallDMZ火墙的局限觉得有了火墙就不需要内部的控制了拨号路由的使用可以绕过火墙火墙配备不当对火墙的概念不明确为定期监控火墙方略未平常维护火墙智能抵御网络层的袭击，相应用层面的袭击，例如：SQL注入，bufferoverflow等都不能制止。硬件防火墙速度快，但是不灵活；软件防火墙慢，但是灵活且有多种功能，最佳使用appliance，不是一般意义上的服务器，可以内置加固的OS，不易遭到袭击。IDS系统HIDS,NIDS，涉及的类型：基于特性的基于记录的Neuralnetwork神经网络：有自学功能IPShoneypots，honeynets加密加密系统的核心因子：加密算法，key,keylength有效的加密系统以来algorithmstrength，secrecyanddifficultyofcompromisiongakey。因特网上的多数加密交易依托的是一种组合：public/privatekeys，secretkeys，hashfunctions，digitalcertificates来实现机密性，消息完整性，认证和抗抵赖。对称加密sysmetrickeycryptographicsystems：DES：blockcipher使用64bitsblock，其中56bit用于加密，DES的keyspace很容易被破解。AES：128-256bits的key，对称加密的长处：只需要记住一种key，可以迅速加密bulkdataencrption缺陷:如何传递key，不能用于签名非对称加密publickeycryptographicsystemsRSA:RSA的加密性与因式分解难度有关ECC：多用于无线网络，移动设备。ECC需要更少的运算power，可以在每个bit上提供更多的安全性。Quantum加密：量子加密依托的是随机性和对称key的安全FENFAAES:key长度分为128,192,256，数字签名SHA-1，MD2，MD4，MD5都是messagedigest的算法。是one-way功能的。时间戳和hash用于制止replay袭击数字签名和公钥加密容易遭到中间人袭击数字信封：对称key加密message，sessionkey用receiver的公钥加密PKI：Digitalcertificate：顾客的publickey+顾客身份信息Certificateauthority:CA签名所有的公钥RegistrationauthorityRAverify顾客的祈求Certificaterevocationlist：维护已经不使用的证书的清单Certificationpracticestatement：是一种具体的规则集合用于管理CA的运营加密系统的应用SecuresocketslayerSSL和transportlayersecurityTLS.SSL是一种session/connection层的合同。在因特网上广泛用于webserver和browser之间的通信。SSL提供终端认证和通信隐私性。一般状况下只有server得到认证，而client没有认证。Mutual认证需要客户端配备PKI.SSL在application和tcp传播层之间运营，一般和HTTP结合使用形成HTTPS，HTTPS用于加固网页的安全性，HTTPS使用publickeycertificates来核算终端的身份。SSL可以提供twoway例如B2B，也可以是onewayconsumerprocess，顾客核算虚拟网店的身份SSL提供机密性，完整性，认证和抗抵赖S/HTTP应用层合同，传递个人消息或者网页，使用https://.指引message到一种安全的端口，而不是默认的网页端口地址。这个合同使用SSL的特点，但是不是一种会话层合同IPSec网络层合同，建立VPNstransport模式（ESP,数据加密），tunnel模式（ESP+packet、报尾加密+AH）无论在使用哪种模式建立IPSec会话，securityassociationsSAs应当使用。SAs定义安全参数，例如：加密算法，key，初始向量，key的lifespan等。SA通过一种32bit的securityparameterindesSPI建立。SPI是一种唯一标记符，用于保证发送端的主机参照特定用于接受端的安全参数。IPSes可以使用ISAKMP/Oakley这个非对称加密来增强安全性。这个合同可以使用key的管理，公钥协商，建立/更改/删除SASSH:是一种C/S程序，启动一种安全加密的命令行shell会话。SSH使用强加密来保护数据。SSH用于加固telnet和Ftp服务，在应用层执行。SECUREMultipleinternetmailextensionsS/MIME安全邮件合同：认证sender和receiver，核算消息完整性，保证message内容的隐私，也涉及附件的隐私secureelectronictransactionsSET由VISA,mastercard等信用卡组织开发，用于加固支付交易。SET是应用层合同，使用第三方的PKI加密的风险和密码保护key的保密性最重要key的随机性也是一种核心因子virus病毒病毒是self-propagete自我繁殖的，附着到此外的程序上。病毒可以是非歹意也可是歹意的。一般袭击4类计算机可执行的程序文献文献字典系统Boot和系统区域Datafilesworms蠕虫，不能物理上将自己附着到此外ide程序上，一般是运用OS的安全漏洞。病毒和蠕虫的控制:需要部署防病毒程序，一是有强健的方略和流程，二是要有技术手段。防病毒软件类别：Scanner扫描器：扫描memory，disk-bootsectors，executables，datafiles以及commondfiles，需要定期升级VirusmasksorsignaturesHeuristicscanners启发式扫描：也许产生一种比较高的false-positive错误率Activemonitors：不能辨别顾客祈求和程序/病毒祈求，需要有顾客的confirmactions。IntegrityCRCcheckers完整性校验码检查：计算一种未感染病毒的程序的二进制码，寄存在数据库文献中，这个数字叫做cyclicalredundancycheckCRC，后续扫描中，当这个程序被调用，先计算一种数字和CRC做比较。对新文献不能辨认Behaviorblockers行为制止器：关注于检测可疑的行为，大多数基于硬件的防病毒系统都是这个概念Immunizers免疫器：防病毒软件部署战略顾客服务器或者workstation层面：安装软件程序定期扫描，手动扫描，持续扫描公司网络层面viruswalls：病毒扫描软件用于防火前技术的整合部分。称为viruswalls。扫描输入的数据流。Viruswalls一般工作在如下层级SmtpprotectionHTTPprotectionFTPprotectionVOICEOVERIPVoIPIP电话，也被称为VoIP..VoIP使用packetswitching技术，因需传递数据。VoIP在长途电话上节省费用。VoIP组件：callprocessors，callmanagers，gateways，routers，firewallsandprotocolsVoIP安全事务：VoIP需要保护数据和音频两种资产。加固VoIP的核心是将用于data网络的安全机制，用于模拟目前使用在PSTN上的安全级别VoIP最核心要考虑其可用性，需要有备份通信设施。对IP电话和其支持设备的防护水平要等同于计算机系统；例行安装补丁，防病毒；划分单独的VlAN，许多状况下使用sessionbordercontrollerSBCs来保护VoIP数据流的安全性。这个类似于防火墙。PBXPRIVATEBRANCHEXCHANGE对PBX的安全性控制不到位，容易导致tollfraud，机密信息或者财产的失窃，收入损失以及法律责任。目前的软件PBX提供了诸多通信性能，这个新特性使得入侵者运用PBX入侵更容易。今天使用的PBX的特性涉及PBX涉及至少两天电话新使用数字电话将voice和数据进行整合PBX使用如此广泛的一种因素是：节省话费成本，也可以在内部使用短号来呼喊。PBX风险：TheftofservicesDisclosureofinformationDatamodificationUnauthorizedaccessDenialofserviceTrafficanalysisPBX是复杂的计算机系统，她的安全性与一般的OS安全性不同点在于：外部访问控制：PBX需要外部厂商的远程维护，而不是一般OS规定本地管理员安装补丁进行维护。这样就需要远程维护端口和被外部访问Featurerichness：PBX的管理特性和conference功能丰富，也许被袭击者运用。PBX的此外的安全漏洞：不受控制的directinwarddialDID线路，直接内部呼喊，可以是外部party申请一种本地的dialtone，免费打长途系统访问控制机制缺失长途电话对某些号码的拨打，例如热线，手机号等控制缺失传真，modem等特殊号码未控制没有启动注册calls的选项，PBX审计：PBX系统加固配备，加固专用的管理端口控制DID,避免外部人员申请dialtonelocally。长途电话拨打的系统访问控制控制长途电话的拨打电话的号码范畴控制传真，modemhaoma启动registercall的选项，保证使用calltrackinglogs对PBX的硬件也要加以保护，要antitamper避免篡改。remoteaccess：控制风险：回拨机制，认证的scrutiny和合适的认证带外维护。MOS特殊的制造