第一章 信息安全测评思想
1.信息安全测评需要具备的科学精神：怀疑、批判、创新、求实、协作
2.信息安全测评最主要的方法是系统科学/系统工程的方法
3.系统科学的三层含义：
(1)从事测评的不是一个人，而是一个团队
(2)测评的对象往往不是一个单一的软件或硬件，而是一个复杂、庞大并且不断变化的信息系统，本身具有“自组织、自演化”的系统科学特征
(3)测评过程中要贯彻“人-机合一”的系统科学思想
4.贯标（背）：指测评人员在测评活动中严格遵循相关标准的行为
5.三严要求：严肃的科学精神、严谨的工作作风、严格的贯标流程
6.信息安全标准化组织：
国际标准化组织：1.国际标准化组织ISO，成立于1947.2.23，全世界最大的非政府性国际标准化组织
2.国际电工委员会IEC，成立于1906.10，世界上最早成立的专业国际标准化组织
3.国际电信联盟ITU，成立于1865.5.17
4.internet工程组IETF，成立于1986年，其主要任务是复制互联网二相关技术规范的研发和制定
国内标准化组织：成立于2001年的全国信息安全标准化技术委员会（CITS）负责全国信息安全技术领域以及与ISO/IEC JTC1相对应的标准化工作
第二章 信息安全测评方法：
1.对信息系统进行安全测评是对信息系统的建设质量进行评判的必要环节
2.为什么要进行信息安全测评？
因为要贯彻国家标准规范，保证在规划、设计、建设、运行维护和退役等不同阶段的信息系统满足统一、可靠的安全质量要求。
3.系统定级（背）：根据一个信息系统受到破坏后可能给个人、机构、社会以及国家安全带来的不同影响来确定的该信息系统的安全级别。
4.可信计算机系统评价准则(TCSEC)：俗称”橙皮书“，该准则是全球计算机系统安全评估的第一个正式标准、具有划时代的意义。分为ABCD四个安全级别，A系统的安全级别最高。
5.中国的计算机安全等级保护标准：有五级：
第1级：信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第3级：信息系统受到破坏后，会对社会秩序和公共利益造成严重损害、或者对国家安全造成损害。
6.安全域（背）：安全域是将一个大型信息系统中具有某种相似性的子系统”聚集”在一起。中国划分安全域的方法归纳起来大致有资产价值相似性安全域、业务应用相似性安全域、安全需求相似性安全域和安全威胁相似性安全域四种。
7.信息安全测评（背）：指测评人员在系统工程思想的指导下，遵照国家有关标准、规范和流程，通过设计各种测评案例，对一个信息系统的安全性能和功能进行”标准符合性“论证的过程。
8.测评中我们主要关心的问题是（背）：
(1)系统设计方案是否遵循国家有关标准
(2)系统设计方案是否得到严格的执行
(3)系统建成后是否达到设计方案的要求
(4)系统是否出现方案中未指明的错误，等等。
8.对一个信息系统进行安全测评需要四个阶段：设计阶段（当规划、设计一个信息系统的时候，安全测评工程师应当积极参与规划设计部门的工作），建设阶段（当这个信息系统的设计蓝图通过有关部门的评审后，安全测评工程师应当监督该系统的建设过程是否满足国家有关标准），运行维护阶段（经过测评验收后，系统进入正式运行维护阶段，安全测评工程师将定期或不定期地对系统进行例行测评），废弃阶段（当该系统确实不堪所用的时候，安全测评工程师需要对它进行最后的测评）
9.内网：是指那些与公网之间采取了“可靠的技术隔离手段”的企事业机构专用网络，如政府内部办公网络、银行内部OA系统、企业财务信息系统等。
10.外网：是指那些与Internet相连（应该有一定的安全防护措施）并向外提供服务的企事业机构专用网络。如政府对外服务系统、政府门户网站、网络银行、社保网和校园网等。
11.目前中国信息系统安全等级保护测评工作的形式是“委托测评”
第三章 数据安全测评技术
1.无论是过去现在还是未来，数据安全始终都是信息安全最本质、最核心的部分
2.数据安全的三个属性：完整性、保密性、可用性
3.怎样对数据安全进行测评？——访谈、检查、测试
4.对数据安全进行测评，实际上就是对“数据完整性”、”数据保密性“和"数据备份和恢复"三个环节，利用访谈、检查和测评三种手段进行科学分析的过程。
第四章 主机安全测评技术
1.主机安全是整个系统安全的“最后一道防线”
2.国家标准中把主机安全测评的数十项条款划分为身份鉴别、自主访问控制、强制访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范、资源控制8个环节
3.对主机安全进行测评，实际上就是对上述8个方面，利用访谈、检查、测评等手段分析。
4.主机口令长度至少达到7个字符以上，并混杂有大小写字母、数字、特殊符号。主机至少每月进行了一次口令替换。
第五章 网络安全测评技术
1.网络安全测评中要求要关注的8个方面如下：结构安全与网段划分、网络访问控制、拨号访问控制、网络安全审计、边界完整性检查、网络入侵防范、恶意代码防范、网络设备防护。
第六章 应用安全测评技术
1.应用安全的测评条款分为身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错、资源控制。
2.应用安全访谈调研的访谈对象不仅包括信息系统的各级管理和技术人员，还包括应用系统的使用人员和开发商。
第七章 资产识别
1.风险的定义：风险是不确定性对目标的影响。
2.信息安全风险（背）：人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件发生及其对组织造成的影响。
3.风险评估最本质的思想：永远没有绝对的安全和零风险，人们能够做的是首先评估风险可能带来的影响，然后采用规避、转嫁和降低风险的方法，最后将风险能够控制在能够承受的范围之内。
4.”威胁“和”脆弱性“（也就是人们常说的漏洞）是相辅相成的。
5.资产（背）：即对组织具有价值的信息或资源，是安全策略保护的对象。
6.资产价值（背）：即资产的重要程度或敏感程度的表征。资产价值是资产的属性，也是进行资产识别的主要内容。
7.资产识别是科学定级的主要依据。
8.资产识别包括”资产分类“和”资产赋值“两个环节。
9.资产分类的两种方法：一种是”自然形态“，一种是”信息形态“
10.风险评估是等级保护的主要手段的含义。
第八章 威胁识别
1.威胁（背）：指可能导致对系统或组织危害的事故的潜在起因。
2.随着网络的互连互通越来越广，业务应用越来越宽，一个组织的信息系统面临的安全威胁越来越呈现出”内外夹攻“的态势。
3.威胁识别（背）：指分析事故潜在起因的过程。
4.威胁识别可以分为重点识别和全面识别。
5.重点识别适合以下信息系统：
(1)网络结构重心突出
(2)系统结构具有较大的同质性
6.全面识别适用于以下情况：
(1)信息系统本身处于变化和调整的阶段
(2)安全等级较高的核心信息系统
7.资产识别的结果是进行威胁识别的出发点和落脚点。
8.在进行威胁识别的时候，需要综合考虑以下3个方面来计算对具体组织信息系统所面临的各种威胁的频率：
(1)历史记录
(2)现场取证
(3)权威发布
第九章 脆弱性识别
1.脆弱性（背）：指可能被威胁所利用的资产或若干资产的薄弱环节。
2.脆弱性的绝对和相对：绝对存在的脆弱性不一定会带来安全事件。
3.脆弱性的技术和管理：1.结果脆弱性 2.操作脆弱性
4.寻找、分析和度量脆弱性，是风险评估中最重要，也往往是最困难的环节。
5.脆弱性识别分为脆弱性发现、脆弱性分类、脆弱性验证、脆弱性赋值
6.根植于资产之上的脆弱性也分为”技术脆弱性“和”管理脆弱性“
7.对脆弱性的严重程度进行赋值，应从以下角度进行综合考虑：
(1)脆弱性对资产的暴露程度
(2)脆弱性利用的难易程度
(3)脆弱性的流行程度
第十章 风险分析
1.资产、威胁和脆弱性是风险的3个基本要素
2.风险控制（安全解决方案）四原则：论证充分、循序渐进、结合国情、应急联动。
3.计算题（P267页）
第十一章 应急响应：
1.这里没有使用”常态性“和”临时性“这一对词来区分两者之间的差异，因为我们认为无论是风险评估还是应急响应，从信息安全意识来讲，都应当是常态性的。
2.应急响应的基础是计划的准备，应急响应的依据是计划的编制，应急响应的核心是计划的实践。
3.俗话称计划赶不上变化，如果不对应急响应的参与人员按照计划进行培训、演练和更新，就会落入”纸上谈兵“的境地
4.应急响应计划的准备阶段实际上就是应急响应的需求分析和响应策略的选择阶段，包括了风险评估、业务影响分析、制定应急响应策略三部分内容。
第十三章 信息安全管理体系
ISMS要求可比较和可重现所选择的风险评估方法产生的结果。
标签：网络服务,信息系统,测评,信息安全,脆弱性,安全,考点,识别,复习 From： https://www.cnblogs.com/xiaoovo/p/17004498.html