CISSP認證考試指南(第7版) ( 簡體 字) |
| 作者：[美] Shon Harris，Fernando Maymi著 | 類別：1. -> 網路與通信 -> 電腦網路 |
| 譯者：唐俊飛 陳峻 譯 |
| 出版社：清華大學出版社 |  3dWoo書號： 49728
詢問書籍請說出此書號！【缺書】
【不接受訂購】 |
| 出版日：1/1/2018 |
| 頁數：950 |
| 光碟數：0 |
|
站長推薦：  |
| 印刷：黑白印刷 | 語系： ( 簡體 版 ) |
| |
【不接受訂購】 |
| ISBN：9787302491491 |
| 作者序 | 譯者序 | 前言 | 內容簡介 | 目錄 | 序 |
| (簡體書上所述之下載連結耗時費功, 恕不適用在台灣, 若讀者需要請自行嘗試, 恕不保證) |
| 作者序： |
| 譯者序： |
前言：隨著世界不斷改變，人們對增強安全、改進技術的需求愈加迫切。每個組織、政府機構、企業和軍事單位都開始關注安全問題。幾乎所有公司和組織機構都在積極尋求才華橫溢、經驗豐富的安全專業人員，因為只有這些專家才能保護公司賴以生存和保持競爭力的寶貴資源。而CISSP認證能證明你已經成為一名擁有一定知識和經驗的安全專業人員。當然，這些知識和經驗是認證體系預先規定的，并得到了整個安全行業的理解和認可。通過持續地持有證書，就表明你保持與安全行業同步發展。
下面列出一些獲取CISSP認證資格的理由：
● 充實現有的關于安全概念和實際應用的知識。
● 展示了你是一位擁有專業知識并且經驗豐富的安全專家。
● 讓自己在這個競爭激烈的勞動力市場中占據優勢。
● 增加收入，并能得到更多工作機會。
● 為你現在的工作帶來更好的安全專業知識。
● 表明對安全規則的貢獻。
CISSP認證能幫助公司確認某人是否具有相應的技術能力、知識和經驗，從而能從事具體的安全工作，執行風險分析，謀劃必要的對策，并可幫助整個組織機構保護其設施、網絡、系統和信息。CISSP認證還能擔保通過認證的人員具備安全行業所需的熟練程度、專業技能和知識水平。安全對于成功企業的重要性在未來只可能不斷增加，從而導致對技術熟練的安全專業人員的更大需求。CISSP認證表明，可由被公眾認可的第三方機構負責確定個人在技術和理論方面的安全專業知識，并將其與缺乏這種專業知識的普通人員區分開來。
對于優秀的網絡管理員、編程人員或工程師來說，理解和實現安全應用是一項至關重要的內容。在大量并非針對安全專業人員的職位描述中，往往仍要求應聘人員正確理解安全概念及其實現方式。雖然許多組織機構由于職位和預算的限制而無法聘請單獨的網絡和安全人員，但都相信安全對于組織機構自身來說至關重要。因此，這些組織機構總是嘗試將安全知識和其他技術知識合并在一個角色內。在這個問題上，如果具有CISSP資格，那么你就會比其他應聘人員更有優勢。
CISSP考試
因為CISSP考試涵蓋了構成公共知識體系的8個領域，所以常被描述為“寸之深、畝之闊”。這意味著，考試中出現的問題實質上不一定非常詳細，并不要求你在所有主題上都是專家。但是，這些問題卻要求你熟悉許多不同的安全主題。
CISSP考試由250道選擇題構成，并要求在6小時內完成。創新型問題包括拖曳(例如：取一個選項或項目，并將其拖到框中的正確位置)或熱點(例如：點擊能正確回答問題的項目或選項)界面，但權重和得分與其他任何問題一樣。這些題目均來自一個龐大的試題庫，從而能盡量做到考題因人而異。此外，為更準確地反映最新的安全趨勢，試題庫會不斷變化和更新，考題則根據需要在庫中經常循環和替換。考試中計入成績的只有225道題，其余25道題僅供出題人員研究之用。但這25道題與計分的題目毫無區別，因此應試人員并不知道哪些題目是計入總分的。通過CISSP考試的最低分數是700分(總分是1000分)，每道題都會根據難度設定權重，而且并非每道題的分值都是一樣的。此項考試不面向特定的產品或供應商，這意味著沒有任何問題會針對特定的產品或供應商(例如Windows、UNIX或Cisco)，而是涉及測試這些系統所用的安全模型和方法。
考試提示：猜測不倒扣分。如果不能在合理時間內找出正確答案，那么你可以猜一個并繼續下一個問題。
(ISC)2 (International Information Systems Security Certification Consortium，國際信息系統安全認證協會)還在CISSP考試中增加了基于場景的問題。每個問題都向應試者展示一個簡短的場景，而不是要求他們區分術語和/或概念。增加基于場景的問題，其目的是確保應試人員不僅知道和理解CBK中的概念，而且能將這些知識應用到現實生活場景中。這種做法更為實用，其原因在于現實生活中不可能有人詢問你：“共謀(collusion)的定義是什么？”此時，除了需要知道“共謀”的定義外，還需要知道如何檢測并阻止共謀的發生。
通過考試后，你會被要求提供由擔保人認可的證明文件，以證明你確實具有相關類型的工作經驗。擔保人必須簽署一份文件，從而為你提交的安全工作經驗提供擔保。因此，在注冊并支付考試費用之前，一定要與擔保人取得聯系。你肯定不愿意看到這樣的局面：在支付費用并通過考試后，卻發現無法找到擔保人幫助你完成獲得認證所需的最后步驟。
之所以要求提供擔保，是為了確保獲得認證的應試人員擁有為公司服務的實際工作經驗。雖然書本知識對于理解理論、概念、標準和規章極其重要，但絕對不能替代親身經歷。因此，請你一定要證明擁有支持認證實用性的實踐經驗。
(ISC)2將從通過考試的考生中隨機挑選少數應試人員進行審查。在審查過程中，(ISC)2工作人員將向考生選定的擔保人和聯系人核實應試人員相關工作經驗的真實性。
這項考試的挑戰性在于：雖然大多數認證考生都從事安全領域內的工作，但不一定通曉CBK包含的全部8個領域。雖然某人被視為脆弱性測試或應用程序安全方面的專家，但她可能不擅長于物理安全、密碼學或取證。因此，為這項考試而學習將極大地拓寬你在安全領域的知識。
考題涉及構成CBK的8個安全領域，如下表所示。
安全領域 描述
安全和風險管理 這個領域涵蓋了信息系統安全的基本概念。該領域的部分主題包括：● 可用性、完整性和機密性的原則 ● 安全治理和合規 ● 法律和法規問題● 職業道德● 個人安全策略● 風險管理● 威脅模型
(續表)
安全領域 描述
資產安全 這個領域解釋了在整個信息資產生命周期中如何對信息資產進行保護。該領域的部分主題包括：● 信息分類● 保持的所有權 ● 隱私● 保留● 數據安全控制● 需求處理
安全工程 這個領域解釋了在面對無數威脅的情況下如何保護信息系統發展的安全。該領域的部分主題包括：● 安全設計原則● 選擇有效的措施● 緩解脆弱性● 密碼學● 站點和設施的安全設計● 物理安全
通信與網絡安全 這個領域解釋如何理解保護網絡架構、通信技術和網絡協議的安全目標。該領域的部分主題包括：安全的網絡架構● 網絡組件● 安全的通信信道● 網絡層攻擊
身份與訪問管理 身份與訪問管理是信息安全中最重要的主題之一。這個領域涵蓋了用戶和系統之間、系統和其他系統之間的相互關系。該領域的部分主題包括：● 控制物理和邏輯訪問● 身份標識與認證● 身份即服務● 第三方身份服務● 授權方法● 訪問控制攻擊
安全評估與測試 這個領域解釋了驗證我們的信息系統安全的方法。該領域的部分主題包括：● 評估和測試策略● 測試安全控制● 收集安全過程數據● 分析和報告結果● 開展和促進審計
(續表)
安全領域 描述
安全運營 這個領域涵蓋了在我們日常業務中許多維護網絡安全的活動。該領域的部分主題包括：● 支持調查● 日志和監控● 安全資源配置● 事故管理● 預防措施● 變更管理● 業務連續性● 物理安全管理
軟件開發安全 這個領域解釋了應用安全原則去獲取和開發軟件系統。該領域的部分主題包括：● 軟件開發生命周期中的安全● 開發活動中的安全控制● 評估軟件安全● 評估外部獲取軟件的安全性
為緊跟安全領域的新技術和新方法，(ISC)2每年都要在試題庫中加入大量新試題。這些試題都基于最新的技術、運用、方法和標準。例如，1998年的CISSP認證考試沒有出現關于無線安全、跨站點腳本攻擊或IPv6的問題。
本書概要
如果你想成為一名經過(ISC)2認證的CISSP，那么在本書里能找到需要了解的所有內容。本書講述企業如何制定和實現策略、措施、指導原則和標準及其原因；介紹網絡、應用程序和系統的脆弱性，脆弱性的被利用情況以及如何應對這些威脅；解釋物理安全、操作安全以及不同系統會采用不同安全機制的原因。此外，本書還回顧美國與國際上用于測試系統安全性的安全準則和評估體系，詮釋這些準則的含義及其使用原因。最后，本書還將闡明與計算機系統及其數據相關的各種法律責任問題，例如計算機犯罪、法庭證物以及如何為出庭準備計算機證據。
盡管本書主要是為CISSP考試撰寫的學習指南，但在你通過認證后，它仍不失為一本不可替代的重要參考用書。
CISSP應試小貼士
許多人考試時會感覺題目比較繞彎。所以一定要仔細閱讀問題和所有備選答案，而不是看了幾個單詞就斷定自己已知道問題的答案。某些答案選項的差別不明顯，這就需要你花一些時間耐心地將問題再閱讀領會幾遍。
有人抱怨CISSP考試略帶主觀色彩。例如，有這樣兩個問題。第一個是技術問題，考查的是防止中間人攻擊的TLS(Transport Layer Security，傳輸層安全)所采用的具體機制；第二個問題則詢問周長為8英尺的柵欄提供的是低級、中級還是高級的安全防護。你會發現，前一個問題比后一個問題更容易回答。許多問題要求應試人員選擇最佳方法，而一些人會認為很難說哪一個是最佳方法，因為這都帶有主觀色彩。此處給出這樣的示例并非是批評(ISC)2和出題人員，而是為了幫助你更好地準備這項考試。本書涵蓋了所有的考試范圍和需要掌握的內容，同時提供了大量問題和自測試卷。大部分問題的格式都采用了實際試題的形式，使你能更好地準備應對真實的考試。因此，你一定要閱讀本書的全部內容，同時特別注意問題及其格式。有時，即使對某個主題十分了解，你也可能答錯題。因此，我們需要學會如何應試。
在回答某些問題時，要記住，一些事物比其他東西更有價值。例如，保護人身安全和福利幾乎總是高于所有其他方面。與此類似，如果所有其他因素都比較便宜，第二個會贏得大部分時間。專家意見(例如：從律師那里獲得的)比那些擁有較少認證的人的意見更有價值。如果一個問題的可選項之一是尋求或獲得專家意見，請密切關注這個問題。正確的答案可能是尋求那位專家的意見。
盡量讓自己熟悉行業標準，并了解自己工作之外的技術知識和方法。再次強調一下，即使你在某個領域是專家，仍然可能不熟悉考試所涉及的全部領域。
當你在Pearson VUE考試中心參加CISSP考試時，其他認證考試可能會在同一個房間同時進行。如果你看到別人很早離開房間，不要感到匆忙；他們可能是因為參加一個較短的考試。
如何使用本書
本書的作者盡了很大努力才將所有重要信息匯編成書；現在，輪到你盡力從本書中汲取知識了。要從本書受益最大，可采用以下學習方法：
● 認真學習每個章節，真正理解其中介紹的每個概念。許多概念都必須完全理解，如果對一些概念似懂非懂，那么對你來說將是非常不利的。CISSP CBK包含數以千計的不同主題，因此需要花時間掌握這些內容。
● 確認學習和解答所有問題。如果不能正確解答其中的問題，那么需要再次閱讀相關的章節。需要記住，真實考試中的某些問題含糊其辭，看上去比較難回答，不要誤以為這些問題表述不清楚而忽視了這些含糊其辭的問題。相反，它們的存在具有明確的目的性，對此要特別注意。
● 如果你對某些具體的主題(如防火墻、法律、物理安全或協議功能)不熟悉，那么需要通過其他信息源(書籍和文章等)以達到對這些主題更深入的理解程度，而不是局限于自認為通過CISSP考試所需的范圍。
● 閱讀本書后，你需要學習所有問題和答案，并進行自測。接著，查看(ISC)2的學習指南，確信對列出的每條內容都十分了解。如果對某些內容還感到困惑，那么請重新復習相關的章節。
● 如果參加過其他資格認證考試(如Cisco、Novell和Microsoft的認證考試)，那么你可能習慣于記憶一些細節和配置參數。但請記住，CISSP考試強調“寸之深、畝之闊”，因此在記憶具體細節之前一定要先掌握每個主題中的各種概念。
● 記住該考試是需要找出最佳答案，所以，對于有些問題應試人員可能會對全部或部分答案持不同意見。記住要在所給的4個答案中找出最合理的那一個。
配套練習題
本書配套網站提供1400道練習題，其中既有熱點問題，也有“拖放”問題。讀者可輸入本書中文書名或ISBN下載，也可直接掃描本書封底的二維碼下載。 |
內容簡介：如果你想成為一名經過(ISC)2 認證的CISSP，那么在《CISSP認證考試指南(第7版)》里能找到需要了解的所有內容。《CISSP認證考試指南(第7版)》講述企業如何制定和實現策略、措施、指導原則和標準及其原因；介紹網絡、應用程序和系統的脆弱性，脆弱性的被利用情況以及如何應對這些威脅；解釋物理安全、操作安全以及不同系統會采用不同安全機制的原因。此外，還回顧美國與國際上用于測試系統安全性的安全準則和評估體系，詮釋這些準則的含義及其使用原因。最后，《CISSP認證考試指南(第7版)》還將闡明與計算機系統及其數據相關的各種法律責任問題，例如計算機犯罪、法庭證物以及如何為出庭準備計算機證據。
盡管《CISSP認證考試指南(第7版)》主要是為CISSP 考試撰寫的學習指南，但在你通過認證后，它仍不失為一本不可替代的重要參考用書。 |
目錄：第1章安全和風險管理1
1.1安全基本原則2
1.1.1可用性3
1.1.2完整性3
1.1.3機密性3
1.1.4平衡安全4
1.2安全定義5
1.3控制類型6
1.4安全框架10
1.4.1ISO/IEC27000系列12
1.4.2企業安全架構開發14
1.4.3安全控制開發23
1.4.4流程管理開發26
1.4.5功能與安全性32
1.5計算機犯罪法的難題32
1.6網絡犯罪的復雜性34
1.6.1電子資產35
1.6.2攻擊的演變36
1.6.3國際問題38
1.6.4法律的類型41
1.7知識產權法44
1.7.1商業秘密44
1.7.2版權45
1.7.3商標45
1.7.4專利46
1.7.5知識產權的內部保護47
1.7.6軟件盜版48
1.8隱私50
1.8.1對隱私法不斷增長的需求51
1.8.2法律、指令和法規52
1.8.3員工隱私問題58
1.9數據泄露59
1.9.1美國的數據泄露相關法律60
1.9.2其他國家有關數據泄露的法律61
1.10策略、標準、基線、指南和
過程61
1.10.1安全策略62
1.10.2標準64
1.10.3基線65
1.10.4指南66
1.10.5措施66
1.10.6實施66
1.11風險管理67
1.11.1全面的風險管理68
1.11.2信息系統風險管理策略68
1.11.3風險管理團隊69
1.11.4風險管理過程69
1.12威脅建模70
1.12.1脆弱性70
1.12.2威脅71
1.12.3攻擊71
1.12.4消減分析72
1.13風險評估和分析73
1.13.1風險分析團隊74
1.13.2信息和資產的價值74
1.13.3構成價值的成本75
1.13.4識別脆弱性和威脅75
1.13.5風險評估方法76
1.13.6風險分析方法80
1.13.7定性風險分析83
1.13.8保護機制86
1.13.9綜合考慮88
1.13.10總風險與剩余風險88
1.13.11處理風險89
1.13.12外包90
1.14風險管理框架91
1.14.1信息分類92
1.14.2安全控制的選擇92
1.14.3安全控制的實現93
1.14.4安全控制的評估93
1.14.5信息系統的授權93
1.14.6安全控制的監管93
1.15業務連續性與災難恢復94
1.15.1標準和最佳實踐96
1.15.2使BCM成為企業安全計劃的
一部分98
1.15.3BCP項目的組成100
1.16人員安全111
1.16.1招聘實踐112
1.16.2解雇113
1.16.3安全意識培訓114
1.16.4學位或證書115
1.17安全治理115
1.18道德120
1.18.1計算機道德協會120
1.18.2互聯網架構研究委員會121
1.18.3企業道德計劃122
1.19小結122
1.20快速提示123
1.21問題126
1.22答案133
第2章資產安全137
2.1信息生命周期137
2.1.1獲取138
2.1.2使用138
2.1.3存檔139
2.1.4處置139
2.2信息分類140
2.2.1分類等級141
2.2.2分類控制143
2.3責任分層144
2.3.1行政管理層144
2.3.2數據所有者147
2.3.3數據看管員147
2.3.4系統所有者148
2.3.5安全管理員148
2.3.6主管148
2.3.7變更控制分析員148
2.3.8數據分析員149
2.3.9用戶149
2.3.10審計員149
2.3.11為何需要這么多角色149
2.4保留策略149
2.5保護隱私152
2.5.1數據所有者153
2.5.2數據處理者153
2.5.3數據殘留153
2.5.4收集的限制156
2.6保護資產156
2.6.1數據安全控制157
2.6.2介質控制159
2.7數據泄露163
2.8保護其他資產170
2.8.1保護移動設備170
2.8.2紙質記錄171
2.8.3保險箱171
2.9小結172
2.10快速提示172
2.11問題173
2.12答案176
第3章安全工程179
3.1系統架構180
3.2計算機架構183
3.2.1中央處理單元183
3.2.2多重處理186
3.2.3存儲器類型187
3.3操作系統197
3.3.1進程管理197
3.3.2存儲器管理204
3.3.3輸入/輸出設備管理207
3.3.4CPU架構集成209
3.3.5操作系統架構212
3.3.6虛擬機217
3.4系統安全架構219
3.4.1安全策略219
3.4.2安全架構要求220
3.5安全模型224
3.5.1Bell-LaPadula模型224
3.5.2Biba模型225
3.5.3Clark-Wilson模型225
3.5.4無干擾模型226
3.5.5BrewerandNash模型227
3.5.6Graham-Denning模型227
3.5.7Harrison-Ruzzo-Ullman模型227
3.6系統評估方法228
3.6.1通用準則229
3.6.2對產品進行評估的原因232
3.7認證與認可232
3.7.1認證232
3.7.2認可233
3.8開放系統與封閉系統234
3.8.1開放系統234
3.8.2封閉系統234
3.9分布式系統安全234
3.9.1云計算235
3.9.2并行計算235
3.9.3數據庫236
3.9.4Web應用238
3.9.5移動設備239
3.9.6網絡物理系統240
3.10一些對安全模型和架構的威脅242
3.10.1維護陷阱243
3.10.2檢驗時間/使用時間攻擊243
3.11密碼學背景244
3.12密碼學定義與概念249
3.12.1Kerckhoffs原則251
3.12.2密碼系統的強度251
3.12.3密碼系統的服務252
3.12.4一次性密碼本252
3.12.5滾動密碼與隱藏密碼254
3.12.6隱寫術255
3.13密碼的類型257
3.13.1替代密碼257
3.13.2換位密碼257
3.14加密的方法259
3.14.1對稱算法與非對稱算法259
3.14.2分組密碼與流密碼263
3.14.3混合加密方法267
3.15對稱系統的類型272
3.15.1數據加密標準272
3.15.2三重DES278
3.15.3高級加密標準278
3.15.4國際數據加密算法279
3.15.5Blowfish279
3.15.6RC4279
3.15.7RC5279
3.15.8RC6280
3.16非對稱系統的類型280
3.16.1Diffie-Hellman算法280
3.16.2RSA282
3.16.3ElGamal284
3.16.4橢圓曲線密碼系統284
3.16.5背包算法285
3.16.6零知識證明285
3.17消息完整性286
3.17.1單向散列286
3.17.2各種散列算法290
3.17.3MD4291
3.17.4MD5291
3.17.5SHA291
3.17.6針對單向散列函數的攻擊291
3.17.7數字簽名292
3.17.8數字簽名標準294
3.18公鑰基礎設施294
3.18.1認證授權機構295
3.18.2證書297
3.18.3注冊授權機構297
3.18.4PKI步驟297
3.19密鑰管理299
3.19.1密鑰管理原則300
3.19.2密鑰和密鑰管理的規則301
3.20可信平臺模塊301
3.21針對密碼學的攻擊303
3.21.1唯密文攻擊303
3.21.2已知明文攻擊303
3.21.3選定明文攻擊303
3.21.4選定密文攻擊304
3.21.5差分密碼分析304
3.21.6線性密碼分析304
3.21.7旁路攻擊305
3.21.8重放攻擊305
3.21.9代數攻擊305
3.21.10分析式攻擊306
3.21.11統計式攻擊306
3.21.12社會工程攻擊306
3.21.13中間相遇攻擊306
3.22站點和設施安全306
3.23站點規劃過程307
3.23.1通過環境設計來預防犯罪310
3.23.2制訂物理安全計劃314
3.24保護資產324
3.24.1保護移動設備324
3.24.2使用保險柜325
3.25內部支持系統325
3.25.1電力325
3.25.2環境問題329
3.25.3火災的預防、檢測和撲滅331
3.26小結335
3.27快速提示336
3.28問題340
3.29答案346
第4章通信與網絡安全351
4.1通信352
4.2開放系統互連參考模型353
4.2.1協議354
4.2.2應用層356
4.2.3表示層356
4.2.4會話層357
4.2.5傳輸層359
4.2.6網絡層360
4.2.7數據鏈路層360
4.2.8物理層362
4.2.9OSI模型中的功能和協議362
4.2.10綜合這些層364
4.2.11多層協議365
4.3TCP/IP模型366
4.3.1TCP367
4.3.2IP尋址371
4.3.3IPv6373
4.3.4第2層安全標準376
4.3.5匯聚協議377
4.4傳輸類型378
4.4.1模擬和數字378
4.4.2異步和同步379
4.4.3寬帶和基帶381
4.5線纜382
4.5.1同軸電纜382
4.5.2雙絞線382
4.5.3光纜383
4.5.4布線問題384
4.6網絡互聯基礎386
4.6.1網絡拓撲386
4.6.2介質訪問技術388
4.6.3傳輸方法397
4.6.4網絡協議和服務398
4.6.5域名服務405
4.6.6電子郵件服務410
4.6.7網絡地址轉換414
4.6.8路由協議416
4.7網絡互聯設備419
4.7.1中繼器420
4.7.2網橋420
4.7.3路由器422
4.7.4交換機423
4.7.5網關427
4.7.6PBX428
4.7.7防火墻431
4.7.8代理服務器448
4.7.9蜜罐450
4.7.10統一威脅管理450
4.7.11內容分發網絡451
4.7.12軟件定義網絡452
4.8內聯網與外聯網454
4.9城域網455
4.10廣域網457
4.10.1通信的發展458
4.10.2專用鏈路459
4.10.3WAN技術462
4.11遠程連接478
4.11.1撥號連接478
4.11.2ISDN479
4.11.3DSL480
4.11.4線纜調制解調器481
4.11.5VPN482
4.11.6身份驗證協議488
4.12無線網絡489
4.12.1無線通信技術490
4.12.2WLAN組件492
4.12.3WLAN安全的演化494
4.12.4無線標準498
4.12.5保護WLAN的最佳實踐502
4.12.6衛星503
4.12.7移動無線通信504
4.13網絡加密508
4.13.1鏈路加密與端對端加密508
4.13.2電子郵件加密標準510
4.13.3互聯網安全512
4.14網絡攻擊516
4.14.1拒絕服務516
4.14.2嗅探518
4.14.3DNS劫持519
4.14.4偷渡下載519
4.15小結520
4.16快速提示520
4.17問題523
4.18答案530
第5章身份與訪問管理535
5.1訪問控制概述535
5.2安全原則536
5.2.1可用性536
5.2.2完整性537
5.2.3機密性537
5.3身份標識、身份驗證、授權與
可問責性538
5.3.1身份標識與身份驗證539
5.3.2身份驗證548
5.3.3授權564
5.3.4聯合574
5.3.5身份即服務581
5.3.6集成身份識別服務581
5.4訪問控制模型582
5.4.1自主訪問控制582
5.4.2強制訪問控制583
5.4.3角色訪問控制585
5.4.4規則型訪問控制587
5.5訪問控制方法和技術588
5.5.1限制性用戶接口588
5.5.2訪問控制矩陣589
5.5.3內容相關訪問控制590
5.5.4上下文相關訪問控制591
5.6訪問控制管理591
5.6.1集中式訪問控制管理592
5.6.2分散式訪問控制管理597
5.7訪問控制方法597
5.7.1訪問控制層598
5.7.2行政管理性控制598
5.7.3物理性控制599
5.7.4技術性控制600
5.8可問責性603
5.8.1審計信息的檢查604
5.8.2保護審計數據和日志信息605
5.8.3擊鍵監控605
5.9訪問控制實踐606
5.10訪問控制監控608
5.10.1入侵檢測608
5.10.2入侵防御系統616
5.11對訪問控制的幾種威脅618
5.11.1字典攻擊618
5.11.2蠻力攻擊619
5.11.3登錄欺騙619
5.11.4網絡釣魚619
5.12小結622
5.13快速提示622
5.14問題625
5.15答案632
第6章安全評估與測試635
6.1審計策略636
6.1.1內部審計637
6.1.2第三方審計638
6.2審計技術控制640
6.2.1脆弱性測試640
6.2.2滲透測試642
6.2.3戰爭撥號攻擊646
6.2.4其他脆弱性類型646
6.2.5事后檢查648
6.2.6日志審查649
6.2.7綜合事務651
6.2.8誤用案例測試652
6.2.9代碼審查653
6.2.10接口測試655
6.3審計管理控制655
6.3.1賬戶管理655
6.3.2備份驗證657
6.3.3災難恢復和業務連續性659
6.3.4安全培訓和安全意識培訓664
6.3.5關鍵績效和風險指標667
6.4報告669
6.4.1技術報告669
6.4.2執行摘要669
6.5管理評審670
6.5.1管理評審前671
6.5.2審查輸入671
6.5.3管理層的行動672
6.6小結672
6.7快速提示673
6.8問題674
6.9答案678
第7章安全運營681
7.1運營部門的角色682
7.2行政管理682
7.2.1安全和網絡人員684
7.2.2可問責性685
7.2.3閾值級別686
7.3保證級別686
7.4運營責任687
7.4.1不尋常或無法解釋的事件687
7.4.2偏離標準687
7.4.3不定期的初始程序加載
(也稱為重啟)688
7.5配置管理688
7.5.1可信恢復688
7.5.2輸入與輸出控制690
7.5.3系統強化691
7.5.4遠程訪問安全692
7.6物理安全693
7.6.1設施訪問控制694
7.6.2人員訪問控制699
7.6.3外部邊界保護機制700
7.6.4入侵檢測系統707
7.6.5巡邏警衛和保安709
7.6.6安全狗710
7.6.7對物理訪問進行審計710
7.7安全資源配置710
7.7.1資產清單711
7.7.2配置管理712
7.7.3配置云資產714
7.8網絡和資源可用性715
7.8.1平均故障間隔時間(MTBF)716
7.8.2平均修復時間(MTTR)716
7.8.3單點失敗717
7.8.4備份723
7.8.5應急計劃725
7.9預防措施725
7.9.1防火墻726
7.9.2入侵檢測與預防系統727
7.9.3反惡意軟件728
7.9.4補丁管理728
7.9.5蜜罐技術730
7.10事故管理流程731
7.10.1檢測735
7.10.2響應735
7.10.3緩解735
7.10.4報告736
7.10.5恢復736
7.10.6修復737
7.11災難恢復738
7.11.1業務流程恢復740
7.11.2設施恢復741
7.11.3供給和技術恢復746
7.11.4選擇軟件備份設施749
7.11.5終端用戶環境751
7.11.6數據備份選擇方案752
7.11.7電子備份解決方案755
7.11.8高可用性757
7.12保險759
7.13恢復與還原760
7.13.1為計劃制定目標763
7.13.2實現戰略764
7.14調查766
7.14.1計算機取證和適當的證據收集767
7.14.2動機、機會和方式768
7.14.3計算機犯罪行為768
7.14.4事故調查員769
7.14.5取證調查過程770
7.14.6法庭上可接受的證據774
7.14.7監視、搜索和查封776
7.14.8訪談和審訊777
7.15義務及其后果777
7.15.1職責場景779
7.15.2第三方風險780
7.15.3合同協議781
7.15.4采購和供應商流程781
7.16合規性782
7.17個人安全問題784
7.18小結785
7.19快速提示785
7.20問題787
7.21答案791
第8章軟件開發安全795
8.1創建好的代碼795
8.2何處需要安全796
8.2.1不同的環境需要不同的安全797
8.2.2環境與應用程序798
8.2.3功能與安全798
8.2.4實現和默認配置問題799
8.3軟件開發生命周期800
8.3.1項目管理800
8.3.2需求收集階段801
8.3.3設計階段802
8.3.4開發階段804
8.3.5測試/驗證階段806
8.3.6發布/維護階段808
8.4安全軟件開發最佳實踐809
8.5軟件開發模型810
8.5.1邊做邊改模型810
8.5.2瀑布模型811
8.5.3V形模型(V模型)811
8.5.4原型模型812
8.5.5增量模型812
8.5.6螺旋模型813
8.5.7快速應用開發814
8.5.8敏捷模型815
8.5.9其他模型818
8.6集成產品開發團隊818
8.7能力成熟度模型819
8.8變更控制821
8.8.1軟件配置管理822
8.8.2代碼庫的安全性823
8.9編程語言和概念823
8.9.1匯編程序、編譯器和解釋器825
8.9.2面向對象概念826
8.10分布式計算834
8.10.1分布式計算環境835
8.10.2CORBA與ORB836
8.10.3COM與DCOM837
8.10.4Java平臺，企業版本839
8.10.5面向服務的架構839
8.11移動代碼842
8.11.1Javaapplet842
8.11.2ActiveX控件844
8.12Web安全845
8.12.1針對Web環境的特定威脅845
8.12.2Web應用安全原則851
8.13數據庫管理851
8.13.1數據庫管理軟件852
8.13.2數據庫模型853
8.13.3數據庫編程接口857
8.13.4關系數據庫組件858
8.13.5完整性860
8.13.6數據庫安全問題862
8.13.7數據倉庫與數據挖掘866
8.14惡意軟件(惡意代碼)869
8.14.1病毒870
8.14.2蠕蟲871
8.14.3rootkit872
8.14.4間諜軟件和廣告軟件873
8.14.5僵尸網絡873
8.14.6邏輯炸彈874
8.14.7特洛伊木馬875
8.14.8防病毒軟件876
8.14.9垃圾郵件檢測879
8.14.10防惡意軟件程序879
8.15評估外部獲取軟件的安全性880
8.16小結881
8.17快速提示881
8.18問題884
8.19答案889
附錄A完整的復習題893
術語表929 |
| 序： |
