缩写故事记忆法审稿稿 v0.6
这一版把顺序改回来：先让小白看懂知识点，再看谐音怎么筛出来。
本版继续修掉“压缩口诀”。小白学习卡里不能只写“看到 A 选 B”，必须写清楚：题目到底在问什么、为什么属于这个知识点、容易误判到哪里。
每个缩写固定两块：
- 小白学习卡：按“先懂一句话 / 为什么有它 / 现实画面 / 考试信号 / 容易混淆 / 记忆锚点 / 正式定义”写。
- 记忆法审稿：按“候选池 -> 一个个筛 -> 淘汰理由 -> 选主记法 -> 写故事 -> 回到考题检查”写。
全部知识点关键词谐音总表 v0.6
这一块先解决一个问题：记忆不能断开。每个知识点都要从英文缩写连到英文全称，再连到中文含义，再抽出题目真正要判断的关键词，最后才用谐音画面记住它。
固定链条是：英文缩写 -> 英文全称 / 中文含义 -> 关键词提取 -> 谐音记忆 -> 画面 -> 回到考题。后面的详细段落再慢慢迭代。
01 CIA
英文缩写：CIA = Confidentiality / Integrity / Availability（机密性 / 完整性 / 可用性）。
连记链条：CIA -> 机密性 / 完整性 / 可用性 -> 机密性、完整性、可用性，先判断坏事伤到哪一个安全目标 -> 几万颗。
关键词提取：机密性、完整性、可用性，先判断坏事伤到哪一个安全目标。
谐音记忆：机、完、可 = 几万颗。记成“几万颗芯片”。
画面：芯片仓库里有几万颗安全芯片。图纸泄露是机密性出事，编号和金额被改是完整性出事，仓库系统打不开是可用性出事。
回到考题：题目问“破坏了哪个安全目标”时，先不要选工具，先看是泄露、被改，还是用不了。
02 BIA
英文缩写：BIA = Business Impact Analysis（业务影响分析）。
连记链条：BIA -> 业务影响分析 -> 业停、损大、先救 -> 夜停，孙大先救。
关键词提取：业停、损大、先救。先看哪项业务停了，再看损失多大，最后决定谁先恢复。
谐音记忆：业停、损大、先救 = 夜停，孙大先救。
画面：夜市突然停电，很多摊位都停了。孙大的海鲜冷柜损失最大，停一分钟就坏一批，所以先救孙大。
回到考题：题目问灾难前如何判断关键业务、影响大小、恢复优先级，就是 BIA。
03 BCP
英文缩写：BCP = Business Continuity Plan（业务连续性计划）。
连记链条：BCP -> 业务连续性计划 -> 续单、续接、续收 -> 白菜铺，续！单照接、钱照收。
关键词提取：续单、续接、续收。系统坏了，客户还要能下单，电话还要能接，钱还要能收。
谐音记忆：BCP = 白菜铺。白菜铺先喊“续”：续单、续接、续收。
画面：白菜铺收银系统坏了，老板喊“续”。店员用纸本续单，用备用手机续接电话，用备用收款码续收钱。
回到考题：题目问业务怎么继续运行、客户怎么继续服务，就是 BCP，不是修服务器的 DRP。
04 DRP
英文缩写：DRP = Disaster Recovery Plan（灾难恢复计划 / IT 灾后恢复计划）。
连记链条：DRP -> 灾难恢复计划 / IT 灾后恢复计划 -> 服、库、网、账、备 -> 福库王装备。
关键词提取：服、库、网、账、备。灾后把服务器、数据库、网络、账号、备份按顺序拉起来。
谐音记忆：服库网账备 = 福库王装备。
画面：大润发拍灾难片，后屋 IT 穿上“福库王装备”，按剧本恢复服务器、数据库、网络、账号和备份。
回到考题：题目问 IT 系统灾后怎么恢复，就是 DRP；题目问业务前台怎么撑住，是 BCP。
05 RTO
英文缩写：RTO = Recovery Time Objective（恢复时间目标）。
连记链条：RTO -> 恢复时间目标 -> 多久、恢复 -> 汤凉前回来。
关键词提取：多久、恢复。系统必须在多久之内回来。
谐音记忆：热汤哦 = 汤凉前回来。
画面：老板放下一碗热汤，说汤凉前收款系统必须恢复。
回到考题：题目问几小时内恢复、多久恢复，找 RTO。
06 RPO
英文缩写：RPO = Recovery Point Objective（恢复点目标）。
连记链条：RPO -> 恢复点目标 -> 丢数、回点 -> 认哪张盘、回哪个点。
关键词提取：丢数、回点。最多能丢多少数据，能恢复到哪个时间点。
谐音记忆：软盘哦 = 认哪张盘、回哪个点。
画面：桌上摆着 9 点、10 点、11 点三张备份盘。认 10 点那张盘，就可能丢掉 10 点后的数据。
回到考题：题目问 data loss（数据丢失）或 point in time（时间点），找 RPO。
07 MTD
英文缩写：MTD = Maximum Tolerable Downtime（最长可容忍停机时间）。
连记链条：MTD -> 最长可容忍停机时间 -> 最久、能停、红线 -> 没停到红线前还能撑。
关键词提取：最久、能停、红线。业务最多能停到哪里，超过就不可接受。
谐音记忆：没停到 = 没停到红线前还能撑。
画面：墙上有一条停机红线，计时器没走到红线前还能扛，过了红线就扛不住。
回到考题：题目问最长可容忍停机时间、最多能停多久，找 MTD。
08 AV
英文缩写：AV = Asset Value（资产价值）。
连记链条：AV -> 资产价值 -> 资产、价位 -> 啊，价位。
关键词提取：资产、价位。先知道资产本身值多少钱。
谐音记忆：AV = 啊，价位。
画面：服务器、数据库、电脑都挂着价签，会计先喊“啊，先看价位”。
回到考题：题目问资产本身价值，就是 AV。
09 EF
英文缩写：EF = Exposure Factor（暴露因子 / 一次事故损失比例）。
连记链条：EF -> 暴露因子 / 一次事故损失比例 -> 比例、几成废 -> 一废，废了几成。
关键词提取：比例、几成废。一次事故毁掉资产的百分之几。
谐音记忆：EF = 一废，废了几成。
画面：服务器被水泡坏一半，不是全废，是“一废 50%”。
回到考题：题目给 30%、50%、一半这种比例，找 EF。
10 SLE
英文缩写：SLE = Single Loss Expectancy（单次损失期望）。
连记链条：SLE -> 单次损失期望 -> 单次、损钱 -> 损了，一次损了多少钱。
关键词提取：单次、损钱。一次事故预计损失多少钱。
谐音记忆：SLE = 损了，一次损了多少钱。
画面：资产值 100 万，事故毁掉 30%，会计说这次损了 30 万。
回到考题：题目问一次事故损失金额，找 SLE。
11 ARO
英文缩写：ARO = Annualized Rate of Occurrence（年发生率）。
连记链条：ARO -> 年发生率 -> 一年、几次 -> 爱惹祸。
关键词提取：一年、几次。某类事故一年大概发生几次。
谐音记忆：ARO = 爱惹祸。
画面：机房有台设备爱惹祸，每出一次事就在年历上画一个圈，年底数圈。
回到考题：题目问年发生率、每年几次，找 ARO。
12 ALE
英文缩写：ALE = Annualized Loss Expectancy（年度损失期望）。
连记链条：ALE -> 年度损失期望 -> 一年、总损 -> 啊，累。
关键词提取：一年、总损。把一年里的损失账单加起来。
谐音记忆：ALE = 啊，累。一年账单摞起来很累。
画面：一次损 30 万，一年发生 4 次，会计把四张账单摞起来，说“啊，累”。
回到考题：题目问 annualized（年度化）或 yearly（一年总损失），找 ALE。
13 MFA
英文缩写：MFA = Multi-Factor Authentication（多因素认证）。
连记链条：MFA -> 多因素认证 -> 多类、证明 -> 门防啊。
关键词提取：多类、证明。不是多输几次，而是不同类型的身份凭证。
谐音记忆：MFA = 门防啊。门口多道不同防线。
画面：机房门口有密码锁、手机令牌锁、指纹锁，三类证据一起过。
回到考题：密码加令牌、密码加指纹，才像 MFA；两个密码仍然不算多因素。
14 SSO
英文缩写：SSO = Single Sign-On（单点登录）。
连记链条：SSO -> 单点登录 -> 一登、多进、少输 -> 少输哦。
关键词提取：一登、多进、少输。登录一次，进多个系统。
谐音记忆：SSO = 少输哦。
画面：员工早上登录一次，拿到通行证，进邮箱、工单、报销都少输密码。
回到考题：题目强调一次登录、多系统访问，找 SSO；强调更强证明身份，找 MFA。
15 PAP
英文缩写：PAP = Password Authentication Protocol（密码认证协议）。
连记链条：PAP -> 密码认证协议 -> 密码、直传、怕看 -> 怕怕。
关键词提取：密码、直传、怕看。密码像纸条一样直接递出去。
谐音记忆：PAP = 怕怕。
画面：用户举着密码纸条过走廊，旁边人一看就可能偷走。
回到考题：题目说明文密码、密码直接发送，找 PAP。
16 CHAP
英文缩写：CHAP = Challenge Handshake Authentication Protocol（挑战握手认证协议）。
连记链条：CHAP -> 挑战握手认证协议 -> 挑战、回应、不递密 -> 茶盘。
关键词提取：挑战、回应、不递密。服务器先出题，客户端算答案。
谐音记忆：CHAP = 茶盘。茶盘上放挑战题。
画面：服务器端来茶盘，盘上是挑战卡；客户端不递密码，只交算出来的回应。
回到考题：题目出现 challenge-response（挑战响应），找 CHAP。
17 PEAP
英文缩写：PEAP = Protected Extensible Authentication Protocol（受保护的 EAP）。
连记链条：PEAP -> 受保护的 EAP -> EAP、保护、隧道 -> 陪俺跑。
关键词提取：EAP、保护、隧道。把 EAP 认证过程包进保护通道。
谐音记忆：PEAP = 陪俺跑。保护隧道陪认证信息跑。
画面：认证信息在跑道里跑，PEAP 在旁边陪着，并给跑道加透明保护罩。
回到考题：题目同时出现 EAP 和 protected tunnel（受保护隧道），找 PEAP。
18 802.1X
英文缩写：802.1X = Port-Based Network Access Control（端口级网络访问控制）。
连记链条：802.1X -> 端口级网络访问控制 -> 入网、端口、先验 -> 一根线先过闸。
关键词提取：入网、端口、先验。设备进网络前，端口先验身份。
谐音记忆：八零二一线 = 一根线先过闸。
画面：电脑插上网线，网线在门口闸机先验身份，通过后端口才放行。
回到考题：题目问交换机端口或无线接入前认证，找 802.1X。
19 RADIUS
英文缩写：RADIUS = Remote Authentication Dial-In User Service（集中认证、授权、记账后台）。
连记链条：RADIUS -> 集中认证、授权、记账后台 -> 集中、认授记 -> 瑞迪斯登记台。
关键词提取：集中、认授记。集中做认证、授权、记账。
谐音记忆：RADIUS = 瑞迪斯登记台。
画面：无线、VPN、802.1X 都把人送到瑞迪斯登记台，登记台问：能不能进、能进哪里、要不要记一笔。
回到考题：题目问集中认证后台或 AAA，找 RADIUS。
20 TACACS+
英文缩写：TACACS+ = Terminal Access Controller Access-Control System Plus（网络设备管理 AAA 协议）。
连记链条：TACACS+ -> 网络设备管理 AAA 协议 -> 设备、命令、细查 -> 他查可细。
关键词提取：设备、命令、细查。管理员管理网络设备时，细到命令级授权。
谐音记忆：TACACS+ = 他查可细。
画面：管理员登录交换机，门卫不只查能不能进，还查这条命令能不能敲。
回到考题：题目强调网络设备管理、命令级授权，找 TACACS+。
21 RBAC
英文缩写：RBAC = Role-Based Access Control（基于角色的访问控制）。
连记链条：RBAC -> 基于角色的访问控制 -> 角色、给权 -> 人班按册。
关键词提取：角色、给权。人先属于角色，再继承角色权限。
谐音记忆：RBAC = 人班按册。
画面：财务班、客服班、管理员班按册子领钥匙。
回到考题：题目按岗位、角色、职责分配权限，找 RBAC。
22 DAC
英文缩写：DAC = Discretionary Access Control（自主访问控制）。
连记链条：DAC -> 自主访问控制 -> 主人、自定、给钥匙 -> 大可。
关键词提取：主人、自定、给钥匙。资源所有者自己决定谁能看。
谐音记忆：DAC = 大可。
画面：文件主人拿着钥匙，说大可给你看，也大可收回。
回到考题：题目说 owner（所有者）决定访问，找 DAC。
23 MAC
英文缩写：MAC = Mandatory Access Control（强制访问控制）。
连记链条：MAC -> 强制访问控制 -> 标签、级别、强制 -> 密案册。
关键词提取：标签、级别、强制。系统按密级标签强制控制。
谐音记忆：MAC = 密案册。
画面：密案室里，文件贴机密标签，人有许可级别，不够级别系统直接拦。
回到考题：题目出现 label（标签）、classification（分类级别）、clearance（许可级别），找 MAC。
24 ABAC
英文缩写：ABAC = Attribute-Based Access Control（基于属性的访问控制）。
连记链条：ABAC -> 基于属性的访问控制 -> 属性、填表、按册 -> 按表按册。
关键词提取：属性、填表、按册。把人、设备、地点、时间等属性填表，再按规则册判断。
谐音记忆：ABAC = 按表按册。
画面：门口先填属性表，再翻规则册，符合条件才放行。
回到考题：题目不是只看角色，而是多个属性一起判断，找 ABAC。
25 PKI
英文缩写：PKI = Public Key Infrastructure（公钥基础设施）。
连记链条：PKI -> 公钥基础设施 -> 公钥、证书、信任链 -> 批可以。
关键词提取：公钥、证书、信任链。让浏览器知道这个公钥为什么可信。
谐音记忆：PKI = 批可以。
画面：证书经过可信体系审批，批过了，浏览器才说这个公钥可以信。
回到考题：题目问公钥信任、证书链、CA 共同建立信任，找 PKI。
26 CA
英文缩写：CA = Certificate Authority（证书颁发机构）。
连记链条：CA -> 证书颁发机构 -> 签发、盖章 -> 盖章啊。
关键词提取：签发、盖章。给证书签名背书。
谐音记忆：CA = 盖章啊。
画面：证书来到可信盖章处，CA 给它盖章签发。
回到考题：题目问谁签发证书、谁给证书背书，找 CA。
27 RA
英文缩写：RA = Registration Authority（注册机构）。
连记链条：RA -> 注册机构 -> 核验、认人 -> 认啊。
关键词提取：核验、认人。CA 盖章前先核验申请者身份。
谐音记忆：RA = 认啊。
画面：申请证书的人先到 RA 登记窗口认身份、查材料、确认域名。
回到考题：题目问注册、审核材料、核验身份，找 RA。
28 CRL
英文缩写：CRL = Certificate Revocation List（证书吊销列表）。
连记链条：CRL -> 证书吊销列表 -> 吊销、列表 -> 撤入列。
关键词提取：吊销、列表。坏证书进入名单，别人查名单别再信。
谐音记忆：CRL = 撤入列。
画面：出问题的证书被撤入一列黑名单。
回到考题：题目说下载或查看吊销列表，找 CRL。
29 OCSP
英文缩写：OCSP = Online Certificate Status Protocol（在线证书状态协议）。
连记链条：OCSP -> 在线证书状态协议 -> 在线、查状态 -> 哦，查实凭。
关键词提取：在线、查状态。在线问这张证书现在还能不能信。
谐音记忆：OCSP = 哦，查实凭。
画面：浏览器在线递过去一张凭证，说“哦，帮我查实它还有效吗”。
回到考题：题目说实时在线查询单张证书状态，找 OCSP。
30 TLS
英文缩写：TLS = Transport Layer Security（传输层安全）。
连记链条：TLS -> 传输层安全 -> 传输、通路、上锁 -> 通路锁。
关键词提取：传输、通路、上锁。数据在路上跑时保护它。
谐音记忆：TLS = 通路锁。
画面：浏览器和网站之间的路被 TLS 上锁，外人看不懂也不好改。
回到考题：题目问 in transit（传输中）数据保护，找 TLS。
31 SSL
英文缩写：SSL = Secure Sockets Layer（安全套接层 / 旧式名称）。
连记链条：SSL -> 安全套接层 / 旧式名称 -> 旧名、老锁 -> 是老锁。
关键词提取：旧名、老锁。早期安全通信旧协议或旧称。
谐音记忆：SSL = 是老锁。
画面：墙上挂着一把老锁 SSL，旁边是现代常用的新锁 TLS。
回到考题：题目比较 SSL/TLS 或问旧式安全通信，找 SSL。
32 HTTPS
英文缩写：HTTPS = Hypertext Transfer Protocol Secure / HTTP over TLS（安全网页通信）。
连记链条：HTTPS -> 安全网页通信 -> 网页、HTTP、上锁 -> HTTP + S，S 当“锁”。
关键词提取：网页、HTTP、上锁。HTTP 走进 TLS 保护通道。
谐音记忆：HTTPS = HTTP + S，S 当“锁”。
画面：HTTP 小车原本裸跑，加了 S 后开进上锁隧道。
回到考题：题目问网页流量、浏览器通信如何加密，找 HTTPS。
33 IDS
英文缩写：IDS = Intrusion Detection System（入侵检测系统）。
连记链条：IDS -> 入侵检测系统 -> 盯、说、报警 -> 一盯说。
关键词提取：盯、说、报警。看见可疑就说出来。
谐音记忆：IDS = 一盯说。
画面：值班员一盯到可疑流量，就喊出来报警，但不亲手拦。
回到考题：题目动作是 detect（检测）和 alert（报警），找 IDS。
34 IPS
英文缩写：IPS = Intrusion Prevention System（入侵防御系统）。
连记链条：IPS -> 入侵防御系统 -> 判、守、阻断 -> 一判守。
关键词提取：判、守、阻断。判断可疑后守住入口。
谐音记忆：IPS = 一判守。
画面：入口守卫一判断像攻击，就关闸拦住。
回到考题：题目动作是 prevent（防止）、block（阻断）、drop（丢弃），找 IPS。
35 SIEM
英文缩写：SIEM = Security Information and Event Management（安全信息与事件管理）。
连记链条：SIEM -> 安全信息与事件管理 -> 集、关、告 -> 四眼幕。
关键词提取：集、关、告。集中日志，关联分析，产生告警。
谐音记忆：SIEM = 四眼幕。四只眼睛盯一面大屏。
画面：防火墙、服务器、数据库、应用四路日志都汇到大屏，四眼一起看，找出关联线索再告警。
回到考题：题目问日志集中、事件关联、告警分析，找 SIEM。
36 SOAR
英文缩写：SOAR = Security Orchestration, Automation, and Response（安全编排、自动化与响应）。
连记链条：SOAR -> 安全编排、自动化与响应 -> 剧本、编排、自动响应 -> 搜案然。
关键词提取：剧本、编排、自动响应。告警来了，按剧本串起工具自动处置。
谐音记忆：SOAR = 搜案然。搜到安全案，然后自动跑剧本。
画面：SIEM 报警后，SOAR 搜到案件，按剧本自动查账号、隔离主机、通知值班员、开工单。
回到考题：题目问 playbook（剧本）、orchestration（编排）、automation（自动化）、response（响应），找 SOAR。
37 IaaS
英文缩写：IaaS = Infrastructure as a Service（基础设施即服务）。
连记链条：IaaS -> 基础设施即服务 -> 底层给、你管多 -> 一堆事。
关键词提取：底层给、你管多。云厂商给基础设施，客户还要管很多。
谐音记忆：IaaS = 一堆事。
画面：你租了空厨房，灶台水电有了，但系统、应用、数据还一堆事要自己管。
回到考题：题目说客户还要管操作系统、应用和数据，找 IaaS。
38 PaaS
英文缩写：PaaS = Platform as a Service（平台即服务）。
连记链条：PaaS -> 平台即服务 -> 平台给、管代码 -> 怕底层事。
关键词提取：平台给、管代码。云厂商给运行平台，开发者主要放代码。
谐音记忆：PaaS = 怕底层事。
画面：你怕修灶台、接煤气，就租已经搭好的厨房平台，只带菜谱和食材。
回到考题：题目说客户主要部署代码，不管服务器和操作系统，找 PaaS。
39 SaaS
英文缩写：SaaS = Software as a Service（软件即服务）。
连记链条：SaaS -> 软件即服务 -> 软件给、直接用 -> 省事。
关键词提取：软件给、直接用。供应商把现成软件给客户用。
谐音记忆：SaaS = 省事。
画面：饭店直接把菜端上桌，你不用租厨房，也不用自己炒菜。
回到考题：题目说客户直接使用网页邮箱、在线 CRM、在线办公，找 SaaS。
CIA
小白学习卡
先懂一句话：CIA = Confidentiality / Integrity / Availability，三类安全目标：机密性、完整性、可用性。
为什么有它：如果只说“系统不安全”，小白不知道该修哪里。CIA 先把坏事分成三类：秘密被看见、内容被改坏、需要时用不了。
现实画面：先别把它当三个英文字母。画面是三件事：客户资料别被乱看，订单金额别被乱改，系统上班时别打不开。
考试信号：如果题目问“破坏了哪个安全目标”，先别看选项里的工具，先看坏事长什么样。资料被别人看见了，说明秘密没保住，答案落到机密性；资料内容被人改了，说明内容不可信，答案落到完整性；系统该用时打不开，说明服务用不了，答案落到可用性。
容易混淆：加密、访问控制、备份、日志是后面用来解决问题的办法；CIA 是先判断坏事属于哪一种。题目如果先问“破坏了什么目标”，就先别急着选工具。
记忆锚点：不要硬背三个英文词。先记“几万颗芯片”，因为“几万颗”读起来像“机、完、可”：机 = 机密性，完 = 完整性，可 = 可用性。这个顺序和 CIA 的正式定义一致：机密性、完整性、可用性。
正式定义：CIA = Confidentiality / Integrity / Availability，三类安全目标。
记忆法审稿
候选池：此案；几万颗；几万颗芯片；记完课；科技玩；可机完；慈爱啊；CIA 特工；泄篡停；谢老板窜进亭。
一个个筛：此案能带入“安全案件”；几万颗读起来像“机完可”，顺序正好对应机密性、完整性、可用性；几万颗芯片有具体物，能让小白脑子里出现仓库、图纸、订单、系统这些画面；记完课能帮助记音，但和安全事故关系弱；科技玩虽然有场景，但顺序是可、机、完，容易把正式定义背乱；慈爱啊和安全无关；CIA 特工会误导成机构；泄篡停虽然准确，但太像压缩口诀；谢老板窜进亭有画面，但和安全知识点贴合不如“几万颗芯片”自然。
主记法：CIA = 此案。此案先看“几万颗芯片”=“机完可”：机密性、完整性、可用性。
记忆故事：这份 CIA 案卷发生在一家芯片仓库。仓库里有几万颗安全芯片。第一怕芯片设计图被外人拍走，秘密被不该看的人看见，这是机密性出问题。第二怕芯片编号、库存数量、订单金额被人改掉，记录变得不可信，这是完整性出问题。第三怕仓库系统打不开，客户要芯片时查不到、发不出、用不了，这是可用性出问题。
回到考题检查：读题时先问“坏事伤到的是哪一种结果”。如果题目说资料泄露、别人看到了不该看的内容，先想到机密性；如果题目说金额、记录、文件被改了，先想到完整性；如果题目说系统打不开、业务不能用，先想到可用性。记忆时就按“几万颗芯片”的“机完可”走，写正式定义时也是 CIA：机密性、完整性、可用性。
BIA
小白学习卡
先懂一句话：BIA = Business Impact Analysis，业务影响分析。
为什么有它：灾难发生前，公司要先知道哪项业务一停就最疼。否则所有系统都喊重要，恢复时就没有先后顺序。
现实画面：收款、下单、客服、报表排成一队。谁停一分钟损失最大，谁先救。
考试信号：如果题目让你在灾难发生前判断“哪些业务最重要、停了会造成多大影响、谁应该先恢复”，它问的是业务影响分析。这里还没有开始修系统，也没有开始临时接单，而是在给后面的恢复工作排顺序。
容易混淆：BIA 不是修系统，也不是让业务继续运转。它是先分析影响，给后面的 BCP 和 DRP 排优先级。
记忆锚点：先记三个动作：业停、损大、先救。BIA 不是直接恢复系统，而是先问哪项业务停了、哪项业务损失最大、哪项业务最应该先救。
正式定义：BIA = Business Impact Analysis，业务影响分析。
记忆法审稿
候选池：比呀；夜停孙大先救；夜莺粪；野樱粉；鞭；比影响啊；彼岸；比一案。
一个个筛：比呀能接 BIA 的读音，但只能提醒“比较”，不够记住比较什么；夜停孙大先救能把“业停、损大、先救”三个关键词全部挂住；夜莺粪有损失画面，但容易把人带到脏东西本身；野樱粉可以做店名，但不如“夜停孙大先救”直接；鞭有冲击力，但没有把业务停、损失大、先救完整串起来；彼岸和业务影响无关。
主记法：BIA = 比呀。真正要记的是“夜停，孙大先救”= 业停、损大、先救。
记忆故事：夜市突然停电，收款、下单、客服、报表都受影响。老板没有先问买什么发电机，而是先看谁停了、谁损失最大。孙大的海鲜冷柜停一分钟就坏一批，损失最大，所以先救孙大。BIA 就是在灾难前或恢复规划前，把业务影响比清楚。
回到考题检查：如果题目要求“先分析影响”“确定关键业务”“决定恢复优先级”，就把脑子里的句子叫出来：夜停，孙大先救。也就是业务停了，先算损失大不大，再决定谁先救。如果题目已经在说手工接单，那是 BCP；如果在说恢复服务器数据库，那是 DRP。
BCP
小白学习卡
先懂一句话：BCP = Business Continuity Plan，业务连续性计划。
为什么有它：系统坏了，公司不能只等 IT 修好。客户还要下单，客服还要接电话，钱还要能收。
现实画面：收银系统坏了，店员先用纸本记订单，用备用手机接电话，用备用收款码收钱。
考试信号：如果题目在问“系统坏了以后，业务怎样继续做下去”，它问的是 BCP。重点不是服务器怎么修，而是客户还能不能下单、客服还能不能接电话、收款还能不能继续。
容易混淆：BCP 关心业务动作不断；DRP 关心服务器、数据库、网络怎么恢复。
记忆锚点：把 BCP 想成白菜铺老板喊“续”。系统可以坏，后屋可以抢修，但前台要先做到续单、续接、续收：订单继续记，电话继续接，钱继续收。
正式定义：BCP = Business Continuity Plan，业务连续性计划。
记忆法审稿
候选池：白菜铺；续单续接续收；白菜铺，续；手写手接手收；人工续命；保持跑；别趴下。
一个个筛：白菜铺能把 BCP 字母读音接上，也有店铺场景；续单续接续收能把 continuity（连续性）落到具体动作；白菜铺，续，有一句喊出来的动作；手写手接手收能强调人工替代，但少了“连续”；人工续命有画面，但没有订单、电话、收款；保持跑只是动作，单独不牢；别趴下像解释句，不像稳定记忆钩。
主记法：BCP = bai cai pu（白菜铺）。白菜铺老板喊“续”：续单、续接、续收。
记忆故事：白菜铺的收银系统突然坏了。老板没有先抱着服务器哭，而是拍桌喊：“续！”店员拿纸本续单，用备用手机续接客户电话，用备用收款码续收钱。后屋 IT 可以抢修，前台业务先别停。
回到考题检查：读题时看它是不是在关心“业务动作能不能继续”。如果题目说手工流程、备用办公点、临时人员、客户通知、临时接单和收款，这类就是 BCP 的范围。题目如果问服务器、数据库、网络怎么恢复，才是 DRP。
DRP
小白学习卡
先懂一句话：DRP = Disaster Recovery Plan，灾难恢复计划，也就是 IT 灾后恢复计划。
为什么有它：灾难后不能只说“赶紧修系统”。DRP 提前写清楚服务器、数据库、网络、域名、账号、备份按什么顺序恢复。
现实画面：机房进水后，技术人员按恢复剧本切备用服务器、还原数据库、切换网络、恢复账号。
考试信号：如果题目在问灾难后“服务器、数据库、网络、域名、账号、备份怎么恢复”，它问的是 DRP。这里的主角是 IT 技术恢复步骤，不是前台怎么临时服务客户。
容易混淆：灾备恢复是大范围说法；DRP 是其中的 IT 技术恢复线。题目问前台业务先怎么撑住，是 BCP；题目问后屋 IT 系统怎么拉起来，是 DRP。
记忆锚点：把 DRP 想成技术人员手里的灾后恢复剧本。剧本里写的不是“安慰客户”，而是按顺序拉起备用服务器、恢复数据库、切网络、验证系统。
正式定义：DRP = Disaster Recovery Plan，灾难恢复计划。
记忆法审稿
候选池：大软盘；导入盘；点燃跑；大润发排；大润发拍。
一个个筛：大软盘会误导成 DRP 只是备份盘；导入盘只讲数据导入，范围太窄；点燃跑词硬，还会带偏到火灾；大润发排能排恢复顺序；大润发拍能拍灾难电影，电影有剧本，最能接 Plan。
主记法：DRP = da run fa pai（大润发拍）。
记忆故事：大润发出钱拍了一部灾难电影，片名叫《IT 灾后恢复计划》。第一场拍前台用纸本和备用收款码撑住业务，这是 BCP。第二场切到后屋机房，技术人员按剧本恢复服务器、数据库、网络、域名、账号、备份，这才是 DRP。
回到考题检查：读题时先看它恢复的对象是谁。恢复对象如果是 IT 系统本身，就归 DRP；恢复对象如果是业务服务不中断，就归 BCP。
RTO
小白学习卡
先懂一句话：RTO = Recovery Time Objective，恢复时间目标。
为什么有它：恢复不能只说“尽快”。RTO 把“尽快”变成明确时间，比如 4 小时内必须恢复。
现实画面：老板放下一碗热汤，说汤凉之前收款系统必须回来。
考试信号：如果题目问“系统必须在多久之内恢复”，它问的是 RTO。这个时间像倒计时，关注的是恢复速度，不是丢了多少数据。
容易混淆：RTO 问多久恢复；RPO 问最多丢多少数据；MTD 问业务最长能停多久。
记忆锚点：把 RTO 想成一只倒计时钟。钟在问系统什么时候回来，而不是问数据库能恢复到哪个备份点。
正式定义：RTO = Recovery Time Objective，恢复时间目标。
记忆法审稿
候选池：让它回；认同哦；热停哦；热汤哦。
一个个筛：让它回含义准但不是谐音；认同哦和恢复无关；热停哦词硬；热汤哦有倒计时画面。
主记法：RTO = re tang o（热汤哦）。
记忆故事：一碗热汤放在桌上，热气慢慢散。老板说：“汤凉前，收款系统必须回来。”这就是 RTO，问系统多快恢复。
回到考题检查：读题时找时间限制。如果题干说 2 小时内、4 小时内、当天恢复，它在问恢复耗时，答案才是 RTO。
RPO
小白学习卡
先懂一句话：RPO = Recovery Point Objective，恢复点目标。
为什么有它：恢复时不只问多久修好，还要问最多能丢多少数据。这个问题要看能恢复到哪个备份时间点。
现实画面：备份盘上写着 9:00、10:00、11:00。恢复到 10:00，就可能丢掉 10:00 之后的数据。
考试信号：如果题目问“最多能接受丢多少数据”或“能恢复到哪个时间点”，它问的是 RPO。这里的重点不是修多久，而是数据能倒回到哪一刻。
容易混淆：RPO 是数据点；RTO 是恢复耗时。
记忆锚点：把 RPO 想成一排备份时间点。你选哪一个备份点恢复，就决定后面的数据会不会丢。
正式定义：RPO = Recovery Point Objective，恢复点目标。
记忆法审稿
候选池：软盘哦；认盘哦；让片哦；入破。
一个个筛：软盘哦能接备份点；认盘哦能接“认哪盘备份”；让片哦不自然；入破无关。
主记法：RPO = ruan pan o（软盘哦）。
记忆故事：技术人员面前摆着一排软盘，每张贴着备份时间。能用哪张盘恢复，就决定最多会丢多少数据。
回到考题检查：读题时如果题干出现 data loss（数据丢失）或 point in time（时间点），先判断它在问数据损失范围。只要核心是数据能保到哪一刻，就归 RPO。
MTD
小白学习卡
先懂一句话：MTD = Maximum Tolerable Downtime，最长可容忍停机时间。
为什么有它：业务不是无限能忍。停一小时可能还能撑，停八小时可能合同就没了。
现实画面：墙上有一条红线，写着“停到这里就完了”。
考试信号：如果题目问“业务最多能停多久，超过多久就不可接受”，它问的是 MTD。这里不是目标恢复时间，而是业务忍耐的极限。
容易混淆：MTD 是业务忍耐极限；RTO 是希望系统恢复的目标时间，通常要早于 MTD。
记忆锚点：把 MTD 想成墙上的红线。红线之前公司还能硬撑，过了红线业务就开始承受不可接受的损失。
正式定义：MTD = Maximum Tolerable Downtime，最长可容忍停机时间。
记忆法审稿
候选池：没停到；没停多；门停倒；闷停到。
一个个筛：没停到能接红线；没停多句子不完整；门停倒画面乱；闷停到不自然。
主记法：MTD = mei ting dao（没停到）。
记忆故事：计时器一直走，只要没停到红线，公司还在硬扛；一旦停过红线，业务就扛不住。
回到考题检查：读题时看它是不是在问“最多能忍到哪里”。如果问的是忍耐上限，就是 MTD；如果问计划多久恢复，就是 RTO。
AV
小白学习卡
先懂一句话：AV = Asset Value，资产价值。
为什么有它：算损失前，先要知道资产本身值多少钱。
现实画面：服务器、数据库、办公电脑都挂着价签。
考试信号：如果题目问这台服务器、这批数据、这个系统值多少钱，它问的是 AV。它还没问事故会毁掉几成，也没问一次损失多少钱。
容易混淆：AV 是总价值；EF 是一次事故毁掉几成；SLE 才是一次事故损失多少钱。
记忆锚点：把 AV 想成挂在资产身上的价签。先知道资产原本值多少钱，后面的损失计算才有起点。
正式定义：AV = Asset Value，资产价值。
记忆法审稿
候选池：啊，价位；爱位；问价位；按值。
一个个筛：啊，价位最像小白会说的话；爱位别扭；问价位含义清楚但不是谐音；按值偏公式。
主记法：AV = 啊，先看价位。
记忆故事：仓库里每件资产都挂着价签。风险计算开始前，先看价位，别急着算事故。
回到考题检查：读题时如果数字表示资产本身价值，就归 AV；如果数字是百分比，通常要考虑 EF；如果数字是事故造成的金额损失，才考虑 SLE。
EF
小白学习卡
先懂一句话：EF = Exposure Factor，暴露因子，一次事故损失资产的比例。
为什么有它：事故不一定把资产全毁，可能只毁 30% 或 50%。EF 就是这个比例。
现实画面：一台服务器被水泡坏一半，贴着 50%。
考试信号：如果题目给的是“损坏 30%”“损失一半”这种比例，它问的是 EF。EF 不关心资产一共值多少钱，只关心这次事故毁掉了几成。
容易混淆：EF 是比例，不是金额。金额要用 AV x EF 算出 SLE。
记忆锚点：把 EF 想成资产被事故咬掉的一块。咬掉多大比例，就是 EF。
正式定义：EF = Exposure Factor，暴露因子。
记忆法审稿
候选池：一废；额废；二废；风险比例。
一个个筛：一废能接一次事故废掉几成；额废多余；二废会误导成次数；风险比例清楚但没钩子。
主记法：EF = yi fei（一废）。
记忆故事：水灾让服务器一半不能用了。不是全废，是一废废了 50%。
回到考题检查：读题时先看数字类型。百分比或比例是 EF；货币金额通常不是 EF。
SLE
小白学习卡
先懂一句话：SLE = Single Loss Expectancy，单次损失期望。
为什么有它：公司要知道一次事故大概损失多少钱。
现实画面：一次事故后，会计拿出一张账单，说这次损了 30 万。
考试信号：如果题目问“一次事故预计损失多少钱”，它问的是 SLE。它把资产价值和损失比例合在一起，算出一次事故的金额。
容易混淆：SLE 是一次事故；ALE 是一年总损失。
记忆锚点：把 SLE 想成事故当天开出来的一张损失账单。账单只算这一次，不算一年累计。
正式定义：SLE = Single Loss Expectancy，单次损失期望。
记忆法审稿
候选池：损了；损了一次；算了；私了。
一个个筛：损了自然；损了一次更清楚但不是缩写；算了、私了都会带偏。
主记法：SLE = sun le（损了）。
记忆故事：资产值 100 万，一次事故废掉 30%，会计说这次损了 30 万。SLE = AV x EF。
回到考题检查：读题时如果它问单次事故金额，就用 SLE。看到“一年发生几次”才转去 ARO，看到“一年总损失”才转去 ALE。
ARO
小白学习卡
先懂一句话：ARO = Annualized Rate of Occurrence，年发生率。
为什么有它：只知道一次事故损失多少钱还不够，还要知道一年大概发生几次。
现实画面：墙上贴一年日历，每发生一次事故就画一个红圈。
考试信号：如果题目问某类事故一年大概发生几次，它问的是 ARO。它不算钱，只是在数频率。
容易混淆：ARO 是次数；SLE 是一次多少钱；ALE 是一年损失总账。
记忆锚点：把 ARO 想成一张年历。每出一次事故就在年历上画圈，最后数一年有几个圈。
正式定义：ARO = Annualized Rate of Occurrence，年发生率。
记忆法审稿
候选池：按年哦；啊若偶；爱惹祸；年历红圈。
一个个筛：按年哦含义准但不自然；啊若偶硬凑；爱惹祸能接一年出几次事；年历红圈清楚但不接读音。
主记法：ARO = ai re huo（爱惹祸）。
记忆故事：机房有台设备特别爱惹祸。管理员在年历上画红圈，年底数红圈，就知道一年大概发生几次。
回到考题检查：读题时如果核心是“每年几次”，就是 ARO；如果核心是“一次多少钱”，不是 ARO。
ALE
小白学习卡
先懂一句话：ALE = Annualized Loss Expectancy，年度损失期望。
为什么有它：公司不只看一次损失，还要看一年预计总共损失多少钱。
现实画面：会计把一整年的损失账单摞起来，越摞越高。
考试信号：如果题目问一年预期总损失多少钱，它问的是 ALE。ALE 是把单次损失按一年发生次数累加后的结果。
容易混淆：ALE 是一年总账；SLE 是一次账单；ARO 是一年发生次数。
记忆锚点：把 ALE 想成会计桌上一整年的账单。每次事故一张，摞起来才是年度损失。
正式定义：ALE = Annualized Loss Expectancy，年度损失期望。
记忆法审稿
候选池：啊，累；按年累；爱了；一年总账。
一个个筛：啊，累自然；按年累含义清楚；爱了无关；一年总账清楚但没有谐音。
主记法：ALE = a lei（啊，累）。
记忆故事：一次损 30 万，一年发生 4 次，会计摞起 4 张账单说“啊，累”。ALE = SLE x ARO。
回到考题检查：读题时如果它问 annualized（年度化）或 yearly（一年）的损失金额，就归 ALE。不要把它当成一次事故的 SLE。
MFA
小白学习卡
先懂一句话：MFA = Multi-Factor Authentication，多因素认证。
为什么有它：只靠密码太容易出事，所以还要手机验证码、令牌、指纹等不同类型证明。
现实画面：机房门口有三道锁：密码锁、手机验证码锁、指纹锁。
考试信号：如果题目让用户用不同类型的证据证明身份，例如密码、手机令牌、指纹一起使用，它问的是 MFA。重点是“不同类型”，不是步骤数量多。
容易混淆：两个密码不算两个因素。因素要类型不同。
记忆锚点：把 MFA 想成机房门口多道不同的门锁。密码是一道，手机令牌是一道，指纹又是一道。
正式定义：MFA = Multi-Factor Authentication，多因素认证。
记忆法审稿
候选池：门防啊；没法啊；密防啊；魔法啊。
一个个筛：门防啊有门和多道防线；没法啊能接只靠密码没法；密防啊含义准但弱；魔法啊会带偏。
主记法：MFA = men fang a（门防啊）。
记忆故事：机房门口不只一把锁，要密码、手机验证码、指纹一起过，才证明你是你。
回到考题检查：读题时先看这些证明是不是不同类型。两个密码仍然只是同一类；密码加令牌或指纹，才更像 MFA。
SSO
小白学习卡
先懂一句话：SSO = Single Sign-On，单点登录。
为什么有它：用户不想每进一个系统都输一次密码。
现实画面：早上登录一次，拿一张通行证，后面进邮箱、工单、报销系统都少输密码。
考试信号：如果题目说用户登录一次后，可以访问多个系统，它问的是 SSO。重点是减少重复登录，不是提高认证强度。
容易混淆：SSO 是少登录几次，不等于认证更强。更强认证要看 MFA。
记忆锚点：把 SSO 想成一张通行证。入口登录一次，后面进多个系统不用反复输入密码。
正式定义：SSO = Single Sign-On，单点登录。
记忆法审稿
候选池：少输哦；双省哦；搜搜哦；一张通行证。
一个个筛：少输哦直接；双省哦可用但不如少输；搜搜哦像搜索；通行证画面好但不接读音。
主记法：SSO = shao shu o（少输哦）。
记忆故事：员工登录一次，拿到通行证，后面进多个系统都少输密码。
回到考题检查：读题时如果关注点是“少输密码、一次登录多处通行”，就是 SSO；如果关注点是“多种证明身份”，就是 MFA。
PAP
小白学习卡
先懂一句话：PAP = Password Authentication Protocol，密码认证协议。
为什么有它：这是很基础但弱的认证方式，重点是密码可能直接传，保护差。
现实画面：用户把密码写在纸条上，直接递给服务器，路边的人可能看见。
考试信号：如果题目描述密码被直接发送、保护很弱，或者出现 plaintext password（明文密码），它问的是 PAP。它的危险点是密码像纸条一样直接递出去。
容易混淆：PAP 是直接递密码；CHAP 是答挑战题，不直接递密码。
记忆锚点：把 PAP 想成手里举着密码纸条过走廊。别人一看见，密码就暴露了。
正式定义：PAP = Password Authentication Protocol，密码认证协议。
记忆法审稿
候选池：怕怕；啪啪啪；牌牌；密码纸条。
一个个筛：怕怕贴明文密码风险；啪啪啪容易跑偏；牌牌无关；密码纸条画面好但不接缩写。
主记法：PAP = pa pa（怕怕）。
记忆故事：密码纸条一路递过去，谁看见都可能偷走，所以怕怕。
回到考题检查：读题时如果重点是密码直接传，归 PAP；如果重点是服务器先挑战、客户端算回应，就不是 PAP，而是 CHAP。
CHAP
小白学习卡
先懂一句话：CHAP = Challenge Handshake Authentication Protocol，挑战握手认证协议。
为什么有它：它不直接把密码交出去，而是服务器先出题，客户端用密码算答案。
现实画面：服务器端来一个茶盘，茶盘上放着挑战卡。
考试信号：如果题目说服务器先给挑战，客户端用密码参与计算后交回应，而且密码本身不直接发送，它问的是 CHAP。
容易混淆：PAP 递密码纸条；CHAP 答挑战题。
记忆锚点：把 CHAP 想成茶盘上放着挑战卡。客户端要回答挑战题，而不是把密码纸条递过去。
正式定义：CHAP = Challenge Handshake Authentication Protocol，挑战握手认证协议。
记忆法审稿
候选池：茶盘；插排；差评；挑战后答。
一个个筛：茶盘能放挑战卡；插排不好接挑战；差评无关；挑战后答含义准但不是谐音。
主记法：CHAP = cha pan（茶盘）。
记忆故事：服务器端来茶盘，上面写着挑战题。客户端不交密码，只交算出来的回应。
回到考题检查：读题时看有没有 challenge-response（挑战响应）。有挑战、有回应、没有直接发密码，就归 CHAP。
PEAP
小白学习卡
先懂一句话：PEAP = Protected Extensible Authentication Protocol，受保护的 EAP。
为什么有它：EAP 是认证框架，但认证过程本身也要保护起来，别让路上偷看。
现实画面：认证信息在一条透明保护跑道里跑。
考试信号：如果题目说 EAP 认证过程被放进安全隧道里保护，它问的是 PEAP。重点不是“有 EAP”而已，而是 EAP 被保护起来。
容易混淆：EAP 是框架；PEAP 是把 EAP 放进保护通道里。
记忆锚点：把 PEAP 想成有人陪着认证信息跑进透明保护跑道。外面能看见它在跑，但看不清里面内容。
正式定义：PEAP = Protected Extensible Authentication Protocol，受保护的 EAP。
记忆法审稿
候选池：陪俺跑；配俺跑；皮衣爱跑；披一皮。
一个个筛：陪俺跑能接保护通道；配俺跑意思弱；皮衣爱跑太怪；披一皮漏 A，不能用。
主记法：PEAP = pei an pao（陪俺跑）。
记忆故事：外面有人偷看，PEAP 搭起保护跑道，陪着认证信息跑进去。
回到考题检查：读题时如果同时出现 EAP 和 protected tunnel（受保护隧道），才把它归到 PEAP。
802.1X
小白学习卡
先懂一句话：802.1X = 端口级网络访问控制，设备进网络前先认证。
为什么有它：不能谁插上网线都进内网，门口要先验身份。
现实画面：电脑插上网线，先过一个网络闸机。
考试信号：如果题目描述设备接入网络前，交换机端口先要求认证，它问的是 802.1X。重点是“进网络门口前先验身份”。
容易混淆：802.1X 是门口闸机；RADIUS 常是闸机背后的认证后台。
记忆锚点：把 802.1X 想成网线门口的闸机。线插上了，不代表马上能进内网。
正式定义：802.1X = port-based network access control，端口级网络访问控制。
记忆法审稿
候选池：八零二点一叉；八零二一线；叉口验身。
一个个筛：八零二点一叉直观但长；八零二一线能接网线；叉口验身清楚但不接数字。
主记法：802.1X = 八零二一线。
记忆故事：一根网线想进内网，先在门口闸机验身份，通过后交换机端口才放行。
回到考题检查：读题时如果认证发生在接入网络之前，尤其是交换机端口或无线接入门口，就归 802.1X。
RADIUS
小白学习卡
先懂一句话：RADIUS = Remote Authentication Dial-In User Service，集中认证、授权、记账后台。
为什么有它：很多网络设备不想各自保存账号和权限，就把认证请求交给集中后台处理。
现实画面：无线、VPN、802.1X 门口都把“这个人能不能进”送到同一个登记台。
考试信号：如果题目描述无线、VPN 或网络接入设备把认证请求交给一个集中后台处理，它问的是 RADIUS。重点是集中做 AAA：认证、授权、记账。
容易混淆：RADIUS 是后台登记台；802.1X 是入网门口的规则。
记忆锚点：把 RADIUS 想成网络门口后面的登记台。各个入口都把“这个人能不能进”送到登记台查。
正式定义：RADIUS = Remote Authentication Dial-In User Service。
记忆法审稿
候选池：瑞迪斯；登记台；后台问询处；半径。
一个个筛：瑞迪斯适合读音；登记台能讲 AAA；后台问询处太长；半径会带到数学。
主记法：RADIUS = 瑞迪斯登记台。
记忆故事：闸机问登记台：这个人能不能进？能进哪里？要不要记一笔记录？这就是 RADIUS。
回到考题检查：读题时如果关注点是集中认证后台，归 RADIUS；如果关注点是端口门禁规则，归 802.1X。
TACACS+
小白学习卡
先懂一句话：TACACS+ = 常用于网络设备管理的 AAA 协议。
为什么有它：管理员登录路由器、交换机时，不只要判断能不能登录，还要判断能不能执行某条命令。
现实画面：门卫查得很细，能细到“这条命令你能不能敲”。
考试信号：如果题目描述管理员管理路由器、交换机，并且要控制他能执行哪些命令，它问的是 TACACS+。重点是网络设备管理和更细的命令级授权。
容易混淆：RADIUS 常用于接入认证；TACACS+ 常用于网络设备管理和更细授权。
记忆锚点：把 TACACS+ 想成查得很细的门卫。不是只看能不能进门，还看进门后能不能敲某条命令。
正式定义：TACACS+ = Terminal Access Controller Access-Control System Plus。
记忆法审稿
候选池：他查可细；他查可思；塔卡克斯；查权限。
一个个筛：他查可细能接命令权限；他查可思含义弱；塔卡克斯只是音译；查权限清楚但不接读音。
主记法：TACACS+ = ta cha ke xi（他查可细）。
记忆故事：管理员想改路由器配置，门卫不只查能不能进，还查能不能执行这条命令。
回到考题检查：读题时如果对象是网络设备管理员，并且题目强调命令授权，就归 TACACS+。
RBAC
小白学习卡
先懂一句话：RBAC = Role-Based Access Control，基于角色的访问控制。
为什么有它：公司不想给每个人从零配权限，就按岗位角色分配。
现实画面：财务班拿财务钥匙，客服班拿客服钥匙，管理员班拿管理钥匙。
考试信号：如果题目说权限按岗位、角色、职责来分配，它问的是 RBAC。重点是人先进入角色，再继承角色的权限。
容易混淆：RBAC 看角色；ABAC 看属性；DAC 看资源主人；MAC 看强制标签。
记忆锚点：把 RBAC 想成班组钥匙册。财务班拿财务钥匙，客服班拿客服钥匙。
正式定义：RBAC = Role-Based Access Control，基于角色的访问控制。
记忆法审稿
候选池：人班按册；角色办权；人被安排；热饼按册。
一个个筛：人班按册能接班组角色；角色办权含义准；人被安排不够稳；热饼按册跑偏。
主记法：RBAC = ren ban an ce（人班按册）。
记忆故事：员工先进班组角色，再按册子领对应钥匙。
回到考题检查：读题时如果主要条件是 role（角色）或 job function（岗位职责），归 RBAC；如果还要看设备、地点、时间，那可能是 ABAC。
DAC
小白学习卡
先懂一句话：DAC = Discretionary Access Control，自主访问控制。
为什么有它：有些资源由资源主人决定谁能访问。
现实画面：文件属于小王，小王大可让小李看，也大可收回权限。
考试信号：如果题目说资源所有者自己决定谁能访问，它问的是 DAC。重点是“主人有决定权”。
容易混淆：DAC 自主；MAC 强制。
记忆锚点：把 DAC 想成文件主人手里的钥匙。主人说可以，你才能看；主人收回，你就不能看。
正式定义：DAC = Discretionary Access Control，自主访问控制。
记忆法审稿
候选池：大可；打开；大客；主人发钥匙。
一个个筛：大可自然贴含义；打开太宽；大客无关；主人发钥匙清楚但不接读音。
主记法：DAC = da ke（大可）。
记忆故事：文件主人拿着钥匙，说大可让你看，也大可不给你看。
回到考题检查：读题时如果授权权力在资源主人手里，归 DAC；如果权限由系统标签强制决定，不是 DAC。
MAC
小白学习卡
先懂一句话：MAC = Mandatory Access Control，强制访问控制。
为什么有它：有些环境不能让资源主人随便决定，必须按安全标签强制控制。
现实画面：文件贴“机密”标签，人有许可级别，不够级别就不能看。
考试信号：如果题目强调安全标签、密级、许可级别，并且访问由系统强制决定，它问的是 MAC。
容易混淆：这里的 MAC 是强制访问控制，不是网卡 MAC 地址。
记忆锚点：把 MAC 想成密案室。文件贴着机密标签，人也有许可级别，级别不够就被系统拦住。
正式定义：MAC = Mandatory Access Control，强制访问控制。
记忆法审稿
候选池：密案册；码册；麦克；标签门禁。
一个个筛：密案册能接机密标签；码册弱；麦克会误导成人名或设备；标签门禁清楚但不接读音。
主记法：MAC = mi an ce（密案册）。
记忆故事：密案室里，文件和人都有标签，系统按标签强制拦，不看人情。
回到考题检查：读题时如果出现 label（标签）、classification（分类级别）、clearance（许可级别），归 MAC。这里不要误会成网卡 MAC 地址。
ABAC
小白学习卡
先懂一句话：ABAC = Attribute-Based Access Control，基于属性的访问控制。
为什么有它：只看角色有时不够，还要看设备、地点、时间、资源类型等属性。
现实画面：系统把“谁、用什么电脑、在哪、什么时间、访问什么数据”填进表，再按规则册判断。
考试信号：如果题目把人、设备、地点、时间、资源敏感度等多个属性放在一起判断访问，它问的是 ABAC。
容易混淆：RBAC 主要看角色；ABAC 看一组属性组合。
记忆锚点：把 ABAC 想成属性表和规则册。先填表，再按规则决定能不能访问。
正式定义：ABAC = Attribute-Based Access Control，基于属性的访问控制。
记忆法审稿
候选池：按表按册；按属性；阿爸按册；安保按册。
一个个筛：按表按册最贴属性表和规则册；按属性清楚但无故事；阿爸按册跑偏；安保按册可用但不如按表按册。
主记法：ABAC = an biao an ce（按表按册）。
记忆故事：属性先填表，再按册子里的规则放行或拒绝。
回到考题检查：读题时如果判断条件不只是角色，而是多个属性一起看，归 ABAC。
PKI
小白学习卡
先懂一句话：PKI = Public Key Infrastructure，公钥基础设施。
为什么有它：浏览器不能随便相信一个公钥，要靠证书、CA、证书链和吊销检查建立信任。
现实画面：证书走审批流水线，批过了才可以信。
考试信号：如果题目在问证书、公钥、证书链、CA 如何共同建立信任，它问的是 PKI。PKI 是一整套信任体系，不是单个证书。
容易混淆：PKI 是体系；CA 是体系里负责签证书的机构。
记忆锚点：把 PKI 想成证书审批流水线。证书链、CA、吊销检查都过得去，浏览器才敢信。
正式定义：PKI = Public Key Infrastructure，公钥基础设施。
记忆法审稿
候选池：批可以；凭可以；皮可以；证书审批线。
一个个筛：批可以能接审批信任；凭可以也可用；皮可以无关；证书审批线清楚但不接缩写。
主记法：PKI = pi ke yi（批可以）。
记忆故事：网站证书经过可信体系批过，浏览器才敢说可以信。
回到考题检查：读题时如果关注的是“公钥为什么可信”，归 PKI；如果只问谁签发证书，才缩小到 CA。
CA
小白学习卡
先懂一句话：CA = Certificate Authority，证书颁发机构。
为什么有它：证书要有人签发，浏览器才知道这个证书不是随便写的。
现实画面：CA 像可信盖章处，在证书上盖可信章。
考试信号：如果题目问谁负责签发证书、给证书背书，它问的是 CA。CA 的动作像在证书上盖可信章。
容易混淆：CA 负责盖章签发；RA 负责先核验申请者身份。
记忆锚点：把 CA 想成证书盖章处。它不是先认人窗口，而是负责签发和背书。
正式定义：CA = Certificate Authority，证书颁发机构。
记忆法审稿
候选池：盖章啊；查啊；赐啊；证书印章处。
一个个筛：盖章啊最贴证书签发；查啊只是查；赐啊不自然；证书印章处太长。
主记法：CA = 盖章啊。
记忆故事：网站拿证书来证明公钥可信，CA 检查后盖章，浏览器认这个章。
回到考题检查：读题时如果动作是 issue/sign certificate（签发或签名证书），归 CA；如果动作是核验申请者身份，归 RA。
RA
小白学习卡
先懂一句话：RA = Registration Authority，注册机构。
为什么有它：CA 盖章前，要先有人核验申请者是谁。
现实画面：RA 像登记窗口，先看身份证、域名和材料。
考试信号：如果题目问证书签发前谁先核验申请者身份，它问的是 RA。RA 先确认人或域名是真的，再交给 CA 签发。
容易混淆：RA 认人；CA 盖章。
记忆锚点：把 RA 想成登记窗口。窗口先认人、查材料、确认域名归属。
正式定义：RA = Registration Authority，注册机构。
记忆法审稿
候选池：认啊；入案；热啊；登记窗口。
一个个筛：认啊最贴核验身份；入案可接登记；热啊无关；登记窗口清楚但不接读音。
主记法：RA = ren a（认啊）。
记忆故事：申请证书的人先到 RA 窗口认身份，再交给 CA 盖章。
回到考题检查：读题时如果动作是注册、核验身份、审核材料，归 RA；如果动作是正式签发证书，归 CA。
CRL
小白学习卡
先懂一句话：CRL = Certificate Revocation List，证书吊销列表。
为什么有它：证书出问题后，要有地方列出来，告诉别人别再信它。
现实画面：被撤销的证书进入一张黑名单。
考试信号：如果题目说被吊销的证书被放进一张列表，或者客户端下载列表来检查证书状态，它问的是 CRL。
容易混淆：CRL 是一张列表；OCSP 是在线查状态。
记忆锚点：把 CRL 想成撤销证书黑名单。证书出问题后，被撤入这一列名单。
正式定义：CRL = Certificate Revocation List，证书吊销列表。
记忆法审稿
候选池：撤入列；查入列；吃热梨；黑名单。
一个个筛：撤入列最贴吊销进入列表；查入列可用；吃热梨跑偏；黑名单清楚但不接读音。
主记法：CRL = che ru lie（撤入列）。
记忆故事：证书被撤销后，被撤入一列名单，别人查到它就不信它。
回到考题检查：读题时如果检查方式是一张列表，归 CRL；如果是在线实时询问状态，归 OCSP。
OCSP
小白学习卡
先懂一句话：OCSP = Online Certificate Status Protocol，在线证书状态协议。
为什么有它：浏览器不一定想下载整张吊销列表，可以在线问这张证书现在还能不能信。
现实画面：浏览器打开在线窗口，输入证书编号，马上查状态。
考试信号：如果题目说在线实时查询某张证书现在是否还有效，它问的是 OCSP。
容易混淆：CRL 是下载名单；OCSP 是在线问状态。
记忆锚点：把 OCSP 想成在线查询窗口。浏览器把证书递过去，窗口马上回答有效、吊销或未知。
正式定义：OCSP = Online Certificate Status Protocol，在线证书状态协议。
记忆法审稿
候选池：哦，查实凭；在线查证；哦，查询屏；偶吃薯片。
一个个筛：哦，查实凭能接在线查凭证；在线查证清楚但不接读音；查询屏可用但弱；偶吃薯片跑偏。
主记法：OCSP = o cha shi ping（哦，查实凭）。
记忆故事：浏览器在线问：“哦，帮我查实这张凭证还能不能信。”
回到考题检查：读题时如果证书状态是在线问出来的，归 OCSP；如果是查下载的吊销名单，归 CRL。
TLS
小白学习卡
先懂一句话：TLS = Transport Layer Security，传输层安全。
为什么有它：数据在路上跑时可能被偷看或篡改，所以通信通道要加密保护。
现实画面：浏览器和网站之间有一条通路，TLS 给这条通路上锁。
考试信号：如果题目问传输中的数据如何被保护，尤其是加密通信通道，它问的是 TLS。重点是数据在路上跑的时候被保护。
容易混淆：TLS 是现代常用说法；SSL 是旧名称。
记忆锚点：把 TLS 想成给通信道路上锁。数据还在路上走，但外人看不懂，也不容易改。
正式定义：TLS = Transport Layer Security，传输层安全。
记忆法审稿
候选池：通路锁；铁链锁；听老师；加密通道。
一个个筛：通路锁最贴通信通道；铁链锁有锁但少通路；听老师无关；加密通道清楚但不接读音。
主记法：TLS = tong lu suo（通路锁）。
记忆故事：网页数据在路上跑，TLS 给路上锁，别人看不懂也不好改。
回到考题检查：读题时如果核心是保护 in transit（传输中）的数据，归 TLS；如果是网页协议加了安全通道，可能表现为 HTTPS。
SSL
小白学习卡
先懂一句话：SSL = Secure Sockets Layer，安全套接层，旧式名称。
为什么有它：早期网页安全通信常说 SSL，现在现代协议更多是 TLS。
现实画面：SSL 像一把老锁，旁边挂着新锁 TLS。
考试信号：如果题目在比较 SSL 和 TLS，或者提到旧式安全网页协议，它在考 SSL 的历史位置。SSL 常被当成老名字，现代安全通信主要看 TLS。
容易混淆：日常说 SSL 证书，不代表协议一定是旧 SSL。
记忆锚点：把 SSL 想成老锁。它帮助你记住这是旧称或旧协议语境。
正式定义：SSL = Secure Sockets Layer，安全套接层。
记忆法审稿
候选池：是老锁；说是老；锁锁链；安全套接层。
一个个筛：是老锁能接旧协议；说是老可用但弱；锁锁链不接旧名；正式中文不好记。
主记法：SSL = shi lao suo（是老锁）。
记忆故事：SSL 是老锁，TLS 是现在更常用的新锁。
回到考题检查：读题时如果问旧名称、旧协议或 SSL/TLS 的关系，才落到 SSL；不要把日常“SSL 证书”误解成一定在用旧 SSL 协议。
HTTPS
小白学习卡
先懂一句话：HTTPS = HTTP over TLS，带安全保护的网页通信。
为什么有它：HTTP 小车直接跑在路上容易被看见；HTTPS 让网页通信进安全隧道。
现实画面：HTTP 小车开进 TLS 锁道。
考试信号：如果题目问网页浏览或网页流量如何在传输中加密，它问的是 HTTPS。HTTPS 可以理解成 HTTP 走进 TLS 保护通道。
容易混淆：HTTPS 不是全新业务，它是 HTTP 通信加了安全通道。
记忆锚点：把 HTTPS 想成 HTTP 小车开进上锁隧道。S 不是装饰字母，而是提醒你这条网页通道被保护了。
正式定义：HTTPS = Hypertext Transfer Protocol Secure，通常理解为 HTTP over TLS。
记忆法审稿
候选池：HTTP + S=锁；网页上锁；护它通披锁；互通通披锁。
一个个筛：HTTP + S=锁最清楚；网页上锁小白懂；护它通披锁和互通通披锁太硬，先把人绕晕。
主记法：HTTPS = HTTP 小车进 TLS 锁道。
记忆故事：HTTP 小车原本裸跑，加 S 后进上锁隧道，外面的人看不清车里数据。
回到考题检查：读题时如果对象是 web traffic（网页流量）或 browser communication（浏览器通信），归 HTTPS；如果只问通用传输通道加密，可能是 TLS。
IDS
小白学习卡
先懂一句话：IDS = Intrusion Detection System，入侵检测系统。
为什么有它：系统需要有人盯着可疑行为并报警。
现实画面：值班员盯着监控屏，看见可疑流量就喊出来。
考试信号：如果题目描述系统发现可疑行为后报警、记录或通知，但没有说它把攻击挡下来，它问的是 IDS。
容易混淆：IDS 主要报警；IPS 会尝试阻断。
记忆锚点：把 IDS 想成值班员盯屏幕。它的工作是看见并说出来。
正式定义：IDS = Intrusion Detection System，入侵检测系统。
记忆法审稿
候选池：一盯说；一定说；一堵墙；监控报警员。
一个个筛：一盯说最贴检测报警；一定说弱；一堵墙会误导成阻断；监控报警员清楚但不接读音。
主记法：IDS = yi ding shuo（一盯说）。
记忆故事：值班员一盯到可疑，就说出来报警。
回到考题检查：读题时如果动作是 detect（检测）和 alert（报警），归 IDS；如果动作是 block（阻断），才考虑 IPS。
IPS
小白学习卡
先懂一句话：IPS = Intrusion Prevention System，入侵防御系统。
为什么有它：只报警还不够，有些系统要在攻击路上尝试拦住。
现实画面：守卫站在入口，判断可疑就关闸。
考试信号：如果题目描述系统在流量经过时直接阻断、丢弃或防止攻击继续，它问的是 IPS。IPS 通常站在路上拦，而不是只在旁边看。
容易混淆：IPS 在路上拦；IDS 在旁边看和报。
记忆锚点：把 IPS 想成入口守卫。它判断可疑后，不只是喊人，而是关闸拦住。
正式定义：IPS = Intrusion Prevention System，入侵防御系统。
记忆法审稿
候选池：一判守；一拍死；一屏守；闸门守卫。
一个个筛：一判守能接判断后守住入口；一拍死过猛；一屏守一般；闸门守卫清楚但不接读音。
主记法：IPS = yi pan shou（一判守）。
记忆故事：流量经过入口，IPS 一判断像攻击，就守住入口尝试阻断。
回到考题检查：读题时如果动作是 prevent、block、drop，归 IPS；如果只是报警，归 IDS。
SIEM
小白学习卡
先懂一句话：SIEM = Security Information and Event Management，安全信息与事件管理。
为什么有它：日志分散在防火墙、服务器、数据库、应用里，单独看不容易发现攻击线索。
现实画面：四块监控屏合成一面大屏，集中看日志并关联分析。
考试信号：如果题目描述把很多系统的日志集中起来，并通过关联分析发现安全事件，它问的是 SIEM。
容易混淆：SIEM 偏收集和关联分析；SOAR 偏按剧本自动响应。
记忆锚点：把 SIEM 想成多块监控屏合成一面大屏。它不是只看一个日志，而是把很多日志放在一起看关系。
正式定义：SIEM = Security Information and Event Management。
记忆法审稿
候选池：四眼幕；视眼幕；四眼猫；日志大屏。
一个个筛：四眼幕能接多屏集中；视眼幕不自然；四眼猫跑偏；日志大屏清楚但不接读音。
主记法：SIEM = si yan mu（四眼幕）。
记忆故事：多处日志集中到一面大屏，像四只眼睛一起看，再把事件关联起来。
回到考题检查：读题时如果重点是日志集中、事件关联、告警分析，归 SIEM；如果重点是按剧本自动处置，归 SOAR。
SOAR
小白学习卡
先懂一句话：SOAR = Security Orchestration, Automation, and Response，安全编排、自动化与响应。
为什么有它：告警来了，不能每次都靠人手动点很多系统。SOAR 把处置动作串成剧本自动跑。
现实画面：安全剧本一打开，系统自动查账号、隔离主机、通知值班员、开工单。
考试信号：如果题目描述告警触发后，系统按剧本自动串起隔离、通知、开工单等处置动作，它问的是 SOAR。
容易混淆：SIEM 像看大屏找线索；SOAR 像按剧本执行处置。
记忆锚点：把 SOAR 想成安全处置剧本按钮。按下后，不同工具被编排起来，自动完成一串响应动作。
正式定义：SOAR = Security Orchestration, Automation, and Response。
记忆法审稿
候选池：搜案然；搜而；搜安然；剧本按钮。
一个个筛：搜案然能接安全案件和安然恢复；搜而太短；搜安然含义好但音多；剧本按钮清楚但不接读音。
主记法：SOAR = sou an ran（搜案然）。
记忆故事：SIEM 报警后，SOAR 搜到安全案件，打开剧本，自动查账号、隔离主机、通知人员、开工单。
回到考题检查：读题时如果重点是 playbook（剧本）、automation（自动化）、orchestration（编排），归 SOAR；如果只是收集和关联日志，归 SIEM。
IaaS
小白学习卡
先懂一句话：IaaS = Infrastructure as a Service，基础设施即服务。
为什么有它：云厂商给你虚拟机、存储、网络这些底层资源，但很多东西还要你自己管。
现实画面：你租了空厨房，房东给灶台水电，菜谱、食材、厨师和怎么炒还是你负责。
考试信号：如果题目说云厂商提供虚拟机、存储、网络等基础资源，但客户还要管理操作系统、应用和数据，它问的是 IaaS。
容易混淆：IaaS 客户管得最多；SaaS 客户管得最少。
记忆锚点：把 IaaS 想成租空厨房。厨房有了，但怎么做菜、放什么食材、谁来做，还是一堆事要你管。
正式定义：IaaS = Infrastructure as a Service，基础设施即服务。
记忆法审稿
候选池：一堆事；挨啊事；基础设施出租；爱啊事。
一个个筛：一堆事能接客户还要管很多；挨啊事不自然；基础设施出租清楚但无故事；爱啊事无关。
主记法：IaaS = 一堆事。
记忆故事：租了厨房后，底层有了，但系统、应用、数据还一堆事要自己管。
回到考题检查：读题时看客户还要管多少。还要管操作系统和应用，通常是 IaaS；不用管这些而只部署代码，可能是 PaaS。
PaaS
小白学习卡
先懂一句话：PaaS = Platform as a Service，平台即服务。
为什么有它：开发者不想管服务器和运行环境，只想把应用放上去跑。
现实画面：厨房已经装好灶具和操作台，你带菜谱和食材来做菜。
考试信号：如果题目说开发者只需要部署代码，运行环境和平台由云厂商准备，它问的是 PaaS。
容易混淆：PaaS 是平台；SaaS 是直接用现成软件。
记忆锚点：把 PaaS 想成租已经装好灶台的厨房。你不用管底层设施，主要管自己的菜谱和菜。
正式定义：PaaS = Platform as a Service，平台即服务。
记忆法审稿
候选池：怕底层事；平台事；怕啊事；爬啊事。
一个个筛：怕底层事贴含义；平台事清楚但画面弱；怕啊事不够具体；爬啊事无关。
主记法：PaaS = 怕底层事。
记忆故事：你怕修灶台、接煤气、装抽油烟机，就租已经搭好的厨房平台，专心做自己的菜。
回到考题检查：读题时如果客户不管服务器和操作系统，只管应用代码和数据，归 PaaS；如果只是直接使用现成软件，归 SaaS。
SaaS
小白学习卡
先懂一句话：SaaS = Software as a Service，软件即服务。
为什么有它：用户不想搭平台、不想装软件，只想直接用供应商提供的软件。
现实画面：饭店把菜直接端上桌，你不用租厨房，也不用自己炒菜。
考试信号：如果题目说客户直接使用供应商提供的软件，例如网页邮箱、在线 CRM、在线办公，它问的是 SaaS。
容易混淆：SaaS 最省底层事，但账号权限、数据保护仍然要管。
记忆锚点：把 SaaS 想成饭店直接把菜端上桌。你不用租厨房，也不用搭平台，直接用成品软件。
正式定义：SaaS = Software as a Service，软件即服务。
记忆法审稿
候选池：省事；撒手用；撒啊事；三阿事。
一个个筛：省事最自然；撒手用画面好但不接读音；撒啊事不如省事；三阿事无意义。
主记法：SaaS = 省事。
记忆故事：饭店直接把菜端上来，你只管吃；SaaS 直接把软件给你用，你少管底层。
回到考题检查：读题时如果客户主要是在用现成应用，而不是部署自己的代码或管理虚拟机，归 SaaS。
本版自检
这版开始按新规则改：每个知识点不只找缩写谐音，还先抽“题目真正要记的判断关键词”，再给关键词做谐音画面。比如 BIA 不只记“比呀”，而是记“业停、损大、先救”，再变成“夜停，孙大先救”。
还需要继续打磨的点：这只是第一版全局骨架。RADIUS、PKI、HTTPS 这类结构型知识点不能硬凑怪词，要继续找“关键词谐音 + 结构画面”的平衡；SIEM、SOAR、OCSP 还要继续二筛，让谐音更自然。