1、人是信息安全的关键因素；

主要措施：对工作申请者背景调查；

签署雇佣合同和保密协议

加强在职人员的安全管理

严格控制人员离职程序：还资产、删除或禁用用户的账号；

职责分离  SOD   防止共谋、防伪造、偷窃、反腐败

工作职责：最小特权

岗位轮换：两个作用--知识冗余类型；人员流动可以防伪造、数据更改、偷窃阴谋破坏和信息滥用的风险。防止共谋

成为斜杠青年，减少焦虑。

 强制性休假：

供应商、顾问和承包商控制：

SLA 包括4个大方面--管理层面：

1、可用性：99.998%

2、性能/容量：cpu占有率、负载均衡、压力测试、

3、连续性：RTO/RPO等

4：安全方面：攻击响应、恢复时间、多久根治、每年多少次

其他方面：参照itil里的问题、故障解决、变更、配置管理等相关流程。

 合规性：符合或遵守规则、策略、法规、标准或要求的行为。

隐私：

组织必须执行隐私的策略； 

如果有隐私，必须有强大的控制措施，比如加密、访问控制等chu'zh

体系文件：

1、ITIL 3/ 4 itsm/ISO20000

2、dev test 开发测试流程：cmmI

3、BCM: ISO22301：商业银行业务连续性指4引

4、ISO 31000 

密码学（10道题）

1、一次性密码本（OTP）:密文和明文一样长度

默认最安全的

2、密钥 key

3、对称加密  进行大批量加密 ，速度快

4、公钥：可以公开的

私钥：隐藏的 私钥解开公钥

用对方的公钥加密实现了机密性

用自己的私钥加密实现了身份验证，不可否认性

对称加密用的最多的是AES

ECC速度快、密钥短、消耗资源少

对非恶意更改采取CRC冗余验证

散列值具有唯一性 散列函数为不可逆，单向的

SAML(必考）

推理是需要根据人的判断

聚合是低等级信息汇聚

paas=iass+操作系统+服务

SaaS最大的安全问题：在云上的信息是否被利用，你不会知道；性能问题（SLA）；

核心业务不能上云

点对点网络（会考）P2P 盗版网络 若发现措施：重新安装操作系统

可信平台模块

容错：添加额外的磁盘至原来的磁盘阵列里

避免单点故障

彩虹系列  橘皮书

TCSEC（美国）   B2结构化  

绿皮书 管密码 

ITSEC  是欧洲的

CC (ISO 15468)

保护轮廓：保护的需求 PP（安全功能需求）

安全保证需求（安全目标）ST

EAL  （评估保证级别）必考

功能 结构 系统测试  系统设计 半测 半验 正式验证

鉴定(认可）本质是授权 第三方机构

认证进行技术评估

定义——测量——控制——管理（改进）

认证和鉴定系统

定义——验证——确认——鉴定（认可）

 可信基

信息流模型 （必考）  

bell模型 解决机密性 用于军事环境

biba模型  解决完整性 用于军事环境

未分类  敏感  机密 秘密 绝密 

做规划设计时采用访问控制矩阵

CW模型 用于商业环境

多层面实现数据的完整性

封闭系统更加安全    

对访问界限对进程进行限制，进程在隔离状态中运行

自主访问控制 DAC

强制访问控制 MAC   

销毁敏感数据

擦除（Erasing）删除

消除（Clean / overwriting）比擦除相关安全

清除（Purging） 介质清除工具

净化（sanitization）脱敏

净化包含物理损坏、介质清除工具是个总称

消磁对CD\DVD\SSD不起作用

清除云上的数据，如何清除干净  只能采取加密的方式

静态数据 ：需进行加密

传输数据：MSN是明文的传输方式 加shell（安全壳）明文变密文

定界：选择最佳安全标准

定制：裁剪，优化改进

先固化——优化

AES加密 高级加密标准（256位）

加密的密码与解密的密码为同一个密钥

传输中的数据加密采用VPN

HTTPS  TLS替代SSL

SSH替代TELNET  SSL（加密传输 ）

可用性：对于老旧设备，定期做数据转录及迁移

什么可以绕过防火墙

1、猫 modem

2、无线AP

端点DLP保护性强

数据保留：三个问题

保存什么数据

1、数据处理者   培训和审计

2、数据残留（100%会考）纸张也属于介质

光盘、磁带粉碎

硬盘 删除硬盘的数据不靠谱会被取回   格式化也不安全

格式化 

覆盖：用1，0覆盖硬盘中的1,0

消磁

物理损坏最安全

介质清除工具：SSD硬盘（芯片级硬盘）

1、资产清单   资产分类与标记(机密、敏感、隐私、公开）(confidential)

2、名字、性别单独可以公开 ，但这些信息添加出生日期等，就要受到保护

3、健康信息需要受到保护（PHI）

4、与员工签订保密协议、竞业协议来保证专有数据是安全的

5、政府数据分类：绝密、保密、机密、 非机密 （secret）

6、保护数据机密性最好的方法是加密，以及多因素的身份验证机制

7、DLP 数据防泄露 需要可以对加密的数据进行解析，或是对

面对“社会工程学攻击”的方法就是 信息安全教育

缓冲区溢出：可能导致可以在服务器执行任意代码

对代码进行 边界 审查：

用户输入的值的长度不能超出现有缓冲区的大小

不允许对变量输入无效的值

用户输入不能超出程序规定的范围

PMP 5大过程组:

1. 启动 2. Plan 3. 执行 do 4 Monitor 5. Close

验收测试阶段发生在 检测 阶段。

在测试之前一定要对数据进行 脱敏 （在测试环境使用生产环境的数据）

所有的故障都必须做记录

ITSM/ITIL

Event：事态、事件

Incident: 事故、故障 （1，服务/业务中断，2，服务质量降低）

管理评审，一般一年做一次。

ISMS: information Secuirity management system

SOC: Service Organization Control

SOC1: 财务

SOC2: 比较详细，关注 CIA, for 内部使用

SOC3: 比较粗略，也是关注CIA, for 外部使用

关键性能和风险指标：KPI, KRI

默认安装：默认的参数，默认密码没有修改（本质：没有安全基线）

假性正面报告（误报）False Positive report

假性负面报告（漏报）False Negative report

渗透测试，OSCP, 需要审批

白盒测试（全知识）

灰盒测试

黑盒测试

IAAAA : 后2个A, Audit 审计Accounting追责 (基于日志)

将代码部署到生产环境，要职责分离，应该由运维人员完成而不是开发人员

模糊测试Fuzzing test，必考

误用案例测试：（滥用）输入以前发生的错误，看我们的软件里有类似问题的存在

内部审计：三道防线

安全评估程序：一般由安全信息团队来完成

安全测试 = 内部测试，定期进行

SLA 月度

BCP年度

当发生例外情况，安全测试要立即执行

审计报告，是组织的机密文件