CISSP All-in-One.Exam.Guide.7th.Edition中文(搜索版).pdf

发布时间：2022-06-06 发布人：admin 分类：说明书资料大小：66.06M 资料格式：pdf 举报版权申诉

qq_41229145-10444355-4744302542856808900.pdf-第1页.png

第1页 / 共966页

qq_41229145-10444355-4744302542856808900.pdf-第2页.png

第2页 / 共966页

qq_41229145-10444355-4744302542856808900.pdf-第3页.png

第3页 / 共966页

qq_41229145-10444355-4744302542856808900.pdf-第4页.png

第4页 / 共966页

qq_41229145-10444355-4744302542856808900.pdf-第5页.png

第5页 / 共966页

qq_41229145-10444355-4744302542856808900.pdf-第6页.png

第6页 / 共966页

qq_41229145-10444355-4744302542856808900.pdf-第7页.png

第7页 / 共966页

qq_41229145-10444355-4744302542856808900.pdf-第8页.png

第8页 / 共966页

CISSP认证考试指南第七版CISSP All in One(中文)第7版

第一章安全和风险管理

小结

问题

第二章资产安全

小结

问题

第三章安全工程

小结

问题

第四章通信与网络安全

小结

问题

第五章身份与访问管理

小结

问题

第六章安全评估与测试

小结

问题

第七章安全运营

小结

问题

第八章软件开发安全

小结

问题

术语表

随着世界不断改变，人们对增强安全、改进技术的需求愈加迫切。每个组织、政府机构、企业和军事单位都开始关注安全问题。几乎所有公司和组织机构都在积极寻求才华横溢、经验丰富的安全专业人员，因为只有这些专家才能保护公司赖以生存和保持竞争力的宝贵资源。而 CISSP认证能证明你己经成为一名拥有一定知识和经验的安全专业人员。当然，这些知识和经验是认证体系预先规定的，并得到了整个安全行业的理解和认可。通过持续地持有证书，就表明你保持与安全行业同步发展。下面列出一些获取CISSP认证资格的理由： •充实现有的关于安全概念和实际应用的知识。 •展示了你是一位拥有专业知识并且经验丰富的安全专家。 •让自己在这个竞争激烈的劳动力市场中占据优势。 • 增加收入，并能得到更多工作机会。 * 为你现在的工作带来更好的安全专业知识。 * 表明对安全规则的贡献。 CISSP认证能帮助公司确认某人是否具有相应的技术能力、知识和经验，从而能从事具体的安全工作，执行风险分析，谋划必要的对策，并可帮助整个组织机构保护其设施、网络、系统和信息。 CISSP认证还能担保通过认证的人员具备安全行业所需的熟练程度、专业技能和知识水平。安全对于成功企业的重要性在未来只可能不断增加，从而导致对技术熟练的安全专业人员的更大需求。 CISSP认证表明，可由被公众认可的第三方机构负责确定个人在技术和理论方面的安全专业知识，并将其与缺乏这种专业知识的普通人员区分幵来。对于优秀的网络管理员、编程人员或工程师来说，理解和实现安全应用是一项至关重要的内容。在大量并非针对安全专业人员的职位描述中,往往仍要求应聘人员正确理解安全概念及其实现方式。虽然许多组织机构由于职位和预算的限制而无法聘请单独的网络和安全人员，但都相信安全对于组织机构自身来说至关重要。因此，这些组织机构总是尝试将安全知识和其他技术知识合并在一个角色内。在这个问题上，如果具有CISSP资格，那么你就会比其他应聘人员更有优势。 CISSP考试因为 CISSP考试涵盖了构成公共知识体系的8 个领域，所以常被描述为“寸之深、亩之阔”。这意味着，考试中出现的问题实质上不一定非常详细，并不要求你在所有主题上都是专家。但是，这些问题却要求你熟悉许多不同的安全主题。 CISSP考试由 250道选择题构成，并要求在6 小时内完成。创新型问题包括拖曳(例如：取一个选项或项目，并将其拖到框中的正确位置)或热点(例如：点击能正确回答问题的项目或选项)界面，但权重和得分与其他任何问题一样。这些题目均来自一个庞大的试题库，从而能尽量做到考题因人而异。此外，为更准确地反映最新的安全趋势，试题库会不断变化和更新，考题则根据需要在库中

CISSP认证考试指南(第7 版) 经常循环和替换。考试中计入成绩的只有2 2 5 道题，其余 2 5 道题仅供出题人员研究之用。但这 25 道题与计分的题目毫无区别，因此应试人员并不知道哪些题目是计入总分的。通过 CISSP考试的最低分数是700分(总分是 1000分)，每道题都会根据难度设定权重，而且并非每道题的分值都是一样的。此项考试不面向特定的产品或供应商，这意味着没有任何问题会针对特定的产品或供应商(例如 Windows、U N IX 或 Cisco) , 而是涉及测试这些系统所用的安全模型和方法。考试提示：猜测不倒扣分。如果不能在合理时间内找出正确答案，那么你可以猜一个并继续下一个问题。 (ISC)2 (International Information Systems Security Certification Consortium, 国际信息系统安全认证协会)还在CISSP考试中增加了基于场景的问题。每个问题都向应试者展示一个简短的场景，而不是要求他们区分术语和/或概念。增加基于场景的问题，其目的是确保应试人员不仅知道和理解CBK 中的概念，而且能将这些知识应用到现实生活场景中。这种做法更为实用，其原因在于现实生活中不可能有人询问你：“共谋(collusion)的定义是什么？ ”此时，除了需要知道“共谋”的定义外，还需要知道如何检测并阻止共谋的发生。通过考试后，你会被要求提供由担保人认可的证明文件，以证明你确实具有相关类型的工作经验。担保人必须签署一份文件，从而为你提交的安全工作经验提供担保。因此，在注册并支付考试费用之前，一定要与担保人取得联系。你肯定不愿意看到这样的局面：在支付费用并逋过考试后，却发现无法找到担保人帮助你完成获得认证所需的最后步骤。之所以要求提供担保，是为了确保获得认证的应试人员拥有为公司服务的实际工作经验。虽然书本知识对于理解理论、概念、标准和规章极其重要，但绝对不能替代亲身经历。因此，请你一定要证明拥有支持认证实用性的实践经验。 (ISC)2将从通过考试的考生中随机挑选少数应试人员进行审查。在审查过程中，（ISC)2工作人员将向考生选定的担保人和联系人核实应试人员相关工作经验的真实性。这项考试的挑战性在于：虽然大多数认证考生都从事安全领域内的工作，但不一定通晓CBK 包含的全部8 个领域。虽然某人被视为脆弱性测试或应用程序安全方面的专家，但她可能不擅长于物理安全、密码学或取证。因此，为这项考试而学习将极大地拓宽你在安全领域的知识。考题涉及构成C B K 的 8 个安全领域，如下表所示。安全领域描述安全和风险管理这个领域涵盖了信息系统安全的基本概念。该领域的部分主题包括： ♦ 可用性、完整性和机密性的原则 * 安全治理和合规 ♦ 法律和法规问题 * 职业道德 • 个人安全策略 * 风险管理 • 威胁模型 XII

安全领域描述资产安全这个领域解释了在整个信息资产生命周期中如何对信息资产进行保护。该领域的部分主题包括：前言 (续表） •信息分类 * 保持的所有权 •隐私 ■保留 •数据安全控制 ♦ 需求处理安全工程这个领域解释了在面对无数威胁的情况下如何保护信息系统发展的安全。该领域的部分主题包括： * 安全设计原则 * 选择有效的措施 •缓解脆弱性 * 密码学 ♦ 站点和设施的安全设计 •物理安全通信与网络安全这个领域解释如何理解保护网络架构、通信技术和网络协议的安全目标。该领域的部分主题包括：安全的网络架构 ♦ 网络组件 •安全的通信信道 •网络层攻击身份与访问管理身份与访问管理是信息安全中最重要的主题之一。这个领域涵盖了用户和系统之间、系统和其他系统之间的相互关系。该领域的部分主题包括： •控制物理和逻辑访问 •身份标识与认证 •身份即服务 •第三方身份服务 •授权方法 •访问控制攻击安全评估与测试这个领域解释了验证我们的信息系统安全的方法。该领域的部分主题包括： * 评估和测试策略 * 测试安全控制 ♦ 收集安全过程数据 •分析和报告结果 •开展和促进审计 XIII

CISSP认证考试指南(第7 版) 安全领域描述安全运营这个领域涵盖了在我们日常业务中许多维护网络安全的活动。该 (续表）领域的部分主题包括： * 支持调查 • 日志和监控 • 安全资源配置 * 事故管理 _ 预防措施 • 变更管理 • 业务连续性 * 物理安全管理软件开发安全这个领域解释了应用安全原则去获取和幵发软件系统。该领域的部分主题包括： * 软件开发生命周期中的安全 * 开发活动中的安全控制 • 评估软件安全 •评估外部获取软件的安全性为紧跟安全领域的新技术和新方法，（ISC)2 每年都要在试题库中加入大量新试题。这些试题都基于最新的技术、运用、方法和标准。例如，1998年的CISSP认证考试没有出现关于无线安全、跨站点脚本攻击或IPv6 的问题。本书概要如果你想成为一名经过(ISC)2 认证的 CISSP, 那么在本书里能找到需要了解的所有内容。本书讲述企业如何制定和实现策略、措施、指导原则和标准及其原因；介绍网络、应用程序和系统的脆弱性，脆弱性的被利用情况以及如何应对这些威胁；解释物理安全、操作安全以及不同系统会采用不同安全机制的原因。此外，本书还回顾美国与国际上用于测试系统安全性的安全准则和评估体系，诠释这些准则的含义及其使用原因。最后，本书还将阐明与计算机系统及其数据相关的各种法律责任问题，例如计算机犯罪、法庭证物以及如何为出庭准备计算机证据。尽管本书主要是为CISSP考试撰写的学习指南，但在你通过认证后，它仍不失为一本不可替代的重要参考用书。 CISSP应试小贴士许多人考试时会感觉题目比较绕弯。所以一定要仔细阅读问题和所有备选答案，而不是看了几个单词就断定自己己知道问题的答案。某些答案选项的差别不明显，这就需要你花一些时间耐心地将问题再阅读领会几遍。 XIV

前言有人抱怨CISSP考试略带主观色彩。例如，有这样两个问题。第一个是技术问题，考查的是防止中间人攻击的TLS(Transport Layer Security, 传输层安全)所采用的具体机制；第二个问题则询问周长为 8 英尺的栅栏提供的是低级、中级还是高级的安全防护。你会发现，前一个问题比后一个问题更容易回答。许多问题要求应试人员选择最佳方法，而一些人会认为很难说哪一个是最佳方法，因为这都带有主观色彩。此处给出这样的示例并非是批评(ISC)2 和出题人员，而是为了帮助你更好地准备这项考试。本书涵盖了所有的考试范围和需要掌握的内容，同时提供了大量问题和自测试卷。大部分问题的格式都釆用了实际试题的形式，使你能更好地准备应对真实的考试。因此，你一定要阅读本书的全部内容，同时特别注意问题及其格式。有时，即使对某个主题十分了解，你也可能答错题。因此，我们需要学会如何应试。在回答某些问题时，要记住，一些事物比其他东西更有价值。例如，保护人身安全和福利几乎总是高于所有其他方面。与此类似，如果所有其他因素都比较便宜，第二个会赢得大部分时间。专家意见(例如：从律师那里获得的)比那些拥有较少认证的人的意见更有价值。如果一个问题的可选项之一是寻求或获得专家意见，请密切关注这个问题。正确的答案可能是寻求那位专家的意见。尽量让自己熟悉行业标准，并了解自己工作之外的技术知识和方法。再次强调一下，即使你在某个领域是专家，仍然可能不熟悉考试所涉及的全部领域。当你在Pearson VUE 考试中心参加CISSP考试时，其他认证考试可能会在同一个房间同时进行。如果你看到别人很早离开房间，不要感到匆忙；他们可能是因为参加一个较短的考试。如何使用本书本书的作者尽了很大努力才将所有重要信息汇编成书；现在，轮到你尽力从本书中汲取知识了。要从本书受益最大，可釆用以下学习方法： •认真学习每个章节，真正理解其中介绍的每个概念。许多概念都必须完全理解，如果对一些概念似懂非懂，那么对你来说将是非常不利的。 CISSP CBK 包含数以千计的不同主题，因此需要花时间掌握这些内容。 •确认学习和解答所有问题。如果不能正确解答其中的问题，那么需要再次阅读相关的章节。需要记住，真实考试中的某些问题含糊其辞，看上去比较难回答，不要误以为这些问题表述不清楚而忽视了这些含糊其辞的问题。相反，它们的存在具有明确的目的性，对此要特别注意。 •如果你对某些具体的主题(如防火墙、法律、物理安全或协议功能)不熟悉，那么需要通过其他信息源(书籍和文章等)以达到对这些主题更深入的理解程度，而不是局限于自认为通过 CISSP考试所需的范围。 • 阅读本书后，你需要学习所有问题和答案，并进行自测。接着，查看(ISC)2 的学习指南，确信对列出的每条内容都十分了解。如果对某些内容还感到困惑，那么请重新复习相关的章节。 •如果参加过其他资格认证考试(如Cisco、Novell和 Microsoft的认证考试)，SI3么你可能习惯于记忆一些细节和配置参数。但请记住，C ISSP 考试强调 “寸之深、亩之阔”，因此在记忆具体细节之前一定要先掌握每个主题中的各种概念。 •记住该考试是需要找出最佳答案，所以，对于有些问题应试人员可能会对全部或部分答案持不同意见。记住要在所给的4 个答案中找出最合理的那一个。 XV

CISSP认证考试指南(第7 版) 配套练习题本书配套网站提供 1 4 0 0 道练习题，其中既有热点问题，也有 “拖放 ”问题。读者可访问 http://www.tupwk.com.cn/downpage/，输入本书中文书名或ISB N 下载，也可直接扫描本书封底的二维码下载。 XVI

第 1 章安全和风险管理 ................. 1 1 . 1 安全基本原则..................2 U . 1 可用性 ........................ 3 1.1.2完整性 ........................ 3 1.1.3机密性 ........................ 3 1.1.4平衡安全...................... 4 1 . 2 安全定义..................... 5 1 . 3 控制类型..................... 6 1 . 4 安全框架.....................10 1.4.1 ISO/IEC 27000 系列…........... 12 1.4 .2企业安全架构开发............. 14 1.4.3安全控制开发................. 23 1.4.4流程管理开发................. 26 L4 . 5 功能与安全性................. 32 1 . 5 计算机犯罪法的难题........... 32 1 . 6 网络犯罪的复杂性............ 34 1.6.1电子资产..................... 35 1.6.2攻击的演变................... 36 1 . 6 . 3 国际问题..................... 38 1.6.4法律的类型................... 41 1 . 7 知识产权法.................. 44 1.7.1商业秘密..................... 44 1.7.2 版权 ......................... 45 1.7.3 商标 ......................... 45 1.7.4 专利 ......................... 46 1.7.5知识产权的内部保护........... 47 1.7.6软件盗版..................... 48 1.8 隐私......................... 50 1.8.1对隐私法不断增长的需求....... 51 1.8.2法律、指令和法规............. 52 1.8.3员工隐私问题................. 58 1 . 9 数据泄露.....................59 1.9.1美国的数据泄露相关法律....... 60 1.9.2其他国家有关数据泄露的法律…"61 1 . 1 0 策略、标准、基线、指南和过程........................ 61 1.10.1 安全策略.................... 62 1.10.2 标准 ........................ 64 1.10.3 基线 ........................ 65 1.10.4 指南 .........................66 1.10.5 措施 .........................66 1.10.6 实施 ........................ 66 1 . 1 1 风险管理....................67 1.11.1全面的风险管理.............. 68 1.11.2信息系统风险管理策略........ 68 1.11.3风险管理团队................ 69 1.11.4风险管理过程................ 69 70 1.1 2 威胁建模............ 1.12.1脆弱性...................... 70 1.12.2 威胁 .........................71 1.12.3 攻击 .........................71 1.12.4消减分析.....................72 1 . 1 3 风险评估和分析..............73 1.13.1风险分析团队................ 74 1.13.2信息和资产的价值............ 74 1.13.3构成价值的成本.............. 75 1.13.4识别脆弱性和威胁............ 75 1.13.5风险评估方法................ 76 1.13.6风险分析方法................ 80 1.13.7定性风险分析.................83 1.13.8保护机制……................. 86 1.13.9综合考虑.................... 88 1.13.10总风险与剩余风险........... 88 1.13.11处理风险....................89 1.13.12 外包 ....................... 90 1 . 1 4 风险管理框架................ 91 1.14.1信息分类.................... 92 1.14.2安全控制的选择.............. 92

CISSP认证考试指南(第7 版) 1.14.3安全控制的实现.............. 93 2 . 3 . 7 变更控制分析员.............. 148 1.14.4安全控制的评估...... ........ 93 2 . 3 . 8 数据分析员............... 149 1.14.5信息系统的授权.............. 93 2.3.9 用户..................... 149 1.14.6安全控制的监管.............. 93 2.3.10 审计员.................. 149 1 . 1 5 业务连续性与灾难恢复........94 1.15.1标准和最佳实践.............. 96 1 . 1 5 . 2 使 BCM 成为企业安全计划的一部分 ....................... 98 1.15.3 BCP项目的组成.............100 1 . 1 6 人员安全................... 111 1.16.1招聘实践....................112 1.16.2 解雇........................113 1.16.3安全意识培训............... 114 1.16.4学位或证书..................115 2.3.11为何需要这么多角色........ 149 2 . 4 保留策略..................... 149 2 . 5 保护隐私..................... 152 2 . 5 . 1 数据所有者............... 153 2 . 5 . 2 数据处理者............... 153 2 . 5 . 3 数据残留................. 153 2 . 5 . 4 收集的限制............... 156 2 . 6 保护资产.....................156 2.6.1数据安全控制............. 157 1 6 . 2 介质控制................. 159 1 . 1 7 安全治理...................115 2 . 7 数据泄露..................... 163 1.18 道德 ...................... 120 2 . 8 保护其他资产................. 170 1.18.1计算机道德协会............. 120 2.8.1保护移动设备............. 170 1.18.2互联网架构研究委员会.......121 2.8.2纸质记录................. 171 1.18.3企业道德计划............... 122 2 . 8 . 3 保险箱 .................. 171 1.19 小结 ...................... 122 1 . 2 0 快速提示...................123 2.9 小结 .........................172 2 . 1 0 快速提示....................172 1.21 问题...................... 126 2.11 问题........................ 173 1.22 答案 ...................... 133 2.12 答案........................ 176 第 2 章资产安全 ..... ................137 第 3 章安全工程 ..................... 179 2 . 1 信息生命周期................ 137 3 . 1 系统架构..................... 180 2.1.1 获取 .... .................... 138 3 . 2 计算机架构................... 183 2.1.2 使用 ........................ 138 3 . 2 . 1 中央处理单元............. 183 2.1.3 存档 ........................ 139 3 . 2 . 2 多重处理................. 186 2.1.4 处置 ........................ 139 2 . 2 信息分类....................140 2 . 2 . 1 分类等级.................... 141 2.2.2分类控制.................... 143 2.3 责任分层....................144 2 . 3 . 1 行政管理层.................. 144 2 . 3 . 2 数据所有者.................. 147 2 . 3 . 3 数据看管员.................. 147 2 . 3 . 4 系统所有者.................. 148 3 . 2 . 3 存储器类型............... 187 3 . 3 操作系统.....................197 3. 3 . 1 进程管理................. 197 3 . 3 . 2 存储器管理............... 204 3 . 3 . 3 输入瑜出设备管理........... 207 3.3.4 CPU架构集成............. 209 3 . 3 . 5 操作系统架构............. 212 3 . 3 . 6 虚拟机 ...................... 2 1 7 3 . 4 系统安全架构.................219 2 . 3 . 5 安全管理员.................. 148 3 . 4 . 1 安全策略......... 219 2.3.6 主管 ....................... 148 3 . 4 . 2 安全架构要求............. 220 XVIII

分享到：

赞收藏

资料库

CISSP All-in-One.Exam.Guide.7th.Edition中文(搜索版).pdf

相关推荐

安全技术

热门标签

最新资料