CISSP 2017年10月最新考生复习经验分享汇总

CISSP 2017年10月最新考生复习经验分享汇总

考生1:

本人夏至（网名），今年3月份开始复习备考，先把OSG看了一遍，然后觉得不深刻，就又抄了一遍，记得比较深了。然后又看了AIO，感觉AIO流程的东西写的还是很不错的，就直接跳过了啰嗦的地方看各个章节的流程。然后做了2遍汇安全，一遍官方习题。感觉很多知识点可以从习题中获得。一共复习了6个月。

考试的时候考点很分散，就跟老师说的一样，一英里宽，一英寸深，所以要背很多东西。考完了以后总结了考试重点，感觉很多都是按照实际工作中的来出题的，出的很活。主要考的是思路，例如有一道题：给你一个环境，然后问你这个时候安全经理该怎么做。这个就是完全考的思路了。我觉得考试重点紧跟实际环境，比如这次我考了4道左右工控系统，7~8道云安全，各种问法。我想是因为工业4.0和云的广泛推广和使用吧。过一段时间可能热点就是物联网，大数据，云计算，量子计算也说不定了。总之就是从实际环境中考虑。所以我终于明白为什么有些人不看书都能过了。主要是思路，经验~~~太关键了。最后，再次感谢各位老师的悉心教导

考生2:

简单说一下为什么考CISSP，因为公司业务发展需要，对于这种不拥有但看起来又有点价值的证书有一点好奇，并且听说长远上对个人职业发展有用。所以我早就把考试日期定了，钱也交得早，复习时间也是倒推强制进行的。

本文是给已经或即将准备参加CISSP学习考试的伙伴准备，如果想了解这个认证的详细信息请自行百度，这里不做说明。本文都是亲身经历和比较客观的干货，就考过一次试也没什么牛可吹的，以务实为主，给后面的伙伴做垫脚石，渡人渡己，废话不多说，倒叙分析如下。

第一，本次考试总体说明（仅针对我这次碰到的考试）。

先说结论：这次考试过了挺意外，没过也是情理之中。看到这个结论大家可能会觉得我谦虚，但是我负责任的说，这完全是我的肺腑之言。

首先，遗憾的告诉各位，确实没有已知题库，原题的数量完全可以忽略（不超过5个），之前我问过考过的朋友，他和我说原题可以忽略的时候我还不相信，这次完全坐实了。

其次，再看一个我这次考试的大概数字：交卷前我初步统计了一下，高把握（基本无疑问）的题目大概占不到三分之一，中等把握（我只能排除一到两个选项）大概占百分之五十多点，剩下的就是完全没把握（不知道讲什么，或者一个选项都没法排除的）基本都是瞎蒙。

最后，看下知识点的覆盖情况，我觉得官方教材和各种资料总体知识点覆盖大概百分之八五到九十左右的样子，至少有几十题是完全没有对应知识点的（如SAL、工控相关还有ATM机相关的，因为我第六版和第七版都看过，没有对应知识点）。

考试一般正确率要达到百分之七十，所以我觉得上面的结论还是比较客观的。第二，考试形式和内容。

考试的题型广义上都是选择题，实际上是单选题和拖图题。

首先，说一下拖图题，这个有些小伙伴不太理解，啰嗦两句，一般让你做流程排序或者概念对号入座，像小时候语文考试的连线题目，本质上也算是选择题，只是一个错了会影响到另一个。这种题大概不到二十个。

其次，是考试的侧重点分析。这个分两方面，一方面是出选择题的形式，一半都

是让你在四个都对的选项里面选择最对的，所以我考完之后是懵逼的，不知道我选的是不是最对的。举个碰到的例子，以下哪个安全漏洞是最难被发现，内核、硬件、系统插件以及系统应用程序，看到这个题目的时候我内心是痛苦和绝望的，这么无厘头，我油然产生了一种想打出题人的冲动，所以印象深刻，真心再也不想参加这种类型的考试了。

另一方面是考试内容相关的，总结一下主要以下几点：

1、完全记忆类的题目极少，直接法律相关以及密码学算法之类直接相关的一个题目都没有考到，更奇怪的是数据库、直接操作系统相关的记忆性或者术语性的记忆知识一个都没有考到！！！

2、基本安全概念、流程以及安全管理相关的东西是考试的主要内容，如DNS 投毒和DNS欺骗，推理与聚合攻击，DR步骤。有些考试是给你一个简单的场景，然后把这些相关的概念融合到里面去。

3、个人觉得官方给出的各章节考试占比说明完全可以忽略，安全和风险管理、安全工程和安全运营加起来恐怕占了至少百分之六。

4、以下几个是考试内容的偏好，通信与网络安全里面的VPN相关至少出现八题以上，不知道VPN为什么这么受他们青睐。身份与访问控制很多都是云身份认证相关题目至少5题吧，如0auth2.0、还有其他的云同步之类的，还有一些知识完全没有听说过，当然还是以概念性的东西为主，不知道只能蒙了，而像kerboers应该只有边缘性的一题，这个趋势是值得后面的小伙伴注意的。

第三，考试的时间和部分技巧。

1、考试时间，考试时间总共是6个小时，我之前听有些大佬说不到3个小时就能完成，个人觉得这个对大部分人来说应该是不现实的。因为太多题目模棱两可，需要反复斟酌，我基本上是5个小时才把题目做完。当然这五个小时包括出来上洗手间和休息的时间，中途我出来休息了两次，估计做题目时间也有4个多小时，之前有个老师说当你觉得比较疲惫的时候不要硬撑着做题目，先休息恢复一下精神，这个建议我觉得很有用。

2、技巧层面，我觉得也也没什么太多可以说的。针对拿不准的选择题，首先要看下它考的是大致哪块知识点，概念知识点什么的就看理解层度。如果理解不深或者复习覆盖程度较浅，那么连蒙带猜情况下可以考虑下面几个方式：1）流程、

标准和制度性的作为首选项，如要为什么做优先于怎么做和怎么做好；2）包含选项关系一般选格局更高的，如DR执行中安全人员对于数据最关注什么，安全性>机密性>完整性>可用性；3）两个完全相反的基本必有一个是对的；4）一定要主体题干的角度说明前提，如从安全运营的角度，你应该要你觉得哪个是最重要的，如上面的例子如果你是业务人员，那么可用性可能就是所谓的正确答案了。其他的大家自己总结一下吧。

第四，考试的杂项流程说明

CISSP考试一般都是在VUE考试中心，多年前参加过某国际厂商的考试，对于流程也不陌生。考前准备好身份证和第二证件（可以是签名的信用卡、社保卡或者驾照之类），考试时间总共6个小时，考试中途电子设备不能用，但是可以出来休息，包括喝水吃东西都可以。我是在广州考的，考场差不多有十几个位置，一般提前半个小时左右过去就好，我是下午一点到七点，考试时间基本用尽了。第五，个人复习方式

官方对于考试大纲在15年做过一次调整，由原来的10大块内容（原来的第六版）调整为8大部分（当前第七版）。我复习的时候当时是直接学习的第六版（因为不知道有第七版），只有10章内容嘛，所以就全部撕下了晚上回家的时候和周末节假日看看，第六版后面习题也做了一下，由于都是英文还有英文专业术语也不太懂，不建议做了，不过第六版如果有电子书还是可以看下的，因为确实有些东西第七版没有第六版讲的详细，比如SIP协议，比如有些认证相关的知识。后面报了个培训班，把第七版的书也看了一遍，看的比较粗糙，主要是看和第六版的一样差异新增的内容，大概80%内容是一样的。

习题作为参考即可，不要指望原题考试能出现，巩固一下一章学习的内容就可以了，我做每一章100个习题的平均准确率大概72%左右，最后两套模拟题考试准确率大概81%，不过我估计最后考试通过准确率也不会太高，有些人考完看了过就说自己只有不到十个题目不确定，我个人觉得有吹牛嫌疑，因为我实测高度不确定的有10%，还有一半是一定程度不确定的。考到一半时，各种不确定很折磨人，当时我就对自己说，无论过不过都不想再考了，因为这种认证对理论的偏重太重了，我们这些干事情的人更希望有实际指导意义的指引。总体上这个证书还是适合安全管理方面的从业者，就当拓展一下视野吧。

总体这次运气不错，估计用了不少人品，循序人品守恒的自然定律，仅以此文积累点人品，渡人渡己，愿后面的小伙伴能够拥有好运、一切顺利！

考生3:

我的情况属于实操经验比较多，对大多数的安全领域都有涉及，尤其是风险管理,bcpdrp和框架这一块。对aio中某些知识域的掌握不错。但是网络，密码学，访问模型安全模型尤其是其概念部分都是我的极弱项。

备考复习很有针对性，比如对极弱项要过几遍书。否则做题时连去哪里找答案都不知道。我的复习方法是把大多数可以连接的知识点写在一张纸上。例如网络部分，我就把osi7层列在一张纸上，每一次层跑的什么协议都标上去，这样网络部分一目了然。网络部分在考试中题目不少而且不难，不抓住这些分数有些可惜。

备考资料是aio中英文版，osg中文版，汇安全。

访问控制模型部分，简单记住了BLP不能上读下写，biba反之，cw是用来限制接口（例如应用程序中的用户菜单界面），中国墙防止利益冲突，RBAC就好比ad里的用户和组，acm横看是什么竖看是什么，ruleBAC就比如防火墙等等，比较容易记。访问控制模型题目也不少，不抓住同样可惜。

密码学和PKI一起看比较容易掌握。对称加密中好几种，其中aes，用来加密磁盘数据，非对称主流哪几种，和pki关系是什么样的，如何用来加密邮件，签名，要知道a发给b的邮件用哪种密钥加密哪种密钥解密，哪种做数字签名，b 如何验证数字签名，散列有几种，派什么用处，有什么特点或性质这一块就基本清楚了。

总之aio和osg都要看，互为参照。各类模拟题要多做，一开始我的平均正确率大概50%，临考时基本在80%左右。

复习到什么程度？我觉得复习到自己可以画出每个知识域的思维导图，知道这个域里有些什么知识点，接下来就看考试时候的运气，有没有很多太偏的题。

再说一下考试部分。

直接考概念的不是没有，但是数量不多，20题左右

访问控制模型考了大概10题，不算难

单纯网络部分考了大约10题，不算难

ipsec必考，链路加密和端到端加密必考，题目不少

bcp drp必考，流程和角色职责，流程中每个步骤的作用

密码学必考，但是没有遇到太深的题目，不考怎么解密哈哈哈

PKI也考了几题

Saml和sso必考，好几题，有难有容易

物理和环境安全也考了，容易的很容易，难的就不说了

法律法规中主要考了取证部分，有概念有场景

安全模型，软件开发，漏洞和攻击都考了，有些题有难度。没有实际经验的会觉得郁闷无比。各种标准框架都要了解。各种攻击一定要掌握哦

出现了拖图题，就是定好右边一排小方块，要求把左边的一排小方块按照右边内容排序。主要是概念题。

云计算也考了，主要是各个场景下的责任划分

考试的主要感觉是场景题非常多。都是类似于在一个公司或组织中指派了一个安全人员，要求完成某某任务这类。这些就要求考生有一定的经验，并且对知识点掌握非常牢固。

另一个心得是审题一定要清楚！审题一定要清楚！审题一定要清楚！

也许你做过一道题，你觉得和考题一样。但是有可能题干变了一两个字，题目就完全变了。所以，看清题干！！！

现在中文考题的翻译没有什么大问题了，大多数情况下不会造成误解。但是细微之处如果觉得不理解，可以按翻译键看英文原题。抓住关键字，也是考试技巧。另外请控制好时间。一般做题加第一遍复查不会多于5小时，有不会的题跳过，不要在一道题上纠结太长时间。

限于规则，只能说这么多，希望对大家有帮助！

另祝大家顺利通过考试，要知道重考一次的钱再加300刀可以买新的iPhone 了！

考生4:

先介绍下个人工作经历，中部省公司运营商IT支撑、运营8年工作经验。CBK8个知识域感觉除了软件开发其他都有接触。

(一) 备考过程如下

先说个小故事：2016年6月上海考完CISP，唐老师建议我试试CISSP，说这个比较有挑战，然后我淘宝了一本AIO6，看的我想吐（根本没看下去）..真是太费神了太啰嗦了，2016年12月那会OSG刚翻译好唐老师提供了一本才有我继续学下去的动力。

2017年过完年开始慢慢缓缓悠悠看完一遍OSG才想去培训。下面进入正题：1、我是2017年5月份去上海参加的培训，去之前OSG基本看完了一遍就是知道大体知识点在什么位置吧。培训的感觉是对知识域有了更加深刻的了解，还学到了一些做题的技巧。最大的收获是认识了很多备考路上的小伙伴...

2、6月份的时候把OSG又看了一遍另外把官方习题集里面的每个章节的练习做了一遍，错的惨不忍睹评估70左右准确率，（个人经验官方习题集最好用铅笔便于多做几遍）。

3、7月份再看了1遍OSG，快速浏览一遍，期间BCP/DRP、一些流程重点关注了下，流程理解不深，期间还是做官方习题集最后的模拟两套，正确率75左右。期间信心满满还去做了最后汇总的模拟题73左右的正确率直接打击的不行了。

4、8月份把AIO看了一遍，重新梳理了一些流程，AIO重点看的是BCP/DRP、软件开发就是OSG说的不是很清晰的地方AIO补充看看。然后尝试自己把知识点串起来，把错题拿出来好好想想，把理解的心得做成笔记（写了一个大本子）。

5、考前就是看了各位小伙伴的心得，重点区域加强复习。最好晚上趟床上脑子能想明白想通整个知识域、每个流程。

考试还是要多看书，多理解，多交流，累计复习7个月备考最后1个月我每天晚上几乎都是1点睡觉的，一有空就看书，周末也在看书。背后的坚持跟艰辛小伙伴们应该都能体会到。

(二) 经验分享

1、安全管理、安全工程、安全运营这3个CBK是重点。

2、风险评估与测试、软件开发安全这个题目次多

3、网络、访问控制、密码学、法律法规这个就是都有些··或者很多知识点融合在一起了。

4、BCP/DRP流程、SDLC流程、安全模型、变更管理、配置管理重点中的重点

5、我竟然还考了好几题的云计算的问题。

6、情景题，跟其他学员分享的一样，有工作经验往上套就好解题了。

最后说下考试情况吧，做前50题的时候那种奔溃的感觉太难受了，坚持做了80题左右的时候就出去休息了下，休息5分钟喝了罐红牛，后面就越做越顺了。

考生5:

很高兴通过了CISSP考试，先介绍下个人工作经历，本人一直从事软件开发相关工作（开发、运维，后来主要做项目经理），大概有7.5年工作经验，IT知识域就网络没做过（考试的网络题都特别简单，我系统的只看过一本网络网络的书，CCNA的水平估计还不到），其他的差不多，开发运维至少是初、中级水平（长时间不做了）。

(一) 备考过程如下：

1、我是2016年9月份去上海参加的培训，当时书也没看，直接去培训，培训完有了整体的、大概的认识；

2、好像在12月份的时候，过完春节2月10日开始看OSG（官方学习指南第七版校对版简称）

3、花了1个月看第一遍OSG；

4、然后结合讲义和OSG，看第二遍，并整理笔记，包括全部知识点（思维导图），这个过程要全面、并理解，对于不理解的上网查、查书、问群里的大神等等，花费2个月；

5、看笔记和书，看第三遍，尽量把东西都给记住，反正我是把能背的基本全背了，比如法律法规（开始不知道，美国的法律不考，记住国际通用的就行了）、密码学里的各种类型（分组大小、密钥空间、加密特点、哈希的分组摘要，非对称的特点等）

6、看第四遍书，看一章，做一章的题（OSG的配套题），重点加深对书上知识点的理解，隔几天复习一遍自己的笔记，把书上黑体的、自己的笔记都记住（比如限制接口、上下文的控制、知其所需、最小特权等等）；

7、看AIO，对于自己对OSG里理解不透彻的知识点，对照AIO进行巩固，如spml 部分、kerberos部分、bcpdrp部分等等，AIO的内容，大概看了有80%的内容；

8、完成以上全部的时候大概是8月10号左右，后面离考试差不多有一个月，就从整体去复习，看看自己是否能够把书上的知识点给串起来（这应该算第五遍吧，不过这一遍不是按顺序、一点一点看的）；

9、然后在9月5号参加了考试（考试的过程特别心酸，前2天得了感冒，打着喷嚏、流着鼻涕做了5.5个小时）

(二) 经验分享

1、书还是要看的，除了能帮助考试，确实也能学习到不少知识；

2、OSG对知识点的覆盖我觉得是没问题的，考试大概有2个题左右OSG没覆盖到，不过AIO6也没有；AIO6字小、又太厚了，部分知识讲的确实很好，但也有些啰嗦，OSG内容没那么多，看起来不费劲，但如果你理解了还行，不理解的话，建议还是看下AIO对应的章节；

3、美国的法律法规不考，不用记了，通用的可能会考；

4、网络的无线部分可能就会考1、2个题，扩频啥的感觉可能不考；

5、广域网技术好难，我只背了一部分，实在记不住，好像没遇到；

6、重要的还是基础、把知识点融会贯通，因为考试70%都不是直接问你的；

7、我的学习方法不是快捷的方法，说实话感觉不利于针对考试，但确实可以学很多知识，自己记得清楚、不容易忘记；

8、题目基本都是给定一个场景，你作为XX（一个工作角色），你应该怎么干，所以理解确实是最重要的；

9、OSG上写的密码学我基本都背了，基本没我不记得的，但考试没考那么细，考试好像不考死记硬背的东西，主要靠算法的特点（如哈希的优点、缺点等），在大家精力有限的时候，注意找重点吧；

10、累计耗时7个月，前四个月，周一到周四，每天6点到9点；后三个月，每天6点到9点，再加上周末，比我花时间长的人估计没几个吧。（基本上是这样子，当然不是那么绝对）