【正文】 aration of Duties and Responsibilities) ? 崗位輪換 (Job Rotations) 應用和系統(tǒng)開發(fā)安全 (CBK4) ? 應用和系統(tǒng)開發(fā)安全（ CBK4） ? 概述 ? 應用和系統(tǒng)開發(fā)安全的控制，以及一些控制，包含在系統(tǒng)和應用軟件和開發(fā)中使用中步驟。這些應用可能在分布式或集中環(huán)境中使用。 ? 應試者應該了解密碼學的基本概念；在應用和使用方面的公鑰和私鑰算法軟件；算法構(gòu)造，密鑰分發(fā)和管理，以及攻擊方法；數(shù)字簽名的應用，構(gòu)造和使用，它提供了電子交易的認證和涉及的當事人的抗抵賴性。在流密碼中，為了最大限度避免相同明文、 key產(chǎn)生相同密碼，引入了初始向量。然后將這些塊分別輸入到加密公式中，并且用 key進行加密，最后生成密文塊。（其中使用了 keystream 產(chǎn)生器）。 密碼學 (CBK5) ? 鏈路和端到端加密 ? 鏈路加密：將數(shù)據(jù)鏈路上傳輸?shù)男盘栠M行安全加密，包括用戶信息、數(shù)據(jù)包頭和尾、路由信息等。需要整個鏈路的數(shù)據(jù)包經(jīng)過的所有節(jié)點設備對加密的數(shù)據(jù)包進行解密、加密過程（需要讀取路由信息）。一般是在應用層面，有更大的靈活性，用戶可以選擇加密哪些內(nèi)容。 ? 密鑰的產(chǎn)生應該由軟件或操作系統(tǒng)自動、后臺完成，而不是由人工執(zhí)行。（應用軟件應該有恢復、備份密鑰的功能） ? 密鑰恢復時需要遵守的流程，并且需要多個人員共同完成密鑰恢復。 。 安全體系模型 (CBK6) ? 主要知識域： ? 安全策略：指導整個企業(yè)進行安全防護出發(fā)點：實體之間如何訪問、防護范圍、安全級別、可接受的風險程度等； 安全策略是企業(yè)建立安全體系模型之前最先需要考慮和確定的部分。這就說明有的操作系統(tǒng)只能在 intel上工作，而不能在 motorola上工作； ? register寄存器是存儲關(guān)鍵信息的，指導 CPU下一步的工作。這樣可以實現(xiàn) “ 多任務同時處理 ” ，實際上是 CPU將其處理能力分為時間片，多個任務輪流調(diào)用 CPU，實際上是每次只能處理一個單獨任務。 ? 操作系統(tǒng)結(jié)構(gòu)：操作系統(tǒng)是管理計算機各種資源（ CPU/RAM/CDROM/IDE硬盤和 I/O設備等）的一種管理軟件，提供人機交互界面的平臺。 ? CPU模式和保護環(huán) ? CPU要在自身的安全性和提供給用戶和應用程序的功能之間平衡 ? CPU有若干個環(huán)模式，這就要求操作系統(tǒng)與其相適應。 0－ 3，其中 0環(huán)級別最高、權(quán)限最大。級別高的主體可以訪問同級、低級的客體；相反則不能訪問。 運維安全 (CBK7) ? 運維安全（ CBK7） ? 概述： ? 操作安全用于識別加在硬件 ， 媒介 (media)和有權(quán)限訪問這些資源的操作員之上的控制 。 ? 了解必須被保護的資源 ， 必須被限制的特權(quán) ， 可用的控制機制 ， 對訪問的潛在濫用 ， 適當?shù)目刂坪秃玫膶嵺`準則 。 BCP和 DRP涉及對特定動作的準備，測試和更新，以保護關(guān)鍵商務過程不受主要系統(tǒng)和網(wǎng)絡失敗的影響。它處理自然的和人為的事件，以及如不迅速有效的處理而產(chǎn)生的后果。這些影響可能是金融上的，在金錢方面的損失，或運作上，沒有能力交付。災難性恢復計劃的首要目標是在退化的模式下 (in a degraded mode)提供處理基本任務應用的能力，并在合理的時間內(nèi)回到正常的操作模式下。 ? 事件處理提供了可對惡意技術(shù)威脅和進行快速有效響應的能力。 ? 主要知識域 ? 法律 (Laws) ? 由于計算機是一個迅速發(fā)展的高科技行業(yè)，需要法律、法規(guī)的制訂落后于技術(shù)的發(fā)展。 ? 另外，由于各個美國的各州之間、各個國家之間的法律的區(qū)別，也給人們提出一系列的挑戰(zhàn)。但是，其中有些道德規(guī)范還是被大部分民眾所認同。具體的道德規(guī)范在 P3頁有詳細的敘述。 ? Inter體系結(jié)構(gòu)研究委員會（ IAB）： IAB包含兩個重要的分支機構(gòu)，分別是 IETF（ Inter網(wǎng)工程工作組）和 IRTF（ Inter網(wǎng)研究工作組）。它的主要職責是保護互聯(lián)網(wǎng)正常運行，為所有使用互聯(lián)網(wǎng)的用戶提供一個良好的網(wǎng)絡環(huán)境。試圖建立一個通用的信息安全規(guī)則。這些資源包括人，他們工作的設備，數(shù)據(jù)，裝備，支持系統(tǒng)，媒質(zhì)和他們應用的供給。 ? 主要知識域 ? 管理控制 ? 規(guī)章、制度及流程 ? 授權(quán)批準 ? 技術(shù)控制 ? Smart/Dumb Cards ? 審計跟蹤 /訪問日志 ? 入侵檢測 ? 生物測定訪問控制 物理安全 (CBK10) ? 物理控制 ? 限制區(qū) /工作區(qū) (Restricted Areas/Work Areas) ? 陪同需求 /訪問者控制 (Escort Requirements/Visitor Control) ? Fences,Gates,Turnstiles,Mantraps ? 安全門衛(wèi) /狗 (Security Guard/Dogs) ? 證章 (Badging) ? 鑰匙和組合鎖 ? 照明 ? 站點選擇，設備設計和設置 (Site Selection, Facility Design, and Configuration) ? 活動探測器，傳感器和警報 ? CCTV（有線電視） 物理安全 (CBK10) ? 機房安全防護措施 ? 內(nèi)部隔離：隔墻、天花板等是建筑物內(nèi)的有效隔離措施，其中天花板是最大的安全隱患。 ? 數(shù)據(jù)中心的進入認證機制要視具體情況而定，認證組合方式最長 6個月時間需要變更或者在有員工了解認證機制并且離職。 ? 數(shù)據(jù)中心的溫度、濕度都很重要。 ? 數(shù)據(jù)中心的電力源最好和建筑物不是同一個系統(tǒng)的，最好有雙路供電或者一個后備的電力供應裝置 UPS等。另外數(shù)據(jù)中心的門、墻體最好是透明的。 物理安全 (CBK10) ? 內(nèi)部支持系統(tǒng) ? 電源：電源對于現(xiàn)代企業(yè)越來越重要，對電源故障的防護一般有兩種：發(fā)電機、 UPS。 ? 判斷企業(yè)對電力故障后續(xù)電力需要的程度很關(guān)鍵：只是需要一段時間電源以便正常關(guān)機呢，還是繼續(xù)原來的工作。 ? 電力事件：電磁干擾（ EMI）一般是由于三項線中的火線、地線和零線中的不平衡產(chǎn)生的，一般可由閃電、發(fā)電機能誘使 EMI產(chǎn)生；射頻干擾（ RFI），是由于電子元器件產(chǎn)生，電線、熒光燈（通過屏蔽電線可以避免）可能會誘使 RFI產(chǎn)生。 ? 浪涌：長時間的高電壓，在很短時間內(nèi)對電器可能造成很大的破壞。 ? 停電：需要 UPS或發(fā)電機了。 物理安全 (CBK10) ? 火災探測、壓制系統(tǒng) ? 火燃燒需要三個要素：燃料、氧氣、溫度。 ? 火災按照燃燒物的不同，分為 4個級別： A級為普通火災，使用水和泡沫； B級是石油及其他化學液體燃燒； C級是電子元器件燃燒，使用較多滅火方法氣體（ Halon）、 CO干粉和泡沫； D級是金屬燃燒，使用干粉滅火。 ? 消防噴水裝置有四種： – 干管式：用在氣候較冷的地區(qū)，不會凍裂水管。造價較高，一般用于數(shù)據(jù)處理中心。 – 泛濫式：同時打開所有噴水口，不能用于數(shù)據(jù)處理中心。包含三個內(nèi)容： ? 自然訪問控制：利用人行道、燈光、隔離柱（防止汽車炸彈襲擊）、景觀綠化等對人的行為進行引導； ? 自然監(jiān)視：利用低灌木叢、高大顯眼的入口等，對罪犯心里進行一種警告和威懾；（與自然監(jiān)控向?qū)氖牵航M織方面（保安）、技術(shù)方面（閉路電視）） ? 邊界加強：利用籬笆、圍墻、人行道、景觀綠化、燈光等對公司的邊界進行劃分強化。 ?計算機網(wǎng)絡及系統(tǒng)安全理論知識 ?計算機犯罪學基礎理論知識 ?CISSP基礎理論知識 ?通用安全準則（ CC）基礎知識 ?Cobit基礎知識 通用安全準則（ CC） ? 信息安全標準發(fā)展里程 1999年 GB 17859 計算機信息系統(tǒng)安全保護等級劃分準則 1991年歐洲信息技術(shù)安全性評估準則 （ ITSEC） 國際通用準則 1996年（ ） 1998年（ ） 2021年（ ） 1985年美國可信計算機系統(tǒng)評估準則（TCSEC） 1993年 加拿大可信計算機產(chǎn)品評估準則 （ CTCPEC） 1993年美國聯(lián)邦準則（ FC ） 1999年 國際標準 ISO/IEC 15408 1989年 英國 可信級別標準 （ MEMO 3 DTI） 德國評估標準 （ ZSEIC） 法國評估標準 （ BWR BOOK） 2021年 國家標準 GB/T 18336 信息技術(shù)安全性評估準則 1993年美國 NIST的 MSFR CC概述 ? CC概述 ? 內(nèi)部支持系統(tǒng) ? 其中心內(nèi)容是：當在 PP（安全保護框架）和 ST（安全目標）中描述 TOE（評測對象）的安全要求時，應盡可能使用其與第二部分描述的安全功能組件和第三部分描述的安全保證組件相一致。 用于了解背 景信息和參 考。 用于了解背景信 息，開發(fā)安全要求 和形成 TOE 的安 全規(guī)范的參考。 PP 和 ST 的指導性 結(jié)構(gòu)。 在闡明安全 功能要求的 描述時作指 導和參考。 確定 TOE 符合 聲明的安全功 能時，作評估準 則的強制描述。 用于指導保 證需求級別 的確定。 確定 TOE 的保 證和評估 PP 和 ST 時，作為強 制描述。 Cobit 用于執(zhí)行 IT 管理，改善 IT 控制。 ? Cobit 是世界上大多數(shù)公司采納的全球公認的 IT 管理框架，它所提供的一套權(quán)威的、國際通用的公認準則在幫助公司董事局、管理人員和經(jīng)理們增加 IT 價值的同時，減少了相關(guān)的風險。 ? COBIT度量過程的三個緯度分別是 ： ? 能力 ? 績效 ? 控制度 Cobit基礎知識培訓 ? Cobit COBIT 包括面向公司董事局和所有管理層的指引，由以下四域組成： ? 規(guī)劃與組織域 ? 獲取與實施域 ? 交付與支持域 ? 監(jiān)控與評價域 規(guī)劃與組織域 ? 規(guī)劃與組織域 ? PO1 制定 IT戰(zhàn)略規(guī)劃 ? PO2 確定信息體系架構(gòu) ? PO3 確定技術(shù)方向 ? PO4 定義 IT組織與關(guān)系 ? PO5 管理 IT投資 ? PO6 溝通管理目標和方向 ? PO7 人力資源管理 ? PO8 確保符合外部要求 ? PO9 風險評估 ? PO10 項目管理 ? PO11 質(zhì)量管理 獲取與實施域 ? 獲取與實施域 ? AI1 確定解決方案 ? AI2 獲取并維護應用軟件 ? AI3 獲取并維護技術(shù)基礎設施 ? AI4 程序開發(fā)與維護 ? AI5 系統(tǒng)安裝與驗收 ? AI6 變更管理 交付與支持域 ? 交付與支持域 ? DS1 定義并管理服務級別 ? DS2 管理第三方服務 ? DS3 性能管理和能力管理 ? DS4 確保持續(xù)性服務 ? DS5 確保系統(tǒng)安全 ? DS6 成本確認與分配 ? DS7 用戶教育與培訓 ? DS8 為客戶提供幫助和建議 ? DS9 配置管理 ? DS10 問題管理與事故管理 ? DS11 數(shù)據(jù)管理 ? DS12 設施管理 ? DS13 操作管理 監(jiān)控與評價域 ? 監(jiān)控與評價域 ? M1 流程監(jiān)控 ? M2 評價內(nèi)部控制的適當性 ? M3 獲得獨立保證 ? M4 提供獨立性審計