cissp

他们使用活动目录来提供AAA服务。什么是AAA服务？

AAA 是 Authentication（认证）、Authorization（授权）、Accounting（计费/审计） 的缩写，是一套访问控制框架，很多时候用在网络接入、设备登录场景（比如 RADIUS、TACACS+ 就是典型AAA协议）。

你这句话里：活动目录 AD 本身不是标准AAA协议，但AD可以作为后端身份源，给AAA系统提供账号信息，支撑AAA能力。

拆开三个A：

  1. Authentication 认证：你是谁？
    校验身份，核对账号密码、证书、MFA，确认这个用户/设备是不是它声称的身份。
    例：输入域账号密码，AD核对密码是否正确。
  2. Authorization 授权：你能干什么？
    认证通过之后，分配权限，规定这个身份允许访问哪些资源、能执行什么操作。
    例：AD组策略，这个用户只能登录某几台服务器，不能进管理员组。
  3. Accounting 计费/审计：你做了什么、用了多久？
    记录会话日志：登录时间、下线时间、访问流量、操作记录，用于审计、溯源、流量计费。
    例：记录谁什么时候接入VPN、什么时候断开。

简单一句话区分

  • 认证：验身份（能不能进大门）
  • 授权：定权限（进门之后能去哪几个房间）
  • 审计：记流水（全程录像+台账）

和AD的关系补充

Active Directory（活动目录）主要是身份目录，存账号、组、属性；它本身没有完整AAA会话记账能力。
典型架构：

接入设备（交换机/VPN）→ RADIUS（AAA服务器）→ 查询AD做身份校验
也就是RADIUS做AAA，AD当账号库，所以会说成“用活动目录来提供AAA服务”（简化说法）。

常见AAA协议

  • RADIUS：最常用，VPN、WiFi、802.1X
  • TACACS+：思科系，偏向网络设备命令授权、运维审计

考点： 最常用的AAA协议是TACACS+

硬件安全模块HSM是什么？

HSM（Hardware Security Module，硬件安全模块）

一句话：防篡改的专用密码硬件，密钥明文永远不跑出HSM内部，所有加解密、签名运算都在里面完成，是系统的信任根。

核心特点：私钥不能被导出明文；物理拆壳、探针探测会自动擦除密钥（防篡改触发归零），主流认证标准 FIPS 140-2 / 140-3，金融、政务、CA根证书大多要求Level 3。

✅ 主要能力

  1. 真随机数生成、密钥全生命周期管理（生成、轮换、备份、销毁）
  2. 加解密、哈希、数字签名、验签、TLS证书私钥运算
  3. 访问审计、多角色权限管控、操作日志留存

✅ 常见形态

  • 机架式网络HSM（最经典，Thales Luna等，服务器集群远程调用，PKCS#11接口）
  • PCIe加密卡HSM，插在服务器内部
  • 芯片内置HSM（MCU/车规芯片里的安全子模块，汽车ECU常用）
  • 云HSM服务（Azure/阿里云专用HSM，租户独占硬件）

✅ 典型场景

  • CA证书中心，存放根CA私钥
  • 银行支付：银行卡PIN加密、交易签名、PCI DSS合规
  • 代码签名、固件签名
  • 数据库TDE透明加密、SSL/TLS密钥保护
  • 区块链/数字资产托管、密钥托管

✅ 容易混淆：HSM vs TPM

  • HSM：独立密码设备，给多台服务器/业务提供密码服务，面向后台业务、密钥托管
  • TPM：主板内置安全芯片，绑定单台主机，主要用于本机磁盘加密、安全启动、设备身份

✅ 考试精简背诵版

HSM是防篡改的专用密码硬件模块，安全生成、存储密钥并执行密码运算；密钥明文不离开HSM，支持密钥生命周期管理，满足金融等行业合规，作为信任锚保护签名、加密、证书体系。

要不要我顺带把 PKCS#11 也简单讲一下？HSM几乎都走这个标准接口。

NAC的状态评估能力是什么意思？

NAC 状态评估（Posture Assessment / 终端健康评估）
一句话：NAC不光校验你是谁（AAA身份认证），还要检查这台终端本身安不安全，这个终端安全健康检查能力，就是状态评估。

重点区分：
AAA / 802.1X：认人、认账号（用户身份）
NAC状态评估：认设备健康状态（终端合规性）

✅ 一般检查哪些项

  • 杀毒软件/EDR 是否安装、是否开启、病毒库是否最新
  • 操作系统补丁、高危漏洞补丁有没有打
  • 主机防火墙是否启用
  • 是否开启磁盘加密（BitLocker等）
  • 有没有禁止运行的软件、恶意进程
  • 系统版本、注册表、安全配置基线

✅ 三种结果和动作

  1. 合规（健康）：放行，正常接入内网业务
  2. 不合规：隔离到修复区（隔离VLAN），只能访问补丁服务器、杀毒升级服务器，不能访问业务；修好后重新评估
  3. 严重风险：直接拒绝入网

而且不是只上线查一次，支持在线持续评估，连上之后防火墙被关掉、病毒库过期，会动态收紧权限。

✅ 两种评估方式

  • 有客户端Agent：终端装NAC代理，主动上报本机状态（检查最全）
  • 无客户端评估：靠WMI/SNMP/SSH远程采集，BYOD访客常用，检查项少一些

✅ 和前面知识点串起来（考试高频组合）

NAC完整准入 = AAA身份认证 + 状态评估

  • 先通过RADIUS/Kerberos做身份认证
  • 再做Posture状态评估
  • 两个条件一起作为授权依据，再下发权限给交换机/AP（PEP策略执行点）

✅ 背诵精简版

NAC状态评估是对入网终端进行安全合规检查的能力，采集终端杀毒、补丁、防火墙等安全状态，对照安全策略判定终端是否可信；结合身份认证结果共同决定网络访问权限，不合规设备可隔离修复或拒绝接入。

要不要我把 802.1X、RADIUS、AAA、NAC、Posture、隔离VLAN 串成一条完整准入流程？

FRR, FAR是什么

FAR / FRR（生物识别、身份认证核心指标，你前面学的AAA、NAC、Windows Hello都会碰到）

  • FAR = False Accept Rate，错误接受率 / 认假率
    坏人/冒充者，被系统错误放行、当成合法用户的比例

    安全指标：FAR越低越安全。金融场景一般要求 FAR 极低，例如 0.001%

  • FRR = False Reject Rate，错误拒绝率 / 拒真率
    本人、合法用户，被系统错误拦下来、判定为冒充者的比例

    体验指标：FRR越低越好用，不会反复刷脸刷指纹失败

✅ 一句话通俗版

  • FAR：放错人（风险）
  • FRR：拦对的人（麻烦）

✅ 关键特性（考试高频）

二者是跷跷板关系：调严阈值 → FAR下降（更安全），FRR上升（合法用户更容易被拒）；调松阈值 → FRR下降（好登录），FAR上升（更容易被冒充）

EER（Equal Error Rate，等错误率）：当 FAR = FRR 时的阈值点，用来横向对比不同算法；EER越小，算法整体越强

✅ 背诵精简版

FAR（错误接受率）：冒充者被误放行的概率；FRR（错误拒绝率）：合法用户被误拒绝的概率；二者相互制衡，EER是FAR=FRR的平衡点，用于评估生物识别认证性能。

✅ 补充区分（ISO标准细区分，面试加分）

  • FMR（False Match Rate）：模板比对层面的误匹配率
  • FNMR（False Non-Match Rate）：模板比对层面的不匹配率
    日常工程、考题里经常直接拿FAR≈FMR，FRR≈FNMR混用

要不要顺带把 DET 曲线（检测误差权衡曲线）也一句话讲清楚？

SAML和SPML有什么区别

SAML vs SPML（OASIS的两套XML IAM标准，分工完全不一样，互为互补）

SAML：Security Assertion Markup Language，安全断言标记语言
SPML：Service Provisioning Markup Language，服务配置/账号开通标记语言

一句话总结：
✅ SAML：登录的时候，验身份、传断言，做单点登录（认证+授权断言）
✅ SPML：事前/后台，增删改账号、开通权限（账号生命周期供给Provisioning）

1. 核心用途对比

SAML

  • 场景：用户访问应用那一刻（运行时、登录阶段）
  • 能力：跨域传递身份断言（Assertion），实现SAML SSO单点登录；告诉SP：这个人是谁、属于哪个组、有什么属性
  • 主体：IDP ↔ SP，浏览器重定向、SOAP令牌交换
  • 典型动作：认证、返回身份声明、授权判断
  • 现在地位：广泛在用（Azure AD/Entra ID、Okta都支持SAML2.0）

SPML

  • 场景：账号生命周期管理（事前后台，还没登录）
  • 能力：账号供给（provisioning）：新建账号、禁用、解锁、改密码、改组、删除账号
  • 主体：身份管理系统（IdM） ↔ 业务系统/目录
  • 典型动作：add、modify、delete、suspend、resume账号
  • 现状：老旧标准，现在工业界换成SCIM 2.0，考题里经常拿SPML代表供给协议，和SAML配对考

2. 通俗例子（同一个员工入职全流程）

  1. HR录入新人 → IdM系统下发 SPML 请求给OA、邮箱、ERP：新建账号、分配角色（供给，SPML干的活）
  2. 员工打开OA网页，触发SSO → 走 SAML，IDP校验身份，返回断言，OA放行登录（登录认证，SAML干的活）

3. 表格速记（适合考试）

项目 SAML SPML
全称 Security Assertion Markup Language Service Provisioning Markup Language
核心目标 身份联合、单点登录、传递身份断言 账号供给、身份生命周期自动管理
时机 用户登录访问资源时（运行时） 入职/调岗/离职，提前创建、变更、销毁账号
消息内容 身份断言、属性、认证结果 账号CRUD、权限开通、挂起、恢复指令
替代/同类 SAML2.0依然主流 已经被SCIM取代

4. 背诵精简版

SAML用于跨安全域交换认证授权断言，实现SSO单点登录；SPML是账号供给协议，用于自动创建、修改、删除远端系统账号权限；SAML管登录那一刻的身份核验，SPML管账号生命周期开通。二者互补，不是竞争关系。

5. 面试容易踩坑点

很多人混淆：

  • SAML 不负责建账号；账号必须预先存在（或者SCIM/SPML预先供给），SAML只是校验身份
  • SPML 不做登录认证，只管后台账号开通
  • 现代IAM：SCIM替代SPML，SAML/OIDC负责SSO

要不要我顺带把SCIM也一句话对比进来，形成 IAM三件套：SAML/OIDC + SCIM？

策略实施点 policy enforcement point在零信任解决方案里面，是什么意思

PEP（Policy Enforcement Point，策略实施点 / 策略执行点）
零信任里的核心组件，一句话：
PEP 就是拦在资源前面、负责拦截流量、执行访问控制策略的“网关”，所有访问请求都要经过它，由它落地放行/拒绝。

配套对照（零信任标准 NIST SP 800-207 经典三角）

  • PAP Policy Administration Point 策略管理点：管理员在这里写策略（比如：只有合规设备+特定组用户，才能访问ERP）
  • PDP Policy Decision Point 策略决策点：收到访问请求，调取策略、身份、设备健康状态，做判断：允许还是拒绝
  • PEP Policy Enforcement Point 策略执行点：拿到PDP返回的决策结果，真正阻断或者放行流量

流程串起来（非常好记）

  1. 用户发起访问资源的请求 → 请求先到 PEP
  2. PEP把请求上下文（用户身份、设备状态、位置、应用、风险分数）发给 PDP
  3. PDP去PAP拉取策略，评估后给出决策：Allow / Deny / 条件放行
  4. PEP 负责执行这个决定：放通连接、拒绝、强制MFA、会话限流

重点：PDP只做判断，不碰流量；PEP才是真正挡流量的地方

零信任里PEP常见形态

  • 零信任网关（ZTA Gateway）、ZTNA代理
  • 云访问安全代理 CASB
  • 防火墙、WAF
  • 应用侧SDK、服务端Sidecar（服务网格里的PEP）
  • 802.1X交换机、NAC（你前面学的NAC，交换机端口就是PEP）

和你之前知识点联动

NAC场景：交换机=PEP；NAC控制器=PDP
AAA/NAC：PEP（交换机端口）根据PDP判定结果，把端口划到合规VLAN/隔离VLAN

背诵精简版（面试/考试）

PEP（策略执行点）是零信任架构中位于资源访问路径上的组件，接收PDP的访问决策，对访问请求实施放行、阻断、二次认证等控制动作，是策略落地的控制点。

容易踩坑

❌ 误区：PDP和PEP是同一个东西
✅ 区分：PDP = 大脑（判断）；PEP = 门卫（动手拦/放行）

要不要我把 NIST 800-207 全套5个组件（PAP/PDP/PEP/PIP/PRP）一次性整理给你？