CISSP考試涵蓋的知識(shí)點(diǎn)非常廣，其實(shí)，題目并沒有什么深度，概念性的題目占很大一部分。下面為大家匯總了CISSP知識(shí)點(diǎn)，趕快收藏起來(lái)吧!

第一章：安全與風(fēng)險(xiǎn)管理

1、機(jī)密性：避免信息在存儲(chǔ)、使用、傳輸過程中泄露給非授權(quán)用戶或?qū)嶓w.

2、完整性：防止授權(quán)用戶不恰當(dāng)修改，防止非授權(quán)篡改，保證內(nèi)外部一致性.

3、可用性：確保系統(tǒng)能穩(wěn)定，正常使用.

4、IT治理的定義：把在IT各個(gè)方面的最佳實(shí)踐從公司戰(zhàn)略的角度加以有機(jī)的融合，從而將IT在企業(yè)中的價(jià)值發(fā)揮到最大化，并能夠抓住IT賦予的際遇與競(jìng)爭(zhēng)優(yōu)勢(shì)。

5、RPO：必須恢復(fù)哪些應(yīng)用程序數(shù)據(jù)才能恢復(fù)業(yè)務(wù)事務(wù)的時(shí)間點(diǎn).

6、RTO：在系統(tǒng)的不可用性嚴(yán)重影響到機(jī)構(gòu)之前所允許消耗的最長(zhǎng)時(shí)間

7、SOC報(bào)告：

①SOC1-財(cái)務(wù)報(bào)告

②SOC2-運(yùn)維相關(guān)

③SOC3-大面積用戶并且不需要披露具體細(xì)節(jié)的控制與測(cè)試結(jié)果

8、GLBA：Gramm-Leach-Billey規(guī)則了客戶財(cái)務(wù)信息隱私的條款，特別適用于金融。

9、PCI DSS：針對(duì)信用卡

10：ISO 27000 系統(tǒng)：

①ISO 27001 信息安全管理體系建設(shè)

②ISO 27002 信息安全管理體系最佳實(shí)踐

③ISO 27003 信息安全管理體系實(shí)施指南

④ISO 27004 信息安全管理測(cè)量

⑤ISO 27005 信息安全風(fēng)險(xiǎn)管理

11、威脅建模-STRIDE：

①假冒-Spoofing

②篡改-Tampering

③抵賴-Repudiation

④信息泄露-Information disclosure

⑤拒絕服務(wù)-Denial of service

⑥提權(quán)-Elevation of privilege

12、定量計(jì)算例子：

威脅潛在損失：EF(0-100%)

年發(fā)生率：(ARO)

單一損失期望：(SLE)

年度損失期望：(ALE)

SLE=Asset x EF

ALE=SLE x ARO

總價(jià)值：value = ALE1-ALE2-Cost

13、COBIT：IT控制與IT治理

14、COSO：企業(yè)內(nèi)部控制的定義

①運(yùn)營(yíng)有效性和高效性 ②財(cái)務(wù)報(bào)告的有效性 ③符合適用的法律和法規(guī) ④SOX 404法案

15、ITIL：IT服務(wù)管理最佳實(shí)踐 (ISO 20000)

16、信息安全管理：ISO (27001) ---- PDCA模型

17、滲透測(cè)試的步驟：偵查、枚舉、脆弱性分析、執(zhí)行、文檔化發(fā)現(xiàn)

18、滲透測(cè)試最常發(fā)生在哪個(gè)階段：操作和維護(hù)階段

19、BCP的最佳實(shí)踐與標(biāo)準(zhǔn)：

20、Due care：盡職關(guān)注，應(yīng)盡關(guān)心–：應(yīng)該制定安全策略，應(yīng)該采取安全措施

21、Due Diligence：盡職調(diào)查，盡職勤勉–：風(fēng)險(xiǎn)，信息收集，對(duì)外包，供應(yīng)商評(píng)估，檢查該做的事情有沒有做。

第二章:資產(chǎn)安全

數(shù)據(jù)殘留：當(dāng)數(shù)據(jù)以某種形式刪除后，磁盤還會(huì)有剩磁，可以進(jìn)行物理恢復(fù)。

云存儲(chǔ)的數(shù)據(jù)安全和數(shù)據(jù)殘留問題：數(shù)據(jù)加密與隔離

數(shù)據(jù)清除：

①刪除與格式化：最low 的方式

②Clearing：通過實(shí)驗(yàn)室可恢復(fù)—覆寫>3次

③Purging(sanitizing)：根除

④加密：加密云數(shù)據(jù)

⑤SSD：消磁不適用于SSD，最佳方式-物理破壞

移動(dòng)設(shè)備：加密所有數(shù)據(jù),使用 AES算法.

介質(zhì)區(qū)別：

A：Marking：指使用人類可讀的安全屬性

B：Labeling：指在系統(tǒng)內(nèi)部數(shù)據(jù)結(jié)構(gòu)中使用安全屬性

雙人規(guī)則控制：兩個(gè)操作員互相審查和批準(zhǔn)對(duì)方的工作

第三章：安全工程

1、BLP模型：信息流模型，關(guān)注機(jī)密性

A、簡(jiǎn)單安全規(guī)則 ：不上讀，可以下讀

B、星規(guī)則 *     ：不下寫，可以上寫

C、強(qiáng)星規(guī)則     ：只能在同一級(jí)別上讀寫.

2、Biba模型：信息流模型，關(guān)注完整性

A、簡(jiǎn)單安全規(guī)則  ：不下讀，可以上讀

B、星規(guī)則 *      ：不上寫，可以下寫

C、強(qiáng)星規(guī)則      ：只能在同一級(jí)別上讀寫.

3、Clark-Wilson模型：

①關(guān)注完整性，只允許主體通過程序?qū)腕w訪問，應(yīng)用于商務(wù)財(cái)務(wù)等商業(yè)場(chǎng)景.

②使用了良好的形式交易和職責(zé)分離的機(jī)制

4、格子模型：最大上界與下界.

5、矩陣模型：關(guān)注每個(gè)主體與客體之間一對(duì)一的關(guān)系.

6、Take-Grant model取予模型：使用定向關(guān)系圖指定權(quán)限.

7、TCB(可信計(jì)算基礎(chǔ))：

1、引用監(jiān)視器：驗(yàn)證主體與客體的權(quán)限與關(guān)系。

2、安全內(nèi)核：

①實(shí)現(xiàn)參考監(jiān)視器的功能集合，由TCB內(nèi)的軟硬與固件構(gòu)成，安全內(nèi)核仲裁主體與客體之間的所有訪問和功能

②所有訪問必須被考慮，防止修改并驗(yàn)證其正確性

3、安全邊界：將TCB的信任組件與非信任組件隔離

4、系統(tǒng)的其他部分與TCB進(jìn)行通信的安全通道

8、TPM(可信平臺(tái)模塊)：加密磁盤

9、密碼算法的基本手段：1、替代   2、換位

10、對(duì)稱密鑰：發(fā)件人與收件人使用共同擁有的單個(gè)密鑰。既用于加密與解密，速度快。但密鑰交換不安全，密鑰就會(huì)喪失安全性。用戶較多時(shí)，密鑰計(jì)算方式 “N*(N-1)/2”

11、非對(duì)稱密鑰：發(fā)件人與收件人能安全的交換公鑰，但速度慢。2N

12、對(duì)稱密鑰算法的類型：DES、AES、CCMP、IEDA、Blowfish、RC4

13、非對(duì)稱密鑰算法的類型：Diffie-Hellman、RSA、ECC、EIGamal

14、ECC：利用橢圓曲線上離散對(duì)線的計(jì)算的困難性

15、EIGamal：

①基于Diffie-Hellman 工作的離散對(duì)數(shù)計(jì)算

②既能用于數(shù)據(jù)加密也能用于數(shù)字簽名

③以定義在任何循環(huán)群G上，其安全性取決于G上的離散對(duì)數(shù)難題

16、RSA：即可以加密又可以做數(shù)據(jù)簽名

17、SET：用作信用卡傳輸數(shù)據(jù)的協(xié)議

18、S/MIME：基于公鑰的混合加密算法方案

19、SHA-1：信息摘要的長(zhǎng)度為160，SHA-256：用可變長(zhǎng)度的輸入信息生成固定長(zhǎng)度的信息摘要.

20、數(shù)字證書PKI：姓名，歸屬人的公鑰，公鑰算法，主體唯一身份信息，CA的名稱，并用CA的數(shù)字簽名簽署該證書。

21、交叉認(rèn)證的定義：CA之間建立通信，彼此信任.

22、IDEA加密標(biāo)準(zhǔn)：實(shí)施了 “分組加密”

23、在線證書狀態(tài)協(xié)議(OCSP)的作用：及時(shí)提供對(duì)證書查詢的及時(shí)響應(yīng)

24、數(shù)字簽名算法：容易遭到“竊聽”攻擊

25、數(shù)字簽名算法：如下圖

26、非對(duì)稱密鑰算法：如下圖

27、對(duì)稱密鑰算法：如下圖

28、混合加密算法：如下圖

29、安全門：

①fail-safe：供電失效時(shí)，門處于開放狀態(tài)，保證人員安全。

②fail-secure：供電失效也能安全鎖死，保證物品安全。

③door-delay：出處于開的狀態(tài)超過一定時(shí)限時(shí)，則告警.

30、電磁干擾EMI：

A、EMI是由中火地線之間的不平衡以及他們產(chǎn)生的磁場(chǎng)造成的。

B、分為傳導(dǎo)干擾與輻射干擾。傳導(dǎo)干擾：通過導(dǎo)電介質(zhì)把一個(gè)網(wǎng)絡(luò)上的信號(hào)干擾到另外一個(gè)網(wǎng)絡(luò)。輻射干擾：干擾源通過空間把其信號(hào)干擾到另外一個(gè)網(wǎng)絡(luò)上。

31、射頻干擾RFI：任何發(fā)射無(wú)線電波的設(shè)備都可能產(chǎn)生。熒光照明是建筑物產(chǎn)生RFI的主要因素。

32、火災(zāi)：A、普通易燃物、B、液體、C、電子電器類、D、可燃金屬、化學(xué)物、E、K級(jí)火絨：醋酸鉀(針對(duì)廚房)

33、Aero-K(滅火)：鉀化合物噴霧、無(wú)污染、對(duì)人體無(wú)害。

34、CPTED：①自然訪問控制 ②自然監(jiān)視 ③自然區(qū)域加固

第四章：通信與網(wǎng)絡(luò)安全

1、SSL：工作在會(huì)話層與傳輸層 ，主要用于客戶端驗(yàn)證服務(wù)器。

2、可信CA簽發(fā)TLS證書的目的：用于客戶端驗(yàn)證服務(wù)器

SSL：客戶端與服務(wù)器通信之間的SSL會(huì)話，客戶端瀏覽器負(fù)責(zé)生成主密鑰作為種子生成對(duì)稱密鑰進(jìn)行加密

3、SSL/TLS：工作在應(yīng)用層與傳輸層之間。

4、SSL中消息驗(yàn)證碼(MAC)的作用：驗(yàn)證消息的完整性。

5、IPsec VPN：

①、AH ：完整性，真實(shí)性，適用于無(wú)NAT環(huán)境，免受重放攻擊(數(shù)據(jù)包有序列號(hào)字段)

②、ESP：機(jī)密性，完整性，數(shù)據(jù)源驗(yàn)證，適用于有NAT環(huán)境

6、PPTP VPN：數(shù)據(jù)鏈路層工作，使用MPPE加密

7、L2TP VPN：數(shù)據(jù)鏈路層工作，不對(duì)數(shù)據(jù)加密.

8、VOIP：

①.SIP(會(huì)話發(fā)起協(xié)議)：應(yīng)用層協(xié)議，UAC-應(yīng)用程序用于創(chuàng)建啟動(dòng)一個(gè)通信會(huì)話的SIP請(qǐng)求。UAS-是SIP服務(wù)器用于處理VOIP呼叫設(shè)計(jì)的所有路由和信令

②業(yè)務(wù)網(wǎng)與語(yǔ)音網(wǎng)需要通過 Vlan 進(jìn)行隔離

9、光纖：光信號(hào)衰減是判斷是否遭到竊聽的方法之一.

10、PAP：①明文方式發(fā)送賬戶密碼. ②二次握手機(jī)制 ③容易遭受暴力破解

11、CHAP：①挑戰(zhàn)應(yīng)答-三次握手機(jī)制. ②傳輸哈希值保證完整性 ③抗重放攻擊

12、EAP：

①M(fèi)D5：弱驗(yàn)證，單向驗(yàn)證–服務(wù)器驗(yàn)證客戶端

②TLS：使用數(shù)字證書，雙向驗(yàn)證，服務(wù)器與客戶端都需要數(shù)字證書，

③PEAP：使用了TLS

④TTLS：擴(kuò)展了TLS的功能

③與④只需要服務(wù)器端證書，客戶端不需要證書

13、洋蔥路由網(wǎng)絡(luò)：隱匿通信技術(shù)，使用非對(duì)稱加密.

14、大蒜路由網(wǎng)絡(luò)：大蒜路由是洋蔥路由的一種變體，其結(jié)合了I2P網(wǎng)絡(luò)并將多份消息加密打包在一起，使其更難被攻擊者以流量分析的方式破解，即洋蔥路由的加強(qiáng)版。

15、WPA2：使用 CCMP算法，使用AES 進(jìn)行加密.

16、WPA：使用 TKIP 算法

17、WEP最易受什么類型攻擊：密鑰恢復(fù)，RC4算法

18、哪個(gè)因素導(dǎo)致WEP有弱點(diǎn)：WEP使用了小范圍初始化向量(IV)

19、DNS sec：使用數(shù)字簽名 來(lái)保障 完整性

20、應(yīng)用代理防火墻的缺點(diǎn)：使用規(guī)則導(dǎo)致性能下降