CCSP官方學(xué)習(xí)指南：云安全認(rèn)證專家

第1章 架構(gòu)概念 1
1.1 業(yè)務(wù)需求 3
1.1.1 現(xiàn)有狀態(tài) 4
1.1.2 收益量化和機會成本 5
1.1.3 預(yù)期影響 7
1.2 云計算的演化、術(shù)語和定義 7
1.2.1 新技術(shù)、新選擇 8
1.2.2 云計算服務(wù)模型 9
1.2.3 云部署模型 10
1.3 云計算中的角色和責(zé)任 12
1.4 云計算定義 12
1.5 云計算的基本概念 14
1.5.1 敏感數(shù)據(jù) 15
1.5.2 虛擬化技術(shù) 15
1.5.3 加密技術(shù) 15
1.5.4 合規(guī)與持續(xù)審計 16
1.5.5 云服務(wù)提供商的合同 16
1.6 小結(jié) 17
1.7 考試要點 17
1.8 書面實驗題 17
1.9 復(fù)習(xí)題 17
第2章 設(shè)計要求 21
2.1 業(yè)務(wù)需求分析 21
2.1.1 資產(chǎn)清單 22
2.1.2 資產(chǎn)評估 22
2.1.3 確定關(guān)鍵性 23
2.1.4 風(fēng)險偏好 24
2.2 云模型的邊界 25
2.2.1 IaaS邊界 26
2.2.2 PaaS邊界 26
2.2.3 SaaS邊界 27
2.3 保護(hù)敏感數(shù)據(jù)的設(shè)計原則 28
2.3.1 設(shè)備加固 28
2.3.2 加密技術(shù) 29
2.3.3 分層防御 29
2.4 小結(jié) 30
2.5 考試要點 30
2.6 書面實驗題 31
2.7 復(fù)習(xí)題 31
第3章 數(shù)據(jù)分級 35
3.1 數(shù)據(jù)資產(chǎn)清單與數(shù)據(jù)識別 36
3.1.1 數(shù)據(jù)所有權(quán) 36
3.1.2 云數(shù)據(jù)生命周期 37
3.1.3 數(shù)據(jù)識別方法 40
3.2 司法管轄權(quán)的要求 41
3.3 數(shù)據(jù)權(quán)限管理 42
3.3.1 知識產(chǎn)權(quán)的保護(hù) 42
3.3.2 DRM工具特征 46
3.4 數(shù)據(jù)控制 48
3.4.1 數(shù)據(jù)保留 48
3.4.2 數(shù)據(jù)審計 49
3.4.3 數(shù)據(jù)銷毀/廢棄 51
3.5 小結(jié) 52
3.6 考試要點 53
3.7 書面實驗題 53
3.8 復(fù)習(xí)題 53
第4章 云數(shù)據(jù)安全 57
4.1 云數(shù)據(jù)生命周期 58
4.1.1 創(chuàng)建 58
4.1.2 存儲 59
4.1.3 使用 59
4.1.4 共享 60
4.1.5 歸檔 60
4.1.6 銷毀 62
4.2 云存儲架構(gòu) 62
4.2.1 卷存儲：基于文件的存儲
和塊存儲 62
4.2.2 基于對象的存儲 62
4.2.3 數(shù)據(jù)庫 63
4.2.4 內(nèi)容分發(fā)網(wǎng)絡(luò) 63
4.3 云數(shù)據(jù)安全的基本策略 63
4.3.1 加密技術(shù) 63
4.3.2 遮蔽、混淆、匿名和標(biāo)記
技術(shù) 65
4.3.3 SIEM 67
4.3.4 出口的持續(xù)監(jiān)測(DLP) 68
4.4 小結(jié) 69
4.5 考試要點 69
4.6 書面實驗題 70
4.7 復(fù)習(xí)題 70
第5章 云端安全 73
5.1 云平臺風(fēng)險和責(zé)任的共擔(dān) 74
5.2 基于部署和服務(wù)模型的云
計算風(fēng)險 76
5.2.1 私有云 76
5.2.2 社區(qū)云 77
5.2.3 公有云 77
5.2.4 混合云 81
5.2.5 IaaS 81
5.2.6 PaaS 81
5.2.7 SaaS 82
5.3 虛擬化 82
5.4 云計算攻擊面 83
5.4.1 部署模式的威脅 83
5.4.2 對策 86
5.5 災(zāi)難恢復(fù)和業(yè)務(wù)連續(xù)性
管理 88
5.5.1 云特定的BIA關(guān)注點 88
5.5.2 云客戶/云服務(wù)提供商分擔(dān)
BC和DR責(zé)任 89
5.6 小結(jié) 91
5.7 考試要點 91
5.8 書面實驗題 92
5.9 復(fù)習(xí)題 92
第6章 云計算的責(zé)任 95
6.1 管理服務(wù)的基礎(chǔ) 97
6.2 業(yè)務(wù)需求 98
6.3 按服務(wù)類型分擔(dān)職責(zé) 103
6.3.1 IaaS 103
6.3.2 PaaS 103
6.3.3 SaaS 103
6.4 操作系統(tǒng)、中間件或應(yīng)用程序
的管理分配 104
6.5 職責(zé)分擔(dān)：數(shù)據(jù)訪問 105
6.5.1 云客戶直接管理訪問
權(quán)限 106
6.5.2 云服務(wù)提供商代表云客戶
管理訪問權(quán)限 106
6.5.3 第三方(CASB)代表客戶
管理訪問權(quán)限 107
6.6 無法進(jìn)行物理訪問 108
6.6.1 審計 108
6.6.2 共享策略 110
6.6.3 共享的持續(xù)監(jiān)測和
測試 111
6.7 小結(jié) 111
6.8 考試要點 112
6.9 書面實驗題 112
6.10 復(fù)習(xí)題 112

第7章 云應(yīng)用安全 115
7.1 培訓(xùn)和意識宣貫 117
7.2 云安全軟件開發(fā)生命
周期 121
7.3 ISO/IEC 27034-1應(yīng)用開發(fā)
安全標(biāo)準(zhǔn) 123
7.4 身份和訪問管理 124
7.4.1 身份存儲庫和目錄
服務(wù) 125
7.4.2 單點登錄 126
7.4.3 聯(lián)合身份管理 126
7.4.4 聯(lián)合驗證標(biāo)準(zhǔn) 127
7.4.5 多因素身份驗證 127
7.4.6 輔助安全設(shè)備 128
7.5 云應(yīng)用架構(gòu) 129
7.5.1 應(yīng)用編程接口 129
7.5.2 租戶隔離 130
7.5.3 密碼學(xué) 131
7.5.4 沙箱技術(shù) 133
7.5.5 應(yīng)用虛擬化 133
7.6 云應(yīng)用保證與驗證 134
7.6.1 威脅建模 134
7.6.2 服務(wù)質(zhì)量 137
7.6.3 軟件安全測試 137
7.6.4 已核準(zhǔn)的API 141
7.6.5 軟件供應(yīng)鏈管理
(API方面) 141
7.6.6 開源軟件安全 142
7.6.7 RASP 142
7.6.8 代碼安全審查 142
7.6.9 OWASP Top 9編碼
缺陷 143
7.7 小結(jié) 143
7.8 考試要點 143
7.9 書面實驗題 144
7.10 復(fù)習(xí)題 144
第8章 運營要素 149
8.1 物理/邏輯運營 150
8.1.1 設(shè)施和冗余 151
8.1.2 虛擬化運營 158
8.1.3 存儲操作 159
8.1.4 物理和邏輯隔離 161
8.2 安全培訓(xùn)和意識宣貫 162
8.2.1 培訓(xùn)項目類別 162
8.2.2 其他培訓(xùn)要點 165
8.3 應(yīng)用運營安全基礎(chǔ) 166
8.3.1 威脅建模 166
8.3.2 應(yīng)用測試方法 168
8.4 小結(jié) 168
8.5 考試要點 168
8.6 書面實驗題 169
8.7 復(fù)習(xí)題 169
第9章 運營管理 173
9.1 持續(xù)監(jiān)測、容量以及維護(hù) 174
9.1.1 持續(xù)監(jiān)測 174
9.1.2 維護(hù) 176
9.2 變更和配置管理 179
9.3 業(yè)務(wù)連續(xù)性和災(zāi)難恢復(fù) 182
9.3.1 主要關(guān)注事項 183
9.3.2 運營連續(xù)性 184
9.3.3 BC/DR計劃 184
9.3.4 BC/DR工具包 186
9.3.5 重新安置 186
9.3.6 供電 187
9.3.7 測試 189
9.4 小結(jié) 189
9.5 考試要點 190
9.6 書面實驗題 190
9.7 復(fù)習(xí)題 190
第10章 法律與合規(guī)(第一部分) 193
10.1 云環(huán)境中的法律要求與獨特
風(fēng)險 194
10.1.1 法律概念 194
10.1.2 美國法律 200
10.1.3 國際法 204
10.1.4 世界各地的法律、框架
和標(biāo)準(zhǔn) 204
10.1.5 法律、規(guī)章和標(biāo)準(zhǔn)之間的
差異 211
10.2 云環(huán)境下個人及數(shù)據(jù)隱私的
潛在問題 212
10.2.1 電子發(fā)現(xiàn) 212
10.2.2 取證要求 213
10.2.3 解決國際沖突 213
10.2.4 云計算取證的挑戰(zhàn) 213
10.2.5 合同性與監(jiān)管性PII 214
10.2.6 直接和間接標(biāo)識 214
10.3 理解審計流程、方法論及云環(huán)
境所需的調(diào)整 215
10.3.1 虛擬化 215
10.3.2 審計范圍 215
10.3.3 差距分析 215
10.3.4 信息安全管理體系 216
10.3.5 托管服務(wù)的審計權(quán) 216
10.3.6 審計范圍陳述 217
10.3.7 策略 217
10.3.8 不同類型的審計
報告 217
10.3.9 審計師的獨立性 218
10.3.10 AICPA報告和
標(biāo)準(zhǔn) 218
10.4 小結(jié) 220

10.5 考試要點 220
10.6 書面實驗題 221
10.7 復(fù)習(xí)題 221
第11章 法律與合規(guī)(第二部分) 225
11.1 多樣的地理位置和司法管
轄權(quán)的影響 226
11.1.1 策略 227
11.1.2 云計算對企業(yè)風(fēng)險管理
的影響 231
11.1.3 管理風(fēng)險的選擇 232
11.1.4 風(fēng)險管理框架 234
11.1.5 風(fēng)險管理指標(biāo) 236
11.1.6 合同和服務(wù)水平
協(xié)議(SLA) 237
11.2 業(yè)務(wù)需求 239
11.3 云計算外包的合同設(shè)計與
管理 240
11.4 確定合適的供應(yīng)鏈和供應(yīng)商
管理流程 240
11.4.1 通用標(biāo)準(zhǔn)保證框架 241
11.4.2 云計算認(rèn)證 241
11.4.3 STAR 242
11.4.4 供應(yīng)鏈風(fēng)險 243
11.5 小結(jié) 244
11.6 考試要點 245
11.7 書面實驗題 245
11.8 復(fù)習(xí)題 245
附錄A 復(fù)習(xí)題答案 249
附錄B 書面實驗題答案 263