信息安全完全參考手冊(第2版) 內(nèi)容簡介：

當(dāng)今的IT世界風(fēng)起云涌，復(fù)雜的移動平臺、云計算和無處不在的數(shù)據(jù)訪問對每一位IT專業(yè)人士提出了新的安全需求?！缎畔踩耆珔⒖际謨?第2版)》是唯一綜合性的，著眼于不斷發(fā)展變化的威脅環(huán)境，提供供應(yīng)商中立的有關(guān)信息保護全方面細節(jié)的專業(yè)書籍。本書通過全面修訂和擴充以涵蓋現(xiàn)代信息安全的各個方面——從概念到細節(jié)——提供了一站式的參考，既適用于初學(xué)者，也適用于經(jīng)驗豐富的專業(yè)人士。

本書探索了如何基于經(jīng)過驗證的方法論、風(fēng)險分析、合規(guī)和業(yè)務(wù)需求，構(gòu)建一個全面的安全方案。你將學(xué)會如何成功地保護數(shù)據(jù)、網(wǎng)絡(luò)、計算機和應(yīng)用程序。書中還深入介紹了數(shù)據(jù)保護、加密、信息權(quán)限管理、網(wǎng)絡(luò)安全、入侵檢測和防御、UNIX和Windows安全、虛擬化和云安全、安全應(yīng)用程序開發(fā)、災(zāi)難恢復(fù)、計算機取證及現(xiàn)實世界的攻擊和對策。書中最后提供了一個豐富的安全術(shù)語表，以及基于標準的參考，這對于專業(yè)人士和學(xué)生都是一個相當(dāng)豐富的資源。

信息安全完全參考手冊(第2版) 目錄 ：
第I部分 概 述
第1章 信息安全概述        3
1.1 信息保護的重要性        3
1.2 信息安全的演變        5
1.3 合理的安全投資        7
1.3.1 業(yè)務(wù)靈活性        8
1.3.2 降低成本        8
1.3.3 可移植性        9
1.4 安全方法論        9
1.5 如何建立一個安全計劃        12
1.5.1 授權(quán)        12
1.5.2 框架        13
1.5.3 評估        13
1.5.4 規(guī)劃        13
1.5.5 實施        14
1.5.6 維護        14
1.6 不可能的工作        14
1.7 最薄弱的環(huán)節(jié)        15
1.8 戰(zhàn)略與戰(zhàn)術(shù)        16
1.9 業(yè)務(wù)流程與技術(shù)控制        17
1.10 本章小結(jié)        18
1.11 參考文獻        19
第2章 風(fēng)險分析        21
2.1 風(fēng)險定義        21
2.1.1 入侵載體        22
2.1.2 威脅源和目標        24
2.2 攻擊的種類        25
2.2.1 惡意移動代碼        26
2.2.2 高級持續(xù)性滲透攻擊(APT)        35
2.2.3 手動攻擊        36
2.3 風(fēng)險分析        43
2.4 本章小結(jié)        44
2.5 參考文獻        44
第3章 遵循標準、法規(guī)和法律        47
3.1 信息安全標準        47
3.1.1 信息及相關(guān)技術(shù)控制目標(COBIT)        47
3.1.2 國際標準化組織(ISO) 27000系列        48
3.1.3 美國國家標準與技術(shù)研究院(NIST)        50
3.2 影響信息安全專家的法規(guī)        52
3.2.1 注意義務(wù)        53
3.2.2 Gramm-Leach-Bliley法案
(GLBA)        53
3.2.3 Sarbanes-Oxley法案        55
3.2.4 HIPAA隱私和安全規(guī)則        55
3.2.5 北美電力可靠性公司關(guān)鍵基礎(chǔ)設(shè)施保護(NERC CIP)        57
3.2.6 PCI DSS：支付卡行業(yè)數(shù)據(jù)安全標準        57
3.3 影響信息安全專家的法律        58
3.3.1 黑客法律        59
3.3.2 電子通信法律        62
3.3.3 其他實質(zhì)性法律        65
3.4 本章小結(jié)        67
3.5 參考文獻        67
第4章 安全設(shè)計原則        69
4.1 CIA三元組和其他模型        69
4.1.1 機密性        69
4.1.2 完整性        69
4.1.3 可用性        70
4.1.4 其他概念        70
4.2 防御模型        71
4.2.1 棒棒糖模型        71
4.2.2 洋蔥模型        72
4.3 可信區(qū)域        73
4.4 網(wǎng)絡(luò)防御的最佳實踐        75
4.4.1 安全的物理環(huán)境        75
4.4.2 密碼保護啟動        76
4.4.3 密碼保護CMOS        76
4.4.4 禁止USB和CD引導(dǎo)        76
4.4.5 加固操作系統(tǒng)        76
4.4.6 保持補丁更新        77
4.4.7 使用防病毒掃描程序(實時掃描)        77
4.4.8 使用防火墻軟件        77
4.4.9 安全的網(wǎng)絡(luò)共享權(quán)限        77
4.4.10 使用加密        78
4.4.11 保護應(yīng)用程序        78
4.4.12 系統(tǒng)備份        82
4.4.13 實施ARP中毒防御        83
4.4.14 建立計算機安全防御計劃        83
4.5 本章小結(jié)        85
4.6 參考文獻        85
第5章 安全策略、標準、流程和指南        87
5.1 安全策略        87
5.1.1 安全策略制定        88
5.1.2 安全策略參與者        89
5.1.3 安全策略閱讀對象        90
5.1.4 策略種類        91
5.1.5 框架        91
5.1.6 安全意識        92
5.1.7 安全意識的重要性        93
5.1.8 意識計劃的目標        93
5.1.9 提高效率        94
5.1.10 實施意識計劃        95
5.1.11 執(zhí)行        96
5.1.12 對供應(yīng)商執(zhí)行的策略        96
5.1.13 對員工執(zhí)行的策略        97
5.1.14 基于軟件的執(zhí)行        97
5.1.15 安全策略主題示例        98
5.1.16 可接受的使用策略        98
5.1.17 計算機策略        99
5.1.18 網(wǎng)絡(luò)策略        101
5.1.19 數(shù)據(jù)隱私策略        102
5.1.20 數(shù)據(jù)完整性策略        103
5.1.21 人事管理策略        105
5.1.22 安全管理策略        107
5.1.23 物理安全策略        108
5.2 安全標準        111
5.3 安全流程        112
5.4 安全指南        114
5.5 持續(xù)維護        115
5.6 本章小結(jié)        115
5.7 參考文獻        116
第6章 安全組織        117
6.1 角色和職責(zé)        117
6.1.1 安全職位        118
6.1.2 安全事件響應(yīng)小組        123
6.2 安全管理服務(wù)        125
6.2.1 通過MSSP提供的服務(wù)        126
6.2.2 可以通過MSSP監(jiān)控的服務(wù)        127
6.3 安全委員會、指導(dǎo)委員會或董事會        128
6.4 與人力資源的相互關(guān)系        128
6.5 本章小結(jié)        129
6.6 參考文獻        129
第7章 身份認證和授權(quán)        131
7.1 身份認證        131
7.1.1 用戶名和密碼        132
7.1.2 基于證書的認證        137
7.1.3 擴展認證協(xié)議(EAP)        141
7.1.4 生物識別        141
7.1.5 額外使用的認證        142
7.2 授權(quán)        142
7.2.1 用戶權(quán)限        142
7.2.2 基于角色的授權(quán)(RBAC)        143
7.2.3 訪問控制列表(ACL)        143
7.2.4 基于規(guī)則的授權(quán)        145
7.3 符合標準        145
7.3.1 NIST        146
7.3.2 ISO 27002        146
7.3.3 COBIT        146
7.4 本章小結(jié)        146
7.5 參考文獻        147
第II部分 數(shù) 據(jù) 安 全
第8章 非結(jié)構(gòu)化數(shù)據(jù)安全        151
8.1 結(jié)構(gòu)化數(shù)據(jù)與非結(jié)構(gòu)化數(shù)據(jù)        151
8.2 靜態(tài)的、傳輸中的以及使用中的        152
8.3 保護非結(jié)構(gòu)化數(shù)據(jù)的途徑        153
8.3.1 數(shù)據(jù)庫        154
8.3.2 應(yīng)用程序        156
8.3.3 網(wǎng)絡(luò)        158
8.3.4 計算機        159
8.3.5 存儲(本地、移動或網(wǎng)絡(luò))        161
8.3.6 打印到現(xiàn)實世界的數(shù)據(jù)        162
8.4 保護非結(jié)構(gòu)化數(shù)據(jù)的新途徑        163
8.4.1 數(shù)據(jù)丟失防護(DLP)        163
8.4.2 信息權(quán)限管理        164
8.5 本章小結(jié)        165
8.6 參考文獻        165
第9章 信息權(quán)限管理        167
9.1 概述        167
9.1.1 DRM和IRM的區(qū)別        168
9.1.2 EDRM、ERM、RMS、IRM如何命名        170
9.2 從加密演變到IRM        171
9.3 IRM技術(shù)細節(jié)        172
9.3.1 IRM技術(shù)的構(gòu)成        172
9.3.2 架構(gòu)        172
9.3.3 離線        182
9.3.4 非結(jié)構(gòu)化數(shù)據(jù)格式        183
9.4 IRM入門        183
9.4.1 創(chuàng)建分類        183
9.4.2 用戶供應(yīng)        185
9.4.3 權(quán)限分配        185
9.4.4 保護內(nèi)容        186
9.4.5 分發(fā)內(nèi)容        186
9.4.6 安裝和配置IRM客戶端        187
9.4.7 身份認證        187
9.4.8 授權(quán)        188
9.4.9 權(quán)限檢索和存儲        188
9.4.10 內(nèi)容訪問和權(quán)限調(diào)用        188
9.4.11 訪問審計和報表        188
9.4.12 權(quán)限撤銷        188
9.5 本章小結(jié)        188
9.6 參考文獻        189
第10章 加密        191
10.1 加密簡史        191
10.1.1 早期編碼        191
10.1.2 更現(xiàn)代的代碼        192
10.2 對稱密鑰加密        193
10.3 公鑰加密算法        195
10.4 公鑰基礎(chǔ)設(shè)施        195
10.4.1 結(jié)構(gòu)和功能        196
10.4.2 CA的層次        196
10.4.3 證書的模板和注冊        196
10.4.4 撤銷        197
10.4.5 角色分離        197
10.4.6 交叉認證        198
10.5 遵循標準        198
10.5.1 NIST        198
10.5.2 ISO 27002        198
10.5.3 COBIT        198
10.6 本章小結(jié)        199
10.7 參考文獻        199
第11章 存儲安全        201
11.1 存儲安全的演化        201
11.2 現(xiàn)代存儲安全        202
11.2.1 存儲基礎(chǔ)設(shè)施        202
11.2.2 存儲網(wǎng)絡(luò)        204
11.2.3 陣列        205
11.2.4 服務(wù)器        205
11.2.5 管理通道        206
11.2.6 數(shù)據(jù)的風(fēng)險        206
11.3 風(fēng)險整治        208
11.3.1 機密性風(fēng)險        208
11.3.2 完整性風(fēng)險        211
11.3.3 可用性風(fēng)險        212
11.4 最佳實踐        214
11.4.1 分區(qū)        214
11.4.2 陣列        214
11.4.3 服務(wù)器        214
11.4.4 員工        214
11.4.5 異地數(shù)據(jù)存儲        214
11.5 本章小結(jié)        215
11.6 參考文獻        215
第12章 數(shù)據(jù)庫安全        217
12.1 常用的數(shù)據(jù)庫安全概念        217
12.2 理解數(shù)據(jù)庫安全層次        218
12.2.1 服務(wù)器級安全        218
12.2.2 網(wǎng)絡(luò)級安全        219
12.2.3 操作系統(tǒng)安全        220
12.3 理解數(shù)據(jù)庫級安全        221
12.3.1 數(shù)據(jù)庫管理安全        221
12.3.2 數(shù)據(jù)庫角色和權(quán)限        222
12.3.3 對象級安全        223
12.3.4 使用其他數(shù)據(jù)庫對象的安全        225
12.4 使用應(yīng)用程序安全        226
12.4.1 應(yīng)用程序級安全性的限制        228
12.4.2 支持互聯(lián)網(wǎng)應(yīng)用程序        228
12.5 數(shù)據(jù)庫備份與恢復(fù)        230
12.5.1 確定備份約束        230
12.5.2 確定恢復(fù)需求        231
12.5.3 數(shù)據(jù)庫備份的類型        231
12.6 保持服務(wù)器更新        232
12.7 數(shù)據(jù)庫審計與監(jiān)控        232
12.7.1 審查審計日志        233
12.7.2 數(shù)據(jù)庫監(jiān)控        234
12.8 本章小結(jié)        234
12.9 參考文獻        234
第Ⅲ部分 網(wǎng) 絡(luò) 安 全
第13章 網(wǎng)絡(luò)安全設(shè)計        237
13.1 安全的網(wǎng)絡(luò)設(shè)計簡介        238
13.1.1 可接受的風(fēng)險        238
13.1.2 網(wǎng)絡(luò)的安全設(shè)計        238
13.1.3 設(shè)計合適的網(wǎng)絡(luò)        239
13.1.4 安全的成本        239
13.2 性能        240
13.3 可用性        242
13.4 安全性        244
13.4.1 無線對邊界的影響        245
13.4.2 遠程訪問注意事項        246
13.4.3 內(nèi)部安全實踐        246
13.4.4 內(nèi)部網(wǎng)、外部網(wǎng)和DMZ區(qū)        247
13.4.5 出站過濾        250
13.5 遵循的標準        251
13.5.1 NIST        251
13.5.2 ISO 27002        251
13.5.3 COBIT        252
13.6 本章小結(jié)        252
13.7 參考文獻        252
第14章 網(wǎng)絡(luò)設(shè)備安全        253
14.1 路由器和交換機基線配置        253
14.1.1 MAC地址、IP地址和ARP        253
14.1.2 TCP/IP協(xié)議        254
14.1.3 集線器        256
14.1.4 交換機        257
14.1.5 路由器        258
14.2 網(wǎng)絡(luò)加固        260
14.2.1 安裝補丁        260
14.2.2 交換機安全實踐        260
14.2.3 訪問控制列表        261
14.2.4 禁用多余服務(wù)        261
14.2.5 管理實踐        262
14.2.6 互聯(lián)網(wǎng)消息控制協(xié)議(ICMP)        266
14.2.7 反欺騙及源路由        267
14.2.8 日志        268
14.3 本章小結(jié)        268
14.4 參考文獻        268
第15章 防火墻        269
15.1 概述        269
15.1.1 防火墻的發(fā)展歷程        269
15.1.2 應(yīng)用控制        270
15.1.3 防火墻的必備功能        271
15.1.4 防火墻核心功能        272
15.1.5 防火墻附加功能        275
15.2 防火墻設(shè)計        276
15.2.1 防火墻的優(yōu)勢和劣勢        276
15.2.2 防火墻部署        277
15.2.3 防火墻配置        277
15.3 本章小結(jié)        277
15.4 參考文獻        277
第16章 虛擬專用網(wǎng)        279
16.1 VPN的工作原理        279
16.2 VPN協(xié)議        280
16.2.1 IPSec        280
16.2.2 認證頭AH        281
16.2.3 封裝安全載荷ESP        281
16.2.4 AH和ESP比較        282
16.2.5 點對點隧道協(xié)議PPTP        282
16.2.6 基于IPSec的二層隧道協(xié)議L2TP        282
16.2.7 SSL VPNs        282
16.3 遠程訪問VPN的安全        283
16.3.1 認證過程        283
16.3.2 客戶端配置        284
16.3.3 客戶端網(wǎng)絡(luò)環(huán)境        286
16.3.4 離線客戶活動        288
16.4 站到站VPN的安全        289
16.5 本章小結(jié)        289
16.6 參考文獻        290
第17章 無線網(wǎng)絡(luò)的安全性        291
17.1 射頻安全性基礎(chǔ)知識        292
17.1.1 射頻知識安全效益        292
17.1.2 第一層的安全解決方案        293
17.2 數(shù)據(jù)鏈路層的無線安全功能、缺陷和威脅        302
17.2.1 果殼中的802.11和802.15數(shù)據(jù)鏈路層        302
17.2.2 802.11和802.15數(shù)據(jù)鏈路層的漏洞和威脅        303
17.2.3 封閉系統(tǒng)的SSID、MAC 過濾和協(xié)議過濾        304
17.2.4 內(nèi)置藍牙網(wǎng)絡(luò)數(shù)據(jù)鏈路的安全和威脅        304
17.3 無線漏洞和緩解        305
17.3.1 有線側(cè)漏        305
17.3.2 流氓接入點        306
17.3.3 錯誤配置接入點        307
17.3.4 無線釣魚        307
17.3.5 客戶端隔離        307
17.4 無線網(wǎng)絡(luò)的強化措施和建議        308
17.4.1 無線安全標準        308
17.4.2 臨時密鑰完整性協(xié)議和計數(shù)器模式CBC-MAC協(xié)議        308
17.4.3 基于802.1x的認證和EAP方法        309
17.5 無線入侵檢測和預(yù)防        310
17.5.1 無線IPS和IDS        311
17.5.2 藍牙IPS        312
17.6 無線網(wǎng)絡(luò)定位和安全網(wǎng)關(guān)        312
17.7 本章小結(jié)        313
17.8 參考文獻        313
第18章 入侵檢測和入侵防御系統(tǒng)        315
18.1 IDS的概念        315
18.1.1 威脅類型        316
18.1.2 第一代的IDS        319
18.1.3 第二代的IDS        320
18.2 IDS的種類及檢測模型        320
18.2.1 基于主機的IDS(HIDS)        321
18.2.2 基于網(wǎng)絡(luò)的IDS(NIDS)        322
18.2.3 異常檢測(AD)模型        323
18.2.4 應(yīng)該使用什么類型的IDS        326
18.3 IDS的特點        326
18.3.1 IDS終端用戶界面        326
18.3.2 入侵防御系統(tǒng)(IPS)        327
18.3.3 IDS的管理        328
18.3.4 IDS日志和警報        330
18.4 IDS部署注意事項        331
18.4.1 IDS微調(diào)        331
18.4.2 IPS部署計劃        332
18.5 安全信息和事件管理(SIEM)        333
18.5.1 數(shù)據(jù)聚合        333
18.5.2 分析        335
18.5.3 操作界面        335
18.5.4 其他SIEM產(chǎn)品特點        336
18.6 本章小結(jié)        336
18.7 參考文獻        337
第19章 網(wǎng)絡(luò)電話和程控交換機安全        339
19.1 背景        339
19.2 VoIP部件        341
19.2.1 呼叫控制        342
19.2.2 語音和媒體網(wǎng)關(guān)和網(wǎng)守        342
19.2.3 多會議單元        343
19.2.4 硬件終端        344
19.2.5 軟件終端        344
19.2.6 呼叫和聯(lián)絡(luò)中心組件        345
19.2.7 語音信箱系統(tǒng)        345
19.3 VoIP的漏洞及對策        346
19.3.1 老生常談，故伎重演：原始黑客        346
19.3.2 漏洞和攻擊        348
19.3.3 協(xié)議        350
19.3.4 安全性：系統(tǒng)集成商和VoIP托管        356
19.4 PBX        360
19.4.1 破解PBX        361
19.4.2 保護PBX        361
19.5 TEM：電信費用管理        362
19.6 本章小結(jié)        362
19.7 參考文獻        363
第Ⅳ部分 計算機安全
第20章 操作系統(tǒng)安全模型        367
20.1 操作系統(tǒng)安全模型        367
20.1.1 底層協(xié)議是不安全的        367
20.1.2 訪問控制列表        369
20.1.3 強制訪問控制(MAC)與自主訪問控制(DAC)        369
20.2 經(jīng)典安全模型        370
20.2.1 Bell-LaPadula模型        370
20.2.2 Biba模型        370
20.2.3 Clark-Wilson模型        371
20.2.4 TCSEC        371
20.2.5 標簽        373
20.3 參考監(jiān)視器        374
20.3.1 參考監(jiān)視器的概念        374
20.3.2 Windows安全參考監(jiān)視器        374
20.4 可信計算        375
20.5 操作系統(tǒng)安全的國際標準        375
20.5.1 通用標準        375
20.5.2 通用標準的起源        376
20.5.3 通用標準部分        376
20.5.4 保護配置文件和安全目標        377
20.5.5 通用標準存在的問題        377
20.6 本章小結(jié)        377
20.7 參考文獻        377
第21章 Unix安全        379
21.1 初始化安裝        379
21.2 保護Unix系統(tǒng)        380
21.2.1 減少攻擊面        381
21.2.2 安裝安全軟件        382
21.2.3 配置安全設(shè)置        387
21.2.4 保持軟件更新        393
21.3 把服務(wù)器放入網(wǎng)絡(luò)區(qū)域        393
21.4 加強身份驗證流程        393
21.4.1 需要強有力的密碼        393
21.4.2 采用其他密碼方式        394
21.4.3 限制系統(tǒng)的物理訪問        394
21.5 限制管理員的數(shù)量和管理員的特權(quán)        395
21.6 備份系統(tǒng)        395
21.7 訂閱安全列表        395
21.8 符合標準        396
21.9 本章小結(jié)        397
21.10 參考文獻        397
第22章 Windows操作系統(tǒng)的安全性        399
22.1 確保Windows操作系統(tǒng)的安全性        399
22.1.1 禁用Windows系統(tǒng)服務(wù)項目和刪除軟件        400
22.1.2 安全配置剩余軟件        406
22.1.3 使用組策略來管理設(shè)置        407
22.1.4 計算機策略        407
22.1.5 用戶策略        408
22.1.6 安全配置和分析        410
22.1.7 組策略        411
22.1.8 安裝安全軟件        414
22.1.9 應(yīng)用程序白名單        415
22.1.10 定期安裝系統(tǒng)補丁        415
22.1.11 將網(wǎng)絡(luò)劃分為信任區(qū)域        416
22.1.12 屏蔽和過濾對服務(wù)的
訪問        416
22.1.13 減輕欺詐端口的影響        416
22.1.14 加強認證過程        417
22.1.15 要求、促進和訓(xùn)練用戶使用高強度密碼        417
22.1.16 使用密碼替代品        418
22.1.17 應(yīng)用技術(shù)和物理控制保護接入點        419
22.1.18 修改Windows身份驗證系統(tǒng)的默認設(shè)置        419
22.1.19 限制管理員的數(shù)量以及特權(quán)        420
22.1.20 需要用管理員權(quán)限訪問文件和注冊表的應(yīng)用程序        420
22.1.21 權(quán)限提升的需要        421
22.1.22 程序員作為管理員        421
22.1.23 要求管理員使用runas        421
22.2 活動目錄域體系結(jié)構(gòu)        422
22.2.1 邏輯安全邊界        422
22.2.2 基于角色的管理        428
22.2.3 基于角色的安全配置方法        429
22.3 遵循標準        430
22.3.1 NIST        430
22.3.2 ISO 27002        431
22.3.3 COBIT        432
22.4 本章小結(jié)        432
22.5 參考文獻        432
第23章 保護基礎(chǔ)設(shè)施服務(wù)        435
23.1 電子郵件        435
23.1.1 協(xié)議的缺陷及應(yīng)對措施        436
23.1.2 垃圾郵件及垃圾郵件控制        447
23.1.3 惡意軟件及惡意軟件控制        450
23.2 Web服務(wù)器        450
23.2.1 攻擊的類型        451
23.2.2 Web服務(wù)器的保護        453
23.3 DNS服務(wù)器        454
23.3.1 安裝補丁        455
23.3.2 阻止未經(jīng)許可的區(qū)域傳輸        455
23.3.3 DNS緩存污染        456
23.4 代理服務(wù)器        456
23.4.1 HTTP代理        456
23.4.2 FTP代理        457
23.4.3 直接映射        457
23.4.4 POP3代理        458
23.4.5 HTTP連接        458
23.4.6 反向代理        458
23.5 本章小結(jié)        459
23.6 參考文獻        459
第24章 虛擬機和云計算        461
24.1 虛擬機        461
24.1.1 保護管理程序        461
24.1.2 保護客機操作系統(tǒng)        462
24.1.3 保護虛擬存儲器        462
24.1.4 保護虛擬網(wǎng)絡(luò)        463
24.1.5 NIST Special Publication 800-125        463
24.2 云計算        463
24.2.1 云服務(wù)類型        464
24.2.2 云計算的安全效益        464
24.2.3 安全考慮        465
24.2.4 云計算風(fēng)險和補救        467
24.3 本章小結(jié)        476
24.4 參考文獻        476
第25章 確保移動設(shè)備的安全性        479
25.1 移動設(shè)備風(fēng)險        479
25.1.1 設(shè)備風(fēng)險        479
25.1.2 應(yīng)用程序風(fēng)險        481
25.2 移動設(shè)備安全        482
25.2.1 內(nèi)置的安全功能        482
25.2.2 移動設(shè)備管理        484
25.2.3 數(shù)據(jù)丟失防護        487
25.3 本章小結(jié)        487
25.4 參考文獻        487
第Ⅴ部分　應(yīng)用程序安全
第26章 安全的應(yīng)用程序設(shè)計        491
26.1 安全開發(fā)生命周期        491
26.2 應(yīng)用程序安全實踐        492
26.2.1 安全培訓(xùn)        492
26.2.2 安全開發(fā)基礎(chǔ)設(shè)施        492
26.2.3 安全要求        493
26.2.4 安全設(shè)計        493
26.2.5 威脅建模        493
26.2.6 安全編碼        493
26.2.7 安全代碼審查        493
26.2.8 安全測試        493
26.2.9 安全文檔        493
26.2.10 安全發(fā)布管理        494
26.2.11 相關(guān)補丁監(jiān)控        494
26.2.12 產(chǎn)品安全事件響應(yīng)        494
26.2.13 決策繼續(xù)        494
26.3 Web應(yīng)用程序安全        494
26.3.1 SQL注入        494
26.3.2 表單和腳本        499
26.3.3 cookie和會話管理        500
26.3.4 一般攻擊        502
26.3.5 Web應(yīng)用程序安全結(jié)論        502
26.4 客戶端應(yīng)用程序安全        503
26.4.1 運行權(quán)限        503
26.4.2 應(yīng)用程序管理        504
26.4.3 與操作系統(tǒng)安全的集成        504
26.4.4 應(yīng)用程序更新        505
26.5 遠程管理安全        506
26.5.1 實施遠程管理的原因        506
26.5.2 使用Web界面進行遠程管理        506
26.5.3 驗證基于Web的遠程管理        507
26.5.4 自定義遠程管理        508
26.6 本章小結(jié)        509
26.7 參考文獻        509
第27章 編寫安全軟件        511
27.1 安全漏洞：原因及預(yù)防        511
27.1.1 緩沖區(qū)溢出        512
27.1.2 整數(shù)溢出        515
27.1.3 跨站點腳本        517
27.1.4 SQL注入        522
27.2 白名單與黑名單        525
27.3 本章小結(jié)        526
27.4 參考文獻        526
第28章 J2EE安全        527
28.1 Java和J2EE概述        527
28.1.1 Java語言        527
28.1.2 對JVM的攻擊        529
28.2 J2EE架構(gòu)        529
28.2.1 servlet        529
28.2.2 JSP        530
28.2.3 EJB        532
28.2.4 容器        533
28.3 認證和授權(quán)        534
28.3.1 J2EE認證        534
28.3.2 J2EE授權(quán)        535
28.4 協(xié)議        536
28.4.1 HTTP        537
28.4.2 HTTPS        538
28.4.3 Web服務(wù)協(xié)議        540
28.4.4 IIOP        540
28.4.5 JRMP        542
28.4.6 專有通信協(xié)議        542
28.4.7 JMS        543
28.4.8 JDBC        543
28.5 本章小結(jié)        543
28.6 參考文獻        544
第29章 Windows .NET安全        545
29.1 .NET的核心安全功能        545
29.1.1 托管代碼        545
29.1.2 基于角色的安全性        549
29.1.3 代碼訪問安全性        552
29.1.4 應(yīng)用程序域和獨立存儲        559
29.2 .NET中的應(yīng)用程序級安全        562
29.2.1 使用加密功能        562
29.2.2 .NET遠程調(diào)用安全性        569
29.2.3 保護Web服務(wù)和Web應(yīng)用程序        570
29.3 本章小結(jié)        572
29.4 參考文獻        573
第30章 控制應(yīng)用程序行為        575
30.1 基于網(wǎng)絡(luò)的應(yīng)用程序控制        575
30.1.1 訪問控制面臨的問題        576
30.1.2 應(yīng)用程序可見度        577
30.1.3 控制應(yīng)用程序通信        578
30.2 基于計算機的應(yīng)用程序控制        579
30.2.1 應(yīng)用程序白名單軟件        580
30.2.2 應(yīng)用程序安全設(shè)置        581
30.3 本章小結(jié)        583
30.4 參考文獻        583
第Ⅵ部分　安 全 操 作
第31章 安全操作管理        587
31.1 溝通和報告        587
31.2 變更管理        589
31.3 合法使用執(zhí)法        591
31.3.1 合法使用執(zhí)法的例子        591
31.3.2 主動執(zhí)法        591
31.4 行政安全        592
31.5 管理措施        592
31.6 問責(zé)控制        593
31.7 緊跟時事        597
31.8 事件響應(yīng)        598
31.9 本章小結(jié)        599
31.10 參考文獻        600
第32章 災(zāi)難恢復(fù)、業(yè)務(wù)連續(xù)性、備份
以及高可用性        601
32.1 災(zāi)難恢復(fù)        601
32.2 業(yè)務(wù)連續(xù)性計劃        602
32.2.1 業(yè)務(wù)連續(xù)性計劃的4個組成部分        602
32.2.2 第三方供應(yīng)商問題        605
32.2.3 認知培訓(xùn)計劃        605
32.3 備份        606
32.3.1 傳統(tǒng)備份方法        606
32.3.2 非傳統(tǒng)備份方案和前沿方法        610
32.3.3 備份策略        610
32.4 高可用性        611
32.4.1 自動冗余方法        612
32.4.2 手動冗余方法        614
32.5 遵循標準        614
32.5.1 ISO 27002        614
32.5.2 COBIT        615
32.6 本章小結(jié)        616
32.7 參考文獻        616
第33章 事件響應(yīng)和取證分析        617
33.1 事件響應(yīng)        617
33.1.1 事件檢測        618
33.1.2 響應(yīng)和控制        618
33.1.3 恢復(fù)和重新開始        619
33.1.4 評估和改進        619
33.2 取證        620
33.2.1 法律要求        620
33.2.2 證據(jù)采集        621
33.2.3 證據(jù)分析        624
33.3 在事件響應(yīng)過程中遵循法律        628
33.3.1 是否聯(lián)系執(zhí)法        628
33.3.2 證據(jù)保全        629
33.3.3 保密和特權(quán)問題        631
33.4 本章小結(jié)        632
33.5 參考文獻        632
第Ⅶ部分　物理安全性
第34章 物理安全性        637
34.1 資產(chǎn)的分類        637
34.2 物理脆弱性評估        638
34.2.1 建筑        638
34.2.2 計算機設(shè)備和外圍設(shè)備        638
34.2.3 文檔        638
34.2.4 記錄和設(shè)備        639
34.3 選擇安全的站點位置        639
34.3.1 便利性        639
34.3.2 采光        640
34.3.3 鄰近其他建筑物        640
34.3.4 靠近執(zhí)法和應(yīng)急響應(yīng)點        640
34.3.5 射頻和無線傳輸攔截        640
34.3.6 公共設(shè)備的可靠性        640
34.3.7 建造和挖掘        641
34.4 保護資產(chǎn)：鎖和入口控制        641
34.4.1 鎖        641
34.4.2 入口控制        642
34.5 物理入侵檢測        643
34.5.1 閉路電視        643
34.5.2 警報器        643
34.6 遵循標準        643
34.6.1 ISO 27002        643
34.6.2 COBIT        644
34.7 本章小結(jié)        646
34.8 參考文獻        646
術(shù)語表        647