diff --git a/.gitignore b/.gitignore
new file mode 100644
index 0000000..e57b15f
--- /dev/null
+++ b/.gitignore
@@ -0,0 +1,2 @@
+# 忽略所有 .DS_Store 文件
+.DS_Store
\ No newline at end of file
diff --git "a/docs/\345\256\211\345\205\250\350\257\201\344\271\246\350\200\203\350\257\225/CISP\345\255\246\344\271\240\347\254\224\350\256\260/CISP\345\255\246\344\271\240\347\254\224\350\256\260.md" "b/docs/\345\256\211\345\205\250\350\257\201\344\271\246\350\200\203\350\257\225/CISP\345\255\246\344\271\240\347\254\224\350\256\260/CISP\345\255\246\344\271\240\347\254\224\350\256\260.md"
new file mode 100644
index 0000000..d5549ce
--- /dev/null
+++ "b/docs/\345\256\211\345\205\250\350\257\201\344\271\246\350\200\203\350\257\225/CISP\345\255\246\344\271\240\347\254\224\350\256\260/CISP\345\255\246\344\271\240\347\254\224\350\256\260.md"
@@ -0,0 +1,650 @@
+# CISP
+
+## 第一章 信息安全保障
+
+安全的根本目的是保证组织业务可持续性运行。信息安全不是局部，而是整体，需要考虑成本因素。
+
+信息安全问题的根源：
+
+* 内因：信息系统复杂性导致漏洞的存在不可避免
+* 外阴：环境因素、人为因素
+
+信息安全的特征：
+
+* 系统性
+* 动态性
+* 无边界
+* 非传统
+
+信息安全风险具有不可逆的特点，需要信息安全法律采取预防为主、积极主动的法律原则。
+
+信息安全发展阶段：
+
+* 通信安全阶段（安全措施：加密）
+* 计算机安全阶段：（安全措施：操作系统的访问控制）
+* 信息系统安全阶段（安全措施：防火墙、漏洞扫描、入侵检测、V PN等）
+
+我国信息安全保障工作：
+
+总体要求：积极防御、综合防范
+
+主要原则：技术与管理并重，正确处理安全与发展的关系。
+
+PPDR：Policy（策略）、Protection（防护）、Detection（检测）和Response（响应）
+
+更强调控制和对抗、考虑了管理的因素，强调安全管理的持续性，安全策略的动态性。
+
+信息安全保障技术框架（IATF），美国国家安全局NSA制定。
+
+核心思想：深度防御
+
+三个要素：人、技术、操作
+
+四个焦点领域：
+
+* 保护网络和基础设施
+* 保护区域边界
+* 保护计算环境
+* 支持性基础设施
+
+信息系统安全保障评估框架-评估模型：
+
+* 将风险和策略作为信息系统安全保障的基础和核心
+* 强调安全贯彻信息系统生命周期
+* 强调综合保障的观念
+
+舍伍德业务安全架构（Sherwood Applied Business Security Architecture, SABSA）是一个企业级的安全架构框架。
+
+* 背景层
+* 概念层
+* 逻辑层
+* 物理层
+* 组件层
+* 运营层
+
+
+
+## 第二章 信息安全管理
+
+安全风险管理基本过程
+
+理解风险管理的背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询六个方面的工作目标及内容；
+
+安全措施的成本与资产价值之间的平衡
+
+基于风险的思想是所有信息系统安全保障工作的核心思想！
+
+风险管理基本过程：
+
+* 监控审查
+* 背景建立
+* 风险评估
+* 风险处理
+* 批准监督
+* 沟通咨询
+
+ISO/IEC 27001:2013标准中定义的PDCA过程方法是指规划（Plan）、实施（Do）、检查（Check）和行动/改进（Act）
+
+人力资源安全
+
+* 任用前
+* 任用中
+* 任用终止和变化
+
+
+
+信息安全方针应由组织的管理层颁布，而不是信息技术部门
+
+信息安全评估以自评估为主。
+
+在ACL机制中，文件权限与客体进行关联，而不是主体。
+
+一级文件中一般为安全方针、策略文件；二级文件中一般为管理规范制度；三级文件一般为操作手册和流程；四级文件一般表单和管理记录。
+
+
+
+## 第三章 安全工程和运营
+
+安全工程的4个方面：
+
+* 策略（Policy）
+* 机制（Mechanism）
+* 保证（Assurance）
+* 动机（Incentive）
+
+
+
+能力成熟度模型基础（CMM：Capability Maturity Model）
+
+现代统计过程控制理论表明通过强调生产过程的高质量和在过程中组织实施的成熟性可以低成本地生产出高质量产品；
+
+SSE-CMM 信息系统安全工程能力成熟模型
+
+风险过程包括的评估威胁、评估脆弱性、评估影响及评估安全风险。
+
+11个PA分为风险过程、工程过程、保证过程。
+
+**能力级别：**
+
+1级：非正规执行级
+
+2级：规划和跟踪级
+
+3级：充分定义级
+
+4级：量化控制级
+
+5级：持续改进级
+
+
+
+## 第四章 计算环境安全
+
+Windows系统的标识
+
+安全主体（账户、计算机、服务等）
+
+安全标识符（Security Identifier，SID）
+
+•安全主体的代表（标识用户、组和计算机账户的唯一编码）
+
+•范例：S-1-5-21-1736401710-1141508419-1540318053-1000
+
+Linux/Unix系统的标识
+
+安全主体：用户标识号（User ID）
+
+最小化部署：明确需要的功能和组件，不需要的服务和功能都关闭
+
+恶意代码检测技术：
+
+* 特征码扫描
+* 行为检测
+
+恶意代码分析技术：
+
+* 动态分析
+* 静态分析
+
+网络安全漏洞扫描两大核心技术：端口扫描技术和漏洞扫描技术
+
+
+
+## 第五章 软件安全开发
+
+软件生命周期模型
+
+* 瀑布模型
+* 迭代模型
+* 增量模型
+* 快速原型模型
+* 螺旋模型
+* 净室模型
+
+软件安全开发覆盖软件整个生命周期
+
+需求分析阶段考虑软件的安全需求
+
+在设计阶段设计符合安全准则的功能
+
+编码阶段保证开发的代码符合安全编码规范
+
+安全测试和运行维护确保安全需求、安全设计、安全编码各个环节得以正确有效的实施
+
+**软件安全问题越早解决成本越低**
+
+安全开发生命周期（Security Development Lifecycle，SDL）
+
+威胁建模流程：
+
+* 确定对象
+* 识别威胁
+* 评估威胁
+* 消减威胁
+
+安全设计原则：
+
+* 最小特权原则
+* 权限分离原则
+* 最少共享机制原则
+* 完全中立原则
+* 心理可接受度原则
+* 默认故障处理保护原则
+* 经济机制原则
+* 不信任原则
+* 纵深防御原则
+* 保护最薄弱环节原则
+* 公开设计原则
+* 隐私保护原则
+* 攻击面最小化原则
+
+模糊测试，也称Fuzzing测试，一种通过提供非预期的输入并监视异常结果来发现软件故障的方法。
+
+软件安全的三根支柱是风险管理、软件安全接触点和安全知识。
+
+
+
+## 第六章 网络安全监管
+
+网络空间 已成为领土、领海、领空、太空之外的第五空间或人类“第二类生存空间”，成为国家主权延伸的新疆域。
+
+网络安全法章节：
+
+* 总则
+* 网络安全支持与促进
+* 网络运行安全
+* 网络信息安全
+* 监测预警与应急处置
+* 法律责任
+* 附则
+
+
+
+主要国际标准化组织
+
+* 国际标准化组织（ISO）
+* 国际电工委员会（IEC）
+* Internet工程任务组（IETF）
+* 国际电信联盟（ITU）及国际电信联盟远程通信标准化组织（ITU-T）
+
+国家标准化组织（美国）
+
+* 美国国家标准化协会（ANSI）
+* 美国国家标准技术研究院（NIST）
+
+中国国家标准化管理委员会，是我国最高级别的国家标准机构。国家标准委决定成立全国信息安全标准化技术委员会。
+
+国家标准分类：
+
+GB 强制性国家标准
+
+* 一经颁布必须贯彻执行，违反则构成经济或法律方面的责任
+
+GB/T 推荐性国家标准
+
+* 自愿采用的标准，共同遵守的技术依据，严格贯彻执行
+
+GB/Z 国家标准指导性技术文件
+
+* 由于技术发展过程中或其他理由，将来可能达成一致意见指导性技术文件
+
+* 实施后3年内必须进行复审
+
+等级保护工作流程：
+
+* 定级
+* 备案
+* 差距分析
+* 建设整改
+* 验收测评
+* 定期复查
+
+
+
+## 第七章 物理环境与网络通信安全
+
+典型的物理安全问题
+
+* 自然灾害（地震、雷击、暴雨、泥石流等）
+* 环境因素（治安、交通、人流及经营性设施风险）
+* 设备安全、介质安全、传输安全
+
+OSI七层模型：
+
+* 应用层：直接与软件应用程序交互，为用户提供网络服务，如网页浏览、电子邮件等。
+* 表示层：处理数据的表现形式，包括加密/解密、压缩/解压缩以及数据格式转换。
+* 会话层：管理不同计算机上的应用程序之间的会话，控制对话的建立、管理和终止。
+* 传输层：确保端到端的数据可靠传输，负责错误检测和恢复、流量控制，典型协议有TCP和UDP。
+* 网络层：处理分组的路由选择和逻辑地址（IP地址）的分配，决定数据如何从源头到达目的地。
+* 数据链路层：在同一网络内的设备之间进行可靠的帧传输，包含错误检测与纠正，并使用物理地址（如MAC地址）进行通信。
+* 物理层：涉及实际的物理连接，定义了电信号、接口硬件、电缆类型等，负责比特流的透明传输。
+
+五类安全服务
+
+鉴别服务、访问控制服务、数据完整性服务、数据保密性服务和抗抵赖服务
+
+八种安全机制
+
+加密、数据签名、访问控制、数据完整性、鉴别交换、业务流填充、路由控制和公正
+
+
+
+TCP/IP模型：
+
+* 应用层（Application Layer）：
+  应用层直接面向用户提供网络服务，涵盖了所有高层协议，例如HTTP、HTTPS、FTP、SMTP、DNS等。这一层负责处理特定的应用程序细节，如网页浏览、电子邮件发送等。
+* 传输层（Transport Layer）：
+  传输层主要负责端到端的通信，保证数据能够准确无误地从源主机传送到目的主机。该层包括两个重要的协议：TCP（传输控制协议）和UDP（用户数据报协议）。TCP提供可靠的、基于连接的服务，而UDP则提供不可靠的、无连接的服务。
+* 互联网层（Internet Layer）：
+  互联网层负责处理分组在网络中的路由选择，确保数据包能够从源头到达目的地。核心协议是IP（因特网协议），此外还包括ICMP（因特网控制消息协议）和ARP（地址解析协议）等。IPv4和IPv6是目前使用最广泛的两个版本。
+* 网络接口层（Network Interface Layer）：
+  网络接口层，有时也称为链路层或数据链路层，涉及将IP数据包封装成适合在物理网络上传输的帧格式，并通过物理网络介质进行实际的数据传输。这层包含了以太网、Wi-Fi等局域网技术以及PPP（点对点协议）等广域网技术。
+
+
+
+防火墙的主要技术：
+
+静态包过滤
+
+* 依据数据包的基本标记来控制数据包
+* 技术逻辑简单、易于实现，处理速度快
+* 无法实现对应用层信息过滤处理，配置较复杂
+
+应用代理
+
+* 连接都要通过防火墙进行转发
+* 提供NAT，隐藏内部网络地址
+
+状态检测
+
+* 创建状态表用于维护连接，安全性高
+* 安全性高但对性能要求也高
+* 适应性好，对用户、应用程序透明
+
+防火墙的部署位置
+
+* 可信网络与不可信网络之间
+* 不同安全级别网络之间
+* 两个需要隔离的区域之间
+
+防火墙的部署方式
+
+* 单防火墙（无DMZ）部署方式
+* 单防火墙（DMZ）部署方式
+* 双防火墙部署方式
+
+入侵检测分类
+
+* 网络入侵检测
+* 主机入侵检测
+
+入侵检测技术
+
+* 误用检测
+
+* 异常检测
+
+误用检测（Misuse Detection）
+误用检测也被称为基于签名的检测，这种方法依赖于已知攻击模式或签名库来进行匹配分析。当网络流量或系统行为与这些预定义的攻击模式相匹配时，即认为发生了入侵行为。误用检测的主要优点是准确性高，对于已知类型的攻击能够提供可靠的检测结果；缺点是对未知攻击或变种攻击的检测能力有限，因为它们依赖于现有的签名数据库。因此，维护一个全面且最新的签名库是关键。
+
+异常检测（Anomaly Detection）
+异常检测是一种通过建立正常行为模型来识别偏离该模型的行为是否为潜在入侵的技术。它不依赖于特定的攻击模式，而是基于统计学、机器学习等方法来定义什么是“正常”的系统或网络活动。一旦实际发生的活动显著偏离了这个正常模型，则触发警报。这种方法的优点是可以发现新的或未知类型的攻击，因为它关注的是行为的异常而非具体的攻击模式。然而，异常检测也有其局限性，例如较高的误报率（即将合法但不常见的活动错误地标记为异常），以及需要大量的数据和计算资源来准确地建立正常行为模型。
+
+
+
+## 第八章 信息安全评估
+
+风险评估相关要素
+
+理解资产、威胁、脆弱性、安全风险、安全措施、残余风险等风险评估相关要素及相互关系。
+
+风险评估途径与方法
+
+了解基线评估等风险评估途径及自评估、检查评估等风险评估方法；
+
+了解基于知识的评估，理解定性评估、定量评估的概念及区别并掌握定量分析中量化风险的方法。
+
+
+
+风险评估常用方法：
+
+* 基于知识分析
+* 定量分析
+* 定性分析
+
+年度损失预期值（ALE） =  SLE  x 年度发生率（ARO）
+单次损失预期值（SLE） =  暴露因素（EF）x  资产价值（AV）
+
+
+
+实施安全措施后对措施有效性进行再评估
+
+在对于不可接受的风险选择适当安全措施后，为确保安全措施的有效性，可进行再评估，以判断实施安全措施后的残余风险是否已经降低到可接受的水平。
+
+某些风险可能在选择了适当的安全措施后， 残余风险的结果仍处于不可接受的风险范围内， 应考虑是否接受此风险或进一步增加相应的安全措施。
+
+风险评估相关文档：
+
+根据图片中的文字内容，提取的文字如下：
+
+准备阶段
+
+- 风险评估计划书
+- 风险评估方案
+- 风险评估方法和工具列表
+
+风险要素识别
+
+- 资产清单
+- 威胁列表
+- 脆弱性列表
+- 已有安全措施列表
+
+风险分析
+
+- 风险计算报告
+
+风险结果判定
+
+- 风险程度等级列表
+- 风险评估报告
+
+
+
+CC标准是计算机安全认证的国际标准（ISO/IEC15408）。CC标准中四个关键概念。
+
+* 评估对象TOE (Target of Evaluation)
+* 保护轮廓PP (Protection Profile)
+* 安全目标ST (Security Target)
+* 评估保证级别EAL (Evaluation Assurance Level)
+
+
+
+## 第九章 信息安全支撑技术
+
+古典密码主要分类
+
+* 替代密码
+* 置换密码
+* 替代密码与置换密码的组合
+
+影响密码系统安全性的基本因素
+密码算法复杂度、密钥机密性、密钥长度
+科克霍夫（Kerckhoff）原则：密码体制应该对外公开，仅需对密钥进行保密；如果一个密码系统需要保密的越多，可能的弱点也越多
+
+评估密码系统安全性
+
+无条件安全、计算安全性、可证明安全性
+
+PKI架构
+
+* CA（认证权威）
+* RA（注册权威）
+* 证书存放管理（目录服务）
+* 终端实体（证书持有者和应用程序）
+
+鉴别的类型
+* 单向鉴别、双向鉴别、第三方鉴别
+
+鉴别的方式
+
+* 基于实体所知（知识、密码、PIN码等）
+* 基于实体所有（身份证、钥匙、智能卡、令牌等）
+* 基于实体特征（指纹，笔迹，声音，视网膜等）
+* 双因素、多因素认证
+
+
+
+单点登录概念
+
+* 单一身份认证，身份信息集中管理，一次认证就可以访问其授权的所有网络资源
+* 单点登录实质是安全凭证在多个应用系统之间的传递或共享
+
+单点登录的安全优势
+
+* 减轻安全维护工作量，减少错误
+* 提高效率
+* 统一安全可靠的登录验证
+
+访问控制模型：
+
+* 自主访问控制DAC
+* 强制访问控制MAC
+* 基于角色访问控制RBAC
+
+
+
+## 第十章 业务连续性
+
+业务影响分析
+
+* 确定组织持续运行的关键资产、针对这些资产的威胁、评估每种资产出现的威胁及对业务的影响 
+* 提供量化度量以确定投入资源的优先顺序
+* 工作内容 
+  * 确定业务优先级
+  * 风险分析
+  * 资产优先级划分
+
+
+
+
+恢复时间目标（RTO）是指在发生灾难或系统故障之后，业务功能必须恢复正常运作的时间限制。简单来说，RTO定义了从灾难发生到业务恢复正常运行所需的最大可容忍的停机时间。这个指标对于确保企业在遭遇突发情况时能够迅速恢复至关重要的服务至关重要。RTO越短，意味着企业需要更快地恢复其业务操作，通常这也意味着更高的成本投入，因为更快速的恢复策略往往需要更多的资源和技术支持。
+
+恢复点目标（RPO）则是指在灾难事件中允许的数据丢失量的最大值，即可以接受的数据丢失的时间窗口。RPO实际上是衡量数据备份频率的一个标准，它决定了数据恢复时能够回到的最近时间点。例如，如果一个企业的RPO设定为1小时，这意味着该企业愿意接受最多1小时内产生的数据丢失。RPO的时间长度决定了数据备份的策略和频率——较短的RPO要求更加频繁的数据备份或者实时的数据复制解决方案。
+
+
+
+恢复点目标（RPO）
+
+* 定义：灾难发生后，系统和数据必须恢复到的时间点要求
+* 代表了当灾难发生时允许丢失的数据量
+
+恢复时间目标（RTO）
+
+* 定义：灾难发生后，信息系统和业务功能从停顿到必须恢复的时间要求
+* 代表了企业能容忍的信息系统和业务功能恢复的时间
+
+
+
+风险处置方式：
+
+* 风险降低
+* 风险转移
+* 风险规避
+* 风险接受
+
+
+
+信息安全事件分级：
+
+•特别重大事件（I级）
+
+•重大事件（II级）
+
+•较大事件（III级）
+
+•一般事件（IV级）
+
+
+
+计算机取证步骤：
+
+准备、保护、提取、分析和提交。
+
+对于电子证据，取证工作主要围绕两方面进行：证据的获取和证据的分析，而不是获取和保护。
+
+
+
+应急响应管理：
+
+准备、检测、遏制、根除、恢复和跟踪总结
+
+
+
+当然可以，以下是关于完全备份、增量备份和差异备份的综合描述，包括它们的特点以及在备份时间和恢复时间上的速度排名：
+
+1. 完全备份（Full Backup）
+
+- **描述**：完全备份是指对选定的所有文件和文件夹进行完整复制。
+- **特点**：
+  - **优点**：恢复速度快，因为只需要一个备份集即可完成恢复。适合数据量不大或需要快速恢复的情况。
+  - **缺点**：占用存储空间大，因为每次备份都包含了所有数据；对系统资源要求较高，备份时间较长。
+- **备份时间速度排名**：最慢
+- **恢复时间速度排名**：最快
+
+2. 增量备份（Incremental Backup）
+
+- **描述**：增量备份只备份自上次任何类型备份以来更改过的文件。
+- **特点**：
+  - **优点**：节省存储空间和时间，因为只备份变化的部分。适合频繁的数据变动且希望减少备份时间和存储成本的场景。
+  - **缺点**：恢复过程较复杂且耗时，因为需要依赖多个备份集（首先是最近的一次完全备份，然后依次应用后续的增量备份）。
+- **备份时间速度排名**：最快
+- **恢复时间速度排名**：最慢
+
+3. 差异备份（Differential Backup）
+
+- **描述**：差异备份备份自上次完全备份以来所有更改过的文件。
+- **特点**：
+  - **优点**：相比增量备份，恢复较为简单，因为它只需最近的一次完全备份加上最后一次差异备份。适合需要较快恢复但又想减少完全备份频率的情况。
+  - **缺点**：随着时间推移，差异备份的数据量会逐渐增大，接近于完全备份的大小。
+- **备份时间速度排名**：中等
+- **恢复时间速度排名**：较快
+
+总结
+
+- **备份时间从快到慢排序**：
+  1. 增量备份
+  2. 差异备份
+  3. 完全备份
+
+- **恢复时间从快到慢排序**：
+  1. 完全备份
+  2. 差异备份
+  3. 增量备份
+
+
+
+完全备份是指备份全部选中的文件夹，并不依赖文件的存档属性来确定备份哪些文件；
+增量备份是针对于上一次备份（无论是哪种备份），备份上一次备份后，所有发生变化的文件；
+差异备份是针对完全备份，备份上一次的完全备份后发生变化的所有文件。
+数据恢复速度方面由快到慢的顺序为完全备份、差异备份、增量备份，备份速度由快到慢顺序为增量备份、差量备份、完全备份。
+
+
+
+RAID（Redundant Array of Independent Disks，独立磁盘冗余阵列）技术通过将多个物理硬盘组合成一个逻辑单元来提高性能、增加冗余或两者兼有。以下是几种常见的RAID级别及其特点：
+
+RAID 0
+
+- **描述**：条带化（Striping），数据被分割成块并均匀分布于所有磁盘上。
+- **优点**：提供最佳的读写性能，因为数据可以同时从多个磁盘读取和写入。
+- **缺点**：没有任何冗余，单个磁盘故障会导致整个阵列的数据丢失。
+- **适用场景**：对性能要求高且不关心数据丢失风险的场合。
+
+RAID 1
+
+- **描述**：镜像（Mirroring），数据在至少两个磁盘上做完全相同的拷贝。
+- **优点**：提供了很好的数据冗余性，只要有一个磁盘正常工作，数据就不会丢失。
+- **缺点**：存储利用率只有50%，因为一半的空间用于备份数据。
+- **适用场景**：需要高度数据安全性的环境。
+
+RAID 5
+
+- **描述**：分布式奇偶校验（Distributed Parity），数据分布在所有磁盘上，并且每个条带包含一个奇偶校验位，用于恢复任何一个磁盘上的数据。
+- **优点**：提供了较好的读性能，支持单磁盘容错，即一块磁盘故障时不会导致数据丢失。
+- **缺点**：写操作效率较低，因为需要计算奇偶校验信息；重建期间性能下降明显。
+- **适用场景**：适用于大多数企业级应用，寻求平衡性能与数据保护。
+
+RAID 6
+
+- **描述**：双重分布式奇偶校验（Dual Distributed Parity），类似于RAID 5，但增加了第二个独立的奇偶校验集。
+- **优点**：允许同时有两个磁盘故障而不丢失数据，提高了数据的安全性。
+- **缺点**：相比RAID 5，写性能稍差，同样存在重建期间性能下降的问题。
+- **适用场景**：对于数据安全性和可用性要求极高的环境。
+
+RAID 10（也称为RAID 1+0）
+
+- **描述**：结合了RAID 1的镜像技术和RAID 0的条带化技术，首先创建一组镜像对，然后在这组镜像对之间进行条带化处理。
+- **优点**：既提供了良好的读写性能，又具备较高的数据冗余性，即使一个磁盘组中的所有磁盘都失败，只要另一个磁盘组完好无损，数据仍然安全。
+- **缺点**：成本较高，因为至少需要四个磁盘，而且实际可用容量仅为总容量的一半。
+- **适用场景**：高性能需求和高可靠性要求的应用。
+