心智圖資源庫 CISSP學習筆記-20(軟體開發安全)
這是一篇關於CISSP學習筆記-20(軟體開發安全)的心智圖,主要內容包括:複習題,考試要點,知識點。
編輯於2024-03-16 16:29:59Microbiologia medica, Infezioni batteriche e immunità riassume e organizza i punti di conoscenza per aiutare gli studenti a comprendere e ricordare. Studia in modo più efficiente!
La teoria cinetica dei gas rivela la natura microscopica dei fenomeni termici macroscopici e le leggi dei gas trovando la relazione tra quantità macroscopiche e quantità microscopiche. Dal punto di vista del movimento molecolare, vengono utilizzati metodi statistici per studiare le proprietà macroscopiche e modificare i modelli di movimento termico delle molecole di gas.
Este é um mapa mental sobre uma breve história do tempo. "Uma Breve História do Tempo" é um trabalho científico popular com influência de longo alcance. Ele não apenas introduz os conceitos básicos da cosmologia e da relatividade, mas também discute os buracos negros e a expansão. Do universo. questões científicas de ponta, como inflação e teoria das cordas.
Microbiologia medica, Infezioni batteriche e immunità riassume e organizza i punti di conoscenza per aiutare gli studenti a comprendere e ricordare. Studia in modo più efficiente!
La teoria cinetica dei gas rivela la natura microscopica dei fenomeni termici macroscopici e le leggi dei gas trovando la relazione tra quantità macroscopiche e quantità microscopiche. Dal punto di vista del movimento molecolare, vengono utilizzati metodi statistici per studiare le proprietà macroscopiche e modificare i modelli di movimento termico delle molecole di gas.
Este é um mapa mental sobre uma breve história do tempo. "Uma Breve História do Tempo" é um trabalho científico popular com influência de longo alcance. Ele não apenas introduz os conceitos básicos da cosmologia e da relatividade, mas também discute os buracos negros e a expansão. Do universo. questões científicas de ponta, como inflação e teoria das cordas.
CISSP學習筆記-20(軟體開發安全)
知識點
軟體開發控制概述
軟體開發
程式設計語言
編譯型語言:C、Java、VB
不易被第三方操縱
惡意人員可以加入後門,安全缺陷繞過偵測
解釋型語言:Python、R、JS和VBS
庫
開發工具集
物件導向程式設計
保證
避免並抑制系統故障
輸入驗證
身份認證和會話管理
錯誤處理
記錄
失效打卡和失效關閉
系統開發生命週期
生命週期模型
瀑布模型
只能後退一個階段,無法處理開發週期後期的錯誤
螺旋模型
每個螺旋是一個瀑布
敏捷軟體開發
Scrum
能力成熟度模型 CMM或SW-CMM或SCMM
階段
初始級
可重複級
定義級
管理級
最佳化級
軟體保證成熟度模型 SAMM
IDEAL模型
階段
啟動
診斷
建立
行動
學習
甘特圖和PERT
變更和配置管理
變更
請求控制、變更控制和發布控制
配置
DevOps方法
DevSecOps
安全控制由程式碼主動管理
應用程式介面
curl
軟體測試
白盒測試
測試人員可以存取原始程式碼
黑盒測試
使用者角度,不存取程式碼
灰盒測試
結合,但不分析內部原理
代碼倉庫
服務等級協定
第三方軟體採購
建立資料庫和資料倉儲
資料庫管理系統的體系結構
層次資料庫和分散式資料庫
層次式:一對多
分佈式:多對多
關聯式資料庫
行列結構
資料庫事務
屬性
原子性
一致性
隔離性
持久性
多層級資料庫的安全性
使用視圖
開放資料庫互連 ODBC
NoSQL
鍵/值存儲
圖資料庫儲存圖形格式數據
文件儲存
類似鍵/值存儲
常用文件類型:XML和JSON
記憶體威脅
理解基於知識的系統
專家系統
知識庫
一系列if/then語句對專家知識進行編碼
推理引擎
決策
機器學習 ML
監督學習
使用標記的資料進行訓練
無監督學習
使用未標記的資料進行訓練
神經網路
考試要點
解釋關係型資料庫管理系統(RDBMS)的基本架構。了解關係型資料庫的結構。能夠解釋表(關係、行(記錄/元組)和列(字段/屆性)的功能。知道如何在表和各種類型的鍵間定義關係。描述由聚合和推理形成的資料庫安全威脅。
解釋專家系統、機器學習和神經網路如何運作。專家系統包括兩個主要元件:包含一系列irthen 規則的知識庫;使用知識庫資訊得到其他資料的推理引擎。機器學習技術試圖透過演算法從數據中發現知識。神經網路模擬人類大腦的運作,在有限的範圍內透過安排一系列的分層計算來解決問題。神經網路需要針對特定問題進行大量訓練,然後才能提供解決方案。
理解系統開發的模型。瀑布模型描述了一個連續的開發過程,結果是最終產品的開發。如果發現錯誤,開發人員只能回退到上個階段。螺旋模型反覆使用幾個瀑布模型,從而產生多個詳細說明的和經過完全測試的原型。敏捷開發模型將重點放在客戶的需求上,快速開發新功能,以迭代方式滿足這些需求。
解釋敏捷軟體開發中的 Scrum 方法。 Scrum 是實現敏捷哲學的一種有組織的方法。它依靠每天的 Scrum 會議來組織和審查工作。開發集中在交付成品的短時間的活動衝刺。整合產品團隊IPT是美國國防部採用此方法的早期成果。
描述軟體開發成熟度模型。知道成熟度模型旨在透過將臨時的、混亂的軟體過程發展為成熱的、規範的軟體開發過程,從而幫助組織提高軟體開發過程的成熱度和品質。能夠描述SW-CMM、IDEAL 和 SAMM 模型。
瞭解變更和配置管理的重要性。知道變更管理流程的三個基本組件-—請求控制、變更控制和發布控制,以及它們如何有助於安全。解釋組態管理如何控制組織中使用的軟體版本。理解變更的審計和記錄是如何抑制組織風險的。
理解測試的重要性。軟體測試應被設計為軟體開發過程的一部分。軟體測試應作為改善設計、開發和生產流程的管理工具。
解釋 DevOps 和 DevSecOps 在現代企業中的作用。 DevOps 方法透過支援團隊之間的自動化和協作,尋求整合軟體開發和 I營運。 DevSecOps 方法透過在整合模型中引入安全營運活動,擴展了 DevOps 模型。持續整合和交付(CICD)技術使 DevOps 和DevSecOps 管道自動化。
了解不同編碼工具在軟體開發生態系中的作用。開發者用不同的程式語言編寫程式碼,然後將程式碼編譯成機器語言或透過解釋器執行。開發人員可以使用軟體開發工具集和整合開發環境來促進程式碼編寫過程。軟體庫創建共享和可重複使用的程式碼,而程式碼倉庫為軟體開發過程提供了管理平台。
解釋採購軟體對組織的影響。組織可以購買商用現貨(COTS)軟體來滿足其需求,也可使用免費開源軟體(OSS)。這些軟體都擴展了潛在的攻擊面,需要進行安全審查和測試。
複習題
1. Christine 正在幫助她的組織透過 Devops 方法來部署程式碼。以下哪個選項不屬於 DevOps模型的三個組件之一? A. 資訊安全 B. 軟體開發 C. 品質保證 D. IT營運
A
2.Bob 正在開發一個應用軟體,該軟體有一個輸入框,用戶可在其中輸入日期。他想確保用戶提供的值是準確日期,以防出現安全問題。下列哪一項技術是 Bob 應採用的? A. 多實例化 B. 輸入驗證 C.污染 D.篩選
B
3. Vincent 是一名軟體開發人員,正在處理積壓的變更任務。他不確定哪些任務應該具有最高優先權。變更管理流程的哪一部分可以幫助他確定任務的優先順序? A. 發布控制 B.配罝控制 C. 請求控制 D. 變更審計
C 請求控制提供了對這些請求進行優先排序的機會 請求控制為使用者請求變更提供了一個有組織的框架 變更審計用於確保生產環境與變更記錄一致
4 Frank 正在對其軟體開發環境進行風險分析,他希望引入一種故障管理方法,在發生故障時將系統置於高安全性等級。他該用什麼方法? A. 失效打開 B. 故障抑制 C. 失效關閉 D.故障清除
C 失效關閉:系統保持高安全級別,直到管理員介入 失效開啟:低安全級,停用控制,直到解決 故障抑制:減少故障的影響
5. 什麼軟體開發模型使用7階段的方法和一個回饋迴路,並且允許回到上一階段? A. Boyce-Codd B.瀑布模型 C.螺旋模型 D.敏捷開發
B
6. Jane 為其團隊正在開發的軟體包提安全需求時使用威脅建模技術進行威脅評估。在軟體保證成熟度模型(SAMM)下,她參與的是哪項業務功能? A. 治理 B. 設計 C. 實施 D. 驗證
B 設計功能的一部分
7.下列哪一種鍵用於在資料庫表之間強制執行參照完整性約束? A.候選鍵 B. 主鍵 C.外鍵 D.備用鍵
C 候選鍵:可能用作主鍵 備用鍵:未選擇為主鍵 外鍵:資料庫表之間強制執行參照完整性約束
8. Richard 認為,一個資料庫使用者濫用其特權進行查詢,並結合大量記錄中的資料來獲 取公司整體業務趨勢的資訊。該資料庫使用者利用的過程是什麼? A. 推理 B. 污染 C.多實例化 D.聚合
D
9.什麼樣的資料庫技術可防止未投權使用者因無法獲得通常可存取的資訊而推導出機密 資訊? A. 推理 B. 操控 C.多實例化 D.聚合
C 多重實例化:允許將看起來具有相同主鍵值的多個記錄插入具有不同分類等級的資料庫中
10. 下列哪一項不是敏捷開發的原則? A.持續不斷地提早交付以使客戶滿意 B. 業務人員與開發者相互合作 C.堅持不懈地追求技術卓越 D.在其他需求上優先考慮安全
D
11 什麼樣的資訊用於形成專家系統的決策過程的基礎? A.一系列加權分層計算 B. 結合大量的人類專家的輸入,根據過去的表現加權 C.一系列被編入知識庫的 if/then 規則 D. 一個模擬人類思考所使用的推理過程的生物決策過程
C
12. 在軟體能力成熟度模型 SW-CMM 中,組織達到哪個階段就可使用量化方法來詳細了解開發流程? A. 初始級 B.可重複級 C.定義級 D.管理級
D
13. 下列哪個選項可作為應用程式和資料庫之間的代理,以支援互動並簡化程式設計師的工作? A. SDLC B. ODBC C. PCIDSS D. 抽象
B
14. 在哪項軟體測試中,測試人員可存取底層的原始碼? A. 靜態測試 B. 動態測試 C.跨站腳本測試 D.黑盒測試
A 靜態測試:白盒測試 動態測試:黑盒子測試的一個例子
15. 哪一類圖表提供了一個有關調度的圖形說明,有助於規劃、協調和追蹤專案任務? A. 甘特圖 B. 維恩圖 C. 長條圖 D. PERT
A
16. 當一個較高分類等級的資料與一個較低分類的等級資料混合時,資料庫有下列哪一類安全風險? A. 聚合 B. 推理 C.污染 D.多實例化
C 書中原話
17. Tonya 正在組織內使用的第三方軟體包進行風險評估。她計劃從她所在行業中非常受歡迎的供應商那裡購買一種產品。什麼術語最能描達這個軟體? A. 開放原始碼 B. 客製化開發 C. 企業資源規劃(ERP) D.商用現貨
D
18. 下列哪一項不是變更管理流程的一部分? A. 請求控制 B. 發布控制 C.配置審計 D.變更控制
C
19. 什麼事務管理原則確保兩個事務在操作相同的資料時不會互相干擾? A. 原子性 B. 一致性 C.隔離性 D.持久性
C 原子性:一部分失敗,必須回滾整個事務 一致性:資料庫必須始終處於負載資料庫模型規則的狀態 持久性:必須保留提交到資料庫的事務
20. Tom 建立了一個資料庫表,這個表包含姓名、電話號碼、業務相關的客戶ID。這張表還包含30 個客戶的訊息,請問這個表的 「度」是名少? A. 2 B. 3 C. 30 D.未定義
B 基數-行 度-列