3/11/37/49/56/63/82/94/95/100/118

5/6/10/19/39/47/54/57/72/87/97/

93、94、95、96、98、99

1、1000元商品被以1元的价格买走，是因为网站开发前没有进行威胁建模或相关工作

2、传统防火墙的功能包括IP地址欺骗防护、NAT和访问控制，SQL注入攻击防护是WAF的主要功能

3、Land是构造源目的相同的TCP数据包发动DDos攻击;smurf是通过大量ICMP+广播地址+IP欺骗；Teardrop属于碎片攻击，不属于流量型拒绝服务攻击

4、能力表

5、处置环节属于信息安全管理过程中的持续改进信息安全管理过程

6、

1、国家网络应急中心是工业和信息化部牵头成立的

2、数字签名里面，私钥用来加密，公钥用来解密，公钥和私钥是成对出现的

3、MAC是消息认证码，Hash是散列函数，这俩都是用于数据完整性和身份验证的，MAC需要密钥，Hash不需要

4、ACL中，文件和文件夹的权限是与客体进行关联的，用户的权限写在文件夹和文件的数据库中

5、仅仅删除C盘的共享权限是远远不够的，还具有很多的风险

6、AES的密钥长度有128位、192位、256位三种

7、Windows服务的运行不需要用户的交互登录

8、社会工程学攻击就增强员工安全意识就好了

9、公钥密码的应用包括：数字签名、非安全信道的密钥交换、身份认证；不包括：消息认证码

10、ACL管理或增加客体比较方便

11、在入侵检测的运行中，最常见的问题是拒绝服务攻击

12、数据库里面的有效信息丢失了，攻击者可以利用这些信息来做字典

13、模糊测试属于黑盒测试

14、管理员进行了订单删除后，审核员进行审核后该删除操作才能生效，这遵循了权限分离原则

15、Kerberos完成的是服务器和用户之间的相互认证

16、访问控制可以分为物理访问控制和逻辑访问控制，前者可能是门锁、后者可能是数据、应用、系统，主要的访问控制模式有三种：自主访问控制（DAC）-用户可以对自己创建的资源进行访问控制，可以将访问权限授予其他用户；强制访问控制（MAC）-系统根据预定的规则强制控制用户对资源的访问，用户不能改变自身或任何客体的安全级别；基于角色的访问控制（RBAC）-通过角色来管理权限，用户通过成为适当角色的成员而获得相应的权限。

17、BLP模型-保证信息系统的机密性，规则是“向下读，向上写”

18、影响风险等级的要素包括：威胁、资产、脆弱性；没有什么最终因素。

19、RFC系列标准-Internet工程任务组

20、评估保证级共分为7个递增的评估保证等级。

21、动态口令方案的口令是不能被收集和预测的。

22、统一威胁管理（UTM）-功能全面的安全产品，能防范多种威胁

23、交换机和路由器的管理包括了版本更新，也包括了补丁管理。

24、安全需求来源于内部驱动，例如安全架构和安全厂商发布的病毒、漏洞预警都是外部参考要素，并不属于信息安全需求的主要来源。

25、《风险评估方案》属于风险评估准备阶段的结果

1、VLAN划分可以限制广播域

2、等级保护政策发展的正确顺序：思想提出、工作试点、政策文件颁布、标准发布、基本国策

3、用户对鉴别信息的操作，如更改密码等都通过一个以system权限运行的服务“SecurityAccountsManager”来实现。

4、分组密码是将明文进行分组后进行加密。序列密码又叫流密码，对每一个字节进行加密

5、无线嗅探可以获得别人的网络通信内容；对于无线局域网络和无线个人网络来说，它们的通信内容更容易被窃听

6、我国信息安全评估国家标准：CC标准

7、TTL是TimeToLive的缩写，指的是包被路由器丢弃之前允许通过的最大网段数量，Windows操作系统默认是128，Linux默认是64.每经过一个路由器减1

8、静态分析是对二进制文件的分析，获得恶意代码的基本结构和特征，了解其工作方式和机制；动态分析是在虚拟运行环境中，使用测试及监控软件，检测恶意代码的行为

9、单点登录的本质是安全凭证在多个应用系统之间的传递或共享

10、DAC（自主访问控制）不能抵御特洛伊木马

11、Kerberos：获得票据许可票据、获得服务许可票据、获得服务

12、三个访问控制模型的安全性并没有横向对比，谁强谁弱，只是三种模型的应用场景不同

13、信息安全管理的评估指标是企业的可接受风险

14、事件查看器查看日志文件，可以看到的日志包括：应用程序日志、安全性日志、系统日志和I日志。

1、regedit：打开控制表；cmd：命令提示；mmc：管理控制台；

2、质量管理体系将资源与过程结合

3、ISMS 信息安全管理体系，英国贸易工业部主导制定

4、ISO270001不包含业务安全性审计

5、MD5单向函数提供数据完整性验证，AES数据加密算法体重数据机密性保护，AH提供身份验证和数据完整性保护

6、信息系统重要程度划分为特别重要信息系统、重要信息系统、一般信息系统

7、不能只对总经理进行培训，对信息化相关人员也需要进行培训

8、BSI模型是强调了风险管理的重要性，不是安全测试

9、软件登录多重安全措施体现的是纵深防御原则，还有一个题是数据库失陷的体现的是职责分离原则

10、Kerberos协议 消息M是指安全凭证

11、输入账号密码是典型的身份验证，身份鉴别是指确认主体或资源声称身份的过程；输入错误口令密码记录了是强调审计的

12、START包序列号1111111

13、目前最为广泛采用的资产评估方法为定性分析

14、定性分析灵活性强，对资源的要求较低，缺乏定量条件或需快速决策时更具可操作性，实务中应用更加普遍。

15、拒绝服务攻击属于网络层或基础设施层的攻击，不是Web应用逻辑漏洞的范畴

16、VPN和公共网络是逻辑隔离的关系，可以进行信息认证、身份认证、数据加密

17、基于SSE-CMM的评估方法（SSAN）：包含对系统安全工程-能力成熟度模型中定义的组织的系统安全工程流程能力和成熟度评估所需的信息和方向。SSAM评估过程分为四个阶段 规划、准备、现场、报告

18、灾难恢复计划有根本性缺陷（依赖人员而非文档），属于系统性风险，需要优先关注

19、杀毒软件，静态分析检测无法检测系统函数的运行状态

20、安全事件定级，其实看社会影响就行

21、MD5 SHA-1单向函数用于数据完整性保护，DSA是一种数字签名的算法，RSA和SM2是公钥加密算法

6.10.18.23.

1.2.9.19.24.29.32.33.43.46.49.55.61.63.70.88.99

2.7.14.16.21.27.36.44.47.58.60.62.64.70.72.74.79.80.83.89.96

7.15.22.25.26.45.48.51.57.78.95.97

-rwx user admin

httpd.conf

信息系统安全保障模型：保障要素

不能注入到文本文件

teardrop属于碎片攻击

能力表{CL}

协调运营商对域名解析服务器进行加固是DNS防护的主要手段

戴明环 ACT环节的活动是：持续改进信息安全管理过程

业务特性 从机构的业务内容和业务流程获取

安全产品选择是为了风险处理

基于经验的风险评估工具不存在

3级系统应当1年一次测评

监视和审查ISMS

权限分离

实体所知 （密码）实体所有（短信）

FUZZ测试

信息系统生命周期的过程安全问题

BP不限定与方法工具 最先安全工程单元

ISMS 一级文档中 安全方针 策略文件

资产的价值与其重要性密切相关

chomd 764 fib.c

流量 拒绝服务攻击

判断风险控制的标准是风险是否控制在接受范围内

电子签名不可以与认证服务者共有

等保三级 一般损害

公钥密码地址 成对出现

安全策略 信息安全工作的基本原则

ARP

TC260

Ia 资产 Va 资产a的脆弱性

BL不能横向流通 可读不可写

PPDR

需求说明书属于开发类文档

投资阶段没有监理

首先检查 灾难恢复点的错误事件报告

COBIT 包括 框架 流程描述 控制目标 管理指南 

霍尔三维结构 七七

BCM 分析过程 1342 先标识 再开发

冲正是数据完整性保护

等保是2008规定的

RBAC能实现多级安全中的访问控制

TACACS+ 不属于VPN

防火墙 安全产品 联动

IPS在串联的情况下 会影响网络性能

OSI 网络层 提供了身份鉴别

防止 日志修改策略最有效的事单独部署 分离

R抵赖 实现方式是数字 安全审计 技术 不是过滤技术

强抗碰撞性

机密性不属于电子签名的基本特性

CNCI以风险位核心

Win SP2 开始引入安全中心

windows中显示网络端口的命令 netstat    

                   注册表命令 Regedit

ISO 17799

IPSEC隧道模式 处理 发生在 安全网关1和2

ARM系统不属于WEB安全

应急工作：L专家小组 技术保障小组 实施小组 运行小组

SSAR 规划 准备 现场 最终

PPDR模型 评估执行 访问控制 安全状态 安全性 

ISMS  1方针 4措施：管理 控制 预防 吸取

SSE-CMM 风险过程包括4部分：评估影响、威胁、脆弱性、安全风险。 能力级别有6个：初始级、可重复、已定义、已管理、优化

风险降低分为预防性策略和反应性策略。

软件安全3根支柱：风险管理、软件安全接触点、安全知识

信息安全风险管理包括背景建立、风险评估、风险处理、批准监督、监控审查、沟通咨询

kerberos包括KDC、应用服务器、客户端；

KDC密钥分配中心，包括AS、TGS。先AS认证用户，然后TGT；然后ST;

1、国家网络空间安全战略：4个

2、SSE-CMM原文

3、《2006-2020年国家信息化发展战略》：6部分