CISSP复习笔记模板-访问控制学习笔记
访问控制
本章您将学到如下知识：
识别（identification）的方法和技术
认证(authentication）的方法、模式和技术
选择的（discretionary），强制的（mandatory）和非选择的（nondiscretionary）的模式
可追溯性（可记帐性accountability），监控和审计实践
发射（emanation）安全和技术
入侵检测系统（IDS, Intrusion detection systems）
对访问控制可能的威胁的实践和技术
信息安全建立的基础在于如何控制访问自身资源以保护他们免受未授权的修改（modification）或者披露(disclosure)。访问控制方法实质上可以通
CISSP之信息安全和风险管理-DOC下载
3.1安全三要素（Fundamental Principles of Security）
安全最主要的三要素是可用性（ availability）、完整性（ integrity）和机密性（ confidentiality）. 通常被称为 AIC（或CIA）.
可用性（Availability）：
可用性确保了授权人员对数据和资源的稳定快速的访问。系统的可用性可以受到设备和软件错误的影响。应该准备好备用设备，从而可以用它快速替换关键系统；或者，雇员应该能够熟练得做出必要的调整从而将系统恢复。环境因素，诸如冷、热、湿度、静电以及污染物都会影响系统的可用性。
完整性（Integrity）
完整性是指保证信息和系统的准确性和可靠性，并禁止对数据的非授权修改。硬件、软件和通信机制必须协同工作才能保证正确处理数据并在没有意外改动的情况下将数据传到目的地。应该保护系统和网络免受外界的干扰和污染。
从安全角度说，应该规范用户的权限，分配给他们必
CISSP之安全体系和设计DOC下载
主要内容
计算机硬件结构
操作系统结构
可信计算基础和安全机制
操作系统的保护机制
各类安全模型
assurance evaluation标志和评级
认证和授权过程
攻击类型
计算机信息安全的两个基础性概念：安全策略（security policy）、安全模型（security model）
安全策略（security policy）是一份说明，概述了各实体之间如何相互访问，不同的实体可以执行哪些操作，一个系统或软件产品需要采用何种保护级别，以及当这些需求没有满足时应该采取什么样的措施。策略概括了the expectations that硬件及软件系统在应用中所必需考虑的。
安全模型（security model）概括的描述了正确的支持某种安全策略所必须满足的要求。安全模型深入的阐述了应该怎样开发计算机操作系统，以便正确的支持一种特定的安全策略。
如前所述，计算机安全由一下几个主要特性构成
CISSP一次性考试通过者整理的备考资料-最后一轮冲刺复习9月1日～9月4日
今年9月12日一次性考试通过，抽出3个月时间复习了相关资料，现在发布自己根据AIO EN 4th和prep guide整理的复习资料。
最后一轮复习看的（大约15天）
包含访问控制、法律道德调查、安全管理等内容。
一． 几个国际标准
1. COSO 内部控制整体框架
Control environment
Risk assessment
Control activities
Information& communication
Monitoring
2. ITIL Information technology infrastructure library
&
CISSP一次性考试通过者整理的备考资料-最后一轮冲刺复习8月28日～8月31日
今年9月12日一次性考试通过，抽出3个月时间复习了相关资料，现在发布自己根据AIO EN 4th和prep guide整理的复习资料。
最后一轮复习看的（大约15天）
包含BCP、物理学、运行安全等内容。
一. BCP:business planning in terms of project scope and planning, business impact analysis, recovery strategies, recovery plan development,and implementation.
二. DRP:The candidate should understand disaster recovery in terms of recovery plan development, implementation and Restoration.”
三.BCP的过程包括
1.Scope and
CISSP-CIW中文学习手册 – PDF电子书下载
网络安全与防火墙篇
第一章 什么是安全？
安全是什么
风险
百分之百的安全
安全即寻求平衡
建立有效的安全矩阵
保护资源
终端用户资源
网络资源
服务器资源
信息存储资源
偶然的破坏者
坚定的破坏者
安全标准
安全服务
安全机制
额外的安全标准
第二章 安全的基本元素
安全的基本元素
安全策略
系统分类
明智地为系统分类
资源优先级划分
指定因数
宣言可接受和不可接受活动
将策略应用到资源上
定义教育标准
谁负责管理策略
加密
加密类型
社交工程和非直接攻击
打电话请求密码
伪造EMAIL
拒绝服务攻
2008年度CISSP考试通过者总结CISSP复习备考经验五
主考官好像是香港过来的，宣读考场纪律和答题卡填写方法都是用的英文，竟然都不用中文重复的。。。听得我一愣一愣的。同考场还是有几位牛人的，提问也是用的英文，让我很是bs了一下自己的英文水平。
考试过程也没什么好说的，需要注意的还是做题的速度，虽然6个小时看上去很长[FS:PAGE]，但是平均到250道题上就没有多少了。题目可以用书来形容，将近60页。我没有听从前辈的建议，在一些题目上浪费了太多的时间，基本是遇到生词就去查词典，结果导致最后剩1个小时的时候，还有将近30道题没做，答题卡也没涂。期间坐在我旁边的牛人朋友，提前将近2个小时交卷了，急得我洗手间都不敢上了，6个小时只去了一次。。。匆匆做完剩下的题目，涂好答题卡，就只剩了10分钟。只能匆匆的看了前面的几道不确定的题目，一共改了3道题，后来发现这3道题全部改错。。。看来还是第一感觉比较准确。回想起来可能幸好时间不够，没有进行更多的检查和修改，要不然很有可能把考试通过改成不通过了。
总体感觉这次考试和前辈们说的一样，模
2008年度CISSP考试通过者总结CISSP复习备考经验二
总结一下：
1.时间比较充裕的话，AIO最好还是看看，至少一遍吧。这本书理论联系实际，讲的非常精彩，就算不考cissp，用来补充知识，对于今后的工作也是很有用的。我看英文的速度不算快，大概是一小时12页，平均5分钟一页。AIO4一共1200页出头，这样一共需要100个小时左右，每天看3个小时的话，一个月左右应该能看完。实际看的时候，因为比较熟悉的知识点可以跳过，因此还可以更快点。我当时整个Telecommunications and network security一章就跳过了没看。
2.prep guide一定要看。AIO东西太多了，看一遍的话，很多知识点只是有个印象，很难理出头绪。prep guide则简洁的多。建议复习的时候，可以在倒数第二个星期看prep guide。我看的是gold edition，每天2，3个小时，花了一个星期看完。看完之后可以结合notes把知识点从头到尾梳理一遍，一些重要知识点最好背一下，这大概花2~3天时间,之后可以做些题目找找感觉，
2008年度CISSP考试通过者总结CISSP复习备考经验三
先说一下我自己的背景工作6年，熟悉系统，熟悉网络，有一些安全相关的工作经验，英语一般。
复习经验，首先我先从论坛里面看了半个月别人的经验，最终决定书只看all in one。 复习时间最终冲刺大概2个多月，最后2周请假在家看书。准备其实有大半年的时间，开始按照前辈建议看了视频的讲座每章大概3，4个小时，现在好像有新版的视频资料在very cd上可以下载。主要是先培养一下各个domain的感觉，只是走马观花的过了一遍。后面把all in one 第三版打印出来。开始精读了一遍，这一遍花费时间特别长，时间也很松散大概有2个多月，上班没事情的时候，下班吃完饭就读读。我这一遍主要是知识型学习，把知识点学习一遍，经常在电脑上看电子档，用金山看不会的单词意思快一点，笔迹可以记在打印版本上面。后面就开始看题目每一章只看了大概70道题目，因为前辈们说看题似乎不重要。不过我认为还是要看一点题目一则检查知识点的学习情况再者培养一点做题感觉。之后带着问题又看了一遍书大概花费了10多天。最后考试前5天看
2008年度CISSP考试通过者总结CISSP复习备考经验四
从去年开始，就下定决心去考考CISSP。由于不用自己出钱，去参加了一个培训。我认为如果是参加考试，如果是自己出钱，根本没必要去参加培训。如果实在要参加培训，请在考试前参加培训效果要好一点。当然如果有钱没地方花或者公司就要出钱让你去培训CISSP，那就去感受感受吧。
过年后，大致3月份开始，就开始着手看All In One 4th，由于没有太多把握，主要还是没有看完AIO，就放弃了4月12号的考试。大致花了2个月的时间看完了AIO（由于只能在上班时间看书，晚上基本上没有时间看书。），就开始做了cccure.org上的一些习题。正确率大致是70%左右，由于cccure上的习题都基本上是出自prep guide上的，又花了1个月的时间把prep guide看了一遍。这时已经到了6月份了。看完这两本书后，感觉Prep guide更有条理性，而且明了，就大致花了一个星期把prep guide看了第二遍。这时已经是6月中旬了。
2008年度CISSP考试通过者总结CISSP复习备考经验五 – 会员资料
主考官好像是香港过来的，宣读考场纪律和答题卡填写方法都是用的英文，竟然都不用中文重复的。。。听得我一愣一愣的。同考场还是有几位牛人的，提问也是用的英文，让我很是bs了一下自己的英文水平。
考试过程也没什么好说的，需要注意的还是做题的速度，虽然6个小时看上去很长[FS:PAGE]，但是平均到250道题上就没有多少了。题目可以用书来形容，将近60页。我没有听从前辈的建议，在一些题目上浪费了太多的时间，基本是遇到生词就去查词典，结果导致最后剩1个小时的时候，还有将近30道题没做，答题卡也没涂。期间坐在我旁边的牛人朋友，提前将近2个小时交卷了，急得我洗手间都不敢上了，6个小时只去了一次。。。匆匆做完剩下的题目，涂好答题卡，就只剩了10分钟。只能匆匆的看了前面的几道不确定的题目，一共改了3道题，后来发现这3道题全部改错。。。看来还是第一感觉比较准确。回想起来可能幸好时间不够，没有进行更多的检查和修改，要不然很有可能把考试通过改成不通过了。
总体感觉这
CISSP考试通过者回顾总结6月28日上海CISSP考试 – 会员资料
一、考场感受
本次考试大约30几个考生。邮件通知9：00开始开始，要求提前半个小时进考场。监考老师8：30左右到考场，在座位上帖上事先编排的编号，然后考生凭相关邮件以及身份证件依次到老师处验证身份，获得事前已经确定好的编号，并对号入座。
从所有考试手续办理好、试卷发好、及考试信息填写好后的时间点开始考试，考试为6个小时。
由于题量较大，感觉时间过得很快，没有出现疲劳感、一直在做题。准备了一些食品，如巧克力、小面包和饮料。因不敢浪费时间，考试期间仅仅吃了几口巧克力，喝了半瓶饮料，不过也没觉得饿，考试结束后才有饥饿感。
顺次做题，遇到一时拿不稳的或感觉需花费较多的时间的，在试卷上做好记号临时跳过，或先临时选择一个选项，待后续回顾。大约提前45分钟左右做完250道题。略微松口气，开始复查。主要检查答题卡涂写是否有误，对拿不稳的题目重点回顾，对未作答的题目作答。
考试期间每次只允许一个人去洗手间，先在老师处签名并记录
CISSP国际组织 http://www.isc2.org
华安信达培训 http://www.chinacissp.com
CISSP Resources http://www.cccure.org
2008年度CISSP考试通过者总结CISSP复习备考经验一
从打算想要考到pass通过，一共三个月吧。
其实很早就知道cissp，不过因为太懒，一直都没动过想要考的念头。3月底4月初，很偶然得到一个机会参加了谷安的cissp的培训。培训之后，对cissp的认识加深了一层，发现好像也并不是什么高高在上的东西，要么就试一试吧？
于是开始复习，主要的资料是AIO4以及prep guide gold。
其中，AIO断断续续大概花了一个多月的时间看完了一遍。之后因为种种原因，中断了一阵，等到发觉时间不早的时候，离考试只有2周不到了，犹豫了一下，最后还是决定报名考试，由于已经不到16天，又多花了几百大洋，心痛啊
这时候要重看AIO已经来不及了，发现prep guide好像内容少得多，那就是它了，花了一周的时间看完，把后面的sample question做了一遍，感觉还行，不由得有点飘飘然(其实这些题目是最简单的，只是帮助复习知识点，跟实际的考题还是差的挺多的)。
这时剩一周左右，盘算了一下，做做题目，
CISSP 2008年剩余考试时间安排
2008年CISSP中国大陆的考试日期目前还有以下几次：
北京：9月20日 12月13日
上海：11月1日
广州：7月19日
提前16天以上报名499美元
提前16天以内报名599美元
CCCURE培训网站里关于信息安全管理的一道题的解题分析
What is the main purpose of Corporate Security Policy?
A:to transfer the responsibility for the information security to all users of the organization
B:to communicate managements intentions in regards to information security
C:to provide detailed steps for performing specific actions
D:to provide a common framework for all development activities
选什么？为什么？
我也觉得是B。Policy 吗，应该是条文、规定类的。
我的分析
A.
CISSP考试通过者回顾总结6月28日上海CISSP考试
一、考场感受
本次考试大约30几个考生。邮件通知9：00开始开始，要求提前半个小时进考场。监考老师8：30左右到考场，在座位上帖上事先编排的编号，然后考生凭相关邮件以及身份证件依次到老师处验证身份，获得事前已经确定好的编号，并对号入座。
从所有考试手续办理好、试卷发好、及考试信息填写好后的时间点开始考试，考试为6个小时。
由于题量较大，感觉时间过得很快，没有出现疲劳感、一直在做题。准备了一些食品，如巧克力、小面包和饮料。因不敢浪费时间，考试期间仅仅吃了几口巧克力，喝了半瓶饮料，不过也没觉得饿，考试结束后才有饥饿感。
顺次做题，遇到一时拿不稳的或感觉需花费较多的时间的，在试卷上做好记号临时跳过，或先临时选择一个选项，待后续回顾。大约提前45分钟左右做完250道题。略微松口气，开始复查。主要检查答题卡涂写是否有误，对拿不稳的题目重点回顾，对未作答的题目作答。
考试期间每次只允许一个人去洗手间，先在老师处签名并记录离开教室时间，回来后再次记录
CISSP考试收费表20080508
cissp-exam_pricing-20080508.pdf
Examination Pricing
CISSP or Associate of (ISC)2 Exam (6-hour)*
CISSP-ISSAP/ISSEP/ISSMP (ISC)2 Exam (3-hour)*
SSCP or Associate of (ISC)2 Exam (3-hour)*
CAP (ISC)2 Exam (3-hour)*
Americas – all other regions not listed below
Early Registration USD 549 USD 399 USD 419 USD 419
Standard Registration USD 599 USD 449 USD 469 USD 469
Asia-Pacific
Early Registration USD 549 USD
CISSP考试收费表20080418
cissp-exam_pricing-20080418.pdf
Examination Pricing
CISSP or Associate of (ISC)2 Exam (6-hour)*
CISSP-ISSAP/ISSEP/ISSMP (ISC)2 Exam (3-hour)*
SSCP or Associate of (ISC)2 Exam (3-hour)*
CAP (ISC)2 Exam (3-hour)*
Americas – all other regions not listed below
Early Registration USD 499 USD 349 USD 369 USD 369
Standard Registration USD 599 USD 449 USD 469 USD 469
Asia-Pacific
Early Registration USD 499 USD 349 US
CISSP复习笔记模板-访问控制笔记
访问控制
本章您将学到如下知识：
识别（identification）的方法和技术
认证(authentication）的方法、模式和技术
选择的（discretionary），强制的（mandatory）和非选择的（nondiscretionary）的模式
可追溯性（可记帐性accountability），监控和审计实践
发射（emanation）安全和技术
入侵检测系统（IDS, Intrusion detection systems）
对访问控制可能的威胁的实践和技术
信息安全建立的基础在于如何控制访问自身资源以保护他们免受未授权的修改（modification）或者披露(disclosure)。访问控制方法实质上可以通过技术的，物理的和管理的层面进行。
一．访问控制概述Access Controls Overview
访问控制是一种安全手段，控制的是不同用户或者系统之间的通信和交互；保护系统或资源免受未授权访问；在认证（authentication）流程成功完成授权用户的权限水平(the level of authorization)。虽然我们将用户当作一个需要访问信息和网络资源的实体（entity）,但是还有其他类型的实体要求访问其他的信息资源，资源是访问控制中的客体（object），在访问控制的环境(context)中了解客体（object）、主体(subject)的定义是十分重要的。
访问（access）是主客体之间的信息流动，主体（subject）是一个主动（active）的实体,它要求访问客体(object)或者客体包含的数据。主体可以是用户（users）、程序（program）、需要调用客体以完成任务的流程（process）；客体（object）是一个包含信息的被动（passive）实体。客体可以是电脑、数据库（database）、电脑程序、文件、目录（directory）以及数据库中内置在一个表（table）中的field(field contained in a table within a database)。
例子：当一个程序访问一个文件时，程序是主体，文件是客体
又如： 一个用户要访问一个数据库，这个时候用户就是主动的实体而数据库则是被动的
访问控制采用的机制很广泛，使用对电脑系统，网络和信息使用安全手段（feature），访问控制非常重要因为他是阻止未授权访问的第一道防线之一。当用户登陆系统并随后尝试访问一个文件，这个文件的访问控制列表（ACL access control list）中应该有此用户或这个用户所在的组（groups），这个是另外一个形式的访问控制，用户被允许和其权限取决于其身份（identity）、许可（clearance）和其所在组（group membership）。访问控制给了机构保护、通知、限制和保护CIA的能力。
二．安全原则
任何安全控制的三个主要的安全原则是：
可用性（vailability）
完整性（integrity）
保密性（Confidentiality）
这些原则在第三章已经提过了，AIO 的每一章都会以不同的方式体现这三个原则。本章研究的是通过访问控制如何影响和保护CIA原则的方法。
我们所采用的每一个控制都能够影响CIA中至少一个原则，对于安全从业者（security professionals）来说了解所有可能保护和巧取（circumvented）安全原则的方法是十分必要的。
（一）可用性 availability
用户要求大多数信息，资源和系统必须是及时的（timely manner）以使得生产力不会受到影响；所访问的信息只有在其无法访问（inaccessible）的时候才显示出其重要性（管理者会体会到当一个重要的文件服务器无法正常使用）。容错和恢复机制(Fault tolerance and recovery mechanisms)将用来保证资源可用性的连续，如果要求的数据不能得到的话对于生产力的影响是显而易见的。
信息有很多属性（attribute），例如准确性（accuracy）,相关性（relevance）,合时性（timeliness）和私密性（privacy）。用户往往只是关注其中几个属性。
例如：一个股票交易者往往只是关注数据的准确性和及时性以便他能够及时在正确价位买卖，而不管其信息的隐私性；而饮料公司关注的是配方（recipe）的保密性。
（二）完整性 Integrity
信息必须是准确的，完整的（complete）和免于未授权更改。当一个安全方法作用于完整性的时候，它保护数据或者资源免于未授权形式的更改。如果任何非法（illegitimate）的变动确实发生了，安全方法必须以同样的方式提醒用户或者管理者
例如：当一个用户对其网上银行帐号（online bank account）发送一个请求要支付水费，银行需要确认这个交易的完整性在交易期间没有收到警告，因此用户不会结束支付水电局。
数据的完整性是十分重要的，试想当一个寄给美国总统的机密的电子邮件被截留发生了变动，而此变动是安全方法不允许，它本来应该警告总统这些消息已经更改了却没有警告，后果是非常严重的。
（三）机密性 confidentiality
机密性是一种信息不会被透露给未授权主体（个人，程序，进程）的保证。一些信息比另外一些信息要求有更高的敏感度，相应的也要求更高水平的机密性。需要有安全方法来声明WHO谁可以访问数据，还有一旦主体获得访问权可以做什么HOW,这行行动需要被审计，监控和控制。
被当作机密资源的例子：医疗记录、金融帐号信息、犯罪记录、源代码（resource code）、商业秘密（trade secrets）和军事战略计划等。
相应的安全方法的例子：加密（encryption）、逻辑和物理访问控制、交易协议（transmission protocol）、database views和受控的数据流(controlled traffic flow）。
对一个公司来讲识别出数据的分类是十分重要的，这样可以保证公司采用最优先的安全方法来保护最高安全等级数据以使其机密性得到保护。如果这种敏感程度高的信息没有被单独区分开来的话，将会耗费巨大的时间和人力物力保护其安全性。当在交换商业秘密，客户信息或从事金融交易时有必要在机构间搭建VPNs（virtual private networks）或者通过IP sec加密协议(encryption protocol)来加密所有的传递消息。这需要花费相当数量的硬件，人力，金钱和企业管理费用（overhead）。所以对于数据的保护应该首先识别出数据的敏感性和敏感程度，然后执行与之相应的安全措施
不同的安全技术适用于不同层次的CIA。环境、将要施行保护的数据分类的方法、安全目标等必须经过评估（evaluate）以确认公司已经购买了合适的安全技术并将其合理应用（put into place）。许多的公司花费了大量的时间和财力而没有采取以上的步骤，反而代之以购买现在冲击市场的名头较响的产品（gee whiz）。
三．识别idenfication，认证authentication，授权autorization和可追溯性accountability
（略）
CISSP-CIW中文学习手册下载
目录
网络安全与防火墙篇
第一章 什么是安全？
安全是什么
黑客活动
风险
百分之百的安全
安全即寻求平衡
建立有效的安全矩阵
保护资源
终端用户资源
网络资源
服务器资源
信息存储资源
黑客的分类
偶然的破坏者
坚定的破坏者
间谍
安全标准
安全服务
安全机制
额外的安全标准
第二章 安全的基本元素
安全的基本元素
安全策略
系统分类
明智地为系统分类
资源优先级划分
指定因数
宣言可接受和不可接受活动
将策略应用到资源上
定义教育标准
谁负责管理策略
加密
加密类型
认证
What you know
What you havc
智能卡
Who you are
Where you are
特殊的认证技术
Kerberos
一次性密码 OTP
访问控制
访问控制列表 ACL
执行控制列表 ECL
审计
第三章 应用加密
加密的优势
加密强度
建立信任关系
ROUNDS,PARALLELIZATION 和强度加密
对称加密
对称加密算法
数据加密标准
TRIPLE DES
对称算法由 RSA 安全公司创立
RC6
BLOWFISH AND TWOFISH
SKIPJACK AND MARS
高级加密标准
非对称加密
非对称密钥加密元素
HASH 加密
HASH 算法
安全 HASH 算法 SHA
应用加密的执行过程
电子邮件 E-MAIL
PRETTY GOOD PRIVACY(PGP)
Secure MIME(S-MIME)
加密文件
MD5SUM
WEB 服务器加密
SECURE HTTP
安全套接字层(SSL)
网络级协议
虚拟专用网络(VPN)协议
PPTP 与 IPSEC 在安全性上的比较
保护与服务
公钥体系结构(PKI)
第四章 典型的攻击方式及安全规则
前门攻击和暴力攻击
字典程序攻击
CISSP之信息安全和风险管理-复习资料下载
信息安全和风险管理
（Information Security and Risk Management）
本章学习如下内容：
安全管理职责（Security management responsibilities）
管理、技术和物理控制之间的区别
安全三要素（Three main security principles）
风险管理和风险分析（Risk management and risk analysis）
安全策略（Security policies）
信息分级（Information classification）
安全教育培训（Security-awareness training）
安全管理是公司计算机和信息安全的核心内容
安全管理（Security Management）
安全管理包括风险管理、信息安全策略、规程、标准、基线、信息分级、安全组织和安全教育。
安全管理过程是一个循环过程：一是风险评估和需求确定；二是对对相关系统和行为的监控、教育；三是提高安全意识；最后是针对第一步确定的风险和需求实施策略和控制措施。如此循环往复。
1、安全管理职责（Security Management Responsibilities）
管理的功能包括决定目标、范围、方针、优先级和战略。
安全需要得到最高管理层的重视，IT管理者可以就安全问题与其商议，但是公司的安全却不是她能解决的问题
安全管理的职责是为其负责的资源和整个公司提供保护
2、自顶向下的方法（The Top-Down Approach to Security）
构建安全体系如同盖房，需要用字上向下的方法，就是指创意、支持、命令都要来自于最高管理层，该计划向下进行到中级管理层，然后再普及到员工。
CISSP之安全体系和设计-复习资料下载
如前所述，计算机安全由一下几个主要特性构成：
1、可用性（availability）2、完整性（integrity）3、安全性（confidentiality）
这些主要特性可再分出更细的安全特性，例如真实性（authenticity），可追溯性（accountability），不可抵赖性（non-repudiation）和可靠性（dependability）。
这些安全特性有些需要在一个产品的设计和建立体系结构之前以及期间就要考虑号。如果安全性扎根于操作系统和应用的基础之中，而不是作为亡羊补牢的结果增补上去的，那么这样的安全性就是最佳的。一个产品的安全性必须就其所声称的安全性、完整性和可用性评定等级。
计算机体系结构（computer architecture）
计算机体系结构包括操作系统、存储器芯片、逻辑电路、存储设备、输入输出设备、安全部件、总线以及网络部件。
中央处理器单元
CPU可以从内存中读取指令并执行它们。尽管CPU是一个硬件，但是它有自己的指令集以实现其功能。不同类型的CPU有不同的结构和指令集。操作系统必须根据不同体系CPU进行设计。这就是为什么一个操作系统可以工作在奔腾处理器上却不能运行在SPARC处理器上。CPU根据不同电压表现的0/1电信号来实现操作。CPU中包含的寄存器指向存储器中即将执行的下一条指令的位置，并且使得CPU能够保持需要处理的数据的状态信息。
实际执行指令的部件是算术逻辑单元（arithmetic logic unit,ALU）。ALU对数据进行数学函数运算和逻辑操作。
软件将其指令和数据存放在存储器中。当需要对数据进行操作时，指令及数据的地址被传送到CPU的寄存器。当控制单元指示CPU对其进行处理的时候，指令及数据的地址传送至CPU进行实际的操作，数据计算和数据操作。结果发送至所需程序的存储器地址。
操作系统和应用程序都是由一行行的指令构成。这些指令包含了一些空变量，这些空变量用来存储实际的操作数据。这是指令和数据的区别。指令用来完成对数据的某些操作功能。
当不同的应用程序代码及操作系统指令同时执行，由控制单元(control unit)管理并保持系统的同步。控制单元用来获取代码、中断代码，并检查不同指令单元的执行。它决定要处理哪些应用指令，以及执行优先级和什么时间片内处理。它控制着什么时候执行指令，并决定在执行过程中何时使应用程序处理数据。控制单元实际上并不处理数据。它就像交警，告诉车流什么时候停，什么时候开。
一个CPU时钟周期被分为许多时间片，并以这些时间片为基本时间单元执行操作。这使人们误以为CPU在同一时间执行了多个操作。当操作系统进行多任务（multitasking）操作时，实际上CPU是以连续的方式来执行的。
CPU拥有几种不同类型的寄存器，用来存储需要被执行和操作的指令集和数据。
通用寄存器（general registers）用来存储变量和ALU在运算工程中产生的临时结果。通用寄存器就像是ALU在运行过程中的便笺本。
专用寄存器（special registers）用来存储程序计数器（program counter），堆栈指针（stack pointer）以及程序的状态字（PSW）。
CISSP考试一次性通过-AIO+Prep Guide知识点详解-运行安全
CISSP考试一次性通过-AIO+Prep Guide知识点详解-运行安全部分，
攻击：
1.slamming:未经过用户同意，更改了其服务提供商
2.cramming：未经用户同意增加服务，而多收费用。
二.penertration testing 渗透测试
1.discovery
2.enumeration
3.vulnerability mapping
4.exploitation
5.report
方法：
blind:测试人员只有公开数据，安全人员事先知晓
double-blind：测试人员只有公开数据，安全人员事先不知晓
targeted test:基于特定目标
三.symbolic links
symbolic link 连接的是文件名，可以跨文件系统建立连接.造成非授权访问
hard link连接的是inode，只能在同一文件系统
CISSP一次性通过的牛人在备考CISSP考试的时候根据AIO 第四版英文和Prep Guide英文版整理的读书笔记，是CISSP资格认证考试复习所用材料的精华，适合前3个月备考复习使用。是极其有价值的复习资料。
CISSP考试一次性通过-AIO+Prep Guide知识点详解-网络和远程通信
CISSP考试一次性通过-AIO+Prep Guide知识点详解-网络和远程通信部分，
1.Firewalls防火墙
1.防火墙用于不同的网络之间限制访问。大多数公司使用防火墙在因特网和内部网之间加限制。他们也可以在子网之间使用防火墙。
2.防火墙装置支持和增强公司的网络安全策略。一个机构的安全策略通过限制和接受行动来提供高水平的指示。防火墙提供了颗粒度更高的更有用的安全策略。指示可以访问哪些服务、允许哪些IP地址范围、端口。防火墙被称为网络的“chock point”.因为所有的通讯必须经过它接受检查和限制。
3.防火墙可以是路由器,服务器,特定的硬件设备，监控流经它的数据包,过滤掉不符合安全策略要求的数据包。可以discard包,repackage,重定向,这些依靠防火墙的配置和安全策略.基于源/目的地址和端口,并通过服务,数据包类型,协议类型,报头信息,序列号等过滤数据包。可以使用特定的功能和参数来识别和访问限制。
4.许多时候,公司构建防火墙,建设DMZ非军事区 demilitarized zone.DMZ. DMZ是一个位于受保护和不受保护网络之间的网段上，提供了一个缓冲区。DMZ通常安装两个防火墙,DMZ之中通常含有web,mail,DNS服务器；这些服务器必须是得到安全加固的。许多DMZs可能安装有 IDS传感器监听恶意可以的行为。
5.防火墙类型很多,因为每一个不同的环境的安全需求不一样，防火墙发展成为复杂度和功能性强的工具。
6.防火墙工具有以下几种类型:
1)packet filtering
2)stateful
3)proxy
4)Dynamic packet filtering
5)kernel proxy
7.我们将研究三种主要类型的防护墙架构:
1)screened host
2)dual-home
3)screened subnet
然后我们将研究honeypot
(一)包过滤防火墙 packet filtering-1代
1.使用ACLs来控制数据出入。ACLs are lines of texts,称为规则。ACLs适用于防火墙,防火墙处理所有流经它的数据包，每一次防火墙收到一个包,将把包报头的信息与每行ACLs进行比较。
2.过滤基于的是网络层信息,这意味着防火墙看不到数据包本身,只是基于header报头信息判断。大多数路由器使用ACLs执行防火墙功能,使用路由表执行的是路由决定；包过滤只是看数据包报头信息,不依赖应用,比不上代理防火墙.包过滤也不跟踪连接状态。
3.包过滤防火墙的缺点:
CISSP一次性通过的牛人在备考CISSP考试的时候根据AIO 第四版英文和Prep Guide英文版整理的读书笔记，是CISSP资格认证考试复习所用材料的精华，适合前3个月备考复习使用。是极其有价值的复习资料。
CISSP考试一次性通过-AIO+Prep Guide知识点详解-BCP、DRP
CISSP考试一次性通过-AIO+Prep Guide知识点详解-BCP、DRP部分，一. BCP:business planning in terms of project scope and planning, business impact analysis, recovery strategies, recovery plan development,and implementation.
二. DRP:The candidate should understand disaster recovery in terms of recovery plan development, implementation and Restoration.”
三.BCP的过程包括
1.Scope and plan initiation
2.Business Impact Assessment (BIA)
3.Business continuity plan development
4.Plan Approval and implementation
四.DRP包括如下过程
1.Disaster Recovery Planning (DRP) processes
2.Testing the disaster recovery plan
3.Disaster recovery procedures
五.BCP的主要目的是保证Critical business functions在紧急情况下能够继续运行;DRP涉及为灾难做准备,也涉及在灾难发生时和发生后所要遵循的流程.
CISSP一次性通过的牛人在备考CISSP考试的时候根据AIO 第四版英文和Prep Guide英文版整理的读书笔记，是CISSP资格认证考试复习所用材料的精华，适合前3个月备考复习使用。
CISSP考试一次性通过-AIO+Prep Guide知识点详解-安全管理
CISSP考试一次性通过-AIO+Prep Guide知识点详解-安全管理部分，
雇员应该意识到加固信息安全以及保护公司信息资产的必要性，操作员应该得到培训以安全的完成他们的工作；安全从业者应该得到培训以执行和维护必要的安全控制。
一.awareness意识
1.general collective awareness
应该简单直接明确，不要包含太多专业术语
形式：
1）live/interface presentations：讲座，视频，计算机基础培训
2）publishing/distribution：posters，company newsletters，bulletins，intranet
3）incentives：对安全相关的事务的奖励和认可
4）reminders：登陆警示，marketing paraphernalia
必须保持安全提醒的新鲜感
二.training and education 培训和教育
CISSP一次性通过的牛人在备考CISSP考试的时候根据AIO 第四版英文和Prep Guide英文版整理的读书笔记，是CISSP资格认证考试复习所用材料的精华，适合前3个月备考复习使用。
CISSP考试一次性通过-AIO+Prep Guide知识点详解-安全架构
CISSP考试一次性通过-AIO+Prep Guide知识点详解-安全架构部分，
1.C I A 可以在公司的不同地方执行。例如公司可以保存客户信用卡信息到一个很多用户可以访问的数据库中，这些信息要求得到合理保护，需要经过很多的考虑。同样的问题在建立OS时同样被提及。安全机制可以设置在硬件、kernel、OS、services、program层。如果设置在硬件层，将会提供一个广范围的保护，因为提供了所有工作在物理层上的组件的安全基准。如果保护机制接近于用户，安全应该是更为面向细节和关注细节。
2.无论安全机制设置在OS基础架构的哪个层次，安全机制越复杂，其提供的保证度就越低。因为越复杂的机制需要使用者的理解程度更高。而低复杂度的机制在其功能性上提供不足。所以要在功能性和安全性之间要做平衡。
3.一旦设计者决定了如何关注安全(users、operation、data),设置在哪一层(hardware、kernel、OS、services、program),每个机制的复杂度，他们需要建立和整合机制到整个的系统架构中。
4.首先设计团队需要判断哪些系统机制设置在ring 0，然后判断这些不同的代码模块如何在安全方式下工作。要信任一个机制，需要精确和安全方式下执行机制，不能负面影响其它可信或者不可信的机制。
一. defined subsets of subjects and objects定义不同的主体和对象子集
1.不是所有的组件都是可信的，不是所有的组件都处于可信计算基TCB中，TCB是计算机系统中所有保护机制的结合。TCB包括hardware、software、firmware.这些是TCB的一部分，因为系统确认这些组件会加强安全策略而不会破坏它。
2.TCB中的组件应该识别并定义他们可接受的能力。例如一个不需要高级别可信的系统可能允许所有的认证用户访问和更改计算机中的所有文件。主体和对象的子集很大，而且关系松散。要求更高可信级别的系统可以设置只允许两个主体访问所有的计算机系统文件，允许一个用户更改文件。 subset更小，而执行的规则更为严格和细化。
3.如果开发者想要开发一个满足低保证度的系统，那么TCB中的成分就不是那么重要了，因为系统本身不提供一个更高的安全性。然而如果想要开发一个高安全保证的系统，那么需要确保TCB中所有的组件正当执行任务。TCB组件需要实施严格的规则限制主客体之间的交互。需要识别，审计这些组件。
CISSP一次性通过的牛人在备考CISSP考试的时候根据AIO 第四版英文和Prep Guide英文版整理的读书笔记，是CISSP资格认证考试复习所用材料的精华，适合前3个月备考复习使用。是极其有价值的复习资料。
CISSP考试一次性通过-AIO+Prep Guide知识点详解-法律道德
CISSP考试一次性通过-AIO+Prep Guide知识点详解-法律道德部分，
一.ISC组织的道德法典 Code of Ethics 如果一个CISSP故意破坏这个法典，那么将会被业者委员会检查是否收回证书
公司应该有一个计算机和业务道德的指引,可以是雇员手册,
二.计算机道德机构的10条计算机道德戒律commandments
1.不应使用计算机伤害别人
2.不应干扰他人的计算机工作
3.不应snoop窥探他人的计算机文件
4.不应使用计算机来盗窃
5.不应使用计算机来bear false witness 做伪证
6.不应不花钱就使用别人的产权软件
7.不应未经允许使用别人的计算机资源
8,不应不恰当使用他人的知识产出
9.应该考虑自己设计开发的程序的社会后果
10.应该总是采用考虑和尊重他人意愿的方式使用计算机
三.internet architecture board IAB的因特网道德ethic and internet
是一个用于因特网涉及,开发,管理的合作委员会
IAB认为以下是不道德的
1.故意获取对因特网资源的非授权访问
2.干扰因特网的正常使用
3.故意浪费资源
4.破坏计算机的信息的完整性
5.入侵别人隐私
6.采取负面的方法进行因特网范围内的试验
CISSP一次性通过的牛人在备考CISSP考试的时候根据AIO 第四版英文和Prep Guide英文版整理的读书笔记，是CISSP资格认证考试复习所用材料的精华，适合前3个月备考复习使用。是极其有价值的复习资料。
CISSP考试一次性通过-AIO+Prep Guide知识点详解-访问控制
CISSP考试一次性通过-AIO+Prep Guide知识点详解-访问控制部分，
一.生物学中的两种错误类型：
Type I error（错误拒绝率false rejection rate）:当生物测定系统阻止了一个已获得授权的用户
TYPE II error（错误接受率false acceptance rate）:系统接受了本应被拒绝的冒充者（impostor）
我们评价不同的生物测定系统时常用的一个参数是交叉错误率CER (crossover error rate)。这个比率指的是一个系统中的两种类型错误相同时的比率。CER越低，系统的准确性就越高。
CER通常也称为相同错误率EER equal error rate
二.一次性密码
同步和异步
同步：相同密钥用于加解密
1)基于时间，时钟同步 key 加密时间生成密码，密码输入被解密，比较时间
2)基于事件：手动触发口令装置的按键
异步；使用异步口令生成方法的口令装置使用了一套质询/应答（challenge/response）方式来认证。
CISSP一次性通过的牛人在备考CISSP考试的时候根据AIO 第四版英文和Prep Guide英文版整理的读书笔记，是CISSP资格认证考试复习所用材料的精华，适合前3个月备考复习使用。是极其有价值的复习资料。
CISSP考试一次性通过-AIO+Prep Guide知识点详解-加密学
CISSP考试一次性通过-AIO+Prep Guide知识点详解-加密学部分，
一.加密学定义
1.将plaintext转换成ciphertext。提供加解密的系统或者产品称为cryptosystem加密系统，使用必要的加密算法，key，软件组件和协议。加密系统的组成部分4个
2.一般来说加密算法是公开的，秘密在于key密钥，key是一长串随机bits， 一个算法包含了一个密钥空间keyspace。包含了一系列数值可以构建key.当算法要生成一个新key.使用这个空间中的随机数值。
二.加密系统的强度：也成为work factor 工作因子：是预估攻击者的努力和资源用于渗透一个加密系统
1.加密方法的强度来自于算法，key的秘密性、长度，初始向量，以及他们的协同性。
2.保护机制的强度来自于所要保护数据的敏感性。
3.一个良好的加密系统包括:没有缺陷的算法,长key size,使用keyspace里面的所有可能数值,保护实际的key
三.加密系统的服
1.机密性
2.完整性
3.认证
4.授权
5.抗抵赖
军事要求机密性高一些,金融机构要求机密性,但是也关心完整性;法律机构更关心受到消息的认证
CISSP一次性通过的牛人在备考CISSP考试的时候根据AIO 第四版英文和Prep Guide英文版整理的读书笔记，是CISSP资格认证考试复习所用材料的精华，适合前3个月备考复习使用。是极其有价值的复习资料。
CISSP考试一次性通过-AIO+Prep Guide知识点详解-物理安全
CISSP考试一次性通过-AIO+Prep Guide知识点详解-物理安全部分，
1.CPTED犯罪预防通过环境设计：结合物理环境和社会学，来减少犯罪率以及震慑罪犯
2.safety 和security往往是冲突的，但是第一位的是生命安全
3.HVAC 温度，通风，空调系统 ：提供适宜的温度和湿度，提供闭环空调循环，正气压，通风
4.高湿度引起corrosion,低湿度引起静电
5.灰尘和空气污染物影响计算机硬件,应加以控制
6.接近识别系统分成两个:user-activated 和system-sensing
7.异频雷达收发机transponder是一个接近识别装置,不需要用户行动,读卡器传递信号给装置,装置回应一个access code
8.内部partitions不能到达ceiling,因此攻击者可以去掉天花板从上面爬到保密区域
9.入侵检测装置包括:motion detectors,CCTVs,vibration sensors,electromechanical devices
10.入侵检测装置可以被渗透,安装费用昂贵,监控需要人员响应,而且容易发生错误报警
11.cipher key使用key pad而且可以编程
CISSP一次性通过的牛人在备考CISSP考试的时候根据AIO 第四版英文和Prep Guide英文版整理的读书笔记，是CISSP资格认证考试复习所用材料的精华，适合前3个月备考复习使用。是极其有价值的复习资料。
CISSP考试一次性通过-AIO+Prep Guide知识点详解-应用安全
CISSP考试一次性通过-AIO+Prep Guide知识点详解-应用安全部分，
一.软件生命周期开发过程
1.软件开发的两个基本目标是：开发出符合消费者需求的品质软件；满足成本、时间计划。
2.waterfull 模型 缺乏项目控制 软件开发在开发者只被允许重复上一个阶段的工作时才能被管理，超过一个阶段的返工将难以管理
3.verification 和validation Verification evaluates the product during development against the specification, and validation refers to the work product satisfying the real-world requirements and concepts.Verification is doing the job right and validation is doing the right job.
4.The Spiral 旋转模型。the angular dimension represents the progress made in completing the phases, and the radial dimension represents cumulative project cost.The model states that each cycle of the spiral involves the same series of steps for each part of the project.左下角关注开发计划，然后到左上角定义项目目标、完成项目的可选方法以及这些方法的局限。右上角接下来就是基于项目目标和局限来评估各种可选方法，评估有可能包括：prototyping、modeling、simulation等，这个步骤地目的在于识别和评估风险。一旦这个步骤完成，接下来的遵循传统的生命周期模型方法，右下展示的最终产品的每个部分开发的状态。旋转模型的一个重要概念是左边展示的是完成一个生命周期的主要检查点。
CISSP一次性通过的牛人在备考CISSP考试的时候根据AIO 第四版英文和Prep Guide英文版整理的读书笔记，是CISSP资格认证考试复习所用材料的精华，适合前3个月备考复习使用。是极其有价值的复习资料。
CISSP一次性考试通过者最后一轮冲刺复习资料第一部分
CISSP一次性考试通过者整理的备考资料-最后一轮冲刺复习8月28日～8月31日
今年9月12日一次性考试通过，抽出3个月时间复习了相关资料，现在发布自己根据AIO EN 4th和prep guide整理的复习资料。
最后一轮复习看的（大约15天）
包含BCP、物理学、运行安全等内容。
精炼资料：
1. business case 需要呈现来获得support，通过解释以下
regulatory and legal requirements
exposing vulnerabilities
providing solutions
2. DRP和BCP都应该纳入正式的business decision-making procedures
3. detrimental有害的
4. BCP 计划的test
5. BCP更多关注的是A可用性，而DRP更多关注的是C机密性和I完整性
6. BCP计划
开发BCP statement,policy / project iniation（goal，scope，support）
BIA
现有的控制
开发recovery strategies
开发BCP
Test，drill，training
Maintain the plan
CISSP一次性考试通过者最后一轮冲刺复习资料第三部分
CISSP一次性考试通过者整理的备考资料-最后一轮冲刺复习9月5日～9月11日
今年9月12日一次性考试通过，抽出3个月时间复习了相关资料，现在发布自己根据AIO EN 4th和prep guide整理的复习资料。
最后一轮复习看的（大约15天）
CISSP一次性考试通过者最后一轮冲刺复习资料第三部分资料下载，包含安全架构、加密学、网络安全、应用安全等内容。
难点：
1. 多数数据库有DDL，DML，QL和报表生成器.
2. 每个object 都将自己数据和进程封装起来，提供了data hiding ，不同的object使用message通信标准接口API，对象所能完成的任务是method
3. 数据库的安全问题时aggregation,inference
4. 对象的问题是cohension 内聚和coupling耦合，高cohesion 低coupling是理想的状态
5. ORB object request brokers使得在异构和分布式的环境中管理不同对象的通信
6. CORBA使得不同平台，不同应用，环境中的对象进行通信
7. COM提供在本地系统上的不同对象之间的通信，DCOM提供的是COM相同的interface，使得分布和网络环境中的组件通信
8. ODBC使得不同的应用通过必要的驱动并通过驱动传递数据来和不同类型的数据库进行交互
9. OLE使得一个程序能够call另外的程序，或者使得一段数据插入到另一个程序或文档中
10. DDE通过提供一个IPC机制，使得应用工作在C/S模型下
11. 贝叶斯技术用于分析垃圾邮件中，相关字眼出现的频率来作出判断
12. 攻击方式：smurf利用的是ICMP，fraggle利用的是UDP，两者利用的还有一个大型的网络
13. Normalization is an important part of database design that ensures that attributes in a table depend only on the primary key.
14. A dispersed database involves interconnected and related platforms running the same software and using the same data, one of which is centralized
CISSP一次性考试通过者最后一轮冲刺复习资料第二部分
CISSP一次性考试通过者整理的备考资料-最后一轮冲刺复习9月1日～9月4日
今年9月12日一次性考试通过，抽出3个月时间复习了相关资料，现在发布自己根据AIO EN 4th和prep guide整理的复习资料。
最后一轮复习看的（大约15天）
CISSP一次性考试通过者最后一轮冲刺复习资料第二部分资料下载，包含访问控制、法律道德调查、安全管理等内容。
一.计算机犯罪分为两种： crime committed against the computer / crimes using the computer
1.DoS DDoS
2.密码失窃
3.网络入侵
4.emanation eavasdropping 发散信号窃听 电脑终端发散的radio frequency RF信号。美国政府建立一个tempest工程来解决这个问题，要求处理敏感信息的计算机采用shield屏蔽以及其他的发散减少技术。
5.社会工程：
6.illegal content of material 例如 p -orno-graphy
7.fraud欺诈
8.software piracy 软件盗版
9.Dumpster Diving 从垃圾中得到机密信息
10.malicious code恶意代码：病毒、木马、蠕虫
11.spoofing of IP地址，伪造IP地址
12.information warfare 信息战，攻击信息基础设施以获得信息上的领先
13.Espionage间谍
14.对信息的更改或者破坏
15.使用因特网上可用的攻击脚本
16.Masquerading伪造 伪造成一个高权限用户获得非授权访问
17.embezzlement 挪用
18.Data-Diddling ：篡改数据
19.terrorism恐怖主义。
新技术的快速发展通常超过法律更新速度。另外因特网的发展，造成的跨国界网络犯罪也没有统一标准界定。
二.Law
有很多类型的法律系统：common law， civil law ，islamic和其他宗教法律。 common law主要用于：美国，英国，澳洲，加拿大，civil law用于欧洲