CISSP官方学习手册(第9版)

涵盖2021年CISSP所有考点，是您的一站式学习手册，助您更灵活、更快捷地准备CISSP考试。本书编排得当，内容详实，包含可供个人评估备考进展的测试、目标地图、书面实验题、关键考点以及富有挑战的章节练习题。开始使用本手册准备CISSP考试吧。

涵盖全部考试目标

安全与风险管 理

资产安全

安全架构与工程

通信与网络安全

身份和访问管理

安全评估与测试

安全运营

软件开发安全

Mike Chapple，博士、CISSP、Security+、CySA+、PenTest+、CISA、CISM、CCSP、CIPP/US，圣母大学IT、分析学和运营学教授。曾任品牌研究所首席信息官、美国国家安全局和美国空军信息安全研究员。他主攻网络入侵检测和访问控制专业。Mike经常为TechTarget所属的SearchSecurity网站撰稿，著书逾25本，其中包括《(ISC)2：CISSP官方习题集》《CompTIA CySA+ (CS0-001考试)学习指南》《CompTIA Security+ (SY0-601考试)学习指南》以及《网络空间战：互联世界的信息作战》。

James Michael Stewart，CISSP、CEH、CHFI、ECSA、CND、ECIH、CySA+、PenTest+、CASP+、Security+、Network+、A+、CISM和CFR，从事写作和培训工作超过25年，目前专注于安全领域。他自2002年起一直讲授CISSP培训课程，互联网安全、道德黑客/渗透测试等内容更在他的授课范围之内。他是超过75部著作的作者或撰稿者，其著作内容涉及安全认证、微软主题和网络管理，其中包括《CompTIA Security+ (SY0-601考试)复习指南》。

Darril Gibson，CISSP、Security+、CASP，YCDA有限责任公司首席执行官，是40多部著作的作者或合作作者。Darril持有多种专业证书，经常写作，提供咨询服务和开展教学，内容涉及各种技术和安全主题。

前 言

《CISSP官方学习手册(第9版)》可为你参加CISSP(注册信息系统安全师)认证考试打下坚实基础。买下这本书，就表明你想学习并通过这一认证提高自己的专业技能。这里将对《CISSP官方学习手册(第9版)》和CISSP考试做基本介绍。

《CISSP官方学习手册(第9版)》为那些希望通过CISSP认证考试的勤奋读者而设计。如果你的目标是成为一名持证安全专业人员，则CISSP认证和本学习手册是你的最佳选择。《CISSP官方学习手册(第9版)》旨在帮助你做好CISSP应试准备。

在深入阅读《CISSP官方学习手册(第9版)》前，你首先要完成几项任务。你需要对IT和安全有一个大致了解。你应该在CISSP考试涵盖的8个知识域中的两个或多个拥有5年全职全薪工作经验(如果你有本科学历，则有4年工作经验即可)。如果根据(ISC)2规定的条件，你具备了参加CISSP考试的资格，则意味着你做好了充分准备，可借助《CISSP官方学习手册(第9版)》备考CISSP。有关(ISC)2的详细信息，稍后将介绍。

如果你拥有(ISC)2先决条件路径认可的其他认证，(ISC)2也允许把5年的工作经验要求减掉一年。这些认证包括CAP、CISM、CISA、CCIE、CCNA Security、CompTIA CASP、CompTIA Security+、CompTIA CySA+等，以及多种GIAC认证。有关资格认证的完整列表，可访问(ISC)2网站。

注意：

需要指出的是，你只能用一种方法降低工作经验的年限要求，要么是本科学历，要么是认证证书，不能两者都用。

如果你刚刚开始CISSP认证之旅，还没有工作经验，那么《CISSP官方学习手册(第9版)》仍然可以成为你准备考试的有效工具。但是，你会发现自己对一些主题知识不太熟悉，需要使用其他材料进行一些额外的研究，然后返回《CISSP官方学习手册(第9版)》中继续学习。

(ISC)2

CISSP考试由国际信息系统安全认证联盟(International Information Systems Security Certification Consortium)管理，该联盟的英文简称是(ISC)2。(ISC)2是一个全球性非营利组织，致力于实现四大任务目标：

● 为信息系统安全领域维护通用知识体系(CBK)。

● 为信息系统安全专业人员和从业者提供认证。

● 开展认证培训并管理认证考试。

● 通过继续教育监察合格认证申请人的持续评审工作。

(ISC)2由董事会管理，董事会成员从持证从业人员中按级别选出。

(ISC)2支持和提供多项专业认证，包括CISSP、CISSP-ISSAP、CISSP-ISSMP、 CISSP-ISSEP、SSCP、CAP、CSSLP、HCISPP和CCSP。这些认证旨在验证所有行业IT安全专业人员的知识和技术水平。有关(ISC)2及其证书认证的详情，可访问(ISC)2网站。

CISSP证书专为在组织内负责设计和维护安全基础设施的安全专业人员而设。

知识域

CISSP认证涵盖8个知识域的内容，分别是：

● 域1 安全与风险管理

● 域2 资产安全

● 域3 安全架构与工程

● 域4 通信与网络安全

● 域5 身份和访问管理(IAM)

● 域6 安全评估与测试

● 域7 安全运营

● 域8 软件开发安全

这8个知识域以独立于厂商的视角展现了一个通用安全框架。这个框架是支持在全球所有类型的组织中讨论安全实践的基础。

资格预审

(ISC)2规定了成为一名CISSP必须满足的资格要求。首先，你必须是一名有5年以上全职全薪工作经验或者有4年工作经验并具有IT或IS本科学历或经批准的安全认证(有关详细信息，请参阅(ISC)2官网的安全专业从业人员。专业工作经验的定义是：在8个CBK域的两个或多个域内从事过有工资或佣金收入的安全工作。

其次，你必须同意遵守道德规范。CISSP道德规范是(ISC)2希望所有CISSP申请人都严格遵守的一套行为准则，旨在使他们在信息系统安全领域保持专业素养。你可在(ISC)2网站的信息栏下查询有关内容。

(ISC)2还提供一个名为“(ISC)2准会员”的入门方案。这个方案允许没有任何从业经验或经验不足的申请人参加CISSP考试，通过考试后再获得工作经验。准会员资格有6年有效期，申请人需要在这6年时间里获得5年安全工作经验。只有在提交5年工作经验证明(通常是有正式签名的文件和一份简历)之后，准会员才能得到CISSP证书。

CISSP考试简介

CISSP考试堪称从万米高空俯瞰安全，涉及更多的是理论和概念，而非执行方案和规程。它的涵盖面很广，但并不深入。若想通过这个考试，你需要熟知所有的域，但不必对每个域都那么精通。

CISSP英文考试将以自适应形式呈现。(ISC)2给考试定名为CISSP-CAT(计算机化自适应考试)。

CISSP-CAT考试最少含100道考题，最多含150道考题。呈现给你的所有考项不会全部计入你的分数或考试通过状态。(ISC)2把这些不计分考项称为考前题(pretest question)，而把计分考项称为操作项(operational item)。这些考题在考试中均不标明计入考分(操作项)还是不计入考分(考前题)。认证申请人会在考试中遇到25个不计分考项——无论他们只做100道考题就达到了通过等级，还是做了所有150道题。

CISSP-CAT考试时间最长不超过3小时。如果你没达到某个通过等级就用完了时间，将被自动判定为失败。

CISSP-CAT不允许返回至前面的考题修改答案。一旦你提交选择的答案并离开一道考题，你选择的答案将是最终结果。

CISSP-CAT没有公布或设置需要达到的分数。相反，你必须在最后的75个操作项(即考题)之内展示自己具有超过(ISC)2通过线(也叫通过标准)的答题能力。

如果计算机判断你达到通过标准的概率低于5%，而且你已答过75个操作项(此时已答100题)，你的考试将自动以失败告终。如果计算机判断你达到通过标准的概率大于95%，而且你已答过75个操作项(此时已答100题)，你的考试将自动以合格结束。如果这两个极端都没有满足，那么你将看到下一个考题，计算机将在你答题后再次评估你的状态。一旦计算机评分系统根据必要数量的考题以95%的信心得出结论，判断你有能力达到或无法达到通过标准，将不保证有更多考题展示给你。如果你在提交150题的答案后未达到通过标准或者超时，那就意味着你失败了。

如果你第一次未能顺利通过CISSP考试，可在以下条件下再次参加CISSP考试：

● 每12个月内你最多可以参加四次CISSP考试。

● 在第一次考试和第二次考试之间，你必须等待30天。

● 在第二次考试和第三次考试之间，你必须再等待60天。

● 在第三次考试和下次考试之间，你必须再等待90天。

重考政策于2020年10月更新；有关官方政策，请参阅(ISC)2官网。

每次考试都需要你支付全额考试费。

从前的英文纸质或CBT(基于计算机的考试)平面250题版考试已不可能重现。CISSP现在只通过(ISC)2-授权Pearson VUE测试中心使用英文CBT CISSP-CAT格式。

注意：

2021年初，(ISC)2通过Pearson VUE为CISSP试行了在线考试监控方案。该试验的结果将在2021 Q3进行评估，(ISC)2将根据结果作出决定。请关注(ISC)2博客，了解有关远程在线监考CISSP考试产品的最新信息。

更新后的CISSP考试将以英文、法文、德文、巴西葡萄牙文、西班牙文(现代)、日文、简体中文和韩文等版本提供。CISSP非英文版考试仍然使用250个问题的平滑线性、固定形式进行。关于CISSP考试的详情和最新信息，请访问(ISC)2官网并下载CISSP终极指南和CISSP考试大纲(目前位于“2：注册并准备考试”部分)。你还可以在(ISC)2博客上找到有用的信息。例如，该博客在2020年10月发布了一篇题为“CISSP考试为什么会改变？”的优秀文章。

CISSP考试的考题类型

CISSP考试的大多数考题都有4个选项，这种题目只有一个正确答案。有些考题很简单，比如要求你选一个定义。有些考题则复杂一些，要求你选出合适的概念或最佳实践规范。有些考题会向你呈现一个场景或一种情况，让你选出最佳答案。

你必须选出一个正确或最佳答案并把它标记出来。有时，正确答案一目了然。而在其他时候，几个答案似乎全都正确。遇到这种情况时，你必须为所问的问题选出最佳答案。你应该留意一般性、特定、通用、超集和子集答案选项。还有些时候，几个答案看起来全都不对。遇到这种情况时，你需要把最正确的那个答案选出来。

某些多项选择题可能要求你选择多个答案，题目将说明此题需要多选以提供完整答案。

除了标准多选题格式，考试还包括一种高级考题格式，被(ISC)2称为高级创新题(advanced innovative question)。其中包括拖放题和热点题。这些类型的考题要求你按操作顺序、优先级偏好或与所需解决方案的适当位置的关联来排列主题或概念。具体来说，拖放题要求考生移动标签或图标并在图像上把考项标记出来。热点题要求考生用十字记号笔在图像上标出一个位置。这些考题涉及的概念很容易处理和理解，但你要注意放置或标记操作的准确性。

有关考试的建议

CISSP考试由两个关键元素组成。首先，你需要熟知8个知识域涉及的内容。其次，你必须掌握高超的考试技巧。你最多只有3小时的时间，期间可能要回答多达150道题。如此算来，每道题的答题时间平均只有1分多钟。所以，快速答题至关重要，但也不必太过匆忙，只要不浪费时间就好。

CISSP考试不再允许考生跳题而且不允许返回，所以不管怎样，你都必须在每个考题上给出你最好的答案。建议你在猜一道题的答案之前尽量减少选项的数量；然后你可以从一组减少的选项中做出有根据的猜测，以增加你正确答题的机会。

另外，请注意，(ISC)2并没有说明，面对由多个部分组成的考题时，如果你只答对了部分内容，是否会得到部分考分。因此，你需要注意带复选框的考题，并确保按需要的数量选择考项，以对该考题做出最佳选择。

在考场中，你将得到一块白板和一支记号笔，以便你记下自己的思路和想法。但是写在白板上的任何东西都不能改变你的考分。离开考场之前，你必须把这块白板还给考试管理员。

为帮助你在考试中取得最佳成绩，这里提出几条一般性指南：

● 先读一遍考题，再把答案选项读一遍，之后再读一遍考题。

● 先排除错误答案，再选择正确答案。

● 注意双重否定。

● 确保自己明白考题在问什么。

掌控好自己的时间。尽管可在考试过程中歇一会儿，但这毕竟会浪费部分考试时间。你可以考虑带些饮品和零食，但食物和饮料不可带进考场，而且休息所用的时间是要计入考试时间的。确保自己只随身携带药物或其他必需物品，所有电子产品都要留在家里或汽车里。你应该避免在手腕上戴任何东西，包括手表、计步器和首饰。你不可使用任何形式的防噪耳机或耳塞式耳机，不过可以使用泡沫耳塞。另外，建议你穿舒适的衣服，并带上一件薄外套(一些考场有点儿凉)。

最后，(ISC)2考试政策可能会发生变化，在注册和参加考试之前请务必登录其官网查看当前政策。

学习和备考技巧

建议你为CISSP考试制订一个月左右的晚间强化学习计划。这里提的几点建议可以最大限度地增加你的学习时间；你可根据自己的学习习惯进行必要的修改。

● 用一两个晚上细读《CISSP官方学习手册(第9版)》的每一章并把它的复习题做一遍。

● 回答所有复习题，并把《CISSP官方学习手册(第9版)》和在线考试引擎中的模拟考题做一遍。一定要研究错题，以掌握不了解的知识。

● 完成每章的书面实验。

● 阅读并理解考试要点。

● 复习(ISC)2的考试大纲。

● 利用学习工具附带的速记卡来强化自己对概念的理解。

提示：

建议你把一半的学习时间用来阅读和复习概念，并把另一半时间用来做练习题。有学生报告说，花在练习题上的时间越多，考试主题记得越清楚。除了本学习手册的模拟考试，Sybex还出版了《(ISC)2：CISSP官方习题集(第3版)》。该书为每个域都设置了100多道练习题，还包含4个标准的模拟考试。与本学习手册一样，它还有在线版考题。

完成认证流程

你被通知成功通过CISSP认证考试后，离真正获得CISSP证书还差最后一步。最后一步是背书(endorsement)。从根本上说，这要求你让一个本身是CISSP或(ISC)²其他证书持有者、有很高声望并熟悉你的职业履历的人为你提交一份举荐表。通过CISSP考试后，你将收到一封包含说明的电子邮件，也可在(ISC)2网站上查看背书申请流程。如果注册了CISSP，那么你必须在考试后9个月内完成背书。如果注册了(ISC)²的准会员，那么你有6年的时间完成背书。一旦(ISC)²接受背书，认证过程将完成，你将收到欢迎包裹。

获得CISSP认证后，必须努力维护该认证。需要在3年之内获得120个持续专业教育(CPE)学分。有关获得和报告CPE的详细信息，请参阅(ISC)2继续专业教育(CPE)手册和CPE Opportunities页面。在获得认证后还需要每年支付年度维护费(AMF)。有关AMF的详细信息，请参阅(ISC)2 CPE手册和官网信息。

本学习手册的元素

每一章都包含帮助你集中学习和测试知识的常用元素。下面介绍其中的部分元素。

真实场景 在学习各章内容的过程中，你会发现《CISSP官方学习手册(第9版)》对典型且真实可信的工作场景的描述。在这些情景下，你从该章学到的安全战略和方法可在解决问题或化解潜在困难的过程中发挥作用。这让你有机会了解如何把具体的安全策略、指南或实践规范应用到实际工作中。

提示和注意 对于每一章中的插入性语句，应该额外注意，它们通常是章节中相关重要材料的重点细节。

本章小结 这是对该章的简要回顾，归纳了该章涵盖的内容。

考试要点 考试要点突出了可能以某种形式出现在考试中的主题。虽然我们显然不可能确切知道某次考试将包括哪些内容，但这一部分有助于你进一步掌握本章概念和主题的关键。考试要点是一章中保留的最低限度的知识点。

书面实验 每章都设有书面实验，以综述该章出现的各种概念和主题。书面实验提出的问题旨在帮助你把散布于该章各处的重要内容归纳到一起，形成一个整体，使你能够提出或描述潜在安全战略或解决方案。强烈建议你在查看附录A中提供的解决方案之前，先写出答案。

复习题 每章都设有复习题，旨在衡量你对该章所述关键概念的掌握程度。你应该在读完每章内容后把这些题做一遍；如果你答错了一些题，说明你需要花更长时间来钻研相关主题。《CISSP官方学习手册(第9版)》附录B给出复习题的答案。

考试大纲主题目标

下表按百分比提供了实际考试中各知识域的占比。

域 占比

域1 安全与风险管理 15%

域2 资产安全 10%

域3 安全架构与工程 13%

域4 通信与网络安全 13%

域5 身份和访问管理(IAM) 13%

域6 安全评估与测试 12%

域7 安全运营 13%

域8 软件开发安全 11%

总计 100%

注意：

最新修订的知识域反映在2021年5月1日开始的考试中。要全面了解CISSP考试涵盖的八个知识域的主题范围，请访问(ISC)2网站并下载一份认证考试大纲。该文件包括完整的考试大纲以及与认证相关的其他方面。

考纲主题映射图

《CISSP官方学习手册(第9版)》旨在涵盖CISSP的8个公共知识域中的每一个域，其深度足以让你对材料有一个清晰的理解。这本书的主体由21章组成。下面是一个完整的CISSP考试大纲，将每个目标项映射到《CISSP官方学习手册(第9版)》各章中的位置。

目 录

第1章 实现安全治理的原则和策略 1

1.1 安全101 2

1.2 理解和应用安全概念 2

1.3 安全边界 9

1.4 评估和应用安全治理原则 10

1.5 管理安全功能 12

1.6 安全策略、标准、程序和指南 17

1.7 威胁建模 19

1.8 将基于风险的管理理念应用到供应链 23

1.9 本章小结 24

1.10 考试要点 25

1.11 书面实验 27

1.12 复习题 27

第2章 人员安全和风险管理的概念 32

2.1 人员安全策略和程序 33

2.2 理解并应用风险管理概念 40

2.3 社会工程 62

2.4 建立和维护安全意识、教育和培训计划 74

2.5 本章小结 77

2.6 考试要点 78

2.7 书面实验 81

2.8 复习题 81

第3章 业务连续性计划 86

3.1 业务连续性计划概述 86

3.2 项目范围和计划 87

3.3 业务影响分析 92

3.4 连续性计划 97

3.5 计划批准和实施 99

3.6 本章小结 103

3.7 考试要点 103

3.8 书面实验 104

3.9 复习题 104

第4章 法律、法规和合规 108

4.1 法律的分类 108

4.2 法律 111

4.3 合规 127

4.4 合同和采购 128

4.5 本章小结 129

4.6 考试要点 129

4.7 书面实验 130

4.8 复习题 130

第5章 保护资产安全 135

5.1 对信息和资产进行识别和分类 136

5.2 建立信息和资产的处理要求 142

5.3 数据保护方法 150

5.4 理解数据角色 155

5.5 使用安全基线 158

5.6 本章小结 160

5.7 考试要点 161

5.8 书面实验 162

5.9 复习题 162

第6章 密码学和对称密钥算法 167

6.1 密码学基本知识 167

6.2 现代密码学 181

6.3 对称密码 187

6.4 密码生命周期 195

6.5 本章小结 195

6.6 考试要点 196

6.7 书面实验 197

6.8 复习题 197

第7章 PKI和密码应用 201

7.1 非对称密码 202

7.2 哈希函数 207

7.3 数字签名 210

7.4 公钥基础设施 212

7.5 非对称密钥管理 217

7.6 混合加密法 218

7.7 应用密码学 219

7.8 密码攻击 228

7.9 本章小结 231

7.10 考试要点 232

7.11 书面实验 233

7.12 复习题 233

第8章 安全模型、设计和能力的原则 237

8.1 安全设计原则 238

8.2 用于确保保密性、完整性和可用性的技术 245

8.3 理解安全模型的基本概念 247

8.4 根据系统安全要求挑选控制 259

8.5 理解信息系统的安全能力 263

8.6 本章小结 265

8.7 考试要点 265

8.8 书面实验 267

8.9 复习题 267

第9章 安全漏洞、威胁和对策 272

9.1 共担责任 273

9.2 评价和弥补安全架构、设计和解决方案元素的漏洞 274

9.3 基于客户端的系统 287

9.4 基于服务器端的系统 290

9.5 工业控制系统 292

9.6 分布式系统 293

9.7 高性能计算系统 295

9.8 物联网 296

9.9 边缘和雾计算 298

9.10 嵌入式设备和信息物理融合系统 299

9.11 专用设备 304

9.12 微服务 305

9.13 基础设施即代码 306

9.14 虚拟化系统 307

9.15 容器化 314

9.16 无服务器架构 315

9.17 移动设备 315

9.18 基本安全保护机制 332

9.19 常见的安全架构缺陷和问题 334

9.20 本章小结 337

9.21 考试要点 338

9.22 书面实验 343

9.23 复习题 343

第10章 物理安全要求 348

10.1 站点与设施设计的安全原则 349

10.2 实现站点与设施安全控制 351

10.3 物理安全的实现与管理 370

10.4 本章小结 376

10.5 考试要点 376

10.6 书面实验 379

10.7 复习题 379

第11章 安全网络架构和组件 384

11.1 OSI模型 385

11.2 TCP/IP模型 390

11.3 网络流量分析 391

11.4 通用应用层协议 391

11.5 传输层协议 392

11.6 域名系统 393

11.7 互联网协议网络 399

11.8 ARP关注点 402

11.9 安全通信协议 403

11.10 多层协议的含义 403

11.11 微分网段 407

11.12 无线网络 408

11.14 蜂窝网络 421

11.15 内容分发网络 421

11.16 安全网络组件 422

11.17 本章小结 440

11.18 考试要点 441

11.19 书面实验 444

11.20 复习题 444

第12章 安全通信与网络攻击 449

第13章 管理身份和认证 492

第14章 控制和监控访问 522

第15章 安全评估与测试 559

第16章 安全运营管理 590

第17章 事件的预防和响应 619

17.1 实施事件管理 620

17.2 实施检测和预防措施 625

17.3 日志记录和监测 646

17.4 自动事件响应 655

17.5 本章小结 660

17.6 考试要点 661

17.7 书面实验 663

17.8 复习题 663

第18章 灾难恢复计划 667

18.1 灾难的本质 668

18.2 理解系统韧性、高可用性和容错能力 676

18.3 恢复策略 681

18.4 恢复计划开发 688

18.5 培训、意识与文档记录 695

18.6 测试与维护 695

18.7 本章小结 698

18.8 考试要点 698

18.9 书面实验 699

18.10 复习题 699

第19章 调查和道德 703

19.1 调查 703

19.2 计算机犯罪的主要类别 713

19.3 道德规范 717

19.4 本章小结 721

19.5 考试要点 721

19.6 书面实验 722

19.7 复习题 722

第20章 软件开发安全 726

20.1 系统开发控制概述 727

20.2 创建数据库和数据仓储 749

20.3 存储器威胁 757

20.4 理解基于知识的系统 758

20.5 本章小结 760

20.6 考试要点 760

20.7 书面实验 761

20.8 复习题 761

第21章 恶意代码和应用攻击 765

21.1 恶意软件 766

21.2 恶意软件预防 775

21.3 应用程序攻击 777

21.4 注入漏洞 779

21.5 利用授权漏洞 783

21.6 利用Web应用程序漏洞 786

21.7 应用程序安全控制 790

21.8 安全编码实践 795

21.9 本章小结 798

21.10 考试要点 798

21.11 书面实验 799

21.12 复习题 799

附录A 书面实验答案 803

附录B 复习题答案 815