3/11/37/49/56/63/82/94/95/100/118

1、1000元商品被以1元的价格买走，是因为网站开发前没有进行威胁建模或相关工作

2、传统防火墙的功能包括IP地址欺骗防护、NAT和访问控制，SQL注入攻击防护是WAF的主要功能

3、Land是构造源目的相同的TCP数据包发动DDos攻击;smurf是通过大量ICMP+广播地址+IP欺骗；Teardrop属于碎片攻击，不属于流量型拒绝服务攻击

4、能力表

5、处置环节属于信息安全管理过程中的持续改进信息安全管理过程

6、

-rwx user admin

httpd.conf

信息系统安全保障模型：保障要素

不能注入到文本文件

teardrop属于碎片攻击

能力表{CL}

协调运营商对域名解析服务器进行加固是DNS防护的主要手段

戴明环 ACT环节的活动是：持续改进信息安全管理过程

业务特性 从机构的业务内容和业务流程获取

安全产品选择是为了风险处理

基于经验的风险评估工具不存在

3级系统应当1年一次测评

监视和审查ISMS

权限分离

实体所知 （密码）实体所有（短信）

FUZZ测试

信息系统生命周期的过程安全问题

BP不限定与方法工具 最先安全工程单元

ISMS 一级文档中 安全方针 策略文件

资产的价值与其重要性密切相关

chomd 764 fib.c

流量 拒绝服务攻击

判断风险控制的标准是风险是否控制在接受范围内

电子签名不可以与认证服务者共有

等保三级 一般损害

公钥密码地址 成对出现

安全策略 信息安全工作的基本原则

ARP

TC260

Ia 资产 Va 资产a的脆弱性

BL不能横向流通 可读不可写

PPDR

需求说明书属于开发类文档

投资阶段没有监理

首先检查 灾难恢复点的错误事件报告

COBIT 包括 框架 流程描述 控制目标 管理指南 

霍尔三维结构 七七

BCM 分析过程 1342 先标识 再开发

冲正是数据完整性保护

等保是2008规定的

RBAC能实现多级安全中的访问控制

TACACS+ 不属于VPN

防火墙 安全产品 联动

IPS在串联的情况下 会影响网络性能

OSI 网络层 提供了身份鉴别

防止 日志修改策略最有效的事单独部署 分离

R抵赖 实现方式是数字 安全审计 技术 不是过滤技术

强抗碰撞性

机密性不属于电子签名的基本特性

CNCI以风险位核心

Win SP2 开始引入安全中心

windows中显示网络端口的命令 netstat    

                   注册表命令 Regedit

ISO 17799

IPSEC隧道模式 处理 发生在 安全网关1和2

ARM系统不属于WEB安全

应急工作：L专家小组 技术保障小组 实施小组 运行小组

SSAR 规划 准备 现场 最终

PPDR模型 评估执行 访问控制 安全状态 安全性 

ISMS  1方针 4措施：管理 控制 预防 吸取

FW：ip地址欺骗防护 NAT ACL访问控制

WAF：SQL注入攻击

Land UDPflood Smurf是流量型拒绝攻击

Teardrop是碎片攻击

项目管理受项目资源的约束。

源代码审核是对源代码检查分析，检测并报告源代码可能导致安全弱点的薄弱之处。

FUZZ测试就是模糊测试

设计阶段是发现和改正问题的最佳阶段。

风险管理的监控与审查：

过程质量管理

成本效益管理

跟踪系统自身或所处环境的变化

公钥密码体制：公钥加密私钥解密 私钥加密公钥解密

安全策略是宏观的原则性要求，是信息安全工作的基本原则

由TC260全国信息安全标准化技术委员会负责统一申报和协调信息安全国家标准计划项目。

BLP模型严禁横向流通。

信息安全工程监理模型

1监理咨询支撑要素

2监理咨询阶段过程

3控制和管理手段

定义主体访问客体的权限叫做能力表（CL）

定义客体被主体访问的权限叫访问控制板（ACL）

网络层和应用层可以提供保密性、身份鉴别、完整性、抗抵赖性和访问控制服务。