1. 安全目标
    1. 安全体系结构和模型
      1. 公共计算机和网络组织， 体系结构和设计的原理
        1. 寻址－物理的和符号的(Addressing – physical and symbolic)
        2. 与内存空间相对的地址空间(Address space contrasted to memory space)
        3. 硬件，固件和软件
        4. 机器类型(真实，虚拟，多状态，多任务， 多程序，多进程，多处理器，多用户)
        5. 网络协议功能(OSI七层模型)
        6. 操作状态(单状态，多状态)
        7. 操作模式(用户，超级用户和特权用户)
        8. 资源管理器功能
        9. 存储类型(首要的，次要的，真实的， 虚拟的，易失的，不易失的，随机的，顺序的)
        10. 保护机制(分层，抽象，数据隐藏，进程分离， 硬件分割，最小特权原理，权限分离，可审计性)
        11. 使用防护，侦测和修正控制的系统安全技术
      2. 公共安全模型、体系结构 和评估标准的原理
        1. 认证和鉴定合格(Certification and Accreditation)
        2. 封闭和开放系统
        3. 限制，范围和隔离 (Confinement，Bounds and Isolation)
        4. 控制(强制的和自由的)
        5. IETF安全体系结构(IPSec)
        6. ITSEC级别和必需的保证和功能
        7. 客体和主体(目的和关系)(Objects and subjects(purpose and relationship)
        8. 安全边界和DMZ
        9. 参考监控和内核(目的和功能)
        10. 可信计算基(TCB)
        11. 用于机密性、完整性和信息流，以及商业和 政府需求的安全模型(Bell-LaPadula,Clark-Wilson,Biba)
        12. TCSEC分级和必需功能
        13. 令牌，能力和分类(labels)(目的和功能)
      3. 与系统体系结构和设计相关 的普遍性缺陷和安全问题
        1. 转换通道(内存，存储和通信)
        2. 初始化和失败状态
        3. 输入和参数检查
        4. 维护“钩子(Hook)”和特权程序(superzap/su)
        5. 程序设计(技巧，编译器，APIs，和库问题)
        6. Timing(TOC/TOU)，状态改变，通信断开
        7. 电磁辐射
    2. Availability可用性
      1. 保证信息资产对授权的用户随时可用
      2. 威胁
        1. Denial of Service拒绝服务
          1. 计算机锁死
          2. 文件读写失败
          3. 网站无法访问
          4. 门禁系统无法使用
        2. 物理损坏
          1. 自然灾害
          2. 人为因素
    3. Integrity完整性
      1. 确保信息资产不被有意或无意的未授权修改
      2. 措施
        1. 访问控制
          1. 访问控制技术
          2. 自由访问控制(Discretionary Access Control)
          3. 强制访问控制(Mandatory Access Control)
          4. 基于格的访问控制(Lattice-based Access Control)
          5. 基于规则的访问控制(Rule-based Access Control)
          6. 基于角色的访问控制(Role-based Access Control)
          7. 访问控制列表(Access Control Lists, ACL)
          8. 访问控制管理
          9. 帐户管理
          10. 帐户，日志和日记监控(Journal Monitoring)
          11. 访问权和许可
          12. 建立（授权)
          13. 文件和数据拥有者，管理人和用户
          14. 最小特权准则(Principle of Least Privilege)
          15. 责任和义务分离(Segregation of Duties and Responsibilities)
          16. 维护
          17. 撤消(Revocation)
          18. 访问控制模型
          19. Bell-LaPadula
          20. Biba
          21. Clark and Wilson
          22. 无干扰模型(Non-interference Model)
          23. 状态机模型(State Machine Model)
          24. 访问矩阵模型(Access Matrix Model)
          25. 信息流模型(Information Flow Model）
          26. 攻击方法
          27. 强力攻击(Brute Force)
          28. 拒绝服务(Denial of Service)
          29. 字典攻击
          30. 欺骗
          31. 中间人攻击(Man-in-the-middle attacks)
          32. 垃圾邮件(Spamming)
          33. 嗅探(Sniffers)
          34. Crackers
          35. 可审计性(Accountability)
          36. 鉴别和认证技术(Identification and Authentication)
          37. 基于知识的口令，个人标识码(PINs)，短语(phrases)
          38. 口令
          39. 选择
          40. 管理
          41. 控制
          42. 基于特征(生物测定学，行为)
          43. 令牌(token)
          44. 门票(ticket)
          45. 一次口令(phrases)
          46. 基于令牌(智能卡，密钥卡)
          47. 管理
          48. 单点登录(Single Sign On，SSO)
          49. 访问控制方法论和实现
          50. 集中/远程鉴别式的访问控制
          51. RADIUS
          52. TACACS/ TACACS+
          53. 分散式的访问控制(Decentralized Access Control)
          54. 域
          55. 信任
          56. 文件和数据的拥有和管理
          57. 攻击方法
          58. 强力攻击(Brute Force)
          59. 拒绝服务(Denial of Service)
          60. 字典攻击
          61. 欺骗
          62. 中间人攻击(Man-in-the-middle attacks)
          63. 垃圾邮件(Spamming)
          64. 嗅探(Sniffers)
          65. Crackers
          66. 监控(Monitoring)
          67. 入侵检测(Intrusion Detection)
          68. 入侵类型
          69. 入侵防护(识别，鉴别)
          70. 入侵检测（数据提取，取样，识别，流量）
          71. 攻击特征识别(Attack Signature Identification)
          72. 入侵主动响应(Intrusion Reactive Response)
          73. 异常识别(Anomaly Identification)
          74. 入侵响应(Intrusion Response)
          75. 报警(Alarms)
          76. 发信号(Signals)
          77. 审计跟踪(Audit Trails)
          78. 违例报告(Violation Reports)
          79. 纠正(Corrections)
          80. 渗透测试(Penetration Testing)
        2. 安全程序
          1. 运作安全
          2. 法律、调查研究和道德规范
          3. 法律(Laws)
          4. 许可(Licensing)
          5. 知识产权
          6. 进口/出口
          7. 责任
          8. 跨国界数据流动
          9. 主要种类和法律类型
          10. 刑法(Criminal Law)
          11. 民法(Civil Law)
          12. 行政法(Administrative Law)
          13. 调查
          14. 证据
          15. 可接纳的证据类型
          16. 证据的收集和保存
          17. 证据链(Chains of Evidence)
          18. 调查过程和技术
          19. 目标
          20. 客体/主题
          21. 小组组成
          22. 辨论
          23. 秘密
          24. 审问(Interrogation)
          25. 内部和外部的机密性
          26. 计算机犯罪的主要种类
          27. 军事和情报攻击
          28. 商务攻击
          29. 金融攻击
          30. 恐怖分子攻击
          31. Grudge Attacks
          32. “Fun” Attacks
          33. 事件处理
          34. 事件处理的一般类型
          35. 异常和可疑行为
          36. 设备,软件数据没收的通用可接受的方法指南(Generally accepted guidelines for confiscating equipment, software and data)
          37. 事件数据完整性和保持的通用可接受的方法(Generally accepted guidelines for incident data integrity and retention)
          38. 事件报告的通用可接受的方法(Generally accepted guidelines for reporting incidents)
          39. 道德规范
          40. (ISC)2TM道德规范
          41. RFC1087－互联网活动公告板(IAB), “道德规范与互联网”
          42. 行政管理(Administrative Management)
          43. 工作需求/规范(Job Requirements/Specifications)
          44. 背景检查
          45. 职责分离
          46. 最小权限
          47. 工作轮换(Job Rotations)
          48. 强制休假(Mandatory taking of vacation in one week increments)
          49. 离职
          50. 概念
          51. 防病毒管理
          52. 关键信息的备份
          53. 工作站/位置的改变
          54. 需要知晓/最小权限(Need to Know/Least Privilege)
          55. 特权操作功能(Privileged Operations Functions)
          56. 应有的关注/应尽的义务(Standards of Due Care/Due Diligence)
          57. 隐私和保护
          58. 法律上的需求
          59. 非法活动(欺骗检测，勾结 – fraud detection, collusion)
          60. 记录保留
          61. 敏感信息和媒体
          62. 标记(Marking)
          63. 操作(Handling)
          64. 存储(Storage)
          65. 破坏(Destruction)
          66. 控制类型
          67. 指令控制(Directive Controls)
          68. 预防控制(Preventive Controls)
          69. 检测控制(Detective Controls)
          70. 修正控制(Corrective Controls)
          71. 恢复控制(Recovery Controls)
          72. 操作控制(Operations Controls)
          73. 资源保护
          74. 特权实体控制
          75. 变更控制管理
          76. 硬件控制
          77. 输入/输出控制
          78. 媒体控制
          79. 行政管理控制（权责分离，职能转变，最小权限等等）
          80. 可信恢复过程
          81. 资源保护需要用于
          82. 通信硬件/软件
          83. 处理设备
          84. 口令文件
          85. 应用程序库
          86. 应用程序源代码
          87. 厂商软件(Vendor Software)
          88. 操作系统
          89. 系统实用程序(System Utilities)
          90. 目录和地址表(Directories and Address Tables)
          91. 专用软件包(Proprietary Package)
          92. 主存储(Main Storage)
          93. 敏感/关键数据
          94. 系统日志/审计跟踪
          95. 违例报告(Violation Report)
          96. 备份文件
          97. 敏感表格和打印
          98. 审计
          99. 符合性检查(Compliance Checks)
          100. 内部和外部
          101. 评审频率
          102. 应有的关注(Standard of Due Care)
          103. 审计跟踪(Audit Trails)
          104. 个人可审计性(Individual Accountability)
          105. 事件重组(Reconstruction of events)
          106. 问题识别(入侵检测)
          107. 问题解决
          108. 报告的概念(内容，格式，结构，层次，escalation，频率)
          109. 报告机制
          110. 审计日志
          111. 安全事件
          112. 系统审计跟踪
          113. 取样和数据提取
          114. 保存期
          115. 媒介
          116. 防改变保护(Protection against alteration)
          117. 防不可用的保护(Protection against unavailability)
          118. 审计日志备份(系统备份的重要性，频率 ，可用性，媒介，站点外的本地存储和 保护机制，质量，明确性readability）
          119. 监控
          120. 事件监控
          121. 硬件监控（故障检测，端口）
          122. 非法软件监控
          123. 监控工具和技术
          124. 警告标语(Warning Banner)
          125. 按键监控(Keystroke Monitoring)
          126. 流量分析
          127. 趋势分析
          128. 可用工具
          129. 实时
          130. 专用工具(Ad-hoc)
          131. 被动(passive)
          132. 闭路电视
          133. 故障识别和响应(安全机制，补救响应，可替代物)
          134. 问题识别
          135. 问题解决
          136. 报告的概念(内容，格式，结构，层次，escalation，频率)
          137. 报告机制
          138. 入侵检测
          139. 入侵防护(识别、鉴别)
          140. 入侵检测（数据提取，抽样，辨别和流量）
          141. 入侵响应
          142. 入侵检测的类型
          143. 模式识别和基线
          144. 异常鉴定
          145. 攻击特征识别
          146. 渗透测试技术
          147. 战争拨号(War Dialing)
          148. 嗅探
          149. 窃听(Eavesdropping)
          150. 辐射监控
          151. 垃圾搜索(Dumpster diving)
          152. 社会工程(Social Engineering)
          153. 不适当活动
          154. 欺骗(Fraud)
          155. 共谋(Collusion)
          156. 性骚扰(Sexual harassment)
          157. 色情文学
          158. 浪费(Waste)
          159. 滥用(Abuse)
          160. 盗窃(Theft)
          161. 威胁和对策(Threats and Countermeasures)
          162. Errors and Omissions
          163. 欺骗和偷窃(从内部或外部)
          164. 员工破坏
          165. 物理和基础支持损失
          166. Malicious Hackers/Crackers
          167. 间谍
          168. 恶意代码
          169. Violations，Breaches and Reporting
          170. 安全管理实践
          171. 安全管理概念和原则
          172. 隐私(Privacy)
          173. 机密性
          174. 完整性
          175. 可用性
          176. 授权(Authorization)
          177. 识别和鉴别
          178. 可审计性
          179. 抗抵赖(Non-repudiation)
          180. 文档(Documentation)
          181. 审计
          182. CIA三元组(CIA Triad)
          183. 保护机制
          184. 分层
          185. 抽象
          186. 数据隐藏
          187. 加密
          188. 变更控制/管理(Change Control/Management)
          189. 硬件配置
          190. 系统和应用软件
          191. 变更控制过程 (注：Change Control 变更控制)
          192. 数据分级(Data Classification)
          193. 分级方案的目标(Objective of a Classification Scheme)
          194. 数据分级标准
          195. 商业数据分级
          196. 政府数据分级
          197. 信息/数据
          198. 价值/估价(Worth/Valuation)
          199. 收集和分析技术
          200. 雇佣政策和实践 (Employment Policies and Practices)
          201. 背景检查/安全调查(Background Checks/Security Clearances)
          202. 雇佣协议(Employment Agreement)
          203. 解雇和离职实践(Hiring and Termination Practices)
          204. 工作描述(JD)
          205. 角色和职责(Roles and Responsibilities)
          206. 职责分离(Separation of Duties and Responsibilities)
          207. 工作轮换(Job Rotations)
          208. 政策，标准，方针和规程(Policies, Standards, Guidelines and Procedures)
          209. 风险管理
          210. 风险管理原则
          211. 威胁和脆弱性
          212. 概率确定(Probability Determination)
          213. 资产评估
          214. 风险评估工具和技术
          215. 定性和定量的风险评估方法
          216. 单一事件损失(Single Occurrence Loss)
          217. 年度损失期望计算(Annual Loss Expectancy (ALE) Calculations)
          218. 对策选择(Countermeasure Selection)
          219. 对策评估(Countermeasure Evaluation)
          220. 风险降低/分配/接受(Risk Reduction/Assignment/Acceptance)
          221. 角色和责任
          222. 管理层
          223. 所有者
          224. 管理者
          225. 用户
          226. IS/IT功能
          227. 其它人(other individual)
          228. 安全意识培训
          229. 安全管理计划
      3. 原则
        1. 最低权限策略
          1. 用户应该只获得完成其工作的 最低限度的资源访问和操作权限
        2. 职权分离
          1. 确保较为重要的工作流程由多 人完成，防止出现欺诈行为
        3. 职务轮换
          1. 定期轮换重要职务上的人员
          2. 防止出现欺诈
          3. 人员备份
    4. Confidentiality保密性
      1. 确保信息资产不被未授权用户访问
      2. 保密性威胁
        1. Hacker/Cracker
        2. Masqueraders
        3. Unauthorized User Activity
        4. Unprotecteddownloadedfiles
        5. Networks
        6. Trojan Horses
        7. Social Engineering