Úvod do študijnej príručky CISSP
Certified information systems security professional, Stručne povedané, je známy ako CISSP, CISSP je certifikácia pre bezpečnostné služby. CISSP je známy medzi jednotlivcami, ktorí chcú vykonávať manažérsku úlohu v oblasti informačnej bezpečnosti. Táto certifikácia bola vyvinutá konzorciom bezpečnostných certifikátov medzinárodných informačných systémov, ktoré je skrátene známe ako (ISC) 2. Tento certifikát je cestou pre profesionálov a manažérov, ktorí sa chcú zapojiť do kariéry vodcovstva v oblasti bezpečnosti, čo je dobre uznávané spoločnosťami a organizáciami v IT sektore.
Certifikácia CISSP vás môže dostať do pozície hlavného bezpečnostného úradníka (CSO), hlavného bezpečnostného úradníka (CISO), hlavného technického úradníka (CTO). Certifikácia CISSP je prvoradou požiadavkou pre niekoľko pozícií v súkromnom a vládnom sektore. Požiadavky na skúšku CISSP sú rozsiahle, čo si vyžaduje značné množstvo znalostí o bezpečnosti IT a riadení rizík. Po absolvovaní skúšky CISSP je možné potvrdiť, že jednotlivec má dobré vedomosti o bezpečnosti IT, čo možno považovať za prínos pre jednotlivca na riadiacich a vedúcich pozíciách.
Dôležité domény pre skúšku CISSP
Skúška CISSP pokrýva širokú škálu informácií od bezpečnostných subjektov. Sú rozdelené do desiatich rôznych domén a každá z nich je rozdelená na ciele skúšky. Pred skúškou musíte byť zdatní v každej doméne -
- Systémy a metodika kontroly prístupu
- Telekomunikácie a bezpečnosť sietí
- Postupy riadenia bezpečnosti
- Zabezpečenie vývoja aplikácií a systémov
- Cryptography
- Bezpečnostná architektúra a modely
- Prevádzková bezpečnosť
- Plánovanie kontinuity činnosti a plánovanie obnovy po katastrofe
- Právo, vyšetrovanie a etika
- Fyzická bezpečnosť
diskutujme podrobne o každej z týchto domén:
1. doména - systémy a metodika kontroly prístupu
Systémy a metodika kontroly prístupu v rámci tejto témy budú
Bežné techniky riadenia prístupu by ste mali podrobne definovať pomocou:
- Diskrétna kontrola prístupu
- Povinná kontrola vstupu
- Riadenie prístupu na základe mriežky
- Riadenie prístupu podľa pravidiel
- Riadenie prístupu na základe rolí
- Používanie zoznamov na kontrolu prístupu
- Podrobnosti o správe prístupu.
- Vysvetlenie modelov riadenia prístupu:
- Biba
- Model toku informácií
- Neinferenčný model
- Clark a Wilson
- Model štátneho stroja
- Model prístupovej matice
S vysvetlením techník identifikácie a autentifikácie, centralizovanej / decentralizovanej kontroly, opisujú bežné metódy útoku, vysvetlenia detekcie narušenia.
2. doména - Sieť a telekomunikácie
Identifikácia kľúčových oblastí telekomunikačnej a sieťovej bezpečnosti
Prepojovacie vrstvy a charakteristiky medzinárodných noriem pre organizáciu / otvorené systémy (ISO / OSI), ktoré zahŕňajú
- Fyzická vrstva
- Aplikačná vrstva
- Transportná vrstva
- Vrstva údajového odkazu
- Vrstva relácie
- Sieťová vrstva
- Prezentačná vrstva
Znalosti z návrhu a funkcie komunikácie a zabezpečenia siete s nasledujúcimi témami -
- Charakteristiky fyzických médií, ktoré sú skrútené, optická vlákna, koaxiálne.
- Rozsiahle siete (WAN)
- Lokálne siete (LAN)
- Zabezpečené vzdialené volanie procedúry
- Sieťové topológie, ktoré sú topológiou zbernice hviezd a zberníc.
- Overenie totožnosti IPSec a dôverné informácie
- Sieťový monitor a chrápanie paketov
- Charakteristiky a dôvernosť TCP / IP
- Techniky vzdialeného prístupu / telekomunikácie
- Vzdialený prístup Riadenie prístupu k užívateľskému systému / terminálu dial-in
- Prístupový systém Radius a Tacacs
Opíšte tiež protokoly, komponenty a služby, ktoré sú zapojené do návrhu internetu, intranetu alebo extranetu a ktoré sú
- proxy
- firewally
- prepínače
- Gateways
- Služby - SDLC, ISDN, HDLC, rámcové relé, x.25
- smerovače
- Protokoly –TCP / IP, IPSec, SKIP, SWIPE, SSL, S / MIME, SSL, SET, PEM, CHAP, PAP, PPP, SLIP.
Vyžadujú sa znalosti o detekcii, prevencii a oprave techník chýb v komunikačnom bezpečnostnom systéme, aby sa zachovala integrita, dostupnosť a dôvernosť transakcií v sieťach sa môže udržiavať prostredníctvom
- tunelovanie
- Popolníkové náradie
- Sieťové monitory a čichače paketov
- Virtuálna súkromná sieť
- Preklad sieťových adries
- priehľadnosť
- Ovládače opätovného prenosu
- Kontrola postupnosti záznamu
- Protokolovanie prenosu
- Korekcia chyby prenosu
Znalosti týkajúce sa oblastí komunikácie a metód ich zabezpečenia pokrývajú nasledujúce body:
- Zabezpečená hlasová komunikácia
- Zabezpečenie e-mailu
- faksimile
- Hranice bezpečnosti a ich preklad
- Formy vedomostí o sieťovom útoku - ARP, Brute force, Worms, záplavy, odposluchy, sniffers, spam, PBX podvody a zneužitie
3. doména - správa bezpečnosti a postupy
- Pochopenie princípov riadenia bezpečnosti a zodpovednosti za správu v prostredí informačnej bezpečnosti.
- Pochopenie riadenia rizík a jeho riešení.
- Podrobné pochopenie klasifikácie údajov a určenie politík a postupov na zvýšenie informačnej bezpečnosti.
- Zmena školenia používaná na udržanie bezpečnosti a povedomia pomocou školení o bezpečnosti.
4. doména - Vývoj aplikácií a systémov
Preskúmajte problémy s údajmi a preukázajte porozumenie
- Problémy s databázou a skladom.
- Webové služby, úložné a skladovacie systémy.
- Znalostné systémy a výzvy distribuovaných a nedistribuovaných prostredí.
- Študujte riadenie vývoja systému a definujte škodlivý kód.
- Využívať postupy kódovania, ktoré znižujú zraniteľnosť systému.
5. doména - kryptografia
- Mali by ste si preštudovať podrobné použitie kryptografie, ktorá by mala zahŕňať dôvernosť, integritu, autentifikáciu a nevypovedanie.
- Správa PKI a podrobné spoločné metódy útoku šifrovania so základnými a špecifickými útokmi.
6. doména - modely zabezpečenia a architektúry
Podľa toho musíte chápať bezpečnostný systém pre verejné a vládne modely odlišne.
- Študijné modely - zvonček - LaPadula, Biba, Clark-Wilson, zoznamy kontroly prístupu.
- Porozumenie TCSEC, ITSEC, spoločné kritériá, IPSec.
7. doména - bezpečnosť operácií
Pod touto identifikáciou kľúčových úloh operácií spočíva bezpečnosť.
- Mali by ste si prečítať identitu chráneného, obmedzeného, kontrolného a OPSEC procesu.
- Definujte hrozby a protiopatrenia, vysvetlenie protokolov auditu, techniky detekcie narušenia a techniky testovania prieniku
- Antivírusové kontroly a zabezpečené e-maily, porozumenie zálohovania dát.
8. doména - kontinuita podnikania a obnova po katastrofe
V tejto časti musíte preštudovať rozdiel medzi plánovaním obnovy po katastrofe a plánovaním kontinuity prevádzky. To možno dosiahnuť dokumentáciou prírodných a človekom spôsobených udalostí, ktoré je potrebné zohľadniť pri príprave plánov obnovy po katastrofe a kontinuity činnosti.
9. doména - ZÁKON, Vyšetrovanie a etika
To by malo vysvetliť dobré základy zákona o počítačovej kriminalite, ktorý sa dokazuje na súde. A diskutujte o počítačovej etike.
10. doména - Fyzická bezpečnosť
Pochopenie najbežnejších zraniteľností a ich účinkov na triedy majetku. Pochopenie princípov krádeže informácií a majetku. Znalosť navrhovania, konštruovania a udržiavania zabezpečenej stránky a vymeniteľných elektronických médií.
Tipy na vykonanie skúšky
- Jednotlivci si musia pred skúškou prečítať všetky témy.
- Krok za krokom kompletná otázka a cvičenie každej témy.
- Získajte prístup k svojim vedomostiam praktizovaním. Môže vám to pomôcť s témou, na ktorú sa potrebujete viac zamerať.
Odkazy na študijnú príručku CISSP
- Harris, S: Sprievodca skúškou CISSP, 2016.
- Gordan, A: oficiálny sprievodca ISC2 pre CISSP CBK, 2015.
- ISC2 II, ISC2 III, ISC2 IV: Podrobný prehľad obsahu CISSP, 2017.
- Správa IT, sro, čo je CISSP, 2016.
Odporúčané články
Bol to sprievodca študijnou príručkou CISSP. Tu diskutujeme o dôležitých oblastiach študijného sprievodcu CISSP a tiež niekoľko užitočných tipov na prijímanie skúšok. Ďalšie informácie nájdete aj v nasledujúcich článkoch -
- Kariéra v oblasti kybernetickej bezpečnosti
- Definícia bezpečnostného poradcu
- CISM verzus CISSP
- Cesta kariéry informačnej bezpečnosti