CISSP考试复习笔记

1.安全管理基础概念

1.标识组织的所有信息资产

2.分析安全风险

3.定义安全的重要性,随时有警觉的心

4.对安全管理有实施的计划2.安全所要具备的要素

1、CIA

C机密性避免资产被未经过授权的人存取包括授权的和非授权的

A可用性及时而稳定的获取资源

I完整性避免未经授权的人做修改和经授权的人做未经允许的修改

3.IT安全需要

1.功能面(防火墙的功能就是过滤)

2.确保功能可以达到(通过Logfile也确定是否正确)

3.首先定义安全策略()4.安全考量

1.技术面

2.组织架构

3.公司文化

4.管理

5.业务运营

6.风险5.安全政策成功因素

1.最重要的是高层主管支持

2.与工作相融合不能有冲突的部分

3.思考以下部分(业务流程、技术流程呢个、管理流程)

4.具体的实现(隐私权()、身份管理(对主管进行调查确信可信任)、应用程序、基础架构、管理)6.安全问题解决思考

1.不同的需求都考虑在范围内

2.ERP->VPN->CRM(客户关系管理)->ERP

3.必须要求一致性7.实施安全政策

1.软硬件配置标准(例如防毒、防火墙)

2.变更(例如文件的销毁,用户的注册等等)

3.基线(最小的安全等级和一致性、例如windows2003必须打哪些补丁)

以上三个都有强制性

4.可有可无的标准(TCSEC和ITSEC规划等等他们的差别是TCSEC主要是系统、ITSEC加入网络)

8.如何做好安全管理

1.定义角色和责任

1.一起定义角色和责任(最高层主管、信息安全专家、owners(拥有者)、管理员、用户)

2.雇佣人员事要注意(验证员工的工作履历、验证员工学历、签署合约、对高层进行背景调查)

3.离职慎重处理(有两种情况第一个是自愿离职可以给一定缓冲时间、第二个是公司开除不要留任何缓冲时间)

4.工作方面的事项(重要的工作项目要分工(避免私下串通)、定期工作轮换(舞弊的安全问题)、强制性休假)

5.确保公司一定程度的安全(内部和外部的审计、高层做不定期的抽查以及安全措施和改进的地方、渗透测试、安全意识宣传(让公司了解安全重要)、技能培训、更深入的培训(让他们知道什么是密码学))

2.分级制度

1.重要性(标识重要资产、等级高的进行保护、增加企业的优势、保护法律诉讼文件、根据等级来进行优先恢复减小公司损失)

2.方向(公务类别、竞争对手有关的类别、公司财务有关的类别)

3.谁来实施分级(拥有者来进行分级:足够的知识、要了解法律要求、讲求一直性、分级标准定义、加密和解密还有过期性(销毁程序等))

4.注意事项(贴上警告标签、定期严查重要的资料例如备份、资料删除的时候要注意是否被彻底删除干净、遵循适当的删除策略)

3.风险管理和分析

1.风险管理目的(找出威胁来源,让风险做到可以接受的)

2.风险如何形成(威胁和弱点共同存在)例如公司没有安装防火墙就属于公司的弱点,网络上的黑客就是对公司的威胁,如果黑客利用公司的弱点进行攻击成功,那么就有一个风险

3.风险分析重要性(在企业内部标识风险,及时做好防御措施、考虑法律法规)

4.新的威胁的产生(新的技术、文化的改变、新产品的出现)

5.成功关键要素(1.高层主管的支持、2.成立风险评估小组、3.寻找人员加入小组)

6.公司现有状况可以做到的程度

7.风险分析类型(定量(数字化)、定性(情景以高中低来进行划分))CISSP复习笔记-第2章信息安全治理与风险管理2.1安全基本原则2.1.1可用性（availability）确保授权的用户能够对数据和资源进行及时的和可靠的访问措施：回滚、故障切换配置反面：破坏（destruction）2.1.2完整性（integrity）保证信息和系统的准确性和可靠性，并禁止对数据的非授权更改措施：配置管理（系统完整性）、变更控制（进程完整性）、访问控制（物理的和技术的）反面：篡改（alteration）2.1.3机密性（confidentiality）确保在数据处理的每一个交叉点上都实施了必要级别的安全保护并阻止未经授权的信息披露措施：访问控制（物理的和技术的）反面：披露（disclosure）肩窥（shouldersurfing），社会工程（socialengineering）2.2安全定义脆弱性（vulnerability）：缺少安全措施或采用的安全措施有缺陷威胁（threat）：利用脆弱性带来的潜在危险风险（risk）：威胁主体利用脆弱性的可能性以及相应的业务影响暴露（exposure）：造成损失的实例控制（control）或对策（countermeasure）：消除或降低潜在的风险2.3控制类型按类型分：管理控制（软控制）、技术控制（逻辑控制）、物理控制按功能分威慑性（deterent）：威慑潜在攻击者预防性（preventive）：避免意外事件的发生纠正性（corrective）：意外事件发生后修补组件或系统，例如计算机映像恢复性（recovery）：使环境恢复到正常的操作状态，例如数据备份检测性（detective）：帮助识别以外活动和潜在入侵者补偿性（compensating）：提供可替代的控制方法

2.4安全框架2.4.1ISO/IEC27000系列组织安全规划的必要组成部分英国标准7799（BritishStandard7799，BS7799）信息安全管理体系（InformationSecurityManagementSystem，ISMS）ISO/IEC27000：世界上从全盘考虑的安全控制管理的最佳行业实践戴明环：计划-执行-检查-处理，Plan-Do-Check-Action，PDCA2.4.2企业架构框架汇总安全规划中所列出的要求，并将之集成到公司现有业务结构中2.Zachman框架JohnZachman开发，用于定义和理解商业环境二维模型横向为5W1H：什么（数据）、如何（功能）、哪里（网络）、谁（人）、何时（时间）、为何（动机）纵向为不同的视角：计划人员、所有者、设计人员、建设人员、实施人员、工作人员3.开放群组架构框架（TheOpenGroupArchitectureFramework，TOGAF）开放群组（OpenGroup）开发，用于定义和理解商业环境业务架构、数据架构、应用程序架构、技术架构4.面向军事的架构框架美国国防部架构框架（DepartmentofDefenseArchitectureFramework，DoDAF）英国国防部架构框架（BritishMinistryofDefenseArchitectureFramework，MoDAF）5.企业安全架构舍伍德的商业应用安全架构（SherwoodAppliedBusinessSecurityArchitecture，SABSA）：风险驱动的企业安全架构，将安全映射到商业计划，与Zachman框架相似满足服务水平协议（ServiceLevelAgreement，SLA）2.4.3安全控制开发关注要落实到位的控制目标，以达成安全规划和企业架构所列出的目标信息及相关技术的控制目标（ControlObjectivesforInformationandrelatedTechnology，CobiT）：一组控制目标集，用来作为IT治理的框架，由ISACA和ITGI开发，分成4个领域计划和组织（planandorganize）获得与实现（acquireandimplement）交付与支持（deliverandsupport）监控与评价（monitor）SP800-53：由NIST开发的用于保障美国联邦系统安全的控制集2.4.4COSO框架发起组织委员会（CommitteeOfSponsoringOrganizations）1985年开发，用来处理财务欺诈活动并汇报，应对萨班斯-奥克斯利法案（Sarbanes-OxleyAct，SOX）2.4.5流程管理开发安全控制是工具，流程是如何使用这些工具信息技术基础设施库（InformationTechnologyInfrastructureLibrary，ITIL）：IT服务管理的最佳实践的事实标准六西格玛：摩托罗拉开发，目标是在生产过程中识别和消除缺陷能力成熟度模型集成（CapabilityMaturityModelIntegration）2.7风险评估和分析2.7.6定量（Quantitative）分析自动风险分析：减少风险分析任务的手动难度，进行快速计算单一损失期望（SingleLossExpectany，SLE）暴露因子（ExposureFactor，EF）资产价值×EF=SLE年发生比率（AnnualizedRateofOccurrence）年度损失期望（AnnualLossExpectancy）SLE×ARO=ALE因为数据本身多少会有一些主观性，因此无法做到完全客观不确定性：对估计缺乏信心的程度2.7.7定性（Qualitative）分析Delphi技术：匿名投票定性和定量的目标都是评估公司面临的实际风险并给出威胁的严重程度等级（severitylevel）

，注意与定性分析给出的风险评级区分开2.7.8保护机制实现防护措施前的ALE-实现防护措施后的ALE-防护措施每年的成本=防护措施对公司的价值2.7.10总风险与剩余风险威胁×脆弱性×资产价值=总风险总风险×控制间隙=剩余风险总风险-对策=剩余风险2.7.11处理风险转移：买保险规避：终止引入风险的活动缓解：把风险降低至可接受的级别接受2.8策略、标准、基准、指南和流程策略：高级管理层（或是选定的董事会和委员会）制定的一个全面声明，它规定安全在组织机构内所扮演的角色，分规章性策略、建议性策略、指示性策略标准：强制性的活动、动作或规则，可以为策略提供方向上的支持和实施基准：所需要的最低保护级别指南：没有应用特定标准时向用户、IT人员、运营人员及其他人员提供的建议性动作和操作指导流程：为达到特定目标而应当执行的详细的、分步骤的任务2.9信息分类商业公司：机密（confidential）、隐私（private）、敏感（sensitive）、公开（public）军事机构：绝密（topsecret）、秘密（secret）、机密（confidential）、敏感但未分类（SensitiveButUnclassified，SBU）、未分类（unclassified）

2.11安全指导委员会2.11.2数据所有者对特定信息的子集和应用负最终责任2.11.3数据看管员负责数据的保护与维护工作2.11.17人员安全职责分离：预防性管理措施岗位轮换：检测性管理措施强制休假：检测性管理措施CISSP复习笔记-第2章信息安全治理与风险管理2.1安全基本原则2.1.1可用性（availability）确保授权的用户能够对数据和资源进行及时的和可靠的访问措施：回滚、故障切换配置反面：破坏（destruction）2.1.2完整性（integrity）保证信息和系统的准确性和可靠性，并禁止对数据的非授权更改措施：配置管理（系统完整性）、变更控制（进程完整性）、访问控制（物理的和技术的）反面：篡改（alteration）2.1.3机密性（confidentiality）确保在数据处理的每一个交叉点上都实施了必要级别的安全保护并阻止未经授权的信息披露措施：访问控制（物理的和技术的）反面：披露（disclosure）肩窥（shouldersurfing），社会工程（socialengineering）2.2安全定义脆弱性（vulnerability）：缺少安全措施或采用的安全措施有缺陷威胁（threat）：利用脆弱性带来的潜在危险风险（risk）：威胁主体利用脆弱性的可能性以及相应的业务影响暴露（exposure）：造成损失的实例控制（control）或对策（countermeasure）：消除或降低潜在的风险2.3控制类型按类型分：管理控制（软控制）、技术控制（逻辑控制）、物理控制按功能分威慑性（deterent）：威慑潜在攻击者预防性（preventive）：避免意外事件的发生纠正性（corrective）：意外事件发生后修补组件或系统，例如计算机映像恢复性（recovery）：使环境恢复到正常的操作状态，例如数据备份检测性（detective）：帮助识别以外活动和潜在入侵者补偿性（compensating）：提供可替代的控制方法

2.4安全框架2.4.1ISO/IEC27000系列组织安全规划的必要组成部分英国标准7799（BritishStandard7799，BS7799）信息安全管理体系（InformationSecurityManagementSystem，ISMS）ISO/IEC27000：世界上从全盘考虑的安全控制管理的最佳行业实践戴明环：计划-执行-检查-处理，Plan-Do-Check-Action，PDCA2.4.2企业架构框架汇总安全规划中所列出的要求，并将之集成到公司现有业务结构中2.Zachman框架JohnZachman开发，用于定义和理解商业环境二维模型横向为5W1H：什么（数据）、如何（功能）、哪里（网络）、谁（人）、何时（时间）、为何（动机）纵向为不同的视角：计划人员、所有者、设计人员、建设人员、实施人员、工作人员3.开放群组架构框架（TheOpenGroupArchitectureFramework，TOGAF）开放群组（OpenGroup）开发，用于定义和理解商业环境业务架构、数据架构、应用程序架构、技术架构4.面向军事的架构框架美国国防部架构框架（DepartmentofDefenseArchitectureFramework，DoDAF）英国国防部架构框架（BritishMinistryofDefenseArchitectureFramework，MoDAF）5.企业安全架构舍伍德的商业应用安全架构（SherwoodAppliedBusinessSecurityArchitecture，SABSA）：风险驱动的企业安全架构，将安全映射到商业计划，与Zachman框架相似满足服务水平协议（ServiceLevelAgreement，SLA）2.4.3安全控制开发关注要落实到位的控制目标，以达成安全规划和企业架构所列出的目标信息及相关技术的控制目标（ControlObjectivesforInformationandrelatedTechnology，CobiT）：一组控制目标集，用来作为IT治理的框架，由ISACA和ITGI开发，分成4个领域计划和组织（planandorganize）获得与实现（acquireandimplement）交付与支持（deliverandsupport）监控与评价（monitor）SP800-53：由NIST开发的用于保障美国联邦系统安全的控制集2.4.4COSO框架发起组织委员会（CommitteeOfSponsoringOrganizations）1985年开发，用来处理财务欺诈活动并汇报，应对萨班斯-奥克斯利法案（Sarbanes-OxleyAct，SOX）2.4.5流程管理开发安全控制是工具，流程是如何使用这些工具信息技术基础设施库（InformationTechnologyInfrastructureLibrary，ITIL）：IT服务管理的最佳实践的事实标准六西格玛：摩托罗拉开发，目标是在生产过程中识别和消除缺陷能力成熟度模型集成（CapabilityMaturityModelIntegration）2.7风险评估和分析2.7.6定量（Quantitative）分析自动风险分析：减少风险分析任务的手动难度，进行快速计算单一损失期望（SingleLossExpectany，SLE）暴露因子（ExposureFactor，EF）资产价值×EF=SLE年发生比率（AnnualizedRateofOccurrence）年度损失期望（AnnualLossExpectancy）SLE×ARO=ALE因为数据本身多少会有一些主观性，因此无法做到完全客观不确定性：对估计缺乏信心的程度2.7.7定性（Qualitative）分析Delphi技术：匿名投票定性和定量的目标都是评估公司面临的实际风险并给出威胁的严重程度等级（severitylevel）

，注意与定性分析给出的风险评级区分开2.7.8保护机制实现防护措施前的ALE-实现防护措施后的ALE-防护措施每年的成本=防护措施对公司的价值2.7.10总风险与剩余风险威胁×脆弱性×资产价值=总风险总风险×控制间隙=剩余风险总风险-对策=剩余风险2.7.11处理风险转移：买保险规避：终止引入风险的活动缓解：把风险降低至可接受的级别接受2.8策略、标准、基准、指南和流程策略：高级管理层（或是选定的董事会和委员会）制定的一个全面声明，它规定安全在组织机构内所扮演的角色，分规章性策略、建议性策略、指示性策略标准：强制性的活动、动作或规则，可以为策略提供方向上的支持和实施基准：所需要的最低保护级别指南：没有应用特定标准时向用户、IT人员、运营人员及其他人员提供的建议性动作和操作指导流程：为达到特定目标而应当执行的详细的、分步骤的任务2.9信息分类商业公司：机密（confidential）、隐私（private）、敏感（sensitive）、公开（public）军事机构：绝密（topsecret）、秘密（secret）、机密（confidential）、敏感但未分类（SensitiveButUnclassified，SBU）、未分类（unclassified）

2.11安全指导委员会2.11.2数据所有者对特定信息的子集和应用负最终责任2.11.3数据看管员负责数据的保护与维护工作2.11.17人员安全职责分离：预防性管理措施岗位轮换：检测性管理措施强制休假：检测性管理措施CISSP复习笔记-第3章访问控制3.1访问控制概述主体：用户、程序、进程客体：计算机、数据库、文件、目录、窗口、打印队列、接口、设备（一般不将程序或进程视为客体）3.3身份标识、身份验证、授权与可问责性确保可问责性的唯一方法是主体能够被唯一标识，并且主体的动作被记录在案3.3.1身份标识与身份验证三种因素可用于身份验证某人知道的内容：密码、PIN、认知密码、图形验证码某人所拥有的物品：钥匙、证件、token某人的身份：基于物理特征，生物测定学（biometrics）强（双因素）身份验证：至少包含三种因素中的二种安全身份唯一性：每个用户必须具有用于问责的唯一ID非描述性：任何凭证都不应当表明账户的目的签发：上述元素由权威机构提供，用于证明身份一对一：验证/认证（verification/authentication），一对多：识别（identification）身份管理（IdentityManageme，IdM）目录基于X.500标准和某种协议，例如轻量级目录访问协议（LightweightDirectoryAccessProtocol，LDAP）Windows环境会登入域控制器（DomainController，DC），它的数据库中运行一个层次化的活动目录服务（ActiveDirectory，AD）问题：由于不是使用必要的客户端软件创建，因此无法管理许多遗留设备和应用程序目录在身份管理中的角色所有资源信息、用户属性、授权资料、角色、潜在的访问控制策略及其他内容都存储在目录中元目录：从不同的来源收集必要信息并将它们保存在一个中央目录内，需要定期与身份存储库同步虚拟目录：与元目录相似，可以替代元目录，虚拟目录中没有数据，只是只想驻留实际数据的位置Web访问管理（WebAccessManagement，WAM）用户与基于Web的企业资源之间的主要网关通常WAM工具还提供单点登录功能3.3.2密码管理密码同步自助式密码重设辅助式密码重设遗留单点登录账户管理用户指配（userprovisioning）：为响应业务过程而创建、维护、删除存在于一个或多个系统、目录、应用程序中的用户对象与属性用户资料更新联合身份（federatedidentity）：以在两个或多个地点链接一名用户的独特身份为基础，因而不需要同步或合并目录信息，是公司和客户能更加方便地访问分布式资源

1.访问控制和标记语言服务供应标记语言（ServiceProvisioningMarkupLanguage，SPML）：允许驻留在一个组织或者多个组织上的应用程序之间交换供应数据，允许用户算理，允许位于不同平台上的服务供应集成和互操作可拓展访问控制标记语言（ExtensibleAccessControlMarkupLanguage，XACML）：用来向Web服务和其他企业应用程序提供的资产表述安全策略和访问权限2.生物测定学误拒率（FalseRejectionRate，FRR）：1类错误，误报率误受率（FalseAcceptanceRate，FAR）：2类错误，漏报率交叉错误率（CrossoverErrorRate）：FRR=FAR，也称相等错误率（EqualErrorRate）指纹：曲线、分叉、微小特征手掌扫描：沟槽、脊状突起、折缝手部外形：手掌和手指的长度、宽度、外形视网膜扫描：眼球后方视网膜上血管的图案，类似测眼压，用户体验最差虹膜扫描：图案、分叉、颜色、环状、光环、皱纹，光学部件必须放置于合适的位置，以保证阳光没有照入光圈中动态签名：签名过程中引起的物理移动转换成电信号动态击键：输入具体短语时产生的电信号声纹：不同人语音模式存在的微小差别面部扫描：骨骼结构、鼻梁、眼眶、额头、下颚形状手形拓扑：整个手形及其弯曲部分的不同起伏形状3.密码限幅级别（clippinglevel）：登陆失败次数的上限5.一次性密码（One-TimePasswd，OTP）同步令牌：基于时间或计数器，令牌和身份验证服务器必须共享用于加密和解密的相同安全密钥异步令牌：基于挑战/响应机制8.存储卡门禁卡，磁条卡9.智能卡本身包含微处理器和集成电路接触式：银行卡；非接触式：公交卡不容易被复制、篡改3.3.3授权1.访问准则基于组、基于物理或逻辑位置、基于时间段或时间间隔、基于事务5.Kerberos一个身份验证协议20世纪80年代中期作为MIT的“Athena”项目的一部分设计出来Windows2000及以上操作系统的默认身份验证方法分布式环境中单点登录的一个示例，异构网络的一个实际标准使用对称密码学容易遭受密码猜测攻击主要组件密钥分发中心（KeyDistributionCenter，KDC）：保存了所有用户和服务的秘密密钥，Kerberos环境内最重要的组件，提供身份验证服务以及密钥分发功能委托人（Principal）：KDC为每个委托人提供一个账户，并与之共享一个秘密密钥，可以是用户、应用程序或网络服务票证授予服务（TicketGrantingService，TGS）：发放服务票证（ServiceTicket，ST）身份验证服务（AuthenticationService，AS）：发放票证授予票证（TicketGrantingTicket，TGT）域（Realm）：在一个域内KDC对于所有用户、应用程序和网络服务来说都是可信任的身份验证服务器身份验证过程：参考1

6.SESAME（SecureEuropeanSystemforApplicationinaMulti-vendorEnvironment）使用对称和非对称密钥目的是拓展Kerberos的功能和弥补它的缺陷3.4访问控制模型3.4.1自主访问控制（DiscretionaryAccessControl，DAC）资源的所有者能够指定哪些主体能够访问该资源身份型最常用方法：访问控制列表（AccessControlList，ACL）大多数操作系统基于DAC模型反面：非自主访问控制（Non-discretionaryAccessControl，NDAC），通过中央授权来决定哪些主体可以访问对应的客体3.4.2强制访问控制（MandatoryAccessControl，MAC）安全标签：也称敏感度标签，绑定在主体和客体上分类：遵循层次化结构，如秘密、绝密、机密等类别：与部门或项目等对应起来系统接收到一个队客体的访问请求时，根据你主体的安全许可、客体的分类以及操作系统的安全策略做出决策，主体安全许可必须大于等于客体的分类3.4.3角色型访问控制（Role-BasedAccessControl，RBAC）集中管理的控制方式雇员流动性高的公司最适合使用的访问控制系统非自主访问控制的一种3.5访问控制技术和方法规则型访问控制（rule-basedaccesscontrol）：不一定是身份型的限制性用户接口：数据库视图，只在键盘上提供某些键访问控制矩阵（accesscontrolmatrix）功能表：特定主体对所有客体的访问权限，矩阵中的行访问控制列表：所有主体对特定客体的访问权限，矩阵中的列3.6访问控制管理3.6.1集中式访问控制管理AAA：Authentication，Authorization，Audit密码身份验证协议（PasswordAuthenticationProtocol，PAP）挑战握手身份验证协议（ChallengeHandshakeAuthenticationProtocol，CHAP）可拓展身份验证协议（ExtensibleAuthenticationProtocol，EAP）远程身份验证拨号用户服务（RemoteAuthenticationDial-InUserService，RADIUS）终端访问控制器访问控制系统（TerminalAccessControllerAccessControlSystem，TACACS）TACACS：身份验证和授权过程组合在一起拓展TACACS（ExtendedTACACS，XTACACS）：身份验证、授权和审计过程分开TACACS+：采用拓展双因素用户身份验证的XTACACS

Diameter：解决漫游、移动IP、PPP以太网、VoIP及传统AAA协议无法跟上的其他技术3.9访问控制实践客体重用：将先前包含一个或多个客体的介质重新分配给主体，介质要先擦除、消磁发射安全：阻止入侵者通过侦听设备从电磁波中获取信息，例如TEMPEST技术3.10访问控制监控3.10.1入侵检测系统（IntrusionDetectionSystem，IDS）网络型IDS（Network-basedIDS，NIDS）主机型IDS（Host-basedIDS，HIDS）特征型IDS：模式匹配，状态匹配异常型IDS：统计异常型，协议异常型，流量异常型，规则型3.11对访问控制的几种威胁字典攻击蛮力攻击战争拨号（wardialing）：使用大量电话号码，以试图找到一个调制解调器来获得未授权访问登陆欺骗网络钓鱼网址嫁接（pharming）：实施DNS中毒（DNSpoisoning）攻击，将受害者重定向至一个看似合法的、其实是伪造的Web站点鱼叉：专门针对特定人的钓鱼CISSP复习笔记-第4章安全架构和设计4.2系统架构ISO/IEC42010:2007：IEEE推荐的软件密集型系统架构描述4.3计算机架构4.3.1中央处理单元（CentralProcessingUnit，CPU）算术逻辑单元（ArithmeticLogicUnit，ALU）控制单元通用寄存器：用于保存变量和临时结果特殊寄存器程序计数器栈指针程序状态字（ProgramStatusWord，PSW）：保存各种不同的条件位，其中一个条件位指出CPU应在用户模式（问题状态），还是在特权模式（内核模式（kernelmode）或监管模式（supervisormode））工作地址总线（addressbus）：CPU通过地址总线与RAM和其他I/O设备建立连接数据总线（databus）：读/写的数据被放在数据总线上4.3.2多重处理多核CPU的对称模式和非对称模式

4.3.3操作系统架构1.进程管理协调式多任务处理（cooperativemultitasking）：要求处理器自愿地释放所使用的资源抢占式多任务处理（preemptivemultitasking）：操作系统能否控制进程使用某一资源的时间进程：拥有各自的存储器空间、栈和程序计数器中断：进程通过中断知道何时能与CPU通信可屏蔽中断（maskableinterrupt）：分配给不是十分重要的事件，程序可以选择是否忽略不可屏蔽中断（non-maskableinterrupt）：程序无法忽略2.线程管理线程：当进程有具体活动需要操作系统执行时而生成的指令集3.进程调度死锁：两个进程互相需要对方当前占用的资源才能完成任务4.进程活动采用以下方法可以实施进程隔离对象封装：API共享资源的时分复用命名区分：PID虚拟地址空间映射（virtualaddressspacemapping）5.存储器管理CPU寄存器>高速缓存器>主存储器>（交换空间>）磁盘存储基寄存器（baseregister）和界限寄存器（limitregister）确定进程地址空间4.3.4存储器类型1.随机存取存储器（RandomAccessMemory，RAM）动态RAM（DynamicRAM，DRAM）：使用电容和晶体管，电容中的数据必须不断进行动态刷新，位值才不会莫名其妙地消失，刷新需要时间，因此比静态RAM慢静态RAM（StaticRAM，SRAM）：不使用电容、只用晶体管，在RAM芯片中占更大面积，比DRAM快、比DRAM贵2.只读存储器（Read-OnlyMemory，ROM）可编程只读存储器（ProgrammableROM，PROM）：生产后仍能再修改，只能编程一次可擦可编程只读存储器（ErasableandProgrammableROM，EPROM）：擦除时需要取下芯片，紫外线从石英窗口射入，擦除所有数据电可擦除可编程只读存储器（ElectricallyErasableandProgrammableROM，EEPROM）：一次只擦除一字节数据，速度较慢4.存储器映射绝对地址逻辑地址相对地址：已知地址的基础上应用一个偏移值5.缓冲区溢出地址空间布局随机化（AddressSpaceLayoutRandomization，ASLR）：最初在OpenBSD实现，Windows最早在Vista数据执行保护（DataExcecutionPrevention，DEP）：确保可执行代码不在存有危险的内存段中发挥作用4.3.7CPU架构0环：操作系统内核1环：操作系统2环：操作系统工具，驱动3环：应用4.4操作系统架构单块架构（monolithicarchitecture）：所有操作系统进程都在内核模式，例如MS-DOS分层架构（TechnischeHogeschoolEindhoven，THE）：所有操作系统进程还是在内核模式，但功能被分成可以互相调用的不同层微内核架构（microkernelarchitecture）：核心操作系统进程运行在内核模式，其余运行在用户模式混合微内核（hybridmicrokernelarchitecture）：所有操作系统进程运行在内核模式，其中核心进程运行在微内核中，其余运行在客户端/服务器模型中

4.5系统安全架构4.5.2安全架构要求可信计算基（TrustedComputingBase，TCB）：系统内提供某类安全并实施系统安全策略的所有硬件、软件、固件的组合，某种意义上说内核就是TCB安全边界（securityperimeter）：划分可信与不可信的边界引用监控器（referencemonitor）：抽象概念，主体对客体进行所有访问的中介4.6安全模型4.6.2Bell-LaPadula模型多级安全策略的第一个算术模型是一种状态机模型解决保密性问题是一个信息流模型所有MAC模型都以Bell-Lapadula模型为基础简单安全规则：不能向上读（noreadup）星属性规则：不能向下写（nowritedown）强星属性规则：主体要读写一个客体，主体的许可和客体的分类必须同等4.6.3Biba模型是一种状态机模型解决完整性问题是一个信息流模型使用格子模型（绝密、秘密、敏感等）的完整性级别星完整性公理：不能向上写（nowriteup）简单完整性公理：不能向下读（noreaddown）调用属性：主体不能请求（调用）完整性级别更高的主体的服务，规定了一个主体在运行时与其他主体的交互方式以及如何对它们进行初始化4.6.4Clark-Wilson模型用户：活动个体转换过程（TransformationProcedure，TP）：可编程的抽象操作，如读、写、更改约束数据项（ConstrainedDataItem，CDI）：只能由TP操纵非约束数据项（UnconstrainedDataItem，UDI）：用户可以通过简单的读写操作进行操纵完整性验证过程（IntegrityVerificationProcedure）：检查CDI与外部现实的一致性完整性模型的目标防止未授权用户进行更改防止授权用户进行不正确的更改（职责分离）维护内部和外部的一致性（格式良好的事务处理）Biba模型只实现了第1个目标Clark-Wilson模型实现了3个目标，其中一致性由IVP提供4.6.7格子模型最小上界最大下界4.7运行安全模式保密协议（NondisclosureAgreement，NDA）专用安全模式（dedicatedsecuritymode）：所有用户拥有所有信息的访问许可和正式访问批准系统高安全模式（systemhigh-securitymode）：所有用户拥有所有信息的访问许可，但只有知其所需信息的正式访问批准分隔安全模式（compartmentedsecuritymode）：用户只有知其所需信息的访问许可和正式访问批准卫士：允许在可信与不可信系统与环境之间的数据交换，从保证度低的系统接收请求，审查这个请求以确保它得到许可，然后向保证度更高的系统提交该请求4.8系统评估方法4.8.2橘皮书可信计算机系统评估准则（TrustedComputerSystemEvaluationCriteria，TCSEC）：橘皮书两类保证：运行保证，生命周期保证D（minimalprotection）：最小保护C（discretionaryprotection）：自主保护C1（discretionarysecurityprotection）：自主安全保护C2（controlledaccessprotection）：受控访问保护B（mandatoryprotection）：强制保护B1（labeledsecurity）：标签安全B2（structuredprotection）：结构化保护B3（securitydomains）：安全域A（verifiedprotection）：验证保护A1（verifieddesign）：验证设计

4.12认证与认可认证（certification）：对安全组件及其一致性进行全面的技术评估认可（accreditation）：管理层对系统整体安全和功能的充分性的正式认定4.14一些对安全模型和架构的威胁维护陷阱（maintainancehook）：只有开发人员才知道和能够调用的指令检验时间/使用时间（Time-Of-Check/Time-Of-Use，TOC/TOU）攻击：攻击者进入两个进程之间进行更改，一种异步攻击竞争条件（racecondition）：攻击者打乱进程执行顺序以控制结果CISSP复习笔记-第5章物理和环境安全5.2规划过程5.2.2制订物理安全计划轻型木建筑材料防火时间30分钟；重型木建筑材料至少4英寸厚，防火时间60分钟自动锁：断电开门（fail-safe），断电关门（fail-secure）内部分隔（internalpartition）用于在区域间建立障碍，保护敏感区域时不能只依赖这种方式水探测器安装在架空的地板下面和吊顶上面5.4内部支持系统5.4.1电力静态噪声：电力线上发生的短暂干扰干扰（线路噪声）电磁干扰（ElectromagneticInterference，EMI）：火线、中线、地线之间的不平衡以及他们产生的磁场（Common-ModeNoise，普通噪声），闪电、电机也有电磁干扰射频干扰（RadioFrequencyInterference，RFI）：无线电设备，荧光灯干扰导致波动，包括：电压过高：尖峰（spike）瞬间高压；浪涌（surge）长时间的高压，最普通的电力供应问题电力供应停止：故障（fault）瞬间断电；断电（blackout）长时间断电电压降低：衰变（sag）持续一个周期到几秒不等的瞬间低压；电压过低（brownout）电压长时间低于正常电压；浪涌电流，启动负载时所需的电流初始浪涌5.4.2环境问题各组件及其对应的损坏温度磁存储设备：100℉计算机系统和外围设备：175℉纸制品：350℉造成磁盘数据丢失的最小静电电压：1500V5.4.4火灾的预防、检测和扑灭信息处理设施内墙的防火率要求：所有墙至少抗烧1小时，存放纸质和介质的房间墙至少抗烧2小时1.火灾探测类型烟雾激发探测器：光电设备，探测光线强度变化热激发探测器固定温度报警升温速率报警：更敏感，但也导致更多误报探测器应安装在吊顶及吊顶以上和架空的地板以下2.扑灭火灾表5-24种类型的火灾及其扑救方法火灾等级火灾类型火灾中的燃烧物扑灭方法A普通易燃物（Combustible）木质产品、纸、薄片制品水、泡沫B液体（Liquid）石油产品和冷却剂气体、CO2、泡沫、干粉C电（Electrical）电子设备和电线气体、CO2、干粉D易燃金属（Metal）镁、钠、钾干粉表5-3各种灭火物质的灭火机制燃烧的基本要素灭火方法灭火机制可燃物泡沫去除可燃物氧气CO2排除氧气温度水降低温度化学燃烧气体（哈龙或哈龙的替代品）破坏燃烧要素间的化学反应哈龙（Halon）替代品：FM-200、NAF-S-III、CEA-410、FE-13、烟烙尽（Inergen）、氩气（Argon）、氮氩气（Argonite）高压区（plenumarea）：吊顶上方、墙洞内、架空的地板下面，应使用阻燃电缆，其材料在燃烧时不会释放危险气体3.喷水装置湿管式（wetpipesystem）：也称封闭喷头系统（closedheadsystem），通过温控传感器控制喷水干管式（drypipesystem）：管中为高压气体，发生警报时压力降低，止回阀（clappervalve）在水压作用下打开，充满水管，电路控制喷水提前作用式（preactionsystem）：与干管式类似，喷头处的热熔解连接头熔化才会喷水，因成本较高仅用在数据处理环境而不是整栋建筑泛滥式（delugesystem）：喷头总是打开5.5周边安全5.5.3外部边界保护机制栅栏3-4英尺高的栅栏仅能够阻止无意的进入者6-7英尺高的栅栏被认为是不可能爬上的8英尺高且顶上有带刺金属的栅栏能够阻止更高明的入侵者照明：NIST规定关键区域的光强不得低于将2英尺蜡烛置于8英尺高度的光强5.5.5巡逻警卫和保安最佳方法之一，但成本较高CISSP复习笔记-第6章通信与网络安全6.2开放系统互联（OpenSystemInterconnect，OSI）参考模型6.2.9OSI模型中的功能和协议1.应用层文件传输协议（FileTransferProtocol，FTP）普通文件传输协议（TrivialFileTransferProtocol，TFTP）简单网络管理协议（SimpleNetworkManagementProtocol，SNMP）简单邮件传输协议（SimpleMailTransferProtocol，SMTP）Telnet超文本传输协议（HypertextTransferProtocol，HTTP）行式打印机后台程序（LinePrinterDaemon，LPD）2.表示层表示层上的服务处理标准格式的转换、数据压缩和解压以及数据的加密和解密，这个层上没有协议工作，只有服务美国信息交换标准编码（AmericanStandardCodeforInformationInterchange，ASCII）标签图像文件格式（TaggedImageFileFormat，TIFF）图形交换格式（GraphicInterchangeFormat，GIF）联合图像专家组（JointPhotographicExpertsGroup，JPEG）拓展二进制编码十进制交换编码（ExtendedBinary-CodeDecimalInterchangeCode，EBCDIC）3.会话层会话层上的协议建立应用程序之间的连接，维持会话控制，并协商、建立、维持、撤销通信通道网络文件系统（NetworkFileSystem，NFS）NetBIOS结构化查询语言（StructuredQueryLanguage，SQL）远程过程调用（RemoteProcedureCall，RPC）4.传输层传输层上的协议处理端对端传输和数据流分解传输控制协议（TransmissionControlProtocol，TCP）用户数据报协议（UserDatagramProtocol，UDP）安全套接字层（SecureSocketsLayer，SSL）传输层安全（TransportLayerSecurity，TLS）TLS记录协议（TLSRecordProtocol）TLS握手协议（TLSHandshakeProtocol）序列包交换（SequencedPacketExchange，SPX）单位：segment，报文段、分片5.网络层网络层协议的职责包括网际互联服务、寻址、路由Internet协议（InternetProtocol，IP）Internet控制消息协议（InternetControlMessageProtocol，ICMP）Internet组管理协议（InternetGroupManagementProtocol，IGMP）路由信息协议（RoutingInformationProtocol，RIP）开放最短路径优先（OpenShortestPathFirst，OSPF）网际数据包交换（InternetPacketExchange，IPX）单位：datagram，数据报；或packet，包、分组6.数据链路层数据链路层上的协议将数据转换成LAN或WAN帧进行传输，并且定义计算机访问网络的方式逻辑链路控制（LogicalLinkControl）：IEEE802.2，只负责控制数据流和检查错误介质访问控制（MediaAccessControl）：IEEE802.3，根据不同网络类型把数据翻译成不同电压地址解析协议（AddressResolutionProtocol，ARP）逆向地址解析协议（ReverseAddressResolutionProtocol，RARP）点对点协议（Point-to-PointProtocol，PPP）串行线路Internet协议（SerialLineInternetProtocol，SLIP）以太网令牌环光纤分布式数据接口（FiberDistributedDataInterface，FDDI）异步传输模式（AsynchronousTransferMode，ATM）单位：frame，帧7.物理层网络接口卡和驱动程序将位转换为电信号，并控制数据传输的物理方面，包括光学、电学和机械要求EIA-422，EIA-423，RS-449，RS-48510BASE-T、10BASE2、10BASE5、100BASE-TX、100BASE-FX、100BASE-T、1000BASE-T、1000BASE-SX集成服务数字网络（IntegratedServicesDigitalNetwork，ISDN）数字用户线路（DigitalSubscriberLine，DSL）同步光纤网络（SynchronousOpticalNetworking，SONET）单位：bit，位6.3TCP/IP模型6.3.1TCP

同步洪流（SYNflood）：攻击者向目标系统大量发送带欺骗地址的SYN数据包，最终导致目标系统所有TCP连接资源耗尽，可通过SYN代理防范TCP会话劫持（TCPsessionhijacking）：攻击者正确预测两个系统将要使用的TCP序列号，伪装为发送者发送数据报，欺骗接收系统，接管TCP连接6.3.2IP寻址IPv4首部协议字段ICMP：1IGMP：2TCP：6UDP：17GRE：47AH：51L2TP：115A类地址：-55，最高1位为0B类地址：-55，最高2位为10C类地址：-55，最高3位为110D类地址：-55，最高4位为1110，用于多播E类地址：-55，最高5位为11110，用于研究无类别域间路由（ClasslessInterDomainRouting，CIDR）6.3.3IPv6128位地址IPv6转IPv：6to4；IPv4转IPv6：Teredo集成IPSec安全协议6.3.4第2层安全标准IEEE802.1AE：MACSec安全标准，IEEE802.1AR：指定了唯一的设备标识符（DevID），把设备的管理和加密绑定到这个标识符上6.5布线6.5.2双绞线屏蔽双绞线（ShieldedTwistedPair，STP）非屏蔽双绞线（UnshieldedTwistedPair，UTP）

6.5.4布线问题常用物理接口连接标准RJ-11：电话线RJ-45：网线英国海军连接器（BayonetNeill-Concelman，BNC）：电视线串扰：一个线路上的电信号溢出到另一根线路上线缆的阻燃率非增压线缆（nonplenumcabel）通常具有聚氯乙烯（PolyvinylChloride，PVC）套层阻燃线缆有含氟聚合物套层6.6网络互联基础6.6.1网络拓扑6.6.2介质访问技术两个LAN使用不同的数据链路层技术（如帧中继或ATM）连接，那么它们被视为一个WAN

1.以太网4.介质共享令牌传递：用于令牌环、FDDI载波侦听多路访问（CarrierSenseMultipleAccess，CSMA）冲突检测（CollisionDetect，CD）：CSMA/CD，发送数据前先监听信道是否空闲，若空闲则立即发送数据；在发送数据时，边发送边继续监听；若监听到冲突，则立即停止发送数据；等待一段随机时间，再重新尝试，计算随机时间的算法为后退算法（back-offalgorithm）；用于以太网冲突避免（COllisionAvoidance，CA）：CSMA/CA，一个工作站希望在无线网络中传送数据，如果没有探测到网络中正在传送数据，则附加等待一段时间，再随机选择一个时间片继续探测，如果无线网路中仍旧没有活动的话，就将数据发送出去；接收端的工作站如果收到发送端送出的完整的数据则回发一个ACK，如果这个ACK被发送端收到，则这个数据发送过程完成，如果发送端没有收到ACK，则或者发送的数据没有被完整地收到，或者ACK的发送失败，不管是哪种现象发生，数据都在发送端等待一段时间后被重传；用于无线网轮询：用于大型机系统环境冲突域：竞争相同的共享通信介质的一组计算机广播域：接收同样广播消息的节点的集合5.传输方法一对一：unicast，单播一对所有：broadcast，广播一对多：multicast，组播，IGMP协议用于向路由器报告多播组成员关系6.6.3网络协议和服务1.地址解析协议ARP表中毒（ARPtablepoisoning），一种伪装（masquerading）攻击，攻击者修改一对通信主机的ARP缓存

2.动态主机配置协议攻击者可以在网络上创建未授权的DHCP服务器，并且开始响应正在寻找DHCP服务器的客户端网络屏蔽未进行身份验证的DHCP客户端的一种有效方法是在网络交换机上使用DHCP窥探（DHCPsnooping），确保DHCP服务器只为特定MAC分配IPRARP协议：无盘工作站通过广播自己MAC地址获取IP3.Internet控制消息协议pingtunneltraceroute死亡之ping：如果系统无法处理超过65536字节大小的ICMP数据包，那么攻击者通过向目标系统发送多个超大ICMP包可导致其变得不稳定，从而死机或崩溃；属于DDoS攻击Smurf攻击：攻击者发送一个带欺骗源地址的ICMP回包请求到受害计算机网络的广播地址，导致所有系统用ICMP回包响应数据报来回应受害计算机，导致其死机、崩溃或者重启；属于DDoS攻击Fraggle攻击：与Smurf攻击类似，使用UDP协议4.简单网络管理协议管理器：服务器部分，轮询不同设备的代理来检查状态信息代理：运行在网络设备上，要跟踪记录的对象名单存在于管理信息库（ManagementInformationBase，MIB）中，包含的数据用于特定管理任务和状态检查陷阱操作：代理不等待轮询而主动向管理器发送消息的唯一方式社区字符串（communityString）：管理器用来从代理请求数据的密码分只读和读写两种级别，默认的只读密码为public，默认的读写密码为securityv1、v2中社区字符串用明文发送v3提供加密、消息完整性、身份验证6.6.4域名服务DNS威胁：攻击者监听网络流量，一旦发现有解析A域名的请求，马上用不正确的指定IP进行应答HOSTS文件操纵URL隐藏（URLhiding）：利用超链接隐藏容易被怀疑的域名域抢占（domaingrabbing）和恶意抢注（cybersquatting）6.6.5电子邮件服务SMTP：用于客户端发送、邮件服务器之间转发、邮箱名（如xxx@）的寻址邮局协议（PostOfficeProtocol，POP）：Internet邮件服务器协议，用户访问邮件服务器时会将邮件下载到本地并从邮件服务器删除POP3：110端口互联网邮件访问协议（InternetMailAccessProtocol，IMAP）：允许用户在下载邮件的同时将邮件保留在邮件服务器电子邮件伪装：通过修改电子邮件头部字段完成，如From、Return-Path、Reply-To6.6.6网络地址转换静态映射动态映射端口映射（PortAddressTranslation，PAT）6.6.7路由协议Internet上的单独网络成为自治系统（AutonomousSystem，AS）内部使用公共的内部网关协议（InteriorGatewayProtocol，IGP）不同AS上的路由共享路由信息使用边界网关协议（BorderGatewayProtocol，BGP）自治系统之间使用外部网关协议（ExteriorGatewayProtocol），已被BGP替代RIP：属于距离向量路由协议（distance-vectorroutingprotocol），只利用两个目的地之间的跳数，只应用于小型网络OSPF：属于链路状态路由协议（link-stateroutingprotocol），不仅利用跳数而且利用每一跳的状态，大型网络中的首选路由协议其他路由协议：内部网关路由协议（InteriorGatewayRoutingProtocol，IGRP）、加强型内部网关路由协议（EnhancedInteriorGatewayRoutingProtocol，EIGRP）、虚拟路由冗余协议（VirtualRouterRedundancyProtocl，VRRP）、中间系统到中间系统（IntermediateSystemtoIntermediateSystem，IS-IS）黑洞攻击：攻击者伪装成一台路由器，向受攻击的路由器提交路由表信息，导致受攻击的路由器将流量导向攻击者期望的子网或不存在的地址（黑洞）虫洞攻击：攻击者在网络中的某个位置捕获数据报，并将其通过隧道（虫洞）发送到另一个位置6.7网络互联设备6.7.1中继器（repeater）物理层，只是中继和放大线缆段之间的信号集线器（hub）：多端口中继器，一个端口收到的信号会被广播到所有端口6.7.2网桥（bridge）数据链路层，连接不同LAN网段的LAN设备数据帧到达网桥时，网桥判断MAC是否在本地网段，若否则转发到所需的另一个网段本地网桥（localbridge）：在一个局部区域（通常是一座建筑物）内连接多个LAN网段远程网桥（remotebridge）：通过使用电信链路连接一个MAN上的多个LAN网段翻译网桥（translationbridge）：连接不同类型、不同标准和协议的LAN网段转发表：记录每个MAC来自哪个端口透明桥接（transparentbridging）：自动记录转发表，遇到未知的目的MAC则向除源端口之外的所有端口发送一个查询帧，目的主机是回复该查询的唯一主机源路由桥接（sourceroutingbridging）：数据包包含必要的信息已告诉网桥该往哪里走采用生成树算法（SpanningTreeAlgorithm，STA）可以为网桥增加更多的智能6.7.3路由器（router）网络层使用ICMP发送目标地址不可达错误递减TTL值查看MTU以决定是否对数据包进行分段

6.7.4交换机（switch）数据链路层，组合了中继器和网桥的功能，不存在竞争和冲突第3层、第4层交换机：每个目标网络或子网都会被分配标记，保存在每个交换机的标记信息库（TagInformationBase），数据包到达交换机时会被分配标记，交换机之间通过标记确定路由，在到达最后一跳交换时标记被移除，这种标记使用方法称为多协议标签交换（MultiprotocolLabelSwitching，MPLS）VLAN：使管理员可按用户和公司的需要而不是物理位置进行分组VLAN跳跃攻击（VLANhoppingattacks）：攻击者让系统起到交换机的作用，从而访问各种VLAN分段中的流量6.7.5网关（gateway）应用层，一个通用的术语，用于连接两个不同环境的设备上运行的软件6.7.6专用交换分机（PrivateBranchExchange，PBX）处理公司内部的分机号，确定是否需要转发到市话6.7.7防火墙（firewall）1.包过滤防火墙第一代防火墙基于五元组、协议类型、进出的流量方向无状态检查（statelessinspection）无法检测伪造地址2.有状态防火墙跟踪并记录连接的状态，直至连接关闭可以防范XMAS攻击：攻击者将TCP标志位的所有值置为1，目标系统因不知如何处理而崩溃可以防范分片攻击攻击者使用伪造信息造成状态表泛滥，导致系统死机或重启3.代理防火墙第二代防火墙在可信任网络和不可信网络之间，总是代表主机来源建立连接电路级代理（circuit-levelproxy）：工作在会话层，独立于应用程序，类似于包过滤，只检查首部数据；例如SOCKS应用级代理（application-levelproxy）：工作在应用层，为每个协议配备一个代理，理解整个数据包

7.防火墙架构双宿（dual-homed）或多宿（multi-homed）防火墙：有多个接口，分别面向外部网络或内部网络；为了安全底层操作系统应当关闭包转发和路由功能9.防火墙须知伪装（masquerading）或欺骗（spoofing）：攻击者修改包的首部，使其源地址为想要攻击的那台内部主机的源地址任何进入网络且源地址为内部主机的数据包都应该被拒绝任何离开网络且源地址为外部主机的数据包都应该被拒绝，这种流量一般是僵尸机被控进行DDoS攻击的流量片段攻击IP片段：利用IP片内的片段和重组缺陷，导致系统不稳定或死机泪滴攻击：攻击者创建畸形片段，一旦被重组，导致系统不稳定或死机重复片段攻击：用来通过不重组数据包片段的防火墙，恶意片段重写以前批准的片段，对受害者系统进行攻击应拒绝含有源路由信息的数据包，以确保内部路由策略生效6.7.8代理服务器转发代理：在内部网络上控制离开网络的流量反向代理：处理进入内部的流量，可以实现负载均衡、加密、加速、安全、缓存

6.10广域网6.10.2专用链路专用链路（dedicatedlink）也称为租用线路（leasedline）或点到点（point-to-point）链路，这是为了在两个目标间进行WAN通信而预先建立的单条链路T载波：采用时分多路复用（Time-DivisionMultiplexing，TDM）T1：1.544MbpsT3：44.736MbpsE载波：与T载波类似，用于欧洲国家光载波：采用波分多路复用（Wave-DivisionMultiplexing，WDM）多路复用：在一条链路上传输多种类型的数据统计时分多路复用（StatisticalTime-DivisionMultiplexing，STDM）频分多路复用（Frequency-DivisionMultiplexing，FDM）6.10.3WAN技术1.通道服务单元/数据服务单元（ChannelServiceUnit/DataServiceUnit）DSU将来自LAN的数字信号转换为能在电话公司的数字线路上传输的信号CSU将网络直接连接到电话公司的线路2.交换电路交换（circuitswitching）面向连接的虚拟链路流量按可测的、恒定的方式流动固定的延迟通常运载面向语音的数据例：ISDN和电话呼叫数据包交换（packetswitching）数据包可沿许多不同的路径到达同一个目的地支持爆发式的数据流量可变的延迟通常运载面向数据的数据例：X.25和帧中继3.帧中继（framerelay）面向连接的交换技术数据终端设备（DataTerminalEquipment，DTE）：客户自己的设备，如公司自己的网络和帧中继网络之间联通性的路由器和交换机数据电路终端设备（DataCircuit-terminatingEquipment，DCE）：电信公司的设备，在帧中继云团中完成实际的数据交换和传输4.虚电路帧中继和X.25通过虚电路转发数据帧永久虚电路（PermanentVirtualCircuit，PVC）：像与客户事先约定可用带宽的专用线路那样工作交换式虚电路（SwitchedVirtualCircuit，SVC）：需要与拨号和连接相似的步骤6.ATM面向连接的交换技术，在源和目标间建立专用链路一样的虚电路信元交换技术，交换的数据为大小固定53字节的信元而非大小可变的数据包11.点对点协议多协议数据包的封装用链路控制协议（LinkControlProtocol，LCP）建立、配置和维护这个连接用网络控制协议（NetworkControlProtocol，NCP）配置网络层协议通过PAP、CHAP、EAP向用户提供身份验证功能6.11远程连接6.11.1拨号连接使用调制解调器将数字信号转换成模拟信号，通过电话线上网56Kbps带宽战争拨号（wardialing）：攻击者向拨号工具输入大量电话号码，通过拨号标记出电话、传真和调制解调器，并试图与调制解调器建立连接6.11.2综合业务数字网（IntegratedServicesDigitalNetwork，ISDN）使用与拨号连接相同的线路和传输介质，但以数字的形式工作，适用于拨号连接可用的任何场合基本速率接口（BasicRateInterface，BRI）：144Kbps带宽，常用于住宅区2个B通道用于传输数据1个D通道用于呼叫建立、网络管理、错误控制等主速率接口（PrimaryRateInterface，PRI）：1.544Mbps带宽，常用于企业23个B通道1个D通道6.11.3数字用户线路（DigitalSubscriberLine，DSL）使用现有的电话线路，但终端用护和电信公司都需要针对DSL进行升级对称DSL（SymmetricalDSL，SDSL）：数据以相同的速率上行和下行，带宽在192Kbps-1.1Mbps非对称DSL（AsymmetricalDSL，ADSL）：数据下行的速度比上行的速度更快，上行带宽在128Kbps~384Kbps之间，下行带宽最高768Kbps6.11.5虚拟专用网（VirtualPrivateNetwork，VPN）公共网络或其他不安全环境中的安全专用链接，采用加密和隧道协议点对点隧道协议（Point-to-PointTunnelingProtocol，PPTP）事实上的VPN软件使用通用路由封装（GenericRoutingEncapsulation，GRE）和TCP来封装PPP数据包第二层隧道协议（Layer2TunnelingProtocol，L2TP）用各种网络类型（IP、ATM、X.25）来传输PPP流量IPSecVPN工作在网络层身份验证首部（AuthenticationHeader，AH）：提供数据完整性、数据源验证和免受重放攻击的保护封装安全有效载荷（EncapsulatingSecurityPayload，ESP）：提供保密性、数据源验证和数据完整性Internet安全连接和密钥管理协议（InternetSecurityAssociationandKeyManagementProtocol，ISAKMP）：提供安全连接创建和密钥交换的框架Internet密钥交换（InternetKeyExchange，IKE）：提供验证的密钥材料以和ISAKMP一起使用SSLVPN工作在传输层和会话层主要用于保护HTTP流量6.12无线技术6.12.1无线通信扩频（SpreadSpectrum，SS）：以某种方式超出分配的频率给单独信号分配频率跳频扩频（FrequencyHoppingSS，FHSS）发送方和接收方在每个通道上工作一段时间，然后转移到另一个通道在任何时候都只是用一部分有效带宽，提供1-2Mbps吞吐量直接序列扩频（DirectSequenceSS，DSSS）发送端直接用具有高码率的扩频码序列对信息比特流进行调制，接收端用与发送端相同的扩频码序列进行解调连续应用所有有效带宽，提供11Mbps吞吐量正交频分多路复用（OrthogonalFrequency-DivisionMultiplexing，OFDM）：不是一个扩频技术，但用法和扩频技术详细，应用于宽带数字通信类型中，如数字电视、DSL宽带Internet访问、音频广播、无线网络、4G移动通信6.12.2WLAN组件访问点（AccessPoint，AP）连接无线网和有线网自组网WLAN（adhocWLAN）没有AP，无线设备通过它们的NIC彼此进行通信服务集ID（ServiceSetID，SSID）：加入特定WLAN需要配置SSIDAP通过两种方式对无线设备进行身份验证开放系统身份验证（OpenSystemAuthentication，OSA）：所有传输以明文形式进行，一般仅通过SSID验证共享密钥身份验证（SharedKeyAuthentication，SKA）：基于有线等效加密（WiredEquivalent