CISSP信息系統(tǒng)安全專家認(rèn)證All-in-One（第9版）

第I部分  
安全和風(fēng)險(xiǎn)管理
第1章  網(wǎng)絡(luò)安全治理 2
1.1  網(wǎng)絡(luò)安全的基本概念和術(shù)語(yǔ) 3
1.1.1  機(jī)密性 3
1.1.2  完整性 4
1.1.3  可用性 4
1.1.4  真實(shí)性 5
1.1.5  不可否認(rèn)性 5
1.1.6  平衡安全性 6
1.1.7  其他安全術(shù)語(yǔ) 7
1.2  安全治理原則 8
1.2.1  幫助安全性和業(yè)務(wù)戰(zhàn)略
保持一致 11
1.2.2  組織流程 14
1.2.3  組織角色和責(zé)任 15
1.3  安全策略、標(biāo)準(zhǔn)、工作程序和
準(zhǔn)則 21
1.3.1  安全策略 22
1.3.2  標(biāo)準(zhǔn) 24
1.3.3  基線 25
1.3.4  準(zhǔn)則 26
1.3.5  工作程序 26
1.3.6  實(shí)施 27
1.4  人員安全 27
1.4.1  候選人篩選和招聘 29
1.4.2  雇傭協(xié)議和策略 30
1.4.3  入職、調(diào)動(dòng)和解聘流程 30
1.4.4  供應(yīng)商、顧問(wèn)和承包商 31
1.4.5  合規(guī)政策 32
1.4.6  隱私策略 32
1.4.7  安全意識(shí)宣貫、教育和
培訓(xùn)計(jì)劃 32
1.4.8  學(xué)歷或證書？ 33
1.4.9  意識(shí)建立和培訓(xùn)的方法與
技巧 33
1.4.10  定期審查安全意識(shí)宣貫
內(nèi)容 35
1.4.11 計(jì)劃有效性評(píng)價(jià) 35
1.5  職業(yè)道德 35
1.5.1  (ISC)2職業(yè)道德準(zhǔn)則 36
1.5.2  組織道德準(zhǔn)則 36
1.5.3  計(jì)算機(jī)道德協(xié)會(huì) 37
1.6  本章回顧 37
1.7  快速提示 37
1.8  問(wèn)題 38
1.9  答案 40
第2章  風(fēng)險(xiǎn)管理 42
2.1  風(fēng)險(xiǎn)管理概念 42
2.1.1  全面風(fēng)險(xiǎn)管理 43
2.1.2  信息系統(tǒng)風(fēng)險(xiǎn)管理策略 44
2.1.3  風(fēng)險(xiǎn)管理團(tuán)隊(duì) 45
2.1.4  風(fēng)險(xiǎn)管理流程 45
2.1.5  漏洞和威脅概述 46
2.1.6  識(shí)別威脅和漏洞 50
2.2  評(píng)估風(fēng)險(xiǎn) 51
2.2.1  資產(chǎn)評(píng)估 52
2.2.2  風(fēng)險(xiǎn)評(píng)估團(tuán)隊(duì) 53
2.2.3  風(fēng)險(xiǎn)評(píng)估方法論 54
2.2.4  風(fēng)險(xiǎn)分析方法 58
2.2.5  定性風(fēng)險(xiǎn)分析 61
2.3  應(yīng)對(duì)風(fēng)險(xiǎn) 64
2.3.1  總體風(fēng)險(xiǎn)與殘余風(fēng)險(xiǎn)的
對(duì)比 65
2.3.2  安全對(duì)策選擇及實(shí)施 66
2.3.3  控制措施類型 68
2.3.4  控制措施評(píng)估 73
2.4  監(jiān)測(cè)風(fēng)險(xiǎn) 74
2.4.1  有效性監(jiān)測(cè) 75
2.4.2  變更監(jiān)測(cè) 75
2.4.3  合規(guī)性監(jiān)測(cè) 76
2.4.4  風(fēng)險(xiǎn)報(bào)告 77
2.5  供應(yīng)鏈風(fēng)險(xiǎn)管理 79
2.5.1  上下游供應(yīng)商 80
2.5.2  硬件、軟件、服務(wù)的風(fēng)險(xiǎn)
評(píng)估 80
2.5.3  其他第三方風(fēng)險(xiǎn) 81
2.5.4  最低安全需求 82
2.5.5  服務(wù)水平協(xié)議 82
2.6  業(yè)務(wù)持續(xù) 83
2.6.1  標(biāo)準(zhǔn)和最佳實(shí)踐 85
2.6.2  將業(yè)務(wù)持續(xù)管理融入企業(yè)
安全計(jì)劃 87
2.6.3  業(yè)務(wù)影響分析 89
2.7　本章回顧 95
2.8  快速提示 95
2.9  問(wèn)題 97
2.10  答案 99
第3章  合規(guī) 101
3.1  法律與法規(guī) 101
3.1.1  法律體系的類型 102
3.1.2  回顧普通法體系 104
3.2  網(wǎng)絡(luò)犯罪與數(shù)據(jù)泄露 105
3.2.1  網(wǎng)絡(luò)犯罪的復(fù)雜性 107
3.2.2  攻擊的演變 108
3.2.3  國(guó)際化問(wèn)題 112
3.2.4  數(shù)據(jù)泄露 112
3.2.5  跨境數(shù)據(jù)流 117
3.2.6  隱私 118
3.3  授權(quán)許可與知識(shí)產(chǎn)權(quán)要求 119
3.3.1  商業(yè)秘密 119
3.3.2  版權(quán) 120
3.3.3  商標(biāo) 121
3.3.4  專利 121
3.3.5  內(nèi)部知識(shí)產(chǎn)權(quán)保護(hù) 123
3.3.6  軟件盜版 123
3.4  法律法規(guī)監(jiān)管合規(guī)要求 125
3.4.1  合同、法律、行業(yè)標(biāo)準(zhǔn)和
監(jiān)管要求 125
3.4.2  隱私要求 127
3.4.3  責(zé)任和后果 127
3.5  調(diào)查要求 130
3.5.1  行政調(diào)查 130
3.5.2  刑事調(diào)查 130
3.5.3  民事調(diào)查 130
3.5.4  監(jiān)管調(diào)查 131
3.6  本章回顧 131
3.7  快速提示 131
3.8  問(wèn)題 133
3.9  答案 135
第4章  框架 137
4.1  框架總覽 137
4.2  風(fēng)險(xiǎn)框架 139
4.2.1  NIST風(fēng)險(xiǎn)管理框架 139
4.2.2  ISO/IEC 27005信息安全
風(fēng)險(xiǎn)管理指南 143
4.2.3  OCTAVE 144
4.2.4  信息風(fēng)險(xiǎn)要素分析 145
4.3  信息安全框架 145
4.3.1  安全計(jì)劃框架 145
4.3.2  安全控制措施框架 148
4.4  企業(yè)架構(gòu)框架 154
4.4.1  為何需要企業(yè)架構(gòu)框架？ 156
4.4.2  Zachman框架 157
4.4.3  TOGAF 158
4.4.4  面向軍事的架構(gòu)框架 159
4.5  其他框架 159
4.5.1  ITIL 159
4.5.2  六西格瑪 160
4.5.3  能力成熟度模型 160
4.6  各類框架的集成 162
4.7  本章回顧 165
4.8  快速提示 166
4.9  問(wèn)題 167
4.10  答案 169
第II部分
資 產(chǎn) 安 全
第5章  資產(chǎn) 172
5.1  信息和資產(chǎn) 173
5.1.1  識(shí)別 173
5.1.2  分類分級(jí) 174
5.2  物理安全注意事項(xiàng) 178
5.2.1  移動(dòng)設(shè)備安全保護(hù) 178
5.2.2  紙質(zhì)記錄 179
5.2.3  保險(xiǎn)柜 179
5.3  管理資產(chǎn)的生命周期 180
5.3.1  所有權(quán) 181
5.3.2  庫(kù)存 181
5.3.3  安全資源調(diào)配 184
5.3.4  資產(chǎn)留存 185
5.4  數(shù)據(jù)生命周期 186
5.4.1  數(shù)據(jù)采集 187
5.4.2  數(shù)據(jù)存儲(chǔ) 188
5.4.3  數(shù)據(jù)使用 192
5.4.4  數(shù)據(jù)共享 193
5.4.5  數(shù)據(jù)歸檔 194
5.4.6  數(shù)據(jù)銷毀 194
5.4.7  數(shù)據(jù)角色 198
5.5  本章回顧 199
5.6  快速提示 199
5.7  問(wèn)題 200
5.8  答案 202
第6章  數(shù)據(jù)安全 204
6.1  數(shù)據(jù)安全控制措施 204
6.1.1  數(shù)據(jù)狀態(tài) 205
6.1.2  安全標(biāo)準(zhǔn) 208
6.2  數(shù)據(jù)保護(hù)措施 209
6.2.1  數(shù)字資產(chǎn)管理 210
6.2.2  數(shù)字版權(quán)管理 212
6.2.3  數(shù)據(jù)防泄露 214
6.2.4  云訪問(wèn)安全代理 222
6.3  本章回顧 223
6.4  快速提示 223
6.5  問(wèn)題 224
6.6  答案 225
第III部分
安全架構(gòu)與工程
第7章  系統(tǒng)架構(gòu) 228
7.1  通用系統(tǒng)架構(gòu) 228
7.1.1  客戶端系統(tǒng) 229
7.1.2  服務(wù)端系統(tǒng) 229
7.1.3  數(shù)據(jù)庫(kù)系統(tǒng) 230
7.1.4  高性能計(jì)算系統(tǒng) 233
7.2  工業(yè)控制體系 234
7.2.1  設(shè)備 235
7.2.2  可編程邏輯控制器 235
7.2.3  人機(jī)界面 236
7.2.4  歷史數(shù)據(jù)系統(tǒng) 237
7.2.5  分布式控制體系 237
7.2.6  SCADA 237
7.2.7  ICS安全 238
7.3  虛擬化系統(tǒng) 239
7.3.1  虛擬機(jī) 240
7.3.2  容器化 241
7.3.3  微服務(wù) 242
7.3.4  無(wú)服務(wù)器架構(gòu) 242
7.4  云計(jì)算系統(tǒng) 244
7.4.1  軟件即服務(wù) 245
7.4.2  平臺(tái)即服務(wù) 245
7.4.3  基礎(chǔ)架構(gòu)即服務(wù) 246
7.4.4  一切皆服務(wù) 246
7.4.5  云部署模型 247
7.5  普適系統(tǒng) 247
7.5.1  嵌入式系統(tǒng) 247
7.5.2  物聯(lián)網(wǎng) 248
7.6  分布式系統(tǒng) 249
7.7  本章回顧 251
7.8  快速提示 251
7.9  問(wèn)題 252
7.10  答案 254
第8章  密碼學(xué) 256
8.1  密碼術(shù)的歷史 257
8.2  密碼術(shù)的定義與概念 260
8.2.1  密碼體系 262
8.2.2  Kerckhoffs原則 263
8.2.3  密碼體系的強(qiáng)度 263
8.2.4  一次性密碼本 264
8.2.5  密碼生命周期 266
8.2.6  加密方法 266
8.3  對(duì)稱密鑰密碼術(shù) 267
8.3.1  分組密碼 268
8.3.2  流密碼 270
8.3.3  初始化向量 271
8.4  非對(duì)稱密鑰密碼術(shù) 272
8.4.1  Diffie-Hellman算法 274
8.4.2  RSA 276
8.4.3  橢圓曲線密碼體系 278
8.4.4  量子加密 279
8.4.5  混合加密方法 281
8.5  完整性 285
8.5.1  哈希函數(shù) 285
8.5.2  消息完整性確認(rèn) 288
8.6  公鑰基礎(chǔ)架構(gòu) 292
8.6.1  數(shù)字證書 293
8.6.2  證書頒發(fā)機(jī)構(gòu) 293
8.6.3  注冊(cè)機(jī)構(gòu) 295
8.6.4  PKI步驟 295
8.6.5  密鑰管理 297
8.7  密碼攻擊技術(shù) 299
8.7.1  密鑰和算法攻擊 300
8.7.2  實(shí)施攻擊 302
8.7.3  其他攻擊 304
8.8  本章回顧 307
8.9  快速提示 307
8.10  問(wèn)題 309
8.11  答案 311
第9章  安全架構(gòu) 313
9.1  威脅建模 313
9.1.1  攻擊樹 314
9.1.2  MITRE ATT&CK框架 316
9.1.3  為什么使用威脅建模 316
9.2  安全設(shè)計(jì)原則 317
9.2.1  深度防御 318
9.2.2  零信任 319
9.2.3  信任但要驗(yàn)證 319
9.2.4  責(zé)任共擔(dān) 319
9.2.5  職責(zé)分離 320
9.2.6  最小特權(quán) 321
9.2.7  最簡(jiǎn)法則 321
9.2.8  默認(rèn)安全 322
9.2.9  失效關(guān)閉 322
9.2.10  隱私設(shè)計(jì) 323
9.3  安全模型 323
9.3.1  Bell-LaPadula模型 323
9.3.2  Biba模型 324
9.3.3  Clark-Wilson 模型 325
9.3.4  非干擾模型 326
9.3.5  Brewer-Nash模型 327
9.3.6  Graham-Denning模型 327
9.3.7  Harrison-Ruzzo-Ullman
模型 327
9.4  安全需求 328
9.5  信息系統(tǒng)的安全能力 329
9.5.1  可信平臺(tái)模塊 329
9.5.2  硬件安全模塊 330
9.5.3  自加密驅(qū)動(dòng)器 331
9.5.4  總線加密 331
9.5.5  安全處理 332
9.6  本章回顧 335
9.7  快速提示 335
9.8  問(wèn)題 336
9.9  答案 338
第10章  場(chǎng)所和基礎(chǔ)設(shè)施安全 339
10.1  場(chǎng)所和基礎(chǔ)設(shè)施安全 339
10.1.1  安全原則 340
10.1.2  場(chǎng)所規(guī)劃流程 344
10.1.3  通過(guò)環(huán)境設(shè)計(jì)預(yù)防犯罪 347
10.1.4  設(shè)計(jì)一個(gè)物理安全計(jì)劃 352
10.2  場(chǎng)所和基礎(chǔ)設(shè)施控制措施 358
10.2.1  工作區(qū)安全 358
10.2.2  數(shù)據(jù)處理設(shè)施 360
10.2.3  配線器 362
10.2.4  存儲(chǔ)基礎(chǔ)設(shè)施 363
10.2.5  公共設(shè)施 363
10.2.6  消防安全 368
10.2.7  環(huán)境問(wèn)題 373
10.3  本章回顧 373
10.4  快速提示 374
10.5  問(wèn)題 375
10.6  答案 376
第IV部分
通信與網(wǎng)絡(luò)安全
第11章  網(wǎng)絡(luò)基礎(chǔ) 380
11.1  數(shù)據(jù)通信基礎(chǔ) 380
11.1.1  網(wǎng)絡(luò)參考模型 381
11.1.2  協(xié)議 382
11.1.3  應(yīng)用層 384
11.1.4  表示層 385
11.1.5  會(huì)話層 386
11.1.6  傳輸層 388
11.1.7  網(wǎng)絡(luò)層 389
11.1.8  數(shù)據(jù)鏈路層 389
11.1.9  物理層 391
11.1.10  OSI 模型中的功能和
協(xié)議 392
11.1.11  OSI各層綜述 393
11.2  局域網(wǎng) 395
11.2.1  網(wǎng)絡(luò)拓?fù)?395
11.2.2  介質(zhì)訪問(wèn)控制機(jī)制 397
11.2.3  第 2 層協(xié)議 401
11.2.4  傳輸方式 405
11.2.5  第2層安全標(biāo)準(zhǔn) 406
11.3  Internet協(xié)議網(wǎng)絡(luò) 408
11.3.1  TCP 409
11.3.2  IP尋址 414
11.3.3  IPv6 416
11.3.4  地址解析協(xié)議 419
11.3.5  動(dòng)態(tài)主機(jī)配置協(xié)議 420
11.3.6  Internet控制報(bào)文協(xié)議 422
11.3.7  簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議 424
11.3.8  域名服務(wù) 426
11.3.9  網(wǎng)絡(luò)地址轉(zhuǎn)換 432
11.3.10  路由協(xié)議 434
11.4  內(nèi)聯(lián)網(wǎng)和外聯(lián)網(wǎng) 437
11.5  城域網(wǎng) 438
11.6  廣域網(wǎng) 440
11.6.1  專用鏈路 440
11.6.2  廣域網(wǎng)技術(shù) 443
11.7  本章回顧 450
11.8  快速提示 451
11.9  問(wèn)題 452
11.10  答案 454
第12章  無(wú)線網(wǎng)絡(luò) 456
12.1  無(wú)線通信技術(shù) 456
12.1.1  擴(kuò)頻 457
12.1.2  正交頻分復(fù)用 460
12.2  無(wú)線網(wǎng)絡(luò)基礎(chǔ) 460
12.2.1  WLAN組件 460
12.2.2  WLAN標(biāo)準(zhǔn) 462
12.2.3  其他無(wú)線網(wǎng)絡(luò)標(biāo)準(zhǔn) 464
12.2.4  其他重要標(biāo)準(zhǔn) 468
12.3  無(wú)線網(wǎng)絡(luò)安全的演化 469
12.3.1  802.11 470
12.3.2  802.11i 471
12.3.3  802.11w 472
12.3.4  WPA3 473
12.3.5  802.1X 473
12.4  無(wú)線網(wǎng)絡(luò)安全最佳實(shí)踐 475
12.5  移動(dòng)無(wú)線通信 476
12.5.1  多址技術(shù) 477
12.5.2  歷代移動(dòng)技術(shù) 478
12.6  衛(wèi)星 481
12.7  本章回顧 482
12.8  快速提示 482
12.9  問(wèn)題 484
12.10  答案 485
第13章  網(wǎng)絡(luò)安全 487
13.1  安全設(shè)計(jì)原則運(yùn)用于網(wǎng)絡(luò)
架構(gòu) 487
13.2  安全網(wǎng)絡(luò) 489
13.2.1  鏈路加密與端到端加密 489
13.2.2  傳輸層安全 491
13.2.3  虛擬私有網(wǎng)絡(luò) 493
13.3  安全協(xié)議 498
13.3.1  Web 服務(wù) 498
13.3.2  域名系統(tǒng) 502
13.3.3  電子郵件 507
13.4  多層協(xié)議 511
13.4.1  分布式網(wǎng)絡(luò)協(xié)議3 511
13.4.2  CAN總線 511
13.4.3  Modbus 512
13.5  聚合協(xié)議 512
13.5.1  封裝 512
13.5.2  以太網(wǎng)光纖通道 513
13.5.3  Internet小型計(jì)算機(jī)系統(tǒng)
接口 513
13.6  網(wǎng)絡(luò)分段 513
13.6.1  虛擬局域網(wǎng) 514
13.6.2  虛擬可擴(kuò)展局域網(wǎng) 516
13.6.3  軟件定義網(wǎng)絡(luò) 516
13.6.4  軟件定義廣域網(wǎng) 518
13.7  本章回顧 518
13.8  快速提示 519
13.9  問(wèn)題 521
13.10  答案 522
第14章  網(wǎng)絡(luò)組件 524
14.1  傳輸介質(zhì) 524
14.1.1  傳輸類型 525
14.1.2  帶寬和吞吐量 533
14.2  網(wǎng)絡(luò)設(shè)備 534
14.2.1  中繼器 534
14.2.2  交換機(jī) 536
14.2.3  網(wǎng)絡(luò)訪問(wèn)控制設(shè)備 544
14.3  終端安全 549
14.4  內(nèi)容分發(fā)網(wǎng)絡(luò) 550
14.5  本章回顧 550
14.6  快速提示 551
14.7  問(wèn)題 552
14.8  答案 553
第15章  安全通信信道 555
15.1  語(yǔ)音通信 555
15.1.1  公共交換電話網(wǎng) 556
15.1.2  DSL 557
15.1.3  ISDN 558
15.1.4  有線調(diào)制解調(diào)器 560
15.1.5  IP電話 560
15.2  多媒體協(xié)同 566
15.2.1  會(huì)議程序 566
15.2.2  統(tǒng)一通信 567
15.3  遠(yuǎn)程訪問(wèn) 568
15.3.1  VPN 569
15.3.2  VPN驗(yàn)證協(xié)議 569
15.3.3  桌面虛擬化 571
15.3.4  安全外殼 573
15.4  數(shù)據(jù)通信 574
15.4.1  網(wǎng)絡(luò)套接字 574
15.4.2  遠(yuǎn)程過(guò)程調(diào)用 575
15.5  虛擬網(wǎng)絡(luò) 575
15.6  第三方接入 576
15.7  本章回顧 578
15.8  快速提示 578
15.9  問(wèn)題 579
15.10  答案 581
第V部分
身份和訪問(wèn)管理
第16章  身份和訪問(wèn)基礎(chǔ) 584
16.1  身份標(biāo)識(shí)、身份驗(yàn)證、
授權(quán)與可問(wèn)責(zé)性 584
16.1.1  身份標(biāo)識(shí)和身份驗(yàn)證 586
16.1.2  基于知識(shí)的身份驗(yàn)證 588
16.1.3  生物識(shí)別身份驗(yàn)證技術(shù) 591
16.1.4  基于所有權(quán)的身份驗(yàn)證 596
16.2  憑證管理 602
16.2.1  口令管理器 602
16.2.2  口令同步 603
16.2.3  自助式口令重置 603
16.2.4  輔助式口令重置 604
16.2.5  即時(shí)訪問(wèn) 604
16.2.6  注冊(cè)與身份證明 604
16.2.7  用戶配置文件更新 605
16.2.8  會(huì)話管理 606
16.2.9  可問(wèn)責(zé)性 607
16.2.10  審查審計(jì)信息 608
16.3  身份管理 610
16.3.1  目錄服務(wù) 612
16.3.2  目錄在身份管理中的
角色 613
16.3.3  單點(diǎn)登錄 614
16.3.4  聯(lián)合身份管理 616
16.4  使用第三方服務(wù)的聯(lián)合
身份 618
16.5  本章回顧 620
16.6  快速提示 620
16.7  問(wèn)題 622
16.8  答案 625
第17章  管理身份和訪問(wèn) 626
17.1  授權(quán)機(jī)制 626
17.1.1  自主訪問(wèn)控制 627
17.1.2  強(qiáng)制訪問(wèn)控制 629
17.1.3  基于角色的訪問(wèn)控制 631
17.1.4  基于規(guī)則的訪問(wèn)控制 633
17.1.5  基于屬性的訪問(wèn)控制 634
17.1.6  基于風(fēng)險(xiǎn)的訪問(wèn)控制 634
17.2  身份驗(yàn)證和授權(quán)系統(tǒng)實(shí)施 635
17.2.1  訪問(wèn)控制和標(biāo)記語(yǔ)言 635
17.2.2  OAuth 640
17.2.3  OpenID連接 641
17.2.4  Kerberos 642
17.2.5  遠(yuǎn)程訪問(wèn)控制技術(shù) 646
17.3  管理身份和訪問(wèn)配置生命
周期 652
17.3.1  配置 652
17.3.2  訪問(wèn)控制 653
17.3.3  合規(guī) 653
17.3.4  配置管理 655
17.3.5  撤銷 656
17.4  控制物理與邏輯訪問(wèn) 657
17.4.1  信息訪問(wèn)控制 657
17.4.2  系統(tǒng)和應(yīng)用程序訪問(wèn)
控制 658
17.4.3  對(duì)設(shè)備的訪問(wèn)控制 658
17.4.4  基礎(chǔ)設(shè)施訪問(wèn)控制 658
17.5  本章回顧 659
17.6  快速提示 659
17.7  問(wèn)題 661
17.8  答案 663
第VI部分
安全評(píng)估與測(cè)試
第18章  安全評(píng)估 666
18.1  測(cè)試、評(píng)估和審計(jì)戰(zhàn)略 666
18.1.1  評(píng)估設(shè)計(jì) 667
18.1.2  評(píng)估驗(yàn)證 668
18.2  測(cè)試技術(shù)性控制分類 669
18.2.1  漏洞測(cè)試 670
18.2.2  其他漏洞類型 673
18.2.3  滲透測(cè)試 674
18.2.4  紅隊(duì)測(cè)試 678
18.2.5  模擬入侵攻擊 679
18.2.6  日志審查 679
18.2.7  合成交易 682
18.2.8  代碼審查 683
18.2.9  代碼測(cè)試 684
18.2.10  誤用案例測(cè)試 685
18.2.11  測(cè)試覆蓋率 686
18.2.12  接口測(cè)試 687
18.2.13  合規(guī)檢查 687
18.3  實(shí)施安全審計(jì) 688
18.3.1  內(nèi)部審計(jì) 689
18.3.2  外部審計(jì) 691
18.3.3  第三方審計(jì) 691
18.4  本章回顧 693
18.5  快速提示 693
18.6  問(wèn)題 694
18.7  答案 696
第19章  安全度量 697
19.1  量化安全 697
19.1.1  安全度量 699
19.1.2  關(guān)鍵績(jī)效和風(fēng)險(xiǎn)指標(biāo) 701
19.2  安全流程數(shù)據(jù) 703
19.2.1  賬戶管理 703
19.2.2  備份確認(rèn) 705
19.2.3  安全培訓(xùn)和安全意識(shí)
宣貫培訓(xùn) 708
19.2.4  災(zāi)難恢復(fù)和業(yè)務(wù)持續(xù) 711
19.3  報(bào)告 713
19.3.1  分析結(jié)果 713
19.3.2  技術(shù)報(bào)告編寫 715
19.3.3  執(zhí)行摘要 716
19.4  管理評(píng)審和批準(zhǔn) 717
19.4.1  管理評(píng)審之前 718
19.4.2  評(píng)審的輸入 719
19.4.3  管理層批準(zhǔn) 719
19.5  本章回顧 720
19.6  快速提示 720
19.7  問(wèn)題 721
19.8  答案 722
第VII部分
安全運(yùn)營(yíng)
第20章  安全運(yùn)營(yíng)管理 726
20.1  安全運(yùn)營(yíng)基礎(chǔ)概念 726
20.1.1  可問(wèn)責(zé)性 728
20.1.2  最小特權(quán)/知必所需 728
20.1.3  職責(zé)分離和責(zé)任 729
20.1.4  特權(quán)賬戶管理 729
20.1.5  職責(zé)輪換 730
20.1.6  服務(wù)水平協(xié)議 730
20.2  變更管理 731
20.2.1  變更管理實(shí)踐 731
20.2.2  變更管理文檔 732
20.3  配置管理 733
20.3.1  基線 733
20.3.2  資源調(diào)配 734
20.3.3  自動(dòng)化 734
20.4  資源保護(hù) 735
20.4.1  系統(tǒng)鏡像 735
20.4.2  源文件 735
20.4.3  備份 736
20.5  漏洞和補(bǔ)丁管理 738
20.5.1  漏洞管理 739
20.5.2  補(bǔ)丁管理 741
20.6  物理安全 744
20.6.1  外部邊界安全控制措施 744
20.6.2  基礎(chǔ)設(shè)施訪問(wèn)控制 752
20.6.3  內(nèi)部安全控制措施 759
20.6.4  人員訪問(wèn)控制措施 759
20.6.5  入侵檢測(cè)系統(tǒng) 760
20.6.6  物理訪問(wèn)的審計(jì) 763
20.7  人員安全與保護(hù)措施 763
20.7.1  差旅 764
20.7.2  安全培訓(xùn)和意識(shí)宣貫 764
20.7.3  應(yīng)急管理 764
20.7.4  脅迫 765
20.8  本章回顧 765
20.9  快速提示 766
20.10  問(wèn)題 767
20.11  答案 769
第21章  安全運(yùn)營(yíng)活動(dòng) 771
21.1  安全運(yùn)營(yíng)中心 771
21.1.1  成熟SOC的要素 772
21.1.2  威脅情報(bào) 773
21.2  預(yù)防與檢測(cè)措施 775
21.2.1  防火墻 776
21.2.2  入侵檢測(cè)和防御系統(tǒng) 794
21.2.3  反惡意軟件 795
21.2.4  沙箱 799
21.2.5  外包安全服務(wù) 799
21.2.6  蜜罐和蜜網(wǎng) 800
21.2.7  人工智能工具 802
21.3  持續(xù)記錄日志和持續(xù)監(jiān)測(cè) 803
21.3.1  日志管理 804
21.3.2  安全信息和事件管理 805
21.3.3  出口流量持續(xù)監(jiān)測(cè) 806
21.3.4  用戶和實(shí)體行為分析 806
21.3.5  不間斷監(jiān)測(cè) 806
21.4  本章回顧 807
21.5  快速提示 807
21.6  問(wèn)題 809
21.7  答案 810
第22章  安全事故 812
22.1  事故管理概述 812
22.1.1  檢測(cè) 816
22.1.2  響應(yīng) 817
22.1.3  緩解 818
22.1.4  報(bào)告 818
22.1.5  恢復(fù) 819
22.1.6  修復(fù) 819
22.1.7  總結(jié)經(jīng)驗(yàn)教訓(xùn) 820
22.2  事故響應(yīng)規(guī)劃 820
22.2.1  角色和職責(zé) 821
22.2.2  事故分級(jí) 822
22.2.3  通知 823
22.2.4  運(yùn)營(yíng)任務(wù) 824
22.2.5  操作手冊(cè) 825
22.3  調(diào)查 826
22.3.1  動(dòng)機(jī)、機(jī)會(huì)與手段 827
22.3.2  計(jì)算機(jī)犯罪行為 827
22.3.3  證據(jù)收集和處理 828
22.3.4  什么是法庭上可
受理的？ 831
22.3.5  數(shù)字取證工具、策略和
程序 833
22.3.6  取證調(diào)查技術(shù) 834
22.3.7  其他調(diào)查技術(shù) 835
22.3.8  司法證物 837
22.3.9  報(bào)告和記錄 838
22.4  本章回顧 838
22.5  快速提示 839
22.6  問(wèn)題 840
22.7  答案 842
第23章  災(zāi)難 843
23.1  恢復(fù)戰(zhàn)略 843
23.1.1  業(yè)務(wù)流程恢復(fù) 847
23.1.2  數(shù)據(jù)備份 847
23.1.3  文檔記錄 853
24.1.4  人力資源 854
23.1.5  恢復(fù)場(chǎng)所戰(zhàn)略 854
23.1.6  可用性 859
23.2  災(zāi)難恢復(fù)流程 862
23.2.1  響應(yīng) 863
23.2.2  人員 864
23.2.3  通信 865
23.2.4  評(píng)估 866
23.2.5  還原 866
23.2.6  培訓(xùn)和意識(shí) 868
23.2.7  經(jīng)驗(yàn)教訓(xùn) 868
23.2.8  測(cè)試災(zāi)難恢復(fù)方案 869
23.3  業(yè)務(wù)持續(xù) 871
23.3.1  BCP生命周期 872
23.3.2  信息系統(tǒng)可用性 873
23.3.3  最終用戶環(huán)境 876
23.4  本章回顧 877
23.5  快速提示 877
23.6  問(wèn)題 878
23.7  答案 880
第VIII部分
軟件研發(fā)安全
第24章  軟件研發(fā) 882
24.1  軟件研發(fā)生命周期 882
24.2  項(xiàng)目管理 883
24.2.1  需求收集階段 884
24.2.2  設(shè)計(jì)階段 886
24.2.3  研發(fā)階段 889
24.2.4  測(cè)試階段 891
24.2.5  運(yùn)營(yíng)維護(hù)階段 893
24.2.6  變更管理 893
24.2.7  變更控制 893
24.3  軟件研發(fā)方法論 895
24.3.1  瀑布模式 895
24.3.2  原型模式 896
24.3.3  增量模式 897
24.3.4  螺旋模式 898
24.3.5  快速應(yīng)用程序研發(fā) 899
24.3.6  敏捷模式 900
24.4  成熟度模型 904
24.4.1  能力成熟度集成模型 905
24.4.2  軟件保障成熟度模型 907
24.5  本章回顧 907
24.6  快速提示 908
24.7  問(wèn)題 909
24.8  答案 910
第25章  安全的軟件 913
25.1  編程語(yǔ)言與概念 913
25.1.1  匯編器、編譯器和
解釋器 915
25.1.2  運(yùn)行時(shí)環(huán)境 917
25.1.3  面向?qū)ο蟮母拍?919
25.1.4  內(nèi)聚和耦合 924
25.1.5  應(yīng)用程序編程接口 924
25.1.6  軟件庫(kù) 925
25.2  安全的軟件研發(fā) 925
25.2.1  源代碼漏洞 926
25.2.2  安全編碼實(shí)踐 926
25.2.3  軟件研發(fā)安全控制措施 928
25.2.4  應(yīng)用程序安全測(cè)試 930
25.2.5  持續(xù)集成和交付 931
25.2.6  安全編排、自動(dòng)化和
響應(yīng) 932
25.2.7  軟件配置管理 932
25.2.8  代碼存儲(chǔ)庫(kù) 933
25.3  軟件安全評(píng)估 934
25.3.1  風(fēng)險(xiǎn)分析和緩解 934
25.3.2  變更管理 934
25.3.3  評(píng)估獲取軟件的安全性 935
25.4  本章回顧 937
25.5  快速提示 937
25.6  問(wèn)題 939
25.7  答案 940
——以下內(nèi)容可掃封底二維碼下載——
附錄A  完整的復(fù)習(xí)題 943
附錄B  知識(shí)點(diǎn)目標(biāo)映射 983
附錄C  關(guān)于在線內(nèi)容 998