Effective Cybersecurity中文版

譯者序
前言
第1章　最佳實踐、標(biāo)準(zhǔn)與行動計劃 1
11　網(wǎng)絡(luò)空間和網(wǎng)絡(luò)安全的定義 2
12　標(biāo)準(zhǔn)和最佳實踐文檔的價值 4
13　信息安全最佳實踐標(biāo)準(zhǔn) 5
14　ISO/IEC 27000信息安全標(biāo)準(zhǔn)套件 8
141　ISO 27001 10
142　ISO 27002 11
15　ISO 27000系列與ISF SGP的對應(yīng)關(guān)系 12
16　NIST網(wǎng)絡(luò)安全框架和安全文檔 14
161　NIST網(wǎng)絡(luò)安全框架 14
162　NIST安全文檔 17
17　有效網(wǎng)絡(luò)防御的CIS關(guān)鍵安全控制 18
18　信息安全的COBIT-5 19
19　支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn) 20
110　ITU-T安全文檔 21
111　有效地實現(xiàn)網(wǎng)絡(luò)安全 23
1111　網(wǎng)絡(luò)安全管理流程 24
1112　使用最佳實踐和標(biāo)準(zhǔn)文檔 25
112　關(guān)鍵術(shù)語和復(fù)習(xí)題 26
113　參考文獻 26
第一部分　網(wǎng)絡(luò)安全規(guī)劃
第2章　安全治理 30
21　安全治理和安全管理 31
22　安全治理原則和期望結(jié)果 32
221　原則 32
222　期望結(jié)果 33
23　安全治理組件 34
231　戰(zhàn)略規(guī)劃 34
232　組織結(jié)構(gòu) 36
233　角色和職責(zé) 39
234　與企業(yè)架構(gòu)集成 41
235　政策和指導(dǎo) 45
24　安全治理方法 45
241　安全治理框架 45
242　安全指導(dǎo) 46
243　責(zé)任人、問責(zé)人、咨詢?nèi)撕椭槿耍≧ACI）圖表 47
25　安全治理評估 48
26　安全治理最佳實踐 50
27　關(guān)鍵術(shù)語和復(fù)習(xí)題 50
28　參考文獻 51
第3章　信息風(fēng)險評估 53
31　風(fēng)險評估的概念 54
311　風(fēng)險評估面臨的挑戰(zhàn) 56
312　風(fēng)險管理 57
313　本章結(jié)構(gòu) 59
32　資產(chǎn)識別 60
321　硬件資產(chǎn) 60
322　軟件資產(chǎn) 60
323　信息資產(chǎn) 60
324　業(yè)務(wù)資產(chǎn) 62
325　資產(chǎn)登記 62
33　威脅識別 63
331　STRIDE威脅模型 63
332　威脅類型 63
333　信息來源 65
34　控制識別 69
35　漏洞識別 72
351　漏洞類別 73
352　美國國家漏洞數(shù)據(jù)庫和通用漏洞評分系統(tǒng) 73
36　風(fēng)險評估方法 76
361　風(fēng)險的定量評估和定性評估 76
362　簡單的風(fēng)險分析工作表 80
363　信息風(fēng)險因素分析 81
37　可能性評估 83
371　估算威脅事件頻率 84
372　脆弱性估計 84
373　損害事件頻率 86
38　影響評估 86
381　估算主要損害 87
382　估算次要損害 88
383　業(yè)務(wù)影響參考表 89
39　風(fēng)險確定 90
310　風(fēng)險測評 90
311　風(fēng)險處置 91
3111　降低風(fēng)險 92
3112　維持風(fēng)險 92
3113　避免風(fēng)險 92
3114　轉(zhuǎn)移風(fēng)險 92
312　風(fēng)險評估最佳實踐 92
313　關(guān)鍵術(shù)語和復(fù)習(xí)題 93
314　參考文獻 95
第4章　安全管理 96
41　安全管理功能 96
411　安全規(guī)劃 99
412　資本規(guī)劃 101
42　安全政策 102
421　安全政策類別 103
422　安全政策文檔內(nèi)容 104
423　安全政策管理指南 106
424　監(jiān)控政策 107
43　可接受的使用政策 107
44　安全管理最佳實踐 108
45　關(guān)鍵術(shù)語和復(fù)習(xí)題 109
46　參考文獻 110
第二部分　管理網(wǎng)絡(luò)安全功能
第5章　人員管理 112
51　人力資源安全 112
511　招聘流程中的安全性 113
512　雇傭期間 116
513　雇傭關(guān)系終止 116
52　安全意識和教育 117
521　安全意識 118
522　網(wǎng)絡(luò)安全基本程序 122
523　基于角色的培訓(xùn) 123
524　教育和認(rèn)證 123
53　人員管理最佳實踐 124
54　關(guān)鍵術(shù)語和復(fù)習(xí)題 124
55　參考文獻 125
第6章　信息管理 126
61　信息分類和處理 126
611　信息分類 127
612　信息標(biāo)注 130
613　信息處理 131
62　隱私 132
621　隱私威脅 133
622　隱私原則和政策 135
623　隱私控制 138
63　文檔和記錄管理 139
631　文檔管理 140
632　記錄管理 141
64　敏感物理信息 142
65　信息管理最佳實踐 143
66　關(guān)鍵術(shù)語和復(fù)習(xí)題 144
67　參考文獻 145
第7章　物理資產(chǎn)管理 146
71　硬件生命周期管理 146
711　規(guī)劃 148
712　采購 148
713　部署 149
714　管理 149
715　處置 149
72　辦公設(shè)備 150
721　威脅和脆弱性 150
722　安全控制 152
723　設(shè)備處置 154
73　工業(yè)控制系統(tǒng) 155
731　IT系統(tǒng)與工業(yè)控制系統(tǒng)的區(qū)別 156
732　ICS安全 157
74　移動設(shè)備安全 161
741　移動設(shè)備技術(shù) 162
742　移動生態(tài)系統(tǒng) 163
743　漏洞 164
744　移動設(shè)備安全策略 165
745　移動設(shè)備安全資源 169
75　物理資產(chǎn)管理最佳實踐 170
76　關(guān)鍵術(shù)語和復(fù)習(xí)題 171
77　參考文獻 172
第8章　系統(tǒng)開發(fā) 173
81　系統(tǒng)開發(fā)生命周期 173
811　NIST SDLC模型 173
812　SGP的SDLC模型 176
813　DevOps 177
82　將安全性納入SDLC 181
821　啟動階段 182
822　開發(fā)/采購階段 185
823　實現(xiàn)/評估階段 187
824　運行/維護階段 190
825　廢棄階段 191
83　系統(tǒng)開發(fā)管理 192
831　系統(tǒng)開發(fā)方法 193
832　系統(tǒng)開發(fā)環(huán)境 193
833　質(zhì)量保證 195
84　系統(tǒng)開發(fā)最佳實踐 195
85　關(guān)鍵術(shù)語和復(fù)習(xí)題 196
86　參考文獻 197
第9章　業(yè)務(wù)應(yīng)用程序管理 198
91　應(yīng)用程序管理的概念 198
911　應(yīng)用程序生命周期管理 199
912　應(yīng)用程序項目組合管理 200
913　應(yīng)用程序性能管理 203
92　公司業(yè)務(wù)應(yīng)用程序安全 204
921　業(yè)務(wù)應(yīng)用程序登記 204
922　業(yè)務(wù)應(yīng)用程序保護 205
923　基于瀏覽器的應(yīng)用程序保護 206
93　終端用戶開發(fā)的應(yīng)用程序 210
931　EUDA的優(yōu)點 211
932　EUDA的風(fēng)險 211
933　EUDA安全框架 212
94　業(yè)務(wù)應(yīng)用程序管理最佳實踐 214
95　關(guān)鍵術(shù)語和復(fù)習(xí)題 215
96　參考文獻 216
第10章　系統(tǒng)訪問 217
101　系統(tǒng)訪問的概念 217
102　用戶身份認(rèn)證 219
1021　電子用戶身份認(rèn)證模型 219
1022　身份認(rèn)證方式 221
1023　多因素身份認(rèn)證 222
103　基于口令的身份認(rèn)證 223
1031　口令的弱點 223
1032　哈?？诹畹氖褂?225
1033　用戶選擇口令的口令破解 226
1034　口令文件訪問控制 228
1035　口令選擇 228
104　基于所有權(quán)的身份認(rèn)證 230
1041　存儲卡 230
1042　智能卡 231
1043　電子身份證 232
1044　一次性口令設(shè)備 234
1045　基于所有權(quán)的身份認(rèn)證的威脅 235
1046　基于所有權(quán)的身份認(rèn)證的安全控制 236
105　生物特征認(rèn)證 236
1051　生物特征的指標(biāo) 236
1052　用于生物識別應(yīng)用的物理特征 237
1053　生物特征認(rèn)證系統(tǒng)的操作 238
1054　生物識別的準(zhǔn)確率 239
1055　生物特征認(rèn)證的威脅 240
1056　生物特征認(rèn)證的安全控制 242
106　用戶身份認(rèn)證的風(fēng)險評估 243
1061　身份認(rèn)證保證級別 243
1062　選擇一個AAL 244
1063　選擇一種認(rèn)證方式 246
107　訪問控制 248
1071　主體、客體和訪問權(quán)限 249
1072　訪問控制策略 249
1073　自主訪問控制 250
1074　基于角色的訪問控制 252
1075　基于屬性的訪問控制 252
1076　訪問控制度量指標(biāo) 257
108　客戶訪問 258
1081　客戶訪問安排 258
1082　客戶合同 258
1083　客戶關(guān)系 259
1084　保護客戶數(shù)據(jù) 259
109　系統(tǒng)訪問最佳實踐 259
1010　關(guān)鍵術(shù)語和復(fù)習(xí)題 260
1011　參考文獻 261
第11章　系統(tǒng)管理 263
111　服務(wù)器配置 264
1111　服務(wù)器面臨的威脅 264
1112　服務(wù)器的安全需求 265
112　虛擬服務(wù)器 266
1121　虛擬化方案 266
1122　虛擬化面臨的安全問題 270
1123　安全的虛擬化系統(tǒng) 270
113　網(wǎng)絡(luò)存儲系統(tǒng) 272
114　服務(wù)級別協(xié)議 273
1141　網(wǎng)絡(luò)提供商 274
1142　計算機安全事故響應(yīng)小組 275
1143　云服務(wù)提供商 276
115　性能和能力管理 277
116　備份 277
117　變更管理 278
118　系統(tǒng)管理最佳實踐 281
119　關(guān)鍵術(shù)語和復(fù)習(xí)題 281
1110　參考文獻 282
第12章　網(wǎng)絡(luò)與通信 283
121　網(wǎng)絡(luò)管理的概念 283
1211　網(wǎng)絡(luò)管理功能 284
1212　網(wǎng)絡(luò)管理系統(tǒng) 287
1213　網(wǎng)絡(luò)管理體系結(jié)構(gòu) 290
122　防火墻 291
1221　防火墻特性 291
1222　防火墻類型 292
1223　下一代防火墻 298
1224　DMZ網(wǎng)絡(luò) 298
1225　現(xiàn)代IT邊界 299
123　虛擬專用網(wǎng)絡(luò)和IPsec 300
1231　虛擬專用網(wǎng)絡(luò) 300
1232　IPsec 300
1233　基于防火墻的VPN 302
124　網(wǎng)絡(luò)管理的安全注意事項 303
1241　網(wǎng)絡(luò)設(shè)備配置 303
1242　物理網(wǎng)絡(luò)管理 304
1243　無線接入 307
1244　外部網(wǎng)絡(luò)連接 308
1245　防火墻 308
1246　遠(yuǎn)程維護 309
125　電子通信 310
1251　Email 310
1252　即時消息 313
1253　基于IP的語音通信網(wǎng)絡(luò) 315
1254　電話和會議 319
126　網(wǎng)絡(luò)與通信最佳實踐 319
127　關(guān)鍵術(shù)語和復(fù)習(xí)題 320
128　參考文獻 321
第13章　供應(yīng)鏈管理與云安全 322
131　供應(yīng)鏈管理的概念 322
1311　供應(yīng)鏈 323
1312　供應(yīng)鏈管理 324
132　供應(yīng)鏈風(fēng)險管理 325
1321　供應(yīng)鏈威脅 328
1322　供應(yīng)鏈漏洞 330
1323　供應(yīng)鏈安全控制 331
1324　SCRM最佳實踐 333
133　云計算 334
1331　云計算要素 334
1332　云計算參考架構(gòu) 338
134　云安全 339
1341　云計算的安全注意事項 339
1342　云服務(wù)用戶的威脅 340
1343　風(fēng)險評估 341
1344　最佳實踐 342
1345　云服務(wù)協(xié)議 343
135　供應(yīng)鏈最佳實踐 343
136　關(guān)鍵術(shù)語和復(fù)習(xí)題 344
137　參考文獻 345
第14章　技術(shù)安全管理 346
141　安全架構(gòu) 347
142　惡意軟件防護行為 349
1421　惡意軟件的類型 350
1422　惡意軟件威脅的現(xiàn)狀 351
1423　惡意軟件防護的實際應(yīng)用 352
143　惡意軟件防護軟件 354
1431　惡意軟件防護軟件的功能 354
1432　惡意軟件防護軟件的管理 355
144　身份和訪問管理 355
1441　IAM結(jié)構(gòu) 356
1442　聯(lián)合身份管理 357
1443　IAM規(guī)劃 359
1444　IAM最佳實踐 360
145　入侵檢測 360