CISAW是国内信息安全保障人员认证，方向分得很细。安全运维方向是报考人数最多的一个，也是企业里最缺人的岗位。这篇文章把漏洞管理、日志审计、应急响应、备份恢复、终端安全这几块核心考点讲清楚。

一、CISAW安全运维方向考什么

CISAW全称信息安全保障人员认证，由中国网络安全审查技术与认证中心颁发。跟CISP比，CISAW的特点是方向分得细，安全运维、安全开发、云安全、业务连续性、软件安全这些方向单独成体系。你已经在做运维，就考安全运维方向；你在做开发，就考安全开发方向。这种按岗位细分的设计，备考起来更聚焦。

CISAW分三个等级：初级、中级、高级。初级适合刚入行或者在校生，中级适合有两三年经验的运维工程师，高级适合安全主管和技术专家。报考的时候根据自己工作年限和能力选级别，别好高骛远。

从企业认可度看，CISAW在等保测评机构、安全厂商、金融机构里认可度很高。特别是等保测评公司招人，CISAW持证是加分项甚至硬性要求。如果你想进测评行业，CISAW安全运维方向比CISP更对口。

考下来之后，证书三年有效，到期需要继续教育学分续证。这个跟CISP差不多，都是长期维护，不是一劳永逸，别以为拿了证就不用学了。

安全运维方向面向的是企业里天天跟系统、网络、终端打交道的人。考试内容覆盖系统加固、网络防护、漏洞管理、日志审计、应急响应、备份恢复、终端安全这几块。考试形式是选择题加实操题，满分100分，70分及格。跟CISP比，CISAW更看重动手能力，光背理论不够。

系统加固是安全运维的基本功。Windows和Linux都有标准加固基线，比如关闭不必要的服务、删除默认账号、设置密码复杂度、开启审计日志。考试里经常给你一份系统配置清单，问你哪些配置不合规。比如"管理员账号共享使用"就是不合规，"密码90天过期"就是合规。

网络防护这块要懂防火墙策略怎么写。最小权限原则同样适用：默认拒绝所有，只放行业务需要的端口。考试里给你一个防火墙规则表，问你哪条规则有问题。常见错误是any到any的全通规则，这种在生产环境绝对不能有，等于门不锁。

二、漏洞管理和补丁管理

漏洞管理是安全运维日常工作的大头，也是CISAW考试的重点。完整的漏洞管理流程分四步：发现漏洞、评估风险、修复漏洞、验证修复。听着简单，实际做起来坑很多。

发现漏洞靠扫描器。企业里一般用漏扫工具定期扫全网，每周或者每月扫一次。扫描结果会按CVSS评分从高危到低危排出来。CVSS评分9分以上是严重漏洞，必须72小时内修复；7到9分是高危，两周内修复；4到7分是中危，一个月内修复；4分以下低危，排期处理。这个分级响应时间考试常考。

修复漏洞主要靠打补丁。但补丁不是想打就打，生产环境打补丁之前要先在测试环境验证，确认不会影响业务。考试里经常考这个流程：直接在生产环境打补丁导致业务中断，这是错误做法。正确做法是测试环境验证、备份回滚方案、维护窗口内打补丁、打完验证业务。

还有一类漏洞是没法打补丁的，比如零日漏洞。这种情况下怎么办？靠临时缓解措施，比如WAF规则拦截、网络隔离、禁用相关服务。考试里遇到零日漏洞场景，你要选临时缓解加持续监控这个答案，不能说等补丁出来再说。

漏洞扫描工具也要知道。Nmap做端口扫描，Nessus和AWVS做漏洞扫描，考试里看到这些工具名字要能对上用途。还有一类考点是常见漏洞类型：SQL注入、XSS跨站脚本、CSRF跨站请求伪造、文件上传漏洞、缓冲区溢出。每种漏洞的原理和防御方法要能说清楚。考试不要求你会写exp，但要知道原理和怎么防。

举个例子，SQL注入是因为用户输入被拼到SQL语句里执行了，防御方法是用参数化查询。XSS是用户输入被当成网页代码执行了，防御方法是输入过滤和输出编码。这种基本的原理题，背下来就是送分。

三、日志审计和监控

日志审计是安全运维的另一块核心工作。所有系统、网络设备、安全设备都要产生日志，日志集中收集到SIEM平台，做关联分析和告警。考试里经常问你"为什么要集中日志管理"，答案是单点日志容易被攻击者删除，集中存储才能留证。

日志要保留多久？等保2.0要求网络日志留存不少于六个月。这个数字选择题反复考，记住六个月就行。日志内容包括登录日志、操作日志、系统日志、安全告警日志。考试里问你"某企业只保留了一个月日志，违反了什么要求"，答案就是等保2.0的六个月留存要求。

监控这块要区分几个概念。IDS是入侵检测系统，只告警不阻断；IPS是入侵防御系统，能实时阻断攻击；SIEM是安全信息和事件管理平台，做日志关联分析。考试经常给你一个场景，问你该上什么设备。需要实时阻断就上IPS，只做告警分析就上IDS，做集中日志分析就上SIEM。

终端安全也是运维日常。企业里成百上千台员工电脑，要统一装杀毒软件、统一打补丁、统一管控U盘和外设。EDR终端检测响应平台是现在主流方案，比传统杀毒软件强在能检测未知威胁和勒索软件行为。考试里看到EDR这个词，要知道它是下一代终端防护。

访问控制是另一个考点。最小权限原则是核心：每个员工只给他完成工作所必需的最小权限，不多给。考试里经常给一个场景：员工离职了账号还能登录，问哪里出了问题。答案是没有及时清理离职人员账号。权限管理要走入职开通、调岗调整、离职回收的完整生命周期，一个环节都不能漏。

身份认证也常考。单因素认证只靠密码，不安全；双因素认证是密码加动态口令或者指纹，更安全。涉及敏感系统和远程访问的，必须上双因素。考试里看到"VPN只用密码认证"这种描述，你就要想到这是安全隐患，得改。

四、应急响应和备份恢复

应急响应是CISAW安全运维方向的重头戏。标准的应急响应分六步：准备、检测、遏制、根除、恢复、总结。这六步顺序不能乱，考试案例分析爱考。

准备阶段是平时做的事：制定应急预案、组建应急团队、准备工具和联系电话、定期演练。检测阶段是发现异常：监控告警、用户报告、日志分析。遏制阶段是控制影响范围：隔离受感染主机、断网但不关机、保留现场。根除阶段是清除威胁：杀毒、删后门、打补丁。恢复阶段是把系统恢复到正常业务状态。总结阶段是写报告、复盘、改进预案。

考试里有一个经典考点：勒索软件攻击后第一步做什么？很多人第一反应是断网关机，这是错的。正确做法是先隔离，把受感染主机从网络上断开，但不要关机，因为内存里的证据一关机就没了。然后取证分析，再清除和恢复数据。这个顺序每年都考，一定要记牢。

事件分级也是考点。安全事件按影响范围和严重程度分四级：特别重大、重大、较大、一般。不同级别对应不同的上报流程和响应时间。考试里给你一个事件，让你判断级别，你要看影响多少人、影响什么业务、有没有数据泄露。涉及大量个人信息泄露或者核心业务中断的，至少是重大事件，不能低调处理。

还有上报时限。重大事件要在规定时间内向监管部门报告，不能捂着。考试里经常考"企业发生数据泄露要不要瞒着"，答案是否定的，必须按规定上报，瞒报处罚更重，得不偿失。

备份恢复是应急响应的最后兜底。备份策略要遵循3-2-1原则：至少三份数据副本、两种不同介质、一份异地存放。这个原则选择题考过。备份类型分全量备份、增量备份、差异备份，考试爱考三者的区别和恢复时间比较。全量备份恢复最快但占用空间最大，增量备份占用最小但恢复最慢，差异备份介于两者之间。

备考CISAW安全运维方向，光看书不够，最好在真实环境里摸过这些工具。建议自己搭个虚拟机，装一下Linux、跑一下Nmap、试一下Wireshark抓包，手感就出来了。考试里实操题考的就是这种日常手感，没碰过工具的人上来就懵。

优培东方CISAW培训由一线安全工程师授课，上课带着搭实验环境，不是念PPT。机构从2011年做到现在，广州慧翔企业管理咨询有限公司旗下品牌，全国性布局。两年学籍免费重学，7天无理由退费。咨询电话400-956-6153，官网www.hxtdpx.com。

五、常见问题

问题1：CISAW安全运维方向适合什么人考？

答1：已经在做系统运维、网络运维、想转安全运维的人。

问题2：勒索软件事件第一步做什么？

答2：隔离受感染主机但不关机，保留内存取证，再清除恢复。

问题3：日志要保留多久？

答3：等保2.0要求不少于六个月。

问题4：CISAW和CISP选哪个？

答4：CISP认可度广，CISAW方向细，按岗位需求选。