weixin_41820959的博客

1. 官方习题集(第3版)知识域测试题：综合3-综合8，每套综合125道，共计750道。1. 官方习题集(第3版)综合测试题：综合1--综合2，每套综合125道，共计300道。2. 铭学在线仿真测试题(第1版)：仿真2--仿真4，每套仿真150道，共计450道。2. 铭学在线仿真测试题(第4版)：仿真3-仿真8，每套仿真125道，共计750道。官方习题集(第3版)综合测试题：综合1--综合2，每套综合125道，共计300道。5. 铭学在线仿真测试题(第4版)：仿真1-2，每套仿真125道，共计250道。

首先我们需要回顾一下CISSP认证线性考试。这是一种传统的考试方式，其中每位考生都会接受相同数量和难度的题目，这些题目涵盖了CISSP的八个域（领域）的知识点。

期间基本属于自学状态，纯靠自觉，大概看了2遍OIA，因为平时上班比较繁忙，知识点自己感觉掌握的也不够扎实没敢去考试，所以耽误了一段时间。后来在2020年3月网上找到一家线上机构-铭学在线，先是在网页上体验了他们的做题平台和教学视频，觉得效果还行好，还能反复观看练习。当下就联系了铭学在线的老师问了线上培训的价格合理，于是就立刻付钱报名开始学习了。

自官方2021年5月更新知识点后，主要教材《CISSP认证官方学习指南》（简称：OSG）也发布了新的第9版。由于新版教材中文版需一段时间后才会发布，而新版知识点可能会在考试中出现，因此我们组织进行了梳理，具体如下：......

CISSP认证教材官方学习指南OSG第8版本与第9版目录对比表：

1、增加安全边界的概念（p13）安全边界是具有不同安全要求的任何两个区域、子网或环境之间的交界线。识别网络和物理环境中的安全边界非常重要。一旦确定了安全边界，就必须部署机制来控制跨该边界的信息流。2、纠正应尽职责和应尽关注概念（p23）纠正了8th中的错误，改为：应尽职责（Due Diligence）是制定计划、策略和流程来保护组织的利益。应尽关注（Due Care）只是开展一系列活动来维持应尽职责的工作。3、增加供应链风险管理（p31）供应链风险管理 (SCRM) 是确保供应链

1、生命周期终止EOL（End-of-life ）、支持终止EOS（End-of-support）、服务生命周期终止EOSL（End-of-service-life） （p198）EOL、EOS、EOSL能够适用于软件和硬件。EOL是供应商宣布产品停止销售的日期，但是，供应商仍然支持EOL之后的产品。EOS是指支持结束的时间。EOSL和EOS在概念上基本是差不多的。2、云访问安全代理CASB（Cloud Access Security Broker）（p200）云访问安全代理 (CASB)

1、量子密码学(Quantum Cryptography)使用量子力学原理，用称为量子位的多维量子位代替数字计算的二进制1和0位（也叫量子比特(qubit)）2、默认安全（Secure Defaults） （p314）永远不要认为任何产品的默认设置都是安全的。 你需要检查每一个设置，以确定它做了什么配置以及你需要配置什么样的功能，这样以便在支持业务操作的同时优化安全性。3、保持简单（Keep It Simple）（p316）一个系统越复杂，它的安全就越困难。代码行数越多，彻底测试

1、网络流量分析（Analyzing Network Traffic）（p505）网络通信分析通常是网络管理的基本功能。它可用于追踪恶意通信、检测错误或解决传输问题。协议分析器是一种用于检查网络流量内容的工具。协议分析器也可以称为嗅探器、网络评估器、网络分析器、流量监视器或数据包捕获实用程序。2、DNS嫁接、DNS查询欺骗（DNS Pharming、DNS Query Spoofing）（p512）另一种与DNS中毒（DNS poisoning）或DNS欺骗（DNS spoofing）密切相

1、HOTP、TOTP（p656）HOTP：散列消息验证码 (HMAC）包括一个散列函数，由基于HMAC的一次性密码（HMAC-based One-Time Password，HOTP) 标准用于创建一次性密码。它通常会创建6到8个数字的 HOTP 值。这类似于令牌创建的异步动态密码。HOTP 值在使用前一直有效。TOTP：基于时间的一次性密码（Time-based One-Time Password，TOTP）标准类似于 HOTP。但是，它使用时间戳并在特定时间范围内保持有效，例如 30 秒。如果

2024年CISSP&CCSP认证最新备考资料

1、入侵模拟攻击（Breach and Attack Simulations） （p745）入侵和攻击模拟(BAS)平台寻求在渗透测试的某些方面实现自动化。这些系统旨在向系统和网络注入威胁指示器，以触发其他安全控制。例如，BAS平台可能往服务器上放置可疑文件，在网络上发送标记报文（ beaconing packets），或探测系统中的已知漏洞。BAS平台实际上并没有发动攻击，但它正在对这些安全控制进行自动化测试，以识别可能需要进行控制更新或增强的缺陷。2、合规性检查（Compliance Che

1、自动配置管理系统CMS（automated configuration management system）（p774）许多组织使用自动配置管理系统 (CMS) 来帮助管理硬件资产。CMS的主要目的是配置管理，配置管理(CM)有助于确保系统部署在安全、一致的状态下，并在整个生命周期内保持在安全和一致的状态。CMS在检查配置设置时需要连接到硬件系统，它会验证系统是否仍在网络中并已运行。2、无形资产（Intangible Inventories）（p775）无形资产是一种知识资产（知识产权、

1、软件保障成熟度模型（SAMM，Software Assurance Maturity Model）（p961）SAMM是由开放 Web 应用程序安全项目 (OWASP) 维护的开源项目。它旨在提供一个框架，将安全活动集成到软件开发和维护过程中，并为组织提供评估其成熟度的能力。SAMM 将软件开发过程划分为五个业务功能：治理、设计、实施、验证、运营。2、NoSQL（p982）NoSQL 数据库是一类使用关系模型以外的模型来存储数据的数据库。NoSQL数据库没有标准的查询语言(SQL)，因此