NISP Level 2 study materials
NISP Level 2 study resources

NISP Level 2 case studies

NISP Level 2 · Put your knowledge to work in context.

NISP Level 2 (National Information Security Practitioner, Level 2) is a Chinese information-security practitioner credential aimed at people who already know basic security vocabulary and want to demonstrate working competence across the full defensive lifecycle. It suits security operations staff, system and network administrators with security duties, IT auditors, and graduates entering security roles who need a structured, broad foundation rather than a single-vendor specialty. The syllabus spans nine areas: security fundamentals and management, network security, host and system security, application and data security, cryptography and identity authentication, security operations and incident response, security assessment and risk management, laws and standards, and emerging technology trends. Expect the exam to test judgement as well as recall: scenario stems that ask you to pick the most appropriate control, the correct order of an incident-response step, or the right classification of a risk treatment. Topics on this exam: Information Security Fundamentals and Security Management, Network Security, Host and System Security, Application and Data Security, Cryptography and Identity Authentication, Security Operations and Incident Response, Security Assessment and Risk Management, Security Laws, Regulations and Standards, and Emerging Technologies and Security Trends. The NISP Level 2 case studies are 5 cases and about 252 words.

1

预算被削减20%时的安全投入取舍与风险接受机制

某中型汽车零部件制造企业有员工3,200人,两年前通过ISO/IEC 27001认证,设有信息安全委员会,由分管生产的副总裁任主任,CISO向CIO汇报。安全团队共9人,其中3人负责日常运维,没有专职的风险分析人员。上一年度共记录4起钓鱼邮件导致的账号泄露和2起未遂勒索软件事件,其中一起造成某车间停线约6小时,直接损失估计180万元。新财年CFO要求信息安全预算在1,200万元的基础上削减20%,但明确不削减等级保护三级测评和年度渗透测试这两项合规支出。安全部门提交的预算大致为:安全运营中心外包监控300万元、终端检测与响应250万元、员工安全意识培训60万元、特权账号管理与堡垒机180万元、漏洞扫描与渗透测试90万元、等级保护测评与合规80万元、异地备份副本140万元,其余为设备维保与杂项。公司《信息安全风险管理程序》规定高风险由CISO批准接受、重大风险由CEO批准接受,但实际执行中风险接受几乎全部由安全部门自己记入台账。制造部门同时要求年内上线新的MES系统,需要安全评审。预算评审会将在两周后召开,CIO希望方案既能满足CFO的指标,又不至于在董事会上被质询。. 结合该企业现状,评价“高风险由CISO接受、重大风险由CEO接受”这一机制,并给出可落地的改进措施。. 核心原则是 按风险削减,而不是按比例平均削减 。第一步把每个预算条目映射到具体风险场景和损失量级:已有数据是一次停线6小时损失约180万元,若勒索成功导致全线停产3天,损失可达千万级。凡是降低“高可能性×高影响”的控制项优先保留。 优先保留或加强 : 异地备份副本(140万元):勒索场景下唯一可靠的恢复手段,不应削减,反而应要求增加不可篡改/离线副本和季度恢复演练。 特权账号管理与堡垒机(180万元):横向移动的主要通道,且直接关系到等保三级身份鉴别与访问控制要求。 终端检测与响应(250万元):可改为按服务器和关键终端分级授权,压缩20%~30%的许可费用,但不建议取消。 安全意识培训(60万元):性价比最高的钓鱼防护,可改为线上课程加季度钓鱼演练,金额不降甚至略增。 可压缩项 : 漏洞扫描工具续费与外部渗透测试范围:保留合规必需部分,把全量扫描改为季度重点资产扫描。 SOC 7×24外包监控:降为5×8加关键告警自动升级,但夜间无人值守的风险必须书面评估并由业务方接受。 不能削减 :等保测评与整改属于法律义务,削减等于用合规风险换预算。 最后必须输出“削减后剩余风险清单”,逐条写明风险描述、可能损失、责任部门和建议接受人,提交CFO/CEO签字,而不是由安全部门自行消化。. 没有期限和复核 。一次接受往往变成永久豁免,业务或威胁变化后无人重新评估。 改进措施: 建立三维分级标准:财务损失(如50万元以下/50万~500万元/500万元以上)、合规影响(是否违反法律或合同义务)、安全影响(是否可能导致大规模数据泄露或停线),打分后映射到部门负责人/CISO/CEO/董事会的接受权限。 风险登记册记录风险描述、评估依据、现有控制、剩余风险、接受人、接受期限(如6个月)与复核日期。 重大风险的接受必须由业务所有者提出申请,安全部门出具书面意见,到期或业务变更时重新评估。 每季度向信息安全委员会报告“接受中的风险清单”,让委员会实质审议而非走形式,这也满足ISO/IEC 27001对剩余风险可接受性的要求。.

47 words, under 1 min
2

污水处理厂IT/OT扁平网络的分区改造路径

某城市污水处理厂承担城区约60%的污水处理量,其监控系统由3套PLC、2台SCADA服务器、6台HMI和1台同时连接办公网与生产网的工程师站组成。全厂使用172.16.0.0/16单一网段,办公终端、视频监控、SCADA服务器和PLC处于同一广播域,核心交换机上没有任何ACL。去年办公网一台终端感染勒索软件后通过SMB横向传播,加密了报表服务器的共享目录,所幸未波及PLC。厂方按上级集团计划每月只有一次4小时停机窗口(凌晨0点至4点),其余时间必须连续运行,任何超过15分钟的中断都可能造成尾水超标并触发环保处罚。厂区常有12台外包运维人员自带的笔记本电脑直接插到接入交换机上,PLC厂商远程维护时通过一台4G路由器拨入内网。SCADA服务器运行在已停止支持的Windows Server 2012 R2上,PLC编程软件要求固定IP且不支持802.1X,曾发生过一次交换机配置错误导致的2小时通信中断。安全团队建议在生产网与办公网之间部署工业防火墙并划分区域,运维负责人担心串联设备故障导致停产。厂里没有完整的资产清单和流量基线,年度安全预算仅80万元,只能先做一个项目,上级集团要求三个月内提交整改方案。安全团队只有2人,且都不熟悉工控协议。. 针对工程师站双网卡、外包人员自带笔记本和厂商4G远程拨入,分别给出处置建议。. 应遵循“先看得见、再管得住”的顺序,第一个项目选择 在办公网与生产网之间部署带流量学习能力的工业防火墙 ,而不是先做终端加固或买漏扫。 理由: 分区边界是唯一能同时阻断“办公网→生产网”这条已证实被利用的横向路径的控制点,收益最大且与上次事件直接对应。 白名单策略必须基于真实会话,没有基线就上线阻断必然导致停产,所以第一步应是低成本、零停机的流量采集:在核心交换机配置镜像口做被动监听,运行2~4周,同时用被动流量识别补齐资产清单,并与PLC厂商的图纸核对。 时间表可以满足三个月:第1~4周流量采集与资产梳理(几乎零成本),第5~8周旁路监听模式部署并生成白名单,第9~12周在停机窗口内切为阻断模式。 80万元预算下,不建议同时做终端加固和边界隔离,否则两头都做不深;SCADA服务器EOL问题先用主机防火墙、禁用不必要服务和补丁替代措施处理,列入下一财年计划。 判断依据始终是“风险降低量÷实施风险与成本”,而不是控制措施的先进程度。. 方案A:工业防火墙透明串联 + 硬件Bypass 优点:能真正阻断非法会话,支持工控协议深度解析,bypass在设备断电或故障时物理直通。 缺点:需要一次停机窗口接线,bypass切换必须实测,仍存在极短的切换风险。 方案B:核心交换机ACL/VRF隔离 优点:不新增串联节点,故障风险最低,利用现有设备,可立即实施部分策略。 缺点:策略粒度和工控协议识别能力弱,变更依赖网络管理员,难以做到应用层白名单。 方案C:单向网关/数据二极管 适合仅需把生产数据送到办公侧做报表的场景,安全性最高,但成本高、部署复杂,且不能替代双向运维通道的管控。 回应顾虑的做法 :不要用口头承诺,而用工程证据--要求厂商提供bypass切换测试报告;在非生产时段做一次拔电与断电测试并记录恢复时间;准备回退脚本、配置备份和厂商驻场;合同中写明故障响应SLA;同时保留一台备用交换机作为应急旁路。先以旁路监听模式运行一个月,让运维看到设备不会影响生产,再谈串联,沟通阻力会显著降低。.

46 words, under 1 min
3

源码泄露后的口令存储、TLS兼容与账户防护

某在线协作文档服务商拥有约480万注册用户,其中约12万为企业付费客户。一次代码仓库配置错误,导致后端源码在公网可访问约30小时,随后被安全研究者下载并公开了部分截图。公司自查发现:用户口令表中口令字段为32位十六进制字符串,采用MD5直接计算且未加盐,表中虽有salt列但值全部为空;登录接口的调试日志里保留了最近7天的明文口令;对外开放的API同时支持TLS 1.0、1.1和1.2,并允许RC4-SHA等弱套件,原因是约2,000家客户的嵌入式打印终端只支持TLS 1.0;系统尚未部署多因素认证,登录失败次数不作限制,会话令牌有效期为30天且用户注销后仍然有效。公司已通过ISO/IEC 27001认证,客户合同中承诺“采取行业标准的安全措施”。安全团队共6人,需在48小时内向CEO提交处置方案。CTO认为“没有证据表明源码已被实际利用”,主张先观察;运维反馈强制重置口令会带来大量客服工单。合规部门提醒,该服务在中国境内有大量用户,所涉信息属于个人信息。公司尚未建立漏洞响应流程,也没有对外披露安全事件的先例,法务只有1名兼职人员。. 如何下线TLS 1.0/1.1与RC4,同时不影响2,000家只支持TLS 1.0的嵌入式客户?请给出分阶段方案和判断依据。. 先认清技术约束:口令以MD5无盐存储,没有明文就无法离线批量重算成更强的哈希,所谓“后台全部重算”不可行;只能在用户下次登录、口令明文短暂存在于内存时,用Argon2id(例如m=64MiB、t=3、p=4)重新计算并写回,同时为salt列填入随机值。 再判断风险:MD5无盐意味着攻击者可离线高速爆破、彩虹表可直接命中常见口令、相同口令在不同用户间可被识别。源码已在公网暴露30小时,应 假定口令表已被下载 。因此“下次登录弹窗提示”远远不够--攻击者可以拿着已破解的口令直接登录,根本不会看到提示。 分层处置: 立即让全部会话令牌失效,缩短有效期,修复注销后不失效的缺陷。 管理员账号、企业付费客户的管理员、近期有异常登录的账号强制重置并强制启用MFA。 其余用户在下一次登录时 强制改密 (而非提示),新口令做长度校验和弱口令库比对。 长期不活跃账号锁定,经邮箱验证后重置。 全量开启登录失败限速、异地/异常登录检测与告警,并对日志中的明文口令立即停止记录、清理历史日志。 判断依据:强制全量重置的收益是彻底消除已泄露口令的可用性,成本是客服压力和部分用户流失;但在源码已公开的前提下,拖延导致的撞库与跨站复用损失远大于重置成本。同时按合同与法规评估是否需要主动通知客户和监管方。. 分三步走,核心思路是 把老协议隔离到独立端点,而不是让主站长期兼容 。 第一步(0~2周) :服务端禁用RC4及CBC类弱套件,关闭不安全的重协商与压缩,默认套件改为ECDHE+AEAD;在网关/WAF上统计仍在使用TLS 1.0的客户端类型、来源IP和调用接口,拿到真实的受影响清单,而不是直接采信“2,000家”这一估算。 第二步(1~3个月) :为老终端建立独立的遗留端点,例如单独域名legacy.example.com、单独IP和端口、源IP白名单,只暴露打印所需的少量接口,使用独立证书,并施加更严格的限速、日志与告警,把它当作已知风险下的补偿控制;同时逐家联系客户,提供固件升级或设备替换方案,给出明确下线日期。 第三步(到期) :关闭遗留端点,并在监控中确认无残留调用。 判断依据:不能让480万用户的主站为了少数设备长期停留在TLS 1.0,也不能一夜之间让客户打印机全部报废,所以用“隔离+补偿+时间表”把风险限制在可控范围。同时要检查证书链、HSTS、API与网页端配置是否一致,避免只在入口关闭而内部服务仍接受弱协议。.

56 words, under 1 min
4

医院勒索软件事件的最初60分钟与恢复决策

某三级甲等医院开放床位1,200张,日均门诊约8,000人次。周一09:20,信息科发现HIS登录明显变慢,随后多个科室报告电子病历无法打开,文件服务器上出现大量扩展名为.locked的文件和勒索信;同一时间PACS影像调阅中断,急诊检验结果无法回传。初步排查显示,一名医生的工作站3天前访问过钓鱼站点并运行了带宏的文档,域管理员账号近一周在3台终端上有过交互式登录,其中一台正是被加密的终端。医院HIS、PACS与办公网同处一个AD域,备份系统为在线NAS,每晚全量备份,备份服务使用的域账号对备份目录拥有写权限,备份NAS与生产网互通。院领导要求“先恢复业务”,临床科室要求立刻恢复手术排程,当地卫健委已来电询问。信息科共14人,其中3人熟悉AD,没有独立的应急响应团队,也没有经过演练的应急预案。攻击者留下的勒索信要求在72小时内支付约40个比特币,否则公开“从医院拿到的数据”。目前尚不清楚是否有数据被外传,医院也未购买网络勒索保险。信息科主任建议立即关闭全院网络并格式化所有服务器后从备份恢复。. 用EDR或交换机端口把已确认被加密和告警的主机做网络隔离, 隔离而非关机 ,以保留内存中的密钥和样本。 4. 立即断开备份NAS与生产网的连接、禁用备份服务账号、把备份介质离线并确认备份是否已被加密。 5. 重置可能暴露的域管理员口令、禁用可疑账号,检查DCSync、黄金票据等痕迹;排查时使用专门创建的一次性账号,不要用域管理员账号逐台登录。 6.

45 words, under 1 min
5

跨境电商个人信息出境与数据泄露的双重合规处置

某总部位于深圳的跨境电商公司,中国境内注册用户约200万,主营母婴用品,业务覆盖欧盟和东南亚。公司使用新加坡AWS区域统一存储全球订单数据,并在新加坡设有5人数据分析团队;中国用户的订单号、收货地址、手机号和购物偏好会实时同步到新加坡。公司还计划把中国用户的客服录音交给菲律宾一家外包商做质检,该外包商通过VPN直接登录公司的客服后台。为跨境清关,系统对部分订单保存了身份证号。近期安全团队自查发现订单查询接口存在越权漏洞(IDOR),初步判断已被利用,涉及约3万条包含姓名、手机号和收货地址的记录,其中约4,000条同时含身份证号。漏洞在5天前发现,尚未对外报告,也尚未通知用户。管理层担心影响即将到来的大促,希望“先修复、观察一段时间再说”,并要求安全团队“把日志清理一下,免得说不清”。公司已通过等级保护三级备案,系统定级为三级,但未设置个人信息保护负责人;隐私政策中只写“可能向境外关联方提供信息”,未列明境外接收方名称和联系方式,也未取得单独同意。公司去年营收约18亿元,法务部只有1名兼职人员,不熟悉数据出境规则。. 两者性质不同,但都属于《个人信息保护法》意义上的“向境外提供个人信息”。 新加坡(向境外关联方提供) :需满足第38条路径之一--通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证,或订立标准合同并向省级网信部门备案。是否必须申报安全评估要看主体与数量条件:公司处理中国境内个人信息达200万人,属于“处理100万人以上个人信息的数据处理者”,向境外提供个人信息应当申报安全评估;此外累计向境外提供10万人个人信息或1万人敏感个人信息也会触发。身份证号属于敏感个人信息,4,000条虽未单独达到1万条门槛,但主体条件已满足。 菲律宾(委托处理) :委托境外处理仍构成出境,而且外包商通过VPN直连后台,风险更高。原则上应优先改为境内质检,或去标识化/脱敏后再出境;确需出境的,须签订委托处理协议、开展影响评估并取得单独同意。 整改路径 : 完成数据映射与分类分级,把敏感信息和原始录音优先留在境内。 最小化传输字段,手机号做哈希或脱敏,购物偏好做聚合。 隐私政策列明境外接收方名称、联系方式、处理目的与方式、信息种类及权利行使方式,并取得单独同意。 开展个人信息保护影响评估并留存记录。 与新加坡团队、菲律宾外包商签订数据处理协议,约定安全措施、再委托限制与审计权,收窄VPN权限到最小必要。 指定个人信息保护负责人并按规定备案。. 应履行的义务 : 立即采取补救措施:修复IDOR、排查同类越权接口、加强对象级授权校验与自动化测试,《个人信息保护法》第57条、《数据安全法》第29条、《网络安全法》第42条均有明确要求。 通知履行个人信息保护职责的部门和个人:告知泄露原因、可能造成的危害、已采取的补救措施、个人可采取的防护建议及联系方式。不能以“尚未查清”为由长期不报。 按《国家网络安全事件报告管理办法》等规定向属地网信部门报告,涉嫌犯罪的向公安机关报案;涉及身份证号的应提示用户防范电信诈骗。 封存证据链,记录发现时间、影响范围与处置过程。 “先修复、观察再说”不可行 :报告与通知义务不以修复完成为前提,拖延属于迟报、瞒报,会加重行政处罚和民事赔偿;泄露信息可能已被用于撞库或精准诈骗,越晚通知用户损失越大。 “清理日志”绝对不能做 :日志是事件调查与责任认定的关键证据,删除日志可能违反《网络安全法》第21条关于网络日志留存不少于六个月的要求,并可能构成妨碍调查,性质比漏洞本身更严重。正确做法是封存日志、做只读备份并计算哈希值,由取证人员按流程提取。.

58 words, under 1 min