50 CISSP Practice Questions. Master the CISSP Mindset

1. 恢复时间目标RTO

criticality 关键性；重要程度；危急程度（工程、IT、安全、风险评估最常用）

RTO is the maximum allowable downtime for a particular business function or process.

这道题考的是RTO的定义。

2. no read up, no write down 原则是什么

模型 目标 两条核心原则
BLP（Bell-LaPadula） 机密性 No Read Up，No Write Down（下读、上写）
Biba 完整性 No Read Down，No Write Up（上读、下写）

这道题考的是BLP模型的特点

3. 哪个算法考验的是文件或者信息的完整性

SHA-256

考点是算法，什么时候用什么算法

4. 哪个协议的安全性在传输敏感信息的时候是最差的

FTP

FTP是明文传输的
考点是网络协议

5. 设计一个数据中心的灾难回复计划的时候，最重要的考虑是什么

C. 数据中心的地理位置

6. 云计算环境，对于数据安全与隐私哪个是最重要的因素？

B. 强的访问控制和验证

7. cryptographic shredding

cryptographic shredding（密码粉碎 / 加密粉碎，也叫 cryptographic erasure 加密擦除）

一句话定义：不擦除存储介质上的密文本身，而是彻底销毁解密密钥，让已加密的数据在计算上不可恢复，属于**数据净化（data sanitization）**技术，SOC、云安全、NIST 800-88 高频考点

原理

  1. 数据写入时全程用强加密（AES-256）加密，明文不会裸落在磁盘；
  2. 要销毁数据时，销毁 / 覆盖掉媒体加密密钥 MEK；
  3. 磁盘上密文还留在原地，但没有密钥就无法解密，等价于数据被粉碎。

类比：保险柜里文件不动，直接把唯一的钥匙熔掉。

✅ 优势

  • 极快：TB 级 SSD 只需要几秒，不需要逐块覆写（SSD 磨损均衡会让传统覆写不可靠）
  • 云存储、对象存储、SED 自加密硬盘、手机恢复出厂底层就是这个机制
  • NIST SP 800-88 Rev.2 认可为 Purge 级别净化手段，满足 GDPR 等隐私删除要求

⚠️ 前提条件（最重要，考试 / 工程踩坑点）

  1. 数据从写入一开始就已经加密；事后再加密无法抹掉之前残留的明文痕迹；
  2. 密钥所有副本必须全部销毁：KMS 备份、硬件安全模块 HSM、密钥缓存、快照内密钥，只要还有一份密钥留存，数据就可恢复；
  3. 仅适用于强安全加密算法；弱加密不成立。

这个技术依赖的是symmetric encryption吗

核心依赖对称加密（symmetric encryption），但完整体系里会搭配非对称加密，真正用来加密业务数据的一定是对称加密。

原理拆解

Cryptographic shredding 的逻辑：

  1. 用**数据密钥 DEK（Data Encryption Key，对称密钥，如 AES）**加密用户原始数据（明文→密文）
  2. DEK 本身可以被 **KEK（Key Encryption Key，密钥加密密钥）**保护
    • KEK 可以是对称，也可以是非对称（RSA/ECC）
  3. 密码粉碎操作：销毁 DEK。磁盘上密文不动，没有 DEK 就无法解密。

被销毁的那个密钥（DEK），必然是对称密钥，因为大批量加密磁盘 / 文件数据，性能只能用对称加密。

8. 安全应急响应，哪一项是最重要的？

B. 对于组织的金融影响

9. SDLC预防安全漏洞最重要的一步是什么？

C requirements gathering

CISSP考试标准答案：为什么 requirements gathering（需求收集） 是SDLC预防漏洞最重要一步

核心一句话：绝大多数高危漏洞根源不是代码写错，而是需求阶段就缺失安全约束；需求阶段没定义安全，后面所有环节只能“打补丁”，无法从根源预防

1. 漏洞成本曲线（经典Boehm定律，CISSP必考）

缺陷修复成本随阶段指数上升：

  • 需求阶段发现缺陷：成本极低
  • 编码阶段：贵几倍
  • 测试阶段：贵几十倍
  • 上线后发现漏洞：上百倍代价

预防（prevent） 的含义：从源头不让漏洞被设计出来，而不是写完代码再去发现、修复漏洞。

  • 编码、测试、渗透测试属于发现漏洞（detect），不是预防。
  • 需求收集是定义安全基线、数据分类、访问控制、合规约束、威胁假设的阶段。

2. 需求阶段做哪些安全工作

  1. 识别系统要处理什么敏感数据、数据分级；
  2. 写入安全非功能需求：加密、最小权限、会话策略、审计日志；
  3. 纳入合规要求（PCI、GDPR、HIPAA）；
  4. 定义误用场景（abuse case），明确攻击者的目标；
  5. 确定风险接受阈值，决定哪些保护控件必须内置在系统内。

如果这一步漏掉：例如没有要求对PII加密、没有强制认证，后面架构、编码写得再好，系统天生就带安全缺陷。这种属于架构性/概念性漏洞，很难后期修复。

3. 和其他选项对比（选择题逻辑）

  • Design（设计）：是把需求落地成架构；前提是需求里已经写清楚安全目标，需求缺失，威胁建模无从谈起。
  • Coding（编码）：安全编码只能防止代码层面bug（SQL注入、XSS），无法修复架构层面的安全缺陷。
  • Testing（安全测试/渗透）：属于事后检测，只能发现已经造出来的漏洞，不能预防漏洞产生。

考点关键词区分：
✅ Prevent 预防 → requirements gathering（源头定义安全，不让漏洞诞生）
✅ Detect 发现 → code review、SAST、渗透测试、安全测试

4. CISSP简答版（直接背）

Requirements gathering is the most important phase to prevent vulnerabilities, because security requirements are defined here. Security controls, data classification, compliance constraints, misuse cases are established before design and coding. Flaws introduced at requirements phase lead to fundamental architectural vulnerabilities that are extremely costly to fix later. Later phases (design, coding, testing) mainly detect vulnerabilities rather than prevent them.

5. 易错坑

很多人会选 threat modeling（威胁建模，属于design阶段），但威胁建模是基于需求做的活动；没有需求，你不知道保护什么资产、数据敏感性、业务风险，威胁建模无法开展。

要不要我把SDLC各阶段的安全活动整理成一张CISSP速记表？

10 steering committee是什么意思

steering committee

翻译：指导委员会（项目督导委员会）

音标：/ˈstɪərɪŋ kəˈmɪti/

CISSP / 安全项目管理定义（重点）

高层跨部门小组，拥有预算、范围、重大风险的决策权；只做高层管控，不参与项目日常执行。
成员一般：项目发起人、业务负责人、IT、安全负责人、财务高管。

✅ 核心职能（选择题高频考点）

  1. 审批项目预算、范围变更
  2. 解决项目团队无法拍板的重大风险、跨部门冲突（escalation 上报问题在这里裁决）
  3. 阶段门评审（SDLC 的 gate review，决定项目是否进入下一阶段）
  4. 确认项目对齐业务目标；有权暂停 / 终止项目
  5. 监督风险、安全合规、资源分配

11. ddos攻击缓解措施，在检测与响应阶段最重要的是什么？

B. mitigating the attack and restoring services

CISSP 考点解析：DDoS，检测与响应阶段最重要：mitigating the attack and restoring services

题干关键词：检测与响应阶段（Detection & Response）

核心逻辑

DDoS 事件的完整生命周期：

  1. 预防（Prevent）：事前。比如扩容、CDN、流量清洗基线、边界防火墙，目的是降低被成功攻击的可能性。
  2. 检测（Detect）：识别异常流量，告警，确认正在发生DDoS。
  3. 响应（Response）：攻击已经发生了。此时首要目标不是溯源、不是收集取证、不是找出攻击者是谁。

✅ mitigating the attack and restoring services 缓解攻击并恢复业务服务
DDoS属于**可用性（Availability）**攻击。CIA三元组里它直接破坏可用性。
业务安全事件响应的第一优先级：恢复业务可用性。

为什么别的选项是干扰项（常见错误选项）

  • Identify the attacker / traceback（溯源定位攻击者）：DDoS溯源难度极高，不是响应阶段首要目标。很多DDoS用肉鸡、代理、反射攻击，溯源耗时，而且在业务瘫痪的时候，先保服务。
  • Collect forensic evidence（收集取证）：取证重要，但排在业务恢复之后。CISSP事件响应通用优先级：保护生命 → 恢复业务 → 保存证据 → 后续调查。
  • Block all incoming traffic（阻断全部入站流量）：错误，一刀切断网等于自己把业务下线，不是合理缓解。

CISSP 一句话背诵版

During detection and response for a DDoS attack, the primary objective is to mitigate the attack and restore services. DDoS targets availability; restoring service takes priority over attacker identification or forensic evidence collection.

事件响应通用口诀（CISSP IR章节）

  1. 确认事件（detect）
  2. 遏制、根除、恢复（contain, eradicate, recover）

    这道题的 mitigating（遏制缓解）+ restoring services（恢复服务），本质就是 contain + recover。

小坑提醒

区分两个阶段：

  • 事前预防：部署清洗中心、CDN、带宽冗余
  • 检测&响应（攻击正在发生）：缓解攻击，恢复业务

你要的话，我可以把CISSP事件响应6步（NIST IR）一起整理出来。

要不要顺便区分 contain / eradicate / recover 的含义？

12. 防止提权攻击最有效的手法是什么？

A. Role-based access control(RBAC)
B. 网络入侵检测系统
C 杀毒软件
D 安全信息和事件管理

核心结论
RBAC本身不能100%杜绝提权，但它可以大幅降低提权风险；它防提权的核心底层思想：最小权限 + 职责分离SoD。

先澄清考点坑：RBAC不是天然“阻止提权”，而是良好设计的RBAC限制权限边界，让横向/垂直提权更难。

1. RBAC 的设计逻辑（为什么能抑制提权）

RBAC：权限绑角色，用户只分配完成本职工作所需的角色（最小权限 principle of least privilege）

  • 用户没有多余权限，就算账号被劫持，攻击者拿到的也只是这个角色对应的有限权限；
  • 高权限（管理员角色）不会随便分配给普通用户。
  • 角色之间边界清晰，普通角色默认不继承管理员角色（除非你开启角色继承RBAC1）

举例：
前台员工角色，只有查看客户页面权限，没有服务器管理员角色。就算前台账号被黑，攻击者拿到权限上限就是前台角色，没法直接提升到系统管理员。

2. RBAC2 内置约束：SoD 职责分离（重要防提权手段）

RBAC2支持互斥角色（mutually exclusive roles）：同一个用户不能同时拥有两个互斥角色
经典例子：

  • 角色A：创建交易
  • 角色B：审批交易
    禁止同一用户同时拥有A+B。
    就算攻击者拿下其中一个角色，无法凑齐一整套高权限操作链路，阻止“一人完成全部敏感操作”的权限提升。

3. 权限集中管理，减少权限蔓延（privilege creep）

权限蔓延：员工调岗后旧权限没清理，慢慢越攒越多，形成隐形高权限（是内部提权常见来源）

  • RBAC：人员调岗，直接移除旧角色、分配新角色，不用手动逐条删权限
  • 减少残留多余权限，避免用户悄悄积攒多余权限来提权。

⚠️ 考试高频易错（一定要记住）

  1. ❌ 如果RBAC设计差，照样可以提权
    • 角色继承滥用：普通角色继承管理员权限
    • 角色粒度太粗：一个角色塞一大堆无关权限
    • 角色分配随意，普通用户直接赋予admin角色
      → RBAC只是框架，安全取决于角色设计
  2. RBAC防的是权限配置层面的提权；不能防漏洞层面提权
    比如：应用代码存在命令注入、缓冲区溢出。攻击者拿到普通账号，利用软件漏洞直接突破系统内核拿到root。
    👉 这种属于软件漏洞提权，RBAC拦不住！

CISSP一句话背诵版

Well-designed RBAC enforces least privilege by assigning only job-necessary permissions via roles. Mutually exclusive roles (SoD constraints) prevent users from combining privileged functions. It limits the impact of account compromise and prevents privilege creep, though it cannot stop privilege escalation caused by software vulnerabilities.

考题快速区分

题干问：哪种访问控制模型可以通过职责分离、最小权限，降低提权风险？ → RBAC
题干：攻击者利用程序漏洞从普通shell拿到root权限 → 这个提权RBAC挡不住。

要不要我顺便区分：垂直提权、横向提权？CISSP经常考。

13. risk avoidance是什么？

risk avoidance｜风险规避（CISSP 风险处理四大策略之一）

中文：风险规避
核心定义：完全停止会带来该风险的活动，彻底消除风险源。不是降低风险，而是直接不做这件事。

✅ 四大风险处置策略速记（必考）

  1. Risk avoidance 风险规避：放弃活动，移除风险源 → 不做了
    例子：

    • 某业务要接入第三方支付，但评估后数据泄露风险太高 → 干脆不上这个支付功能
    • 因为地震风险，放弃在地震带建设数据中心

      本质：风险太大，终止产生风险的行为，风险直接消失。

  2. Risk transfer 风险转移：把损失责任转给第三方 → 甩给别人
    例子：购买网络安全保险；外包合同约定服务商承担赔偿。

    ⚠️ 注意：风险本身没有消失，只是损失由别人承担。

  3. Risk mitigation（risk reduction）风险缓解/降低：采取控件减少风险的影响或概率 → 做，但加防护
    例子：部署防火墙、备份、WAF、DDoS清洗，减少漏洞被利用的可能性。

    风险还在，只是风险值下降。

  4. Risk acceptance 风险接受：评估后风险在可接受范围，选择承受风险 → 接受，不额外加措施

    • 有两种：主动接受（分析后知情接受）、被动接受（没识别到风险，被迫接受）

📌 选择题关键区分

  • Avoidance：消除风险源，停止活动。

    题干关键词：discontinue、eliminate the activity、stop doing it

  • Mitigation：活动继续，加安全控制

    关键词：reduce, implement safeguards, controls

典型考题示例

公司评估上线新客户门户，发现法律与数据泄露风险极高，决定取消该项目。这属于？
Answer: Risk avoidance

CISSP背诵短句

Risk avoidance eliminates risk by discontinuing the activity that causes the risk.
Risk mitigation reduces risk by implementing safeguards, while risk transfer shifts potential loss to another party. Risk acceptance means knowingly accepting residual risk.

易踩坑

❌ 不要把规避和缓解搞混：
缓解：项目保留，加防护；
规避：项目直接砍掉，不做了。

要不要我把这4个风险策略做成简短对比表，方便刷题？

14. 安全控制最有效的，防止恶意代码运行

C. 应用程序白名单

15. Birthday Attack 生日攻击的概念

音标 /ˈbɜːθdeɪ əˈtæk/
CISSP密码学高频考点，针对哈希函数 hash的攻击，核心基于生日悖论 birthday paradox。

生日悖论（原理）

一个房间里只要 23个人，任意两个人生日相同的概率就超过50%。
不是“某个人和你生日一样”，而是任意一对碰撞。

放到密码学：

  • 目标不是：找到一个输入，它的哈希 = 给定哈希（原像攻击 preimage）
  • 生日攻击目标：找到两段不同消息 m1≠m2，使得 hash(m1)=hash(m2) → 哈希碰撞 collision

核心定义

Birthday attack：利用生日悖论，用较低计算成本寻找哈希碰撞。
寻找碰撞的工作量大约是 $2^{n/2}$，n是哈希输出比特长度。
例：MD5 输出128bit

  • 原像攻击：$2^{128}$
  • 生日攻击找碰撞：只需要 $2^{64}$，难度大幅下降

典型场景（考题最爱）

用来攻击数字签名：

  1. 攻击者生成一份合法合同A、一份恶意合同B
  2. 用生日攻击，反复微调A、B，找到 hash(A)=hash(B)
  3. 让受害者对合同A签名
  4. 攻击者拿走这个签名，贴到合同B上

    验证：hash(B)和签名里的hash一致，系统认为签名有效。
    受害者以为签的是A，实际被替换成B。

✅ 防御办法

使用更长哈希摘要，把碰撞难度拉上去：

  • MD5(128bit)：极易遭受生日攻击，已废弃
  • SHA-1(160bit)：$2^{80}$ 工作量，已经被攻破
  • SHA-256：$2^{128}$，目前安全

📌 CISSP考点区分

  1. 原像攻击 Preimage attack：给定哈希值H，找消息M，hash(M)=H。难度 $2^n$
  2. 第二原像攻击 Second preimage：给定M1，找M2≠M1，hash(M1)=hash(M2)。难度 $2^n$
  3. 生日攻击（碰撞攻击 Collision）：随便找一对M1、M2，哈希相同。难度 $2^{n/2}$

一句话口诀：
生日攻击 = 找任意一对哈希碰撞，代价减半，主要威胁数字签名。

CISSP背诵短句

The birthday attack leverages the birthday paradox to find hash collisions with an effort of $2^{n/2}$. It is used to forge digital signatures by finding two different messages with identical hash values. Longer hash digests mitigate this attack.

考题坑

❌ 生日攻击不是用来破解加密（AES/RSA），只针对哈希函数，目标是碰撞collision。

要不要把这三种哈希攻击整理成对比表？

16. 组织内的安全培训的目的是什么？

B. to reduce the likelihood of insider threats and data breaches.

17. 数据安全与合规的主要考虑是什么

C. data sovereignty and legal jurisdiction

答案C：data sovereignty and legal jurisdiction
翻译：数据主权与司法管辖权

CISSP 数据安全、隐私合规章节高频选择题。

术语拆解

  1. Data sovereignty 数据主权
    数据受存储地所在国家/地区法律管辖；数据在哪，就要遵守当地法律。
    核心：数据归属于该地域的司法管控范围，国家有权管控境内数据。

    例子：欧盟GDPR、中国《个人信息保护法》、巴西LGPD。很多地区要求：个人数据不能随便出境，出境要走审批。

  2. Legal jurisdiction 司法管辖权
    哪个国家/地区的法院、监管机构拥有审理该数据相关案件的权力。
    当数据跨境传输、云服务商跨国运营，一旦发生泄露，会出现：到底用哪国法律、谁来处罚、去哪里打官司。

为什么这是【数据安全与合规首要考虑】

合规的底层前提：先确定适用哪一套法律。

  • 没搞清楚数据主权和管辖权：你选的加密、访问控制、留存周期全部可能不合规。
  • 跨境业务、跨国云、海外客户场景最突出。

简单逻辑链

数据存储位置 → 确定data sovereignty → 确定legal jurisdiction → 确定适用法规（GDPR/本地隐私法）→ 再设计安全控制、数据留存、删除、跨境传输机制

其他常见干扰选项对比（考题常出现）

  • Data encryption（数据加密）：安全控制手段，不是合规的顶层考虑。加密只是技术措施；就算加密了，如果违反数据出境法规，依然违法。
  • Data backup（备份）：业务连续性/灾难恢复的手段，属于安全操作，不是合规顶层考量。
  • Data classification（数据分级）：内部数据治理动作，在管辖权确定之后才做。你要先知道法律要求，才能定义分级规则。

一句话核心区分：
✅ Data sovereignty & jurisdiction = 确定适用什么法律（合规前提）
✅ 加密/备份/分级 = 满足法律要求的技术/管理措施

CISSP背诵短句

Data sovereignty means data is subject to the laws of the country where it resides. Legal jurisdiction defines which authority has legal power over the data. They are primary considerations for compliance, especially for cross-border data transfer. Technical safeguards such as encryption are implemented after these legal rules are identified.

典型考题坑

很多人本能选 encryption，记住：
加密是实现合规的工具，不是合规首要考虑。合规第一步是搞清楚适用哪个地区的法律。

要不要把 data sovereignty、data residency、data localization 三者放在一起区分？这三个经常一起出选择题。

参考资料