注冊滲透測試工程師/專家（CISP-PTE/PTS）認(rèn)證
- CISP-PTEs
開課安排 - 報名即學(xué)
線上培訓(xùn) - 企業(yè)團購
定點教學(xué) - 不限地域
就近考試
一、CISP-PTE/PTS認(rèn)證是什么？
注冊信息安全專業(yè)人員-滲透測試工程師/專家（CISP-PTE/PTS）培訓(xùn)是由中國信息安全測評中心和CISP攻防領(lǐng)域考試中心統(tǒng)一管理和規(guī)范的信息安全專業(yè)培訓(xùn)，是國內(nèi)最為主流及被業(yè)界認(rèn)可的攻防領(lǐng)域滲透測試方向的專業(yè)資質(zhì)培訓(xùn)。CISP-PTE/PTS目前是國內(nèi)針對網(wǎng)絡(luò)安全滲透測試專業(yè)人才的資格認(rèn)證，也是國家對信息安全人員資質(zhì)的高度認(rèn)可。
二、CISP-PTE/PTS面向?qū)ο螅男┤丝梢钥迹浚?/strong>
cisp-pte認(rèn)證對學(xué)歷及工作經(jīng)驗沒有門檻要求，滲透測試工程師，企業(yè)信息安全負(fù)責(zé)人員、信息安全從業(yè)人員、網(wǎng)絡(luò)安全方向求職意向?qū)W生、網(wǎng)絡(luò)安全興趣愛好者均可參加。
三、CISP-PTE/PTS培訓(xùn)內(nèi)容
在整個CISP-PTE/PTS知識體系結(jié)構(gòu)中，共包括 web 安全、中間件安全、操作系統(tǒng)安全、數(shù)據(jù)庫安全，滲透測試五個知識類，每個知識類根據(jù)其邏輯劃分為多個知識體，每個知識體包含多個知識域，每個知識域由一個或多個知識子域組成。
CISP-PTE/ CISP-PTS 的知識體系結(jié)構(gòu)框架
其中紅色字體僅為CISP-PTS掌握的知識點
注冊滲透測試認(rèn)證知識體系結(jié)構(gòu)共包含五個知識類，分別為：
1、web安全基礎(chǔ)：主要包括HTTP協(xié)議、注入漏洞、XSS漏洞、SSRF漏洞、 CSRF 漏洞、文件處理漏洞、訪問控制漏洞、會話管理漏洞等相關(guān)的技術(shù)知識和實踐。
2、中間件安全基礎(chǔ):：主要包括Apache、IIS、Tomcat、weblogic、websphere、 Jboss 等相關(guān)的技術(shù)知識和實踐。
3、操作系統(tǒng)安全基礎(chǔ)：主要包括Windows操作系統(tǒng)、Linux操作系統(tǒng)相關(guān)技術(shù)知識和實踐。
4、數(shù)據(jù)庫安全基礎(chǔ)：主要包括Mssql數(shù)據(jù)庫、Mysql數(shù)據(jù)庫、Oracle數(shù)據(jù)庫、Redis 數(shù)據(jù)庫相關(guān)技術(shù)知識和實踐。
5、滲透測試：主要包括信息收集，漏洞發(fā)現(xiàn)，漏洞利用相關(guān)技術(shù)知識和實踐。
CISP滲透測試培訓(xùn)內(nèi)容（其中紅色字體為CISP-PTS需要掌握的知識）
| 知識域 | 知識子域 | 知識點 |
| Web安全基礎(chǔ) | HTTP 協(xié)議 | HTTP 協(xié)議請求方法、狀態(tài)碼、響應(yīng)頭信息、URL |
| 注入漏洞 | SQL 注入的基礎(chǔ)知識 | |
| XML 實體注入基礎(chǔ)知識 | ||
| 遠(yuǎn)程文件包含漏洞（RFI）的原理和修復(fù)方法 | ||
| 本地文件包含漏洞（LFI）產(chǎn)生原因及修復(fù)方法 | ||
| 命令執(zhí)行漏洞的原理和修復(fù)方法 | ||
| 跨站腳本（XSS） 漏洞 | 存儲型 XSS 漏洞發(fā)現(xiàn)與防范 | |
| 反射型 XSS 漏洞發(fā)現(xiàn)與防范 | ||
| Dom 型 XSS 漏洞發(fā)現(xiàn)與防范 | ||
| 請求偽造漏洞 | CSRF 跨站請求偽造漏洞的分析與利用 | |
| SSRF 服務(wù)端請求偽造漏洞的分析與利用 | ||
| 文件處理漏洞 | 任意文件上傳/讀取漏洞產(chǎn)生的原因與修復(fù)方法 | |
| 訪問控制漏洞 | 垂直越權(quán)、橫向越權(quán)漏洞的分析與利用 | |
| 會話管理漏洞 | 會話固定、會話劫持漏洞的產(chǎn)生原因和防范 | |
| Cookie 欺騙漏洞的產(chǎn)生原因和防范 | ||
| 中間件安全 | Apache | Apache 服務(wù)器權(quán)限配置 |
| Apache 服務(wù)器文件解析漏洞 | ||
| Apache 服務(wù)器日志審計方法 | ||
| IIS | IIS服務(wù)器安全設(shè)置 | |
| IIS服務(wù)器常見漏洞（文件解析漏洞、寫權(quán)限洞的利用、短文件名漏洞） | ||
| IIS6 短文件名漏洞 | ||
| IIS 服務(wù)器日志審計方法 | ||
| Tomcat | Tomcat 管理賬號密碼修改方法 | |
| Tomcat 通過后臺獲取權(quán)限的方法 | ||
| Tomcat 服務(wù)器啟動權(quán)限設(shè)置 | ||
| Tomcat 日志審計方法 | ||
| Weblogic | Weblogic 反序列化漏洞 | |
| Weblogic 管理后臺弱口令風(fēng)險 | ||
| Weblogic 服務(wù)端請求偽造漏洞 | ||
| Weblogic 日志審計方法 | ||
| JBoss | JBoss 反序列化漏洞 | |
| JBoss jmx-console/web-console 未授權(quán)訪問 | ||
| JBoss jmx Invoker 遠(yuǎn)程命令執(zhí)行 | ||
| JBoss 日志審計方法 | ||
| Websphere | Websphere 賬號管理授權(quán) | |
| Websphere 反序列化漏洞 | ||
| Websphere 管理后臺弱口令風(fēng)險 | ||
| Websphere 日志審計方法 | ||
| 操作系統(tǒng)安全基礎(chǔ) | Windows 系統(tǒng)安全 | 賬戶密碼弱口令風(fēng)險 |
| 賬戶的分組和權(quán)限 | ||
| NTFS 文件系統(tǒng)權(quán)限的設(shè)置 | ||
| Windows 日志的種類和審計方法 | ||
| 第三方應(yīng)用和服務(wù)存在的漏洞 | ||
| Windows 權(quán)限提升方法 | ||
| Linux 系統(tǒng)安全 | 檢查用戶空口令的方法 | |
| 設(shè)置賬戶認(rèn)證失敗鎖定次數(shù)和時間 | ||
| 檢查除root以外的UID為0的用戶 | ||
| 查找系統(tǒng)中存在的 SUID 和 SGID 程序 | ||
| 查找任何人都有寫權(quán)限的目錄和文件 | ||
| 第三方應(yīng)用和服務(wù)可能存在的漏洞 | ||
| Linux 權(quán)限提升方法 | ||
| 系統(tǒng)日志的分類和審計方法 | ||
| 數(shù)據(jù)庫安全 | Mssql 數(shù)據(jù)庫安全 | Mssql 數(shù)據(jù)庫的查詢語法 |
| Mssql 數(shù)據(jù)庫賬戶密碼存在弱口令的風(fēng)險 | ||
| Mssql 數(shù)據(jù)庫服務(wù)器啟動權(quán)限的設(shè)置 | ||
| Mssql 數(shù)據(jù)庫的角色與權(quán)限的分配 | ||
| Mssql 數(shù)據(jù)庫中常用的存儲過程 | ||
| Mssql 數(shù)據(jù)庫備份和日志備份方法 | ||
| Mssql 存儲過程提權(quán)的方法 | ||
| Mysql 數(shù)據(jù)庫安全 | Mysql 數(shù)據(jù)庫的查詢語法 | |
| Mysql 賬戶密碼弱口令風(fēng)險 | ||
| Mysql 創(chuàng)建用戶并指定數(shù)據(jù)庫授權(quán) | ||
| Mysql 讀取文件和導(dǎo)出文件的方法 | ||
| Mysql 提權(quán)的方法 | ||
| Oracle 數(shù)據(jù)庫安全 | Oracle 數(shù)據(jù)庫的查詢語法 | |
| Oracle 數(shù)據(jù)庫執(zhí)行系統(tǒng)命令的方法 | ||
| Oracle 數(shù)據(jù)庫賬號權(quán)限的分配 | ||
| Oracle 數(shù)據(jù)庫賬號密碼策略配置 | ||
| Oracle 數(shù)據(jù)庫日志審計 | ||
| Redis 數(shù)據(jù)庫安全 | Redis 數(shù)據(jù)庫未授權(quán)訪問的危害 | |
| Redis 數(shù)據(jù)庫啟動權(quán)限的設(shè)置 | ||
| Redis 寫入文件的方法 | ||
| 滲透測試 | 滲透測試方法 | 信息收集、漏洞發(fā)現(xiàn)、漏洞利用 |
| 內(nèi)網(wǎng)滲透測試方法 | 內(nèi)網(wǎng)信息收集、內(nèi)網(wǎng)橫向移動、內(nèi)網(wǎng)權(quán)限維持 |
四、CISP-PTE/PTS考試注冊要求
成為注冊信息安全專業(yè)人員-滲透測試工程師/專家（CISP-PTE/PTS）,必須同時滿足以下基本要求：
1、CISP-PTE/PTS報考人員需具備一定滲透測試能力，攻防相關(guān)從業(yè)人員或有意向從事滲透測試，包含信息安全相關(guān)專業(yè)高校生；
2、CISP-PTE/PTS無學(xué)歷與工作經(jīng)驗的報考要求；
3、通過CISP攻防領(lǐng)域考試中心組織的CISP-PTE/PTS考試；
4、同意并遵守CISP-PTE/PTS職業(yè)準(zhǔn)則；
5、滿足CISP-PTE/PTS注冊要求并成功通過審核；
6、證書有效期三年，證書失效后，需重新參加CISP-PTE注冊考試。
五、CISP-PTE/PTS收費標(biāo)準(zhǔn)
1、CISP-PTE認(rèn)證是全國統(tǒng)一收費標(biāo)準(zhǔn)，19800元/人。
具體收費內(nèi)容包含培訓(xùn)費+注冊費，其中培訓(xùn)費14800元/人，注冊考試費5000元/人。
2、CISP-PTS認(rèn)證是全國統(tǒng)一收費標(biāo)準(zhǔn)，27800元/人。
具體收費內(nèi)容包含培訓(xùn)費+注冊費，其中培訓(xùn)費19800元/，注冊考試費8000元/人。
具體收費內(nèi)容包含培訓(xùn)費+注冊費，其中培訓(xùn)費14800元/人，注冊考試費5000元/人。
2、CISP-PTS認(rèn)證是全國統(tǒng)一收費標(biāo)準(zhǔn)，27800元/人。
具體收費內(nèi)容包含培訓(xùn)費+注冊費，其中培訓(xùn)費19800元/，注冊考試費8000元/人。
六、CISP-PTE/PTS認(rèn)證考試形式
1、CISP-PTE考試題型為客觀題、實操題，客觀題為單項選擇題，共20題，每題1分；實操題8道，共80分?？偡?00分，得分70分以上（含70分）為通過。
2、CISP-PTS考試題型為實操題，共10題，每題10分，總分100分，得分70分以上（含70分）為通過。
| 滲透測試知識類別 | CISP-PTE分值占比 | CISP-PTS分值占比 |
| Web安全 | 50% | 30% |
| 操作系統(tǒng)與中間件 | 20% | 30% |
| 數(shù)據(jù)與日志分析 | 10% | 10% |
| 滲透測試 | 20% | 30% |
七、CISP-PTE認(rèn)證培訓(xùn)收益
1、從事信全滲透測試工作通行證，具有規(guī)劃測試方案、編寫項目測試計劃、編寫測試用例、測試報告的基本知識和能力。
2、對學(xué)生而言，CISP-PTE證書是一個直接與就業(yè)崗位完美對接的職業(yè)與技能證明，是畢業(yè)高薪就業(yè)的重要砝碼。
3、對信息安全從業(yè)人員來說，CISP-PTE證書是對滲透測試技術(shù)能力的證明，是高級應(yīng)用安全人才必備證書。
4、對興趣愛好者來說，具備扎實的安全基礎(chǔ)知識、把興趣愛好發(fā)展為網(wǎng)絡(luò)安全滲透技術(shù)領(lǐng)域?qū)I(yè)人員。
2、對學(xué)生而言，CISP-PTE證書是一個直接與就業(yè)崗位完美對接的職業(yè)與技能證明，是畢業(yè)高薪就業(yè)的重要砝碼。
3、對信息安全從業(yè)人員來說，CISP-PTE證書是對滲透測試技術(shù)能力的證明，是高級應(yīng)用安全人才必備證書。
4、對興趣愛好者來說，具備扎實的安全基礎(chǔ)知識、把興趣愛好發(fā)展為網(wǎng)絡(luò)安全滲透技術(shù)領(lǐng)域?qū)I(yè)人員。
CISP-PTE與CISP-PTS都是滲透測試，考試怎么選？
收費： CISP-PTE培訓(xùn)報名費多少錢-信安客
備考2：CISP-PTE/PTS/IRE/IRS考試形式，能線上考試嗎？
維持：CISP攻防領(lǐng)域認(rèn)證證書維持攻略 ,cisp-pte/pts證書到期辦理
維持：CISP-PTE|IRE過期了怎么辦，要重考嗎？
