Engineer Information Security study guide
Engineer Information Security · Work through your exam, one topic at a time.
Engineer Information Security is a professional certification exam delivered in multiple-choice format, aimed at engineers who design, build, and operate secure systems rather than at pure policy or audit roles. It suits network, system, application, and security engineers who need to demonstrate breadth across the full defensive stack, and it is often taken by candidates moving from a general IT or development background into a dedicated security engineering position. The Engineer Information Security study guide has 9 sections and about 821 words.
01信息安全基础与法律法规
本域是信息安全工程师考试的基础域，选择题占比高，考查信息安全基本属性与安全模型的基本判断，以及《网络安全法》《数据安全法》《个人信息保护法》《密码法》等法律法规的适用对象、义务主体与法律责任。 保密性：仅授权者可见，靠加密、访问控制、涉密载体管控实现。 完整性：防止未授权篡改，靠哈希校验、数字签名、只读介质实现。 可用性：授权者按需可用，靠冗余、备份、容灾、抗 DDoS 实现。 延伸属性：可控性、不可否认性（数字签名）、可审查性（审计）。 《网络安全法》2017-06-01 施行：确立网络安全等级保护制度、关键信息基础设施保护、网络运营者安全义务、网络实名制、网络日志留存不少于六个月。 《数据安全法》2021-09-01 施行：数据分类分级保护、重要数据目录、数据出境安全管理、数据处理者全流程安全义务。 《个人信息保护法》2021-11-01 施行：告知-同意、敏感个人信息单独同意、最小必要、个人信息保护影响评估（PIA）、跨境三条路径（安全评估、保护认证、标准合同）。 《密码法》2020-01-01 施行：密码分为核心密码、普通密码、商用密码；商用密码用于非国家秘密领域，实行许可与检测认证；修订后的《商用密码管理条例》2023-07-01 施行。 《关键信息基础设施安全保护条例》2021-09-01 施行：运营者主体责任、专门安全管理机构、每年至少一次检测评估。 《刑法》第 285、286 条：非法侵入计算机信息系统、非法获取数据、破坏计算机信息系统罪。 某三甲医院上线在线挂号，采集身份证号、科室与既往病史，并与境外科研机构联合分析。判断链条：先定性--病史与身份证号结合属于敏感个人信息（医疗健康），须取得单独同意、告知必要性与保存期限并开展 PIA；再定级--系统承载挂号与支付、影响就诊秩序，可能定为等级保护三级，需每年至少测评一次并向公安机关备案；最后看出境--向境外提供病历须申报数据出境安全评估。三项义务并行，不能只做其中一条。 去标识化不等于匿名化：去标识化后仍属个人信息，匿名化后不再适用个保法。 备案（公安机关）与等级测评（测评机构）是两件事，三级每年、四级每半年测评。 日志留存六个月是网安法对网络运营者的要求，与等保测评周期无关。. CIA 三属性分别对应加密/访问控制、哈希/签名、冗余/容灾三类技术.
50 words, under 1 min02网络安全
网络安全的考查集中在协议层次上的攻击手法与防护设备的能力边界：防火墙、IDS/IPS、VPN、网络隔离与链路层攻击，题目常给一个部署要求让考生选择设备类型、部署位置或封装模式。 链路层：ARP 欺骗（伪造网关 MAC 做中间人）、MAC 泛洪、VLAN 跳跃（双重打标签、交换机欺骗）。 网络层：IP 欺骗、ICMP 重定向、分片攻击、路由协议劫持。 传输层：SYN Flood、端口扫描、会话劫持。 应用层：DNS 劫持与缓存投毒、HTTP 洪水、反射放大（借 DNS/NTP 放大流量）。 包过滤防火墙：只看五元组，无状态，快但无法识别会话是否合法。 状态检测防火墙：维护会话表，可丢弃伪造 ACK 等不符合握手序列的包。 应用代理/下一代防火墙：可做应用识别、URL 过滤、入侵防御，开销与时延更大。 IDS 旁路部署只告警；IPS 串联部署可阻断，但引入时延与单点故障风险。 网闸（单向导入）用于不同密级网络间摆渡；DMZ 放置对外服务器，内外网访问均受策略控制。 AH 只做认证与完整性，不加密；ESP 提供加密，可选认证。要求保密就必须用 ESP。 传输模式保护上层载荷、保留原 IP 头；隧道模式封装整个原 IP 包，用于站点到站点 VPN。 IKE 第一阶段建立 ISAKMP SA（主模式或野蛮模式），第二阶段建立 IPsec SA。 TLS 握手协商密码套件、验证证书，用非对称算法协商会话密钥，之后用对称加密传输数据。 总部与分支机构经公网互联，要求两端私网地址互通且流量全程加密并防篡改。选择：IPsec 隧道模式加 ESP（加密与认证同时满足），IKE 自动协商密钥。理由：只用 AH 时私网地址虽被封装但内容明文，不满足保密要求；用传输模式则原私网 IP 头暴露，也不适用于网关间互联。部署位置选在两侧出口防火墙或路由器之间。 认为状态检测防火墙能防应用层攻击，它防的主要是状态违例。 把 IDS 当阻断设备，IDS 接在镜像口只能告警。 解释反射放大时只谈僵尸网络规模，忽略放大倍数这一关键成因。. AH 只认证不加密，ESP 提供加密，保密需求必须选 ESP.
96 words, under 1 min03操作系统安全
操作系统安全考查访问控制模型的形式化规则、安全操作系统的机制（可信计算、最小特权、审计）以及常见漏洞利用与加固。典型题型是给出主体与客体的密级，让考生判断读、写是否被允许。 DAC 自主访问控制：由属主授权，灵活但易被木马利用；对应 Linux 文件权限、Windows ACL。 MAC 强制访问控制：系统按标签比较主体与客体级别，用户不能自行转让权限；对应 SELinux、BLP 模型。 RBAC 基于角色：用户-角色-权限三层映射，便于最小权限与职责分离。 ABAC 基于属性：按主体、客体、环境、操作四类属性做策略判决。 BLP（保密性）：简单安全特性--主体不得读级别高于自己的客体（不下读）；星特性--主体不得写级别低于自己的客体（不上写）。 Biba（完整性）：方向相反--不下写（不写高完整性客体）、不上读（不读低完整性客体）。 Clark-Wilson（商用完整性）：良构事务、职责分离、强制审计。 最小安装与最小服务、及时打补丁、禁用默认账户、口令策略与多因素认证。 特权分离：日常不用 root，用 sudo 提权并留痕；Linux 可用 capabilities 细分特权。 强制访问控制：SELinux 的类型强制、AppArmor 的路径级策略，root 亦受约束。 可信计算：TPM/TPCM 做启动度量与信任链，度量值存入 PCR，支持远程证明。 漏洞利用缓解：栈保护（Canary）、DEP/NX、ASLR 需组合使用才有效。 主体 A 密级为秘密（Secret），客体 B 为机密（Top Secret），客体 C 为公开（Public）。按 BLP：A 读 B 被拒绝（不能上读）；A 写 C 被拒绝（不能下写），否则会向低级别泄露高密级信息。按 Biba 判断则相反：A 读 C 允许、写 B 允许，因为它关注的是高完整性数据不被污染。同一组对象在两个模型下结论相反，是最常见的失分点。 把 BLP 记成“不上读、不下写”，正确口诀是“不下读、不上写”。 认为 SELinux 属于 DAC，它属于 MAC。 以为打全补丁即安全，配置错误与弱口令同样可被直接利用。. BLP 保保密：不下读、不上写；Biba 保完整：不下写、不上读.
100 words, under 1 min04数据库安全
数据库安全考查访问控制的实现层次、推理攻击与隐通道、加密与审计，以及数据库层面的注入与越权防护。判断题常以“应用层已经过滤了”作为干扰项。 自主访问控制：GRANT/REVOKE 授权到表、列、行，配合角色简化管理。 强制访问控制：行级标签，用户级别与数据标签比较，用于涉密系统。 视图：把行/列过滤固化，仅授予视图权限而不授基表权限，才构成安全边界。 存储过程：以定义者权限执行，需防注入与权限提升。 行级安全策略（RLS）：由 DBMS 强制拼接谓词，应用无法绕过。 推理攻击：通过聚合统计结果推断个体敏感值；对策是限制聚合粒度、查询审计、结果扰动。 隐通道：利用时间或存储信道绕过 MAC 策略，需做带宽分析与噪声注入。 SQL 注入：参数化查询（预编译）为根本对策，辅以最小权限账户、输入校验与 WAF 兜底。 加密：透明加密（TDE）保护介质与备份；列级加密保护高敏字段，但会失去范围查询与索引能力。 脱敏：静态脱敏用于测试数据，动态脱敏按角色在查询时改写结果。 三权分立：系统管理员、安全管理员、审计管理员相互制约，审计日志独立存储防篡改。 要求“各部门管理员只能看到本部门员工薪资，且无需应用改造即生效”。做法：建立带 department 谓词的视图或启用行级安全策略，只授予部门角色访问视图，不授予基表 SELECT。理由：若授了基表而靠应用 SQL 过滤，任何直连数据库或篡改参数的行为都会越权；视图与 RLS 由 DBMS 强制执行。薪资列可再加列级加密或动态脱敏，并审计全部查询。 授了视图却仍保留基表权限，隔离形同虚设。 字段加密后仍期望 LIKE 与范围查询正常工作。 数据库加密了，却忽略备份文件与导出文件仍是明文。. 行级安全策略由 DBMS 强制执行，应用无法绕过.
60 words, under 1 min05应用安全
应用安全考查 Web 与接口层常见漏洞的成因与修复，以及安全开发生命周期中的活动。题目多给一段代码或业务场景，要求判断漏洞类型并选出最优修复措施。 注入（SQL/命令/LDAP）：数据被当作代码解析；修复靠参数化查询、白名单校验、最小权限。 失效的身份认证：弱口令、会话固定、无登录失败限制。 失效访问控制：水平越权（改 ID 看他人数据）与垂直越权（普通用户调用管理接口）。 XSS：存储型、反射型、DOM 型，脚本在受害者浏览器中执行。 CSRF：借用户已认证的 Cookie 伪造请求，攻击者看不到响应。 SSRF：服务端被诱导访问内网地址，可读取云元数据服务。 不安全反序列化：可控数据反序列化导致远程代码执行。 组件漏洞与配置错误：默认口令、目录列举、未关闭的调试接口。 输入校验用白名单与长度、类型约束；输出按上下文编码（HTML 正文、属性、JS、URL 各不相同）。 Cookie 加 HttpOnly、Secure、SameSite；登录成功后重建会话 ID。 关键操作加 CSRF Token；每个对象访问都做归属校验。 部署 CSP、WAF 作纵深防御，但不能替代代码修复。 文件上传：扩展名白名单、重命名、存入不可执行目录、独立域名。 SDL：需求定安全需求，设计做 STRIDE 威胁建模，编码用 SAST，测试用 DAST/IAST 与渗透测试，上线后做漏洞响应。 某后台“查看订单”接口为 GET /order?id=1001，任意登录用户改 id 即可看他人订单。判断：这是水平越权（失效访问控制），不是 SQL 注入，也不是 CSRF。修复：服务端用当前会话用户 ID 与订单归属比对，或查询时强制附加 owner=当前用户；同时改为 POST 并加 CSRF Token，对 id 做格式校验。只在前端隐藏按钮无效，因为请求可手工构造。 用前端校验替代服务端校验。 认为 HttpOnly 能防 CSRF，它防的是脚本读取 Cookie。 把 XSS 修复写成“过滤 script 标签”，正确做法是按上下文做输出编码。. SQL 注入的根本修复是参数化查询，WAF 只是兜底.
103 words, under 1 min06密码学与认证
密码学与认证考查算法属性（分组长度、密钥长度、用途）、密码协议流程与 PKI 信任链，以及“该用哪种算法”的选择题。国密算法是本域的必考点。 对称：DES 为 64 位分组、56 位密钥，已不安全；AES 分组 128 位，密钥 128/192/256 位；SM4 分组与密钥均为 128 位，32 轮。 非对称：RSA 基于大整数分解；ECC 基于椭圆曲线离散对数，同等强度下密钥更短；SM2 为 256 位椭圆曲线公钥算法，可用于加密、签名与密钥交换。 哈希：SHA-256、SM3（输出 256 位、分组 512 位），只提供完整性，不提供机密性。 消息认证码：HMAC 用共享密钥同时提供完整性与身份认证。 标识密码：SM9 以身份（如邮箱）作为公钥，无需证书链。 工作模式：ECB 相同明文块产生相同密文，不应使用；CBC 需随机 IV；GCM 提供认证加密（AEAD）。 要保密且高效：混合加密，非对称传会话密钥，对称加密数据。 要不可否认：发送方用私钥签名，接收方用其公钥验签。 要证明消息未被篡改且双方共享密钥：HMAC。 要证书信任：CA 签发-证书链校验-CRL/OCSP 查吊销-校验域名与有效期。 口令应加盐后用慢哈希存储（bcrypt/PBKDF2/Argon2），不用 MD5。 挑战-应答避免口令明文与重放；动态令牌与生物特征构成多因素。 Kerberos 由 KDC 发放票据，票据有生存期，需防时钟偏移与票据重放。 单点登录依赖断言签名，注销时需全局失效。 A 要向 B 传 1 GB 文件，要求机密性且 B 能确认来自 A。做法：A 生成随机对称密钥 K，用 AES-GCM 加密文件（GCM 同时保证完整性）；用 B 的公钥加密 K 随文件发送；A 再对密文摘要做 SM2 签名。B 先用私钥解出 K，解密并验证认证标签，再用 A 的公钥验签。理由：纯对称无法证明来源，纯非对称太慢，纯哈希无法阻止篡改者重算。 把哈希当加密，或认为 Base64 是加密。 签名与验签所用密钥方向写反。 认为 SM2 密钥是 128 位（实为 256 位）。. SM4 分组与密钥均 128 位、32 轮；SM3 输出 256 位；SM2 为 256 位椭圆曲线算法.
132 words, under 1 min07安全管理与风险评估
本域考查风险评估的方法与流程、风险处置策略、等级保护工作环节与 ISMS 体系，以及定量计算。题目常给资产价值与发生频率，要求算出风险值或选择处置方式。 四要素：资产、威胁、脆弱性、已有安全措施；风险由威胁利用脆弱性造成资产损失的可能性与影响共同决定。 GB/T 20984 流程：业务识别-资产识别与赋值（保密、完整、可用三维）-威胁识别-脆弱性识别-风险计算-风险处置。 风险值 = f（资产价值，威胁发生频率，脆弱性严重程度），常用矩阵法分档后查表定级。 定量计算：SLE = 资产价值 × 暴露因子（EF）；ALE = SLE × 年发生频率（ARO）。 处置四法：降低（加控制措施）、转移（保险、外包）、规避（停止业务）、接受（剩余风险需管理层批准）。 定级：按受侵害客体与侵害程度定为 1-5 级；一级自主保护，二级以上需备案与测评。 备案：到公安机关备案。 建设整改：按 GB/T 22239-2019 的技术要求与管理要求落实。 等级测评：三级每年至少一次，四级每半年一次。 监督检查：主管部门与公安机关依法开展。 ISO/IEC 27001 建立 ISMS，采用 PDCA 循环；ISO/IEC 27002 提供控制措施实践。 覆盖安全策略、组织与职责、人员安全（入职审查、离职权限回收）、意识培训、供应商管理与合规审计。 风险管理不是一次性活动，业务变更或出现新威胁时需复评。 某机房资产价值 200 万元，火灾暴露因子 40%，历史上平均 5 年一次。SLE = 200 × 40% = 80 万元；ARO = 1/5 = 0.2；ALE = 80 × 0.2 = 16 万元/年。若气体灭火与早期探测方案年摊销 6 万元，可把 ARO 降到 0.05，则 ALE 降为 4 万元，年收益 12 万元大于成本 6 万元，处置方式为“降低”。 把剩余风险当成“已消除”，它必须被明确接受。 定级对象是信息系统或网络，不是单位整体。 ALE 计算中把 EF 与 ARO 混用。. SLE = 资产价值 × 暴露因子，ALE = SLE × 年发生频率.
119 words, under 1 min08安全工程与运维
本域考查安全架构设计原则、日常运维控制与应急响应流程，以及备份容灾指标。场景题常给时间指标要求选择备份策略，或要求在事件处置中排出正确顺序。 安全域划分：按业务重要性与信任级别划分，域间用防火墙或网闸做最小化策略。 纵深防御：边界、网络、主机、应用、数据多层控制，避免单点失效。 最小权限与职责分离：运维、审计、审批角色不重叠。 默认拒绝：策略白名单化，未明确允许即拒绝。 堡垒机统一运维入口，双因子登录，全程录屏与命令审计。 日志集中采集、时间同步、留存满足法规要求，并用只写介质或哈希链防篡改。 SIEM 做关联分析，把分散告警合成可处置的安全事件。 漏洞管理闭环：发现-评估-修复-验证，按 CVSS 与业务影响排优先级，重大漏洞走应急变更。 建立配置基线并做变更管理，上线前安全验收。 六阶段：准备、检测、抑制、根除、恢复、总结（跟踪改进）。 抑制阶段要平衡止血与保全证据：先做内存与磁盘镜像（写保护、哈希校验），再断网清理。 证据链要完整：记录何人、何时、何地、以何方式取得，全程留痕。 全量、增量、差异：增量依赖前一次备份链，恢复需全量加全部增量；差异只需全量加最近一次差异。 3-2-1 原则：3 份数据、2 种介质、1 份异地。 RTO 是恢复时间目标（能停多久），RPO 是恢复点目标（能丢多少数据）。 业务要求 RTO ≤ 4 小时、RPO ≤ 15 分钟。每日一次全备意味着最坏丢失 24 小时数据，RPO 不达标；应增加日志或增量数据持续传送至异地，并配置温站或热站以便 4 小时内切换。若只做冷站（需临时采购设备再安装调试），RTO 通常远超 4 小时。 把 RTO 与 RPO 记反。 事件处置中先格式化重装系统，导致证据灭失。 认为差异备份每天都要依赖前一天的备份。. RTO 是恢复时间目标，RPO 是恢复点目标，二者不可混淆.
83 words, under 1 min09新兴安全技术与趋势
本域考查云计算、移动与物联网、工控、大数据、人工智能、区块链与隐私计算的安全要点，强调“责任边界”与“新技术带来的新攻击面”，以概念辨析与选型题为主。 责任共担：IaaS 用户负责操作系统及以上，PaaS 负责应用与数据，SaaS 主要对数据与配置负责；任何模式下账号与数据分类都不由服务商代管。 等保 2.0 云计算扩展要求：关注虚拟化隔离、镜像与快照安全、多租户数据残留、云管理平台审计。 典型风险：配置错误导致存储桶公开、元数据服务被 SSRF 利用、租户间横向移动。 核心是“永不信任、始终验证”，以身份为中心，持续评估设备与行为，动态授权与最小权限。 零信任不等于“取消边界”，也不是买一台设备即可完成，需身份治理、微隔离与持续监测配套。 感知层终端算力弱、默认口令普遍，易被僵尸网络控制。 工控重可用性与实时性，Modbus、DNP3 等协议多无认证；IEC 62443 提出分区与管道（zones & conduits）及 SL1-SL4 安全等级。 防护优先单向隔离与白名单，补丁需停机验证，不能照搬 IT 打法。 大数据：分类分级、脱敏、水印溯源、流转监测。 AI 安全：对抗样本、数据投毒、模型窃取、成员推断、深度伪造；生成式 AI 还需内容合规与训练数据来源合法。 隐私计算：联邦学习（数据不动模型动）、安全多方计算、可信执行环境、差分隐私；联邦学习的梯度仍可能被反演出原始数据，需安全聚合或加噪。 区块链不可篡改利于审计溯源，但链上数据公开、智能合约重入漏洞与 51% 算力攻击须防范。 后量子密码（PQC）应对量子计算对 RSA/ECC 的威胁，NIST 已发布 ML-KEM、ML-DSA 等标准；迁移要考虑“先存后解”风险。 两家医院要联合训练诊断模型但不能交换病历。选型：联邦学习使原始数据不出院，配合安全聚合防止服务器窥探单方梯度，上传参数加差分隐私噪声；若合规要求可审计，再叠加可信执行环境。仅“打码后集中”仍属个人信息共享甚至出境，需单独同意与安全评估。 认为上云后安全由云服务商全权负责。 把零信任等同于 VPN 或某款产品。 认为区块链上的数据天然保密，实际是公开可读的。. IEC 62443 用分区与管道保护工控，安全等级为 SL1-SL4.
78 words, under 1 min