NISP L1 PT case studies
NISP L1 PT · Put your knowledge to work in context.
NISP Level 1 Professional Training (commonly written NISP L1 PT, or NISP一级) is an entry-level information security credential aimed at people who are new to the field or who handle security as part of a broader role - IT support staff, helpdesk and operations personnel, junior administrators, and students preparing for a first security job. Its purpose is to show that a candidate understands everyday security concepts and can apply basic safeguards in ordinary work situations, rather than to certify specialist depth. The body of knowledge is broad and practical: security fundamentals and awareness, network security basics, host and endpoint protection, application and data security, identity and access control, cryptography and PKI fundamentals, security operations and incident response, and the laws, regulations and standards that shape compliance. Expect scenario-style multiple-choice questions that test judgement - which control fits a situation, what a given symptom suggests, what to do first - more than memorised trivia. Preparation works best in layers: read one structured text or course covering all domains, then work through practice questions domain by domain, then revisit your weakest areas. Because the syllabus is wide, candidates who only study networking or only study cryptography tend to fall short. Topics on this exam: Information Security Fundamentals and Security Awareness, Network Security Basics, Host and Endpoint Security, Application and Data Security, Identity, Authentication and Access Control, Cryptography and PKI Fundamentals, Security Operations, Monitoring and Incident Response, and Laws, Regulations, Standards and Compliance. The NISP L1 PT case studies are 5 cases and about 59 words.
1凌晨勒索软件:先恢复还是先取证
某中型制造企业约有600名员工,生产网与办公网共用一个AD域。周五03:12,SIEM连续告警:文件服务器FS01在5分钟内约12000个文件被改成.locked扩展名,共享盘无法访问;同一时段,备份服务器NAS02出现异常SMB写入。值班工程师按手册先拔掉FS01网线,却没有隔离NAS02。NAS02的备份任务与生产共用同一个域服务账号svc backup,最近一次可用的离线备份在6天前,在线备份与生产同网段且备份目录对域用户可读。FS01上还存放客户图纸和部分人事档案;勒索信要求支付40万元门罗币,并声称已窃取数据。OA和ERP都依赖FS01共享盘,早上8点生产主管要求立即恢复以赶上订单交付,9点有媒体来电询问。安全经理掌握:周四有3名财务人员打开过带宏的Excel附件,边界防火墙日志显示443端口存在异常外联;EDR只覆盖服务器,终端覆盖率约60%;公司没有正式的事件响应预案,上一次演练在两年前;安全团队只有4人,其中1人休假。生产恢复的RTO为8小时,RPO为24小时,但管理层此前未批准离线备份预算。攻击者使用的域账号登录时间为凌晨2:40,来源IP为10.20.3.66,属于研发网段,该网段与服务器网段互通。. 值班工程师先拔FS01网线、未隔离NAS02,这一处置有什么问题?请给出接下来2小时内的处置顺序,并说明证据保全要点。. 生产主管要求立即用NAS02备份恢复,你是否同意?请说明判断依据和恢复前的验证步骤。. 问题在于只处理了显性告警主机,却放过了同样出现异常SMB写入的备份服务器。NAS02与生产同网段、共用域服务账号,攻击者很可能已通过该账号横向到达备份,先恢复会把污染带回生产。 2小时内的处置顺序:1)确认范围:查SIEM、EDR、防火墙会话和域控登录日志,重点看svc backup在02:40从10.20.3.66的登录及派生进程;2)网络隔离:对FS01、NAS02及可疑研发主机下发ACL或切VLAN,保留电源与内存,不立即重装;3)账号处置:禁用svc backup及关联登录会话,重置相关域账号密码,由域管理员判断krbtgt是否需要轮换;4)阻断外联:封禁防火墙日志中的C2地址和域名,保留会话记录;5)保全证据:对FS01和NAS02做内存镜像与磁盘镜像,导出原始SIEM日志、防火墙会话、勒索信、宏附件及哈希,记录交接链;6)评估备份:只读挂载NAS02备份,扫描后抽样恢复到隔离网段。不要先格式化或删除文件,否则无法确认入口和范围。.
11 words, under 1 min2MFA推送轰炸与帮助台重置
某互联网公司约800人,统一使用SSO加推送式MFA。近两周安全团队收到17起“MFA推送轰炸”报告,集中在财务和HR;其中1名员工在凌晨误点“批准”,随后其邮箱出现自动转发规则。帮助台现行流程允许员工凭工号加生日通过电话重置MFA,日均23次,夜间占6次,无需主管确认,KPI要求3分钟内完成。服务账号svc backup使用固定密码,密码硬编码在5个系统的脚本中,且该账号属于域管理员组;密码每180天由一名运维手工修改,修改后需同步5处脚本,常出现失败。公司刚上线BYOD,允许个人手机接收推送,约40%员工使用个人手机,离职时未解除绑定。审计还发现,离职员工在HR系统停用后,AD账号平均仍存活9天;有3个外包账号共享同一凭证。财务系统可发起付款审批,单笔限额500万元;MFA推送未显示登录IP和设备。SSO日志只保留30天,安全团队2人,无法7×24值守。上周已发生一次境外IP可疑登录,但未被阻断;攻击者还曾冒充IT人员电话索要6位验证码,有2人照做。管理层提出“全员强制90天改密码”,希望安全团队先给风险排序和最低成本整改方案。公司使用Microsoft 365和自建OA,财务系统通过SAML接入SSO。. 请把MFA疲劳、帮助台电话重置、svc backup服务账号、离职账号四类风险排序,并说明排序依据。. 请设计帮助台MFA重置的最低控制,要求既可操作又不被社工绕过。. 排序应看“可被利用程度×影响”。第一,帮助台电话重置:仅凭工号和生日即可重置,日均23次、夜间6次,攻击者可直接绕过MFA;第二,svc backup:固定密码、硬编码在5个脚本、且属域管理员组,一旦泄露就是全域控制;第三,MFA疲劳:已有17起报告和1次误批准,且BYOD个人手机扩大暴露面;第四,离职账号存活9天:同样是入口,但可利用窗口和权限通常小于前两者。注意,若svc backup密码已在多个脚本中扩散,其实际风险可能高于帮助台,排序应结合“是否已观察到利用迹象”动态调整。.
13 words, under 1 min3访客Wi-Fi旁的ARP欺骗
某集团总部大楼12层,约450名员工。办公网是一个大二层VLAN 10(10.10.0.0/16),访客Wi-Fi SSID“Guest”与办公网接在同一批物理交换机上,仅靠ACL限制访客网段访问10.10.0.0/16,其中有一条放行规则允许访客访问打印服务器10.10.5.20的9100端口。周一10:05,IDS告警:VLAN 10内出现大量ARP应答,网关10.10.0.1的MAC被改成同一MAC;随后多名员工访问内部OA时被跳转到证书错误页面。网络管理员抓包发现攻击者IP为10.10.8.77,该地址属于访客DHCP池。办公网没有802.1X,交换机端口未做MAC绑定,也没有DHCP Snooping和动态ARP检测。访客与员工共用一个DHCP服务器,租期8小时。打印服务器同时被访客和财务用于扫码打印,财务每月需打印工资单。IDS仅镜像核心交换机上行链路,未覆盖接入层;攻击者还尝试用伪造DHCP服务器下发网关。楼内会议室无线投屏设备使用固定IP 10.10.5.30且无认证,物业摄像头与办公网在同一VLAN。网络工程师想直接关闭VLAN 10所有端口,但财务要求当天恢复工资单打印。交换机为多厂商混合环境,安全团队只有1名网络工程师。访客网络由市场部自行采购的AP提供,未纳入网络资产清单;ACL由外包工程师在去年配置,缺少变更记录。员工抱怨无法访问OA,管理层要求给出2小时内和3个月内的方案。. 为什么现有ACL没有阻止攻击?请指出至少两个设计缺陷。. ACL是三层/IP层过滤,ARP是二层广播协议;攻击者在同一VLAN内伪造网关MAC,流量在到达ACL前就已被劫持,这是第一个缺陷:把访客和办公放在同一广播域。第二个缺陷:放行规则允许访客访问打印服务器9100端口,等于给访客一条可用的内网路径,攻击者可先访问打印服务器再探测。第三个缺陷:没有DHCP Snooping和动态ARP检测,伪造DHCP服务器和ARP应答都无人拦截。第四个缺陷:IDS只镜像核心上行,看不到接入层的东西向流量。所以ACL规则写得再细,也补不上二层隔离缺失。. 顺序:1)先抑制:在接入交换机定位10.10.8.77所在端口,关闭该端口或把它移入隔离VLAN;同时清除网关ARP缓存,恢复10.10.0.1的正确MAC;2)保护打印:临时允许财务网段到10.10.5.20的9100,其他访客来源全部拒绝,打印服务器加IP白名单;3)抓证据:保存攻击者端口镜像、DHCP租约、ARP包和IDS日志;4)排查横向:查打印服务器和OA的登录日志,确认是否被利用;5)恢复办公访问,通知员工不要忽略证书警告;6)若短时间无法定位,先关访客SSID,优先保生产。不要直接关闭VLAN 10所有端口,否则财务和全楼办公一起停摆。.
16 words, under 1 min4内部CA证书到期与“先关校验”
某银行内部自建CA为32个业务系统签发mTLS证书,有效期统一5年,由一名已离职的运维工程师手工签发,没有证书清单。周一,清算前置系统A与核心系统B的mTLS握手失败,日志显示certificate expired;A的证书到期日为当天。排查发现同批签发的还有11张证书将在30天内到期,其中3张用于支付网关。部分旧系统只支持SHA-1签名,新CA策略要求SHA-256;一张通配符证书 .pay.internal用于5个子域,私钥存放在共享跳板机的/home/certs目录,权限755,跳板机有12个运维账号可登录。业务部门要求临时关闭证书校验以恢复交易,并称“只关两天”。安全团队没有HSM,CA根私钥存放在同一跳板机的加密压缩包中,口令由3人分别掌握。支付网关日交易额约2亿元,停机1小时影响约800万元;监管要求金融交易可追溯、不可否认。系统A的证书主题为CN=clearing-a,SAN中缺少clearing-a.internal;系统B校验证书链和吊销状态,但CRL每7天发布一次。旧系统C运行在Windows Server 2008上,只支持TLS 1.0和SHA-1。公司规定变更需走CAB审批,紧急变更可事后补单;距离月底结算还有5天。运维团队提出用自签名证书替代,以最快速度恢复;开发团队建议把B的证书校验改为只记录日志。安全经理需要在当天给出书面意见。CA的根证书通过组策略分发到域内主机,非域设备需手工安装。. 业务部门要求临时关闭mTLS校验两天,你是否同意?请给出替代方案和理由。. 针对通配符证书私钥存放在共享跳板机、CA根私钥也在同一机器的问题,提出整改。. 不同意关闭校验。mTLS是支付网关身份认证和不可否认性的基础,关闭后任何能连到端口的主机都可冒充A或B,两天足以造成资金和审计风险;而且“临时关闭”常会变成长期例外。替代方案:用现有CA紧急签发一张短有效期证书,例如7天,SAN包含clearing-a.internal和clearing-a,密钥用途包含clientAuth和serverAuth;先在一套隔离环境验证链和算法,再灰度到生产;同时发布CRL或OCSP并监控握手。若旧系统只支持SHA-1,应把它隔离在受控网段并限期升级,而不是降低全链路安全。所有紧急变更走紧急变更单,事后补CAB审批。.
12 words, under 1 min5120万用户数据泄露后的报告与跨境
某电商平台注册用户约120万,主要为中国境内自然人。周三22:00,安全团队发现订单数据库被拖库,涉及姓名、手机号、收货地址和订单金额,不含支付卡号和密码;攻击者利用未修复的SQL注入,周四01:00完成阻断。溯源发现攻击者IP在境外,数据被上传到境外云盘,部分备份文件也被访问。泄露数据约80万条,其中手机号去重后约60万个;攻击者还留下勒索邮件,要求支付20万美元。公司注册地在中国境内,应用日志仅保留30天,网络日志保留90天。法务询问:是否需要向监管部门和用户报告,时限如何把握?公司正计划把备份迁到海外云,以降低约30%的存储成本,涉及用户订单和部分收货地址。客服建议“先不通知用户,避免恐慌”,市场部担心品牌影响;CEO要求安全团队当天给出结论。平台未认定关键信息基础设施,但当地网信部门曾要求其按重要数据开展风险评估。数据库账号使用root,应用与数据库之间未做最小权限;WAF仅记录不阻断,近半年已有两次类似注入告警未修复。公司没有数据分类分级清单,也没有个人信息保护负责人;距离双十一还有两周。用户协议中未写明第三方共享,但备份供应商在境外;平台与两家物流公司共享收货信息。安全团队建议先发布简版公告,但法务要求先确认法律义务。. 很可能属于应报告事件。泄露字段包括姓名、手机号、地址和订单金额,能识别到特定自然人,属于个人信息;约80万条、去重手机号60万个,已达到需要认真履行通知义务的规模。依据:《网络安全法》第42条要求发生或可能发生个人信息泄露时立即补救,并按规定及时告知用户、报告主管部门;《数据安全法》第29条要求发生数据安全事件立即处置并按规定报告;《个人信息保护法》第57条要求立即补救,并通知履职部门和个人,除非采取措施能有效避免危害。中国法下不是一律“72小时”,72小时是GDPR的表述;应“立即”启动并按行业监管要求报告。若被认定为重要数据,按《网络数据安全管理条例》通常要在24小时内向设区的市级以上网信部门报告,最终以现行条文和行业要求为准。客服“先不通知”不可取,是否通知个人要看能否有效避免危害,并由法务留痕判断。. 网络日志90天不合规。《网络安全法》第21条要求采取监测、记录网络运行状态和网络安全事件的技术措施,并按规定留存相关网络日志不少于六个月。应用日志30天虽不一定直接违反该条,但对入侵溯源、订单审计和监管检查明显不足,也不能支撑“立即处置”的要求。整改:网络设备、防火墙、WAF、VPN、DNS日志统一接入日志平台,热存至少180天,冷备更长;应用侧记录登录、权限变更、订单和敏感数据访问,保留不少于180天并防篡改;时钟统一NTP,日志含来源IP、账号、操作对象和结果;设置访问控制,避免日志本身泄露个人信息;每季度做一次日志可用性和溯源演练。.
7 words, under 1 minMore study resources for NISP L1 PT
- Practice questionsAn employee receives an email claiming to be from the IT department that asks them to click a link and re-enter their password because the mailbox is full.
- FlashcardsCIA Triad. A model describing three core security goals: confidentiality prevents unauthorized disclosure, integrity prevents unauthorized alteration, and availability ensures timely and reliable access to data and systems.
- Cheat sheetCIA triad: Confidentiality (only authorized disclosure), Integrity (accuracy and completeness), Availability (timely, reliable access); a control usually strengthens one and may trade off against another.
- Key termsConfidentiality, Integrity, Availability (CIA Triad). The three core security goals: keeping data readable only by authorized parties, keeping data accurate and unaltered, and keeping systems and data usable when needed.
- Study planDefine confidentiality, integrity and availability and give one concrete failure example of each from a workplace scenario.
- Common mistakesCandidates revise broad slogans and recall them fastest under time pressure, so the most familiar-sounding option wins over the option that fits the specific facts.
- Exam-day guideBring the original, valid, unexpired photo ID in the name you registered with.