《CISSP官方學習指南(第8版)》2019年10月清華大學出版社出版的圖書，作者是[美]邁克·查普爾(Mike Chapple)、 CISSP 詹姆斯·麥可·斯圖爾特。
基本介紹
- 中文名：CISSP官方學習指南（第8版）
- 作者：[美]邁克·查普爾(Mike Chapple)、CISSP 詹姆斯·麥可·斯圖爾特
- 出版社：清華大學出版社
- 出版時間：2019年10月1日
- 定價：158 元
- ISBN：9787302530299
內容簡介,作者簡介,圖書目錄,
內容簡介
100%涵蓋全部考試目標：◆ 安全與風險管理 ◆ 資產安全 ◆ 安全架構和工程 ◆ 通信與網路安全 ◆ 身份和訪問管理 ◆ 安全評估與測試 ◆ 安全運營 ◆ 軟體開發安全。
作者簡介
Mike Chapple，CISSP、博士、Security+、CISA、CySA+，聖母大學IT、分析學和運營學副教授。曾任品牌研究所首席信息官、美國國家安全局和美國空軍信息安全研究員。他主攻網路入侵檢測和訪問控制專業。Mike經常為TechTarget所屬的SearchSecurity網站撰稿，著書逾25本，其中包括《（ISC）：CISSP官方習題集》《CompTIA CSA+學習指南》以及《網路戰：互連世界中的信息戰》。 James Michael Stewart，CISSP、CEH、ECSA、CHFI、Security+、Network+，從事寫作和培訓工作20多年，目前專注於安全領域。自2002年起一直講授CISSP培訓課程，網際網路安全、道德黑客/滲透測試等內容更在他的授課範圍之內。他是超過75部著作以及大量課件的作者和撰稿者，內容涉及安全認證、微軟主題和網路管理，其中包括《Security+ （SY0-501）複習指南》。 Darril Gibson，CISSP、Security+、CASP，YCDA有限責任公司執行長，是40多部著作的作者或共同作者。Darril持有多種專業證書，經常寫作、提供諮詢服務和開展教學，涉及各種技術和安全主題。
圖書目錄
第1章 實現安全治理的原則和策略 1
1.1 理解和套用保密性、完整性及可用性的概念 1
1.1.1 保密性 2
1.1.2 完整性 3
1.1.3 可用性 4
1.1.4 其他安全概念 6
1.1.5 保護機制 8
1.1.6 分層 9
1.1.7 抽象 9
1.1.8 數據隱藏 9
1.1.9 加密 10
1.2 評估和套用安全治理原則 10
1.2.1 與業務戰略、目標、使命和宗旨相一致的安全功能 10
1.2.2 組織的流程 12
1.2.3 組織的角色與責任 16
1.2.4 安全控制框架 17
1.2.5 應盡關心和盡職審查 18
1.3 開發、記錄和實施安全策略、標準、程式和指南 18
1.3.1 安全策略 18
1.3.2 標準、基線和指南 19
1.3.3 程式 20
1.4 理解與套用威脅建模的概念和方法 21
1.4.1 識別威脅 22
1.4.2 確定和繪製潛在的攻擊 25
1.4.3 執行簡化分析 26
1.4.4 優先權排序和回響 26
1.5 將基於風險的管理理念套用到供應鏈 27
1.6 本章小結 28
1.7 考試要點 29
1.8 書面實驗 31
1.9 複習題 31
第2章 人員安全和風險管理的概念 35
2.1 人員安全策略和程式 36
2.1.1 候選人篩選及招聘 38
2.1.2 僱傭協定及策略 38
2.1.3 入職和離職程式 39
2.1.4 供應商、顧問和承包商的協定和控制 41
2.1.5 合規策略要求 42
2.1.6 隱私策略要求 42
2.2 安全治理 43
2.3 理解並套用風險管理理念 44
2.3.1 風險術語 45
2.3.2 識別威脅和脆弱性 46
2.3.3 風險評估/分析 47
2.3.4 風險回響 53
2.3.5 選擇與實施控制措施 54
2.3.6 適用的控制類型 56
2.3.7 安全控制評估 57
2.3.8 監視和測量 57
2.3.9 資產估值與報告 57
2.3.10 持續改進 58
2.3.11 風險框架 59
2.4 建立和維護安全意識、教育和培訓計畫 60
2.5 管理安全功能 61
2.6 本章小結 62
2.7 考試要點 62
2.8 書面實驗 64
2.9 複習題 64
第3章 業務連續性計畫 68
3.1 業務連續性計畫簡介 68
3.2 項目範圍和計畫 69
3.2.1 業務組織分析 69
3.2.2 選擇BCP團隊 70
3.2.3 資源需求 71
3.2.4 法律和法規要求 72
3.3 業務影響評估 73
3.3.1 確定優先權 74
3.3.2 風險識別 74
3.3.3 可能性評估 75
3.3.4 影響評估 76
3.3.5 資源優先權排序 77
3.4 連續性計畫 77
3.4.1 策略開發 77
3.4.2 預備和處理 78
3.5 計畫批准和實施 79
3.5.1 計畫批准 79
3.5.2 計畫實施 79
3.5.3 培訓和教育 80
3.5.4 BCP文檔化 80
3.6 本章小結 83
3.7 考試要點 83
3.8 書面實驗 84
3.9 複習題 84
第4章 法律、法規和合規 88
4.1 法律的分類 88
4.1.1 刑法 89
4.1.2 民法 90
4.1.3 行政法 90
4.2 法律 90
4.2.1 計算機犯罪 91
4.2.2 智慧財產權 94
4.2.3 許可 97
4.2.4 進口/出口控制 98
4.2.5 隱私 98
4.3 合規 104
4.4 契約和採購 105
4.5 本章小結 105
4.6 考試要點 106
4.7 書面實驗 106
4.8 複習題 107
第5章 保護資產安全 110
5.1 資產識別和分類 110
5.1.1 定義敏感數據 111
5.1.2 定義數據分類 112
5.1.3 定義資產分類 114
5.1.4 確定數據的安全控制 114
5.1.5 理解數據狀態 115
5.1.6 管理信息和資產 116
5.1.7 數據保護方法 121
5.2 定義數據所有權 123
5.2.1 數據所有者 123
5.2.2 資產所有者 124
5.2.3 業務/任務所有者 124
5.2.4 數據使用者 125
5.2.5 管理員 127
5.2.6 託管員 127
5.2.7 用戶 128
5.2.8 保護隱私 128
5.3 使用安全基線 128
5.3.1 範圍界定和按需定製 129
5.3.2 選擇標準 129
5.4 本章小結 130
5.5 考試要點 130
5.6 書面實驗 131
5.7 複習題 131
第6章 密碼學和對稱密鑰算法 135
6.1 密碼學的歷史裡程碑 135
6.1.1 凱撒密碼 136
6.1.2 美國南北戰爭 136
6.1.3 Ultra與Enigma 137
6.2 密碼學基本知識 137
6.2.1 密碼學的目標 137
6.2.2 密碼學的概念 139
6.2.3 密碼數學 140
6.2.4 密碼 144
6.3 現代密碼學 149
6.3.1 密碼密鑰 149
6.3.2 對稱密鑰算法 150
6.3.3 非對稱密鑰算法 151
6.3.4 散列算法 153
6.4 對稱密碼 154
6.4.1 數據加密標準 154
6.4.2 三重DES 155
6.4.3 國際數據加密算法 156
6.4.4 Blowfish 157
6.4.5 Skipjack 157
6.4.6 高級加密標準 157
6.4.7 對稱密鑰管理 158
6.5 密碼生命周期 160
6.6 本章小結 160
6.7 考試要點 161
6.8 書面實驗 162
6.9 複習題 162
第7章 PKI和密碼套用 166
7.1 非對稱密碼 166
7.1.1 公鑰和私鑰 167
7.1.2 RSA 167
7.1.3 El Gamal 169
7.1.4 橢圓曲線 169
7.2 散列函式 170
7.2.1 SHA 171
7.2.2 MD2 171
7.2.3 MD4 171
7.2.4 MD5 172
7.3 數字簽名 172
7.3.1 HMAC 173
7.3.2 數字簽名標準 174
7.4 公鑰基礎設施 174
7.4.1 證書 174
7.4.2 發證機構 175
7.4.3 證書的生成和銷毀 176
7.5 非對稱密鑰管理 177
7.6 套用密碼學 178
7.6.1 便攜設備 178
7.6.2 電子郵件 179
7.6.3 Web應用程式 180
7.6.4 數字著作權管理 182
7.6.5 聯網 185
7.7 密碼攻擊 187
7.8 本章小結 189
7.9 考試要點 190
7.10 書面實驗 191
7.11 複習題 191
第8章 安全模型、設計和能力的原則 195
8.1 使用安全設計原則實施和管理工程過程 195
8.1.1 客體和主體 196
8.1.2 封閉系統和開放系統 196
8.1.3 用於確保保密性、完整性和可用性的技術 197
8.1.4 控制 198
8.1.5 信任與保證 198
8.2 理解安全模型的基本概念 199
8.2.1 可信計算基 200
8.2.2 狀態機模型 201
8.2.3 信息流模型 201
8.2.4 非干擾模型 202
8.2.5 Take-Grant模型 202
8.2.6 訪問控制矩陣 203
8.2.7 Bell-LaPadula模型 204
8.2.8 Biba模型 206
8.2.9 Clark-Wilson模型 207
8.2.10 Brewer and Nash模型 208
8.2.11 Goguen-Meseguer模型 208
8.2.12 Sutherland模型 209
8.2.13 Graham-Denning模型 209
8.3 基於系統安全需求選擇控制措施 209
8.3.1 彩虹系列 210
8.3.2 TCSEC分類和所需功能 211
8.3.3 通用準則 214
8.3.4 行業和國際安全實施指南 217
8.3.5 認證和鑑定 217
8.4 理解信息系統的安全功能 219
8.4.1 記憶體保護 219
8.4.2 虛擬化 220
8.4.3 可信平台模組 220
8.4.4 接口 220
8.4.5 容錯 221
8.5 本章小結 221
8.6 考試要點 221
8.7 書面實驗 222
8.8 複習題 222
第9章 安全漏洞、威脅和對策 226
9.1 評估和緩解安全漏洞 227
9.1.1 硬體 227
9.1.2 固件 241
9.2 基於客戶端的系統 242
9.2.1 applet 242
9.2.2 本地快取 244
9.3 基於服務端的系統 245
9.4 資料庫系統安全 246
9.4.1 聚合 246
9.4.2 推理 246
9.4.3 數據挖掘和數據倉庫 247
9.4.4 數據分析 247
9.4.5 大規模並行數據系統 248
9.5 分散式系統和端點安全 248
9.5.1 基於雲的系統和雲計算 250
9.5.2 格線計算 253
9.5.3 對等網路 253
9.6 物聯網 254
9.7 工業控制系統 255
9.8 評估和緩解基於Web系統的漏洞 255
9.9 評估和緩解移動系統的漏洞 259
9.9.1 設備安全 260
9.9.2 套用安全 263
9.9.3 BYOD關注點 264
9.10 評估和緩解嵌入式設備和信息物理系統的漏洞 267
9.10.1 嵌入式系統和靜態系統的示例 267
9.10.2 保護嵌入式和靜態系統的方法 268
9.11 基本安全保護機制 270
9.11.1 技術機制 270
9.11.2 安全策略和計算機架構 272
9.11.3 策略機制 273
9.12 常見的架構缺陷和安全問題 273
9.12.1 隱蔽通道 274
9.12.2 基於設計或編碼缺陷的攻擊和安全問題 274
9.12.3 編程 276
9.12.4 計時、狀態改變和通信中斷 277
9.12.5 技術和過程集成 277
9.12.6 電磁輻射 277
9.13 本章小結 278
9.14 考試要點 278
9.15 書面實驗 280
9.16 複習題 281
第10章 物理安全要求 284
10.1 站點與設施設計的安全原則 285
10.1.1 安全設施計畫 285
10.1.2 站點選擇 285
10.1.3 可見度 286
10.1.4 自然災害 286
10.1.5 設施設計 286
10.2 實現站點與設施安全控制 287
10.2.1 設備故障 288
10.2.2 配線間 288
10.2.3 伺服器間與數據中心 290
10.2.4 介質存儲設施 293
10.2.5 證據存儲 293
10.2.6 受限區與工作區安全 294
10.2.7 基礎設施與HVAC 295
10.2.8 火災預防、探測與消防 297
10.3 物理安全的實現與管理 300
10.3.1 邊界安全控制 300
10.3.2 內部安全控制 303
10.4 本章小結 306
10.5 考試要點 307
10.6 書面實驗 309
10.7 複習題 309
第11章 安全網路架構和保護網路組件 312
11.1 OSI模型 312
11.1.1 OSI模型的歷史 313
11.1.2 OSI功能 313
11.1.3 封裝/解封 314
11.1.4 OSI模型層次 315
11.2 TCP/IP模型 321
11.3 融合協定 334
11.4 無線網路 336
11.4.1 保護無線接入點 336
11.4.2 保護SSID 338
11.4.3 進行現場調查 338
11.4.4 使用安全加密協定 339
11.4.5 天線放置 341
11.4.6 天線類型 342
11.4.7 調整功率電平控制 342
11.4.8 WPS 342
11.4.9 使用強制門戶 343
11.4.10 一般Wi-Fi安全程式 343
11.4.11 無線攻擊 344
11.5 安全網路組件 346
11.5.1 網路訪問控制 347
11.5.2 防火牆 347
11.5.3 端點安全 350
11.5.4 硬體的安全操作 351
11.6 布線、無線、拓撲、通信和
傳輸介質技術 353
11.6.1 傳輸介質 354
11.6.2 網路拓撲 357
11.6.3 無線通信與安全 359
11.6.4 區域網路技術 363
11.7 本章小結 366
11.8 考試要點 367
11.9 書面實驗 369
11.10 複習題 369
第12章 安全通信與網路攻擊 373
12.1 網路與協定安全機制 373
12.1.1 安全通信協定 374
12.1.2 身份驗證協定 374
12.2 語音通信的安全 375
12.2.1 VoIP 375
12.2.2 社會工程 376
12.2.3 欺騙與濫用 377
12.3 多媒體合作 378
12.3.1 遠程會議 379
12.3.2 即時通信 379
12.4 管理郵件安全 379
12.4.1 郵件安全目標 380
12.4.2 理解郵件安全問題 381
12.4.3 郵件安全解決方案 381
12.5 遠程訪問安全管理 383
12.5.1 遠程訪問安全計畫 385
12.5.2 撥接協定 386
12.5.3 中心化遠程身份驗證服務 386
12.6 虛擬專用網 387
12.6.1 隧道技術 387
12.6.2 VPN的工作機理 388
12.6.3 常用的VPN協定 388
12.6.4 虛擬區域網路 390
12.7 虛擬化 391
12.7.1 虛擬軟體 391
12.7.2 虛擬化網路 392
12.8 網路地址轉換 392
12.8.1 私有IP位址 393
12.8.2 有狀態NAT 394
12.8.3 靜態與動態NAT 395
12.8.4 自動私有IP分配 395
12.9 交換技術 396
12.9.1 電路交換 396
12.9.2 分組交換 397
12.9.3 虛電路 397
12.10 WAN技術 398
12.10.1 WAN連線技術 399
12.10.2 撥號封裝協定 401
12.11 多種安全控制特徵 401
12.11.1 透明性 402
12.11.2 驗證完整性 402
12.11.3 傳輸機制 402
12.12 安全邊界 403
12.13 防止或減輕網路攻擊 403
12.13.1 DoS與DDoS 404
12.13.2 竊聽 404
12.13.3 假冒/偽裝 405
12.13.4 重放攻擊 405
12.13.5 修改攻擊 406
12.13.6 地址解析協定欺騙 406
12.13.7 DNS毒化、欺騙及劫持 406
12.13.8 超連結欺騙 407
12.14 本章小結 407
12.15 考試要點 409
12.16 書面實驗 410
12.17 複習題 410
第13章 管理身份和身份驗證 414
13.1 控制對資產的訪問 414
13.1.1 比較主體和客體 415
13.1.2 CIA 三性和訪問控制 416
13.1.3 訪問控制的類型 416
13.2 比較身份識別和身份驗證 418
13.2.1 身份註冊和證明 418
13.2.2 授權和問責 419
13.2.3 身份驗證因素 420
13.2.4 密碼 421
13.2.5 智慧卡和令牌 423
13.2.6 生物識別技術 425
13.2.7 多因素身份驗證 428
13.2.8 設備驗證 429
13.2.9 服務身份驗證 429
13.3 實施身份管理 430
13.3.1 單點登錄 430
13.3.2 憑據管理系統 434
13.3.3 集成身份服務 434
13.3.4 管理會話 435
13.3.5 AAA協定 435
13.4 管理身份和訪問配置生命周期 437
13.4.1 訪問配置 437
13.4.2 賬戶審核 438
13.4.3 賬戶撤消 439
13.5 本章小結 439
13.6 考試要點 440
13.7 書面實驗 441
13.8 複習題 441
第14章 控制和監控訪問 445
14.1 比較訪問控制模型 445
14.1.1 比較許可權、權利和特權 445
14.1.2 理解授權機制 446
14.1.3 使用安全策略定義需求 447
14.1.4 實施縱深防禦 447
14.1.5 總結訪問控制模型 448
14.1.6 自主訪問控制 449
14.1.7 非自主訪問控制 449
14.2 了解訪問控制攻擊 454
14.2.1 風險要素 454
14.2.2 識別資產 455
14.2.3 識別威脅 456
14.2.4 識別漏洞 457
14.2.5 常見的訪問控制攻擊 457
14.2.6 保護方法綜述 465
14.3 本章小結 467
14.4 考試要點 467
14.5 書面實驗 468
14.6 複習題 468
第15章 安全評估與測試 472
15.1 構建安全評估和測試方案 473
15.1.1 安全測試 473
15.1.2 安全評估 474
15.1.3 安全審計 474
15.2 開展漏洞評估 476
15.2.1 漏洞描述 477
15.2.2 漏洞掃描 477
15.2.3 滲透測試 484
15.3 測試軟體 486
15.3.1 代碼審查與測試 486
15.3.2 接口測試 489
15.3.3 誤用例測試 489
15.3.4 測試覆蓋率分析 490
15.3.5 網站監測 490
15.4 實施安全管理流程 491
15.4.1 日誌審查 491
15.4.2 賬戶管理 491
15.4.3 備份驗證 492
15.4.4 關鍵績效和風險指標 492
15.5 本章小結 492
15.6 考試要點 493
15.7 書面實驗 494
15.8 複習題 494
第16章 安全運營管理 498
16.1 套用安全運營概念 498
16.1.1 知其所需和最小特權 499
16.1.2 職責分離 500
16.1.3 崗位輪換 502
16.1.4 強制休假 503
16.1.5 特權賬戶管理 503
16.1.6 管理信息生命周期 504
16.1.7 服務水平協定 505
16.1.8 關注人員安全 506
16.2 安全配置資源 507
16.2.1 管理硬體和軟體資產 507
16.2.2 保護物理資產 508
16.2.3 管理虛擬資產 509
16.2.4 管理雲資產 509
16.2.5 介質管理 510
16.3 配置管理 513
16.3.1 基線 513
16.3.2 使用鏡像技術創建基線 513
16.4 變更管理 514
16.4.1 安全影響分析 516
16.4.2 版本控制 516
16.4.3 配置文檔 517
16.5 補丁管理和漏洞減少 517
16.5.1 系統管理 517
16.5.2 補丁管理 518
16.5.3 漏洞管理 519
16.5.4 常見的漏洞和風險 520
16.6 本章小結 521
16.7 考試要點 521
16.8 書面實驗 522
16.9 複習題 523
第17章 事件的預防和回響 526
17.1 事件回響管理 527
17.1.1 事件的定義 527
17.1.2 事件回響步驟 527
17.2 落實檢測和預防措施 532
17.2.1 基本預防措施 532
17.2.2 了解攻擊 533
17.2.3 入侵檢測和預防系統 540
17.2.4 具體預防措施 545
17.3 日誌記錄、監測和審計 553
17.3.1 日誌記錄和監測 553
17.3.2 出口監測 559
17.3.3 效果評價審計 561
17.3.4 安全審計和審查 564
17.3.5 報告審計結果 564
17.4 本章小結 566
17.5 考試要點 567
17.6 書面實驗 569
17.7 複習題 570
第18章 災難恢復計畫 573
18.1 災難的本質 574
18.1.1 自然災難 574
18.1.2 人為災難 577
18.2 理解系統恢復和容錯能力 580
18.2.1 保護硬碟驅動器 581
18.2.2 保護伺服器 582
18.2.3 保護電源 583
18.2.4 受信恢復 583
18.2.5 服務質量 584
18.3 恢復策略 585
18.3.1 確定業務單元的優先順序 585
18.3.2 危機管理 586
18.3.3 應急通信 586
18.3.4 工作組恢復 586
18.3.5 可替代的工作站點 587
18.3.6 相互援助協定 590
18.3.7 資料庫恢復 590
18.4 恢復計畫開發 592
18.4.1 緊急事件回響 592
18.4.2 人員通知 593
18.4.3 評估 593
18.4.4 備份和離站存儲 593
18.4.5 軟體託管協定 596
18.4.6 外部通信 597
18.4.7 公用設施 597
18.4.8 物流和供應 597
18.4.9 恢復與還原的比較 597
18.5 培訓、意識與文檔記錄 598
18.6 測試與維護 599
18.6.1 通讀測試 599
18.6.2 結構化演練 599
18.6.3 模擬測試 599
18.6.4 並行測試 599
18.6.5 完全中斷測試 599
18.6.6 維護 600
18.7 本章小結 600
18.8 考試要點 600
18.9 書面實驗 601
18.10 複習題 601
第19章 調查和道德 605
19.1 調查 605
19.1.1 調查的類型 606
19.1.2 證據 607
19.1.3 調查過程 610
19.2 計算機犯罪的主要類別 613
19.2.1 軍事和情報攻擊 613
19.2.2 商業攻擊 614
19.2.3 財務攻擊 614
19.2.4 恐怖攻擊 614
19.2.5 惡意攻擊 615
19.2.6 興奮攻擊 616
19.3 道德規範 616
19.3.1 (ISC)2的道德規範 616
19.3.2 道德規範和網際網路 617
19.4 本章小結 618
19.5 考試要點 618
19.6 書面實驗 619
19.7 複習題 619
第20章 軟體開發安全 623
20.1 系統開發控制概述 623
20.1.1 軟體開發 624
20.1.2 系統開發生命周期 628
20.1.3 生命周期模型 630
20.1.4 甘特圖與PERT 635
20.1.5 變更和配置管理 635
20.1.6 DevOps方法 636
20.1.7 套用編程接口 637
20.1.8 軟體測試 638
20.1.9 代碼倉庫 639
20.1.10 服務水平協定 639
20.1.11 軟體採購 640
20.2 創建資料庫和數據倉儲 640
20.2.1 資料庫管理系統的體系結構 641
20.2.2 資料庫事務 643
20.2.3 多級資料庫的安全性 644
20.2.4 ODBC 646
20.2.5 NoSQL 646
20.3 存儲數據和信息 647
20.3.1 存儲器的類型 647
20.3.2 存儲器威脅 647
20.4 理解基於知識的系統 648
20.4.1 專家系統 648
20.4.2 機器學習 649
20.4.3 神經網路 649
20.4.4 安全性套用 649
20.5 本章小結 650
20.6 考試要點 650
20.7 書面實驗 651
20.8 複習題 651
第21章 惡意代碼和套用攻擊 654
21.1 惡意代碼 654
21.1.1 惡意代碼的來源 654
21.1.2 病毒 655
21.1.3 邏輯炸彈 659
21.1.4 特洛伊木馬 660
21.1.5 蠕蟲 661
21.1.6 間諜軟體與廣告軟體 662
21.1.7 零日(Zero-Day)攻擊 663
21.2 密碼攻擊 663
21.2.1 密碼猜測攻擊 663
21.2.2 字典攻擊 664
21.2.3 社會工程學 665
21.2.4 對策 666
21.3 應用程式攻擊 666
21.3.1 緩衝區溢出 666
21.3.2 檢驗時間到使用時間 667
21.3.3 後門 667
