圖書簡介
《CISSP認證考試指南(第5版)》提供最新最全的資源,涵蓋通過CISSP(Certified Information Systems Security Professional,信息系統安全專家認證)考試所需的全部信息,內容涉及(ISC)2(International Information Systems Security Certification Consortium,國際信息系統安全認證協會)規定的10個考試領域。本書在每一章開頭都明確學習目標,隨後提供考試提示、練習題和深入的解釋。本書不僅能夠幫助您通過CISSP考試,也是您工作中不可缺少的參考資料。
圖書目錄
第1章成為一名CISSP 1
1.1成為CISSP的理由 1
1.2CISSP考試 2
1.3CISSP認證的發展簡史 6
1.4如何成為一名CISSP 6
1.5本書概要 7
1.6CISSP應試小貼士 7
1.7本書使用指南 8
1.7.1問題 9
1.7.2答案 12
第2章計算機安全的發展趨勢 13
2.1安全已成為一個難題 13
2.2安全所涉及的領域 15
2.3信息戰 16
2.3.1黑客活動的最新進展 17
2.3.2信息安全對國家的影響 19
2.3.3信息安全對公司的影響 20
2.3.4美國政府的相關行動 22
2.4政治和法律 24
2.5黑客與攻擊 26
2.6管理 27
2.7分層模式 29
2.7.1結構化分析方法 30
2.7.2遺漏的一層 30
2.7.3將所有的層結合在一起 31
2.8教育 31
2.9小結 32
第3章信息安全與風險管理 33
3.1安全管理 33
3.1.1安全管理職責 34
3.1.2自頂而下的安全方式 35
3.2安全管理與支持控制 35
3.2.1安全的基本原則 37
3.2.2可用性 37
3.2.3完整性 38
3.2.4機密性 38
3.2.5安全定義 39
3.2.6通過隱匿實現安全 40
3.3組織化安全模型 41
3.4信息風險管理 52
3.4.1誰真正了解風險管理 52
3.4.2信息風險管理策略 53
3.4.3風險管理團隊 53
3.5風險分析 54
3.5.1風險分析團隊 55
3.5.2信息和資產的價值 55
3.5.3構成價值的成本 56
3.5.4識別威脅 56
3.5.5失效和故障分析 59
3.5.6定量風險分析 61
3.5.7定性風險分析 65
3.5.8定量與定性的對比 66
3.5.9保護機制 67
3.5.10綜合考慮 70
3.5.11總風險與剩餘風險 70
3.5.12處理風險 71
3.6策略、措施、標準、基準
和指導原則 72
3.6.1安全策略 73
3.6.2標準 75
3.6.3基準 75
3.6.4指導原則 76
3.6.5措施 76
3.6.6實施 77
3.7信息分類 77
3.7.1私有企業與軍事機構的
分類比較 78
3.7.2分類控制 80
3.8責任分層 81
3.8.1涉及的人員 81
3.8.2數據所有者 87
3.8.3數據看管員 87
3.8.4系統所有者 87
3.8.5安全管理員 88
3.8.6安全分析員 88
3.8.7應用程式所有者 88
3.8.8監督員 88
3.8.9變更控制分析員 88
3.8.10數據分析員 88
3.8.11過程所有者 89
3.8.12解決方案提供商 89
3.8.13用戶 89
3.8.14生產線經理 89
3.8.15審計員 89
3.8.16為何需要這么多角色 90
3.8.17員工 90
3.8.18結構 90
3.8.19招聘實踐 91
3.8.20雇員控制 92
3.8.21解僱 93
3.9安全意識培訓 93
3.9.1各種類型的安全意識培訓 93
3.9.2計畫評估 94
3.9.3專門的安全培訓 95
3.10小結 95
3.11快速提示 96
3.11.1問題 98
3.11.2答案 103
第4章訪問控制 107
4.1訪問控制概述 107
4.2安全原則 108
4.2.1可用性 108
4.2.2完整性 109
4.2.3機密性 109
4.3身份標識、身份驗證、授權
與可問責性 109
4.3.1身份標識與身份驗證 111
4.3.2密碼管理 119
4.3.3授權 137
4.4訪問控制模型 148
4.4.1自主訪問控制 149
4.4.2強制訪問控制 149
4.4.3角色型訪問控制 151
4.5訪問控制方法和技術 153
4.5.1規則型訪問控制 153
4.5.2限制性用戶接口 154
4.5.3訪問控制矩陣 154
4.5.4內容相關訪問控制 155
4.5.5上下文相關訪問控制 156
4.6訪問控制管理 156
4.6.1集中式訪問控制管理 157
4.6.2分散式訪問控制管理 162
4.7訪問控制方法 162
4.7.1訪問控制層 163
4.7.2行政管理性控制 163
4.7.3物理性控制 164
4.7.4技術性控制 165
4.8訪問控制類型 167
4.8.1預防:行政管理方面 169
4.8.2預防:物理方面 169
4.8.3預防:技術方面 169
4.9可問責性 171
4.9.1審計信息的檢查 172
4.9.2擊鍵監控 173
4.9.3保護審計數據
和日誌信息 173
4.10訪問控制實踐 173
4.11訪問控制監控 176
4.11.1入侵檢測 176
4.11.2入侵防禦系統 183
4.12對訪問控制的幾種威脅 184
4.12.1字典攻擊 185
4.12.2蠻力攻擊 185
4.12.3登錄欺騙 186
4.13小結 189
4.14快速提示 189
4.14.1問題 191
4.14.2答案 196
第5章安全體系結構和設計 199
5.1計算機體系結構 200
5.2中央處理單元 201
5.2.1多重處理 204
5.2.2作業系統體系結構 205
5.2.3進程活動 210
5.2.4存儲器管理 211
5.2.5存儲器類型 213
5.2.6虛擬存儲器 219
5.2.7CPU模式和保護環 220
5.2.8作業系統體系結構 221
5.2.9域 222
5.2.10分層和數據隱藏 223
5.2.11術語的演變 224
5.2.12虛擬機 225
5.2.13其他存儲設備 226
5.2.14輸入/輸出設備管理 227
5.3系統體系結構 229
5.3.1預定義的主體和
客體子集 230
5.3.2可信計算基 231
5.3.3安全周邊 233
5.3.4引用監控器和安全核心 233
5.3.5安全策略 234
5.3.6最小特權 235
5.4安全模型 235
5.4.1狀態機模型 236
5.4.2Bell-LaPadula模型 238
5.4.3Biba模型 240
5.4.4Clark-Wilson模型 241
5.4.5信息流模型 243
5.4.6無干擾模型 245
5.4.7格子模型 246
5.4.8BrewerandNash模型 247
5.4.9Graham-Denning模型 248
5.4.10Harrison-Ruzzo-Ullman
模型 248
5.5運行安全模式 249
5.5.1專用安全模式 249
5.5.2系統高安全模式 250
5.5.3分隔安全模式 250
5.5.4多級安全模式 250
5.5.5信任與保證 251
5.6系統評估方法 252
5.6.1對產品進行評估的原因 252
5.6.2橘皮書 253
5.7橘皮書與彩虹系列 256
5.8信息技術安全評估準則 258
5.9通用準則 260
5.10認證與鑑定 261
5.10.1認證 263
5.10.2鑑定 263
5.11開放系統與封閉系統 264
5.11.1開放系統 264
5.11.2封閉系統 264
5.12企業體系結構 264
5.13一些對安全模型和體系
結構的威脅 270
5.13.1維護陷阱 271
5.13.2檢驗時間/使用時間
攻擊 271
5.13.3緩衝區溢出 272
5.14小結 276
5.15快速提示 276
5.15.1問題 279
5.15.2答案 282
第6章物理和環境安全 285
6.1物理安全簡介 285
6.2規划過程 287
6.2.1通過環境設計來
預防犯罪 290
6.2.2制訂物理安全計畫 294
6.3保護資產 304
6.4內部支持系統 305
6.4.1電力 305
6.4.2環境問題 309
6.4.3通風 311
6.4.4火災的預防、檢測
和撲滅 311
6.5周邊安全 317
6.5.1設施訪問控制 318
6.5.2人員訪問控制 325
6.5.3外部邊界保護機制 325
6.5.4入侵檢測系統 332
6.5.5巡邏警衛和保全 334
6.5.6安全狗 335
6.5.7對物理訪問進行審計 335
6.5.8測試和演習 335
6.6小結 336
6.7快速提示 336
6.7.1問題 338
6.7.2答案 342
第7章通信與網路安全 345
7.1開放系統互連參考模型 346
7.1.1協定 347
7.1.2套用層 349
7.1.3表示層 350
7.1.4會話層 350
7.1.5傳輸層 351
7.1.6網路層 353
7.1.7數據鏈路層 353
7.1.8物理層 355
7.1.9OSI模型中的功能
和協定 355
7.1.10綜合這些層 357
7.2TCP/IP 357
7.2.1TCP 358
7.2.2IP定址 362
7.2.3IPv6 364
7.3傳輸的類型 365
7.3.1模擬和數字 365
7.3.2異步和同步 366
7.3.3寬頻和基帶 367
7.4LAN網路互聯 367
7.4.1網路拓撲 368
7.4.2LAN介質訪問技術 370
7.4.3布線 375
7.4.4傳輸方法 379
7.4.5介質訪問技術 380
7.4.6LAN協定 382
7.5路由協定 386
7.6網路互聯設備 389
7.6.1中繼器 389
7.6.2網橋 389
7.6.3路由器 391
7.6.4交換機 392
7.6.5網關 396
7.6.6PBX 397
7.6.7防火牆 398
7.6.8蜜罐 411
7.6.9網路分隔與隔離 411
7.7網路互聯服務和協定 412
7.7.1域名服務 412
7.7.2目錄服務 416
7.7.3輕量級目錄訪問協定 417
7.7.4網路地址轉換 418
7.8內聯網與外聯網 419
7.9城域網 420
7.10廣域網 422
7.10.1通信的發展 422
7.10.2專用鏈路 424
7.10.3WAN技術 426
7.11遠程訪問 440
7.11.1撥號和RAS 440
7.11.2ISDN 441
7.11.3DSL 442
7.11.4線纜數據機 443
7.11.5VPN 443
7.11.6身份驗證協定 449
7.11.7遠程訪問指導原則 450
7.12無線技術 451
7.12.1無線通信 451
7.12.2WLAN組件 453
7.12.3無線標準 455
7.12.4WAP 463
7.12.5i-Mode 464
7.12.6行動電話安全 464
7.12.7WLAN戰爭駕駛攻擊 466
7.12.8衛星 466
7.12.93G無線通信 467
7.13rootkit 469
7.13.1間諜軟體和廣告軟體 470
7.13.2即時通信 470
7.14小結 471
7.15快速提示 471
7.15.1問題 474
7.15.2答案 477
第8章密碼術 481
8.1密碼術的歷史 482
8.2密碼術定義與概念 486
8.2.1Kerckhoffs原則 488
8.2.2密碼系統的強度 488
8.2.3密碼系統的服務 488
8.2.4一次性密碼本 490
8.2.5滾動密碼與隱藏密碼 491
8.2.6隱寫術 492
8.3密碼的類型 494
8.3.1替代密碼 494
8.3.2換位密碼 495
8.4加密的方法 496
8.4.1對稱算法與非對稱算法 497
8.4.2對稱密碼術 497
8.4.3分組密碼與流密碼 501
8.4.4混合加密方法 504
8.5對稱系統的類型 509
8.5.1數據加密標準 509
8.5.2三重DES 515
8.5.3高級加密標準 515
8.5.4國際數據加密算法 516
8.5.5Blowfish 516
8.5.6RC4 516
8.5.7RC5 516
8.5.8RC6 516
8.6非對稱系統的類型 517
8.6.1Diffie-Hellman算法 517
8.6.2RSA 519
8.6.3ElGamal 521
8.6.4橢圓曲線密碼系統 521
8.6.5LUC 522
8.6.6背包算法 522
8.6.7零知識證明 522
8.7訊息完整性 523
8.7.1單向散列 523
8.7.2各種散列算法 527
8.7.3針對單向散列函式的
攻擊 529
8.7.4數字簽名 530
8.7.5數字簽名標準 532
8.8公鑰基礎設施 532
8.8.1認證授權機構 533
8.8.2證書 535
8.8.3註冊授權機構 535
8.8.4PKI步驟 535
8.9密鑰管理 537
8.9.1密鑰管理原則 538
8.9.2密鑰和密鑰管理的規則 539
8.10鏈路加密與端對端加密 539
8.11電子郵件標準 541
8.11.1多用途Internet郵件
擴展(MIME) 541
8.11.2保密增強郵件 542
8.11.3訊息安全協定 542
8.11.4可靠加密 542
8.11.5量子密碼術 543
8.12Internet安全 545
8.13攻擊 553
8.13.1唯密文攻擊 554
8.13.2已知明文攻擊 554
8.13.3選定明文攻擊 554
8.13.4選定密文攻擊 554
8.13.5差分密碼分析 555
8.13.6線性密碼分析 555
8.13.7旁路攻擊 555
8.13.8重放攻擊 556
8.13.9代數攻擊 556
8.13.10分析式攻擊 556
8.13.11統計式攻擊 556
8.14小結 556
8.15快速提示 557
8.15.1問題 559
8.15.2答案 563
第9章業務連續性與災難恢復 565
9.1業務連續性與災難恢復 565
9.1.1業務連續性步驟 567
9.1.2將業務連續性計畫作為
安全策略和綱要的
一部分 568
9.1.3項目起始階段 569
9.2業務連續性規劃要求 571
9.2.1業務影響分析 571
9.2.2預防性措施 576
9.2.3恢復戰略 577
9.2.4業務流程恢復 578
9.2.5設施恢復 578
9.2.6供給和技術恢復 583
9.2.7終端用戶環境 587
9.2.8數據備份選擇方案 587
9.2.9電子備份解決方案 589
9.2.10選擇軟體備份設施 591
9.2.11保險 593
9.2.12恢復與還原 594
9.2.13為計畫制定目標 597
9.2.14實現戰略 598
9.2.15測試和審查計畫 599
9.2.16維護計畫 602
9.3小結 604
9.4快速提示 605
9.4.1問題 606
9.4.2答案 611
第10章法律、法規、遵從
和調查 613
10.1計算機法律的方方面面 613
10.2計算機犯罪法律的關鍵點 614
10.3網路犯罪的複雜性 616
10.3.1電子資產 617
10.3.2攻擊的演變 617
10.3.3發生在不同國家的
計算機犯罪 619
10.3.4法律的類型 620
10.4智慧財產權法 624
10.4.1商業秘密 624
10.4.2著作權 624
10.4.3商標 625
10.4.4專利 625
10.4.5智慧財產權的內部保護 626
10.4.6軟體盜版 626
10.5隱私 627
10.6義務及其後果 633
10.6.1個人信息 636
10.6.2黑客入侵 636
10.7調查 637
10.7.1事故回響 637
10.7.2事故回響措施 640
10.7.3計算機取證和適當的
證據收集 643
10.7.4國際計算機證據組織 643
10.7.5動機、機會和方式 644
10.7.6計算機犯罪行為 644
10.7.7事故調查員 645
10.7.8取證調查過程 646
10.7.9法庭上可接受的證據 650
10.7.10監視、搜尋和查封 652
10.7.11訪談和審訊 653
10.7.12幾種不同類型的攻擊 653
10.8道德 655
10.8.1計算機道德協會 656
10.8.2Internet體系結構
研究委員會 657
10.8.3企業道德計畫 658
10.9總結 658
10.10快速提示 659
10.10.1問題 661
10.10.2答案 664
第11章應用程式安全 667
11.1軟體的重要性 667
11.2何處需要安全 668
11.3不同的環境需要不同的
安全 669
11.4環境與應用程式 670
11.5功能的複雜性 670
11.6數據的類型、格式與長度 670
11.7實現和默認配置問題 671
11.8故障狀態 672
11.9資料庫管理 672
11.9.1資料庫管理軟體 673
11.9.2資料庫模型 674
11.9.3資料庫編程接口 678
11.9.4關係資料庫組件 679
11.9.5完整性 682
11.9.6資料庫安全問題 683
11.9.7數據倉庫與數據挖掘 687
11.10系統開發 689
11.10.1開發管理 690
11.10.2生命周期的不同
階段 690
11.10.3軟體開發方法 700
11.10.4計算機輔助軟體
工程 702
11.10.5原型開發 702
11.10.6安全設計方法 702
11.10.7安全開發方法 703
11.10.8安全測試 703
11.10.9變更控制 704
11.10.10能力成熟度模型 705
11.10.11軟體託管 706
11.11應用程式開發方法學 706
11.12面向對象概念 708
11.12.1多態 713
11.12.2數據建模 714
11.12.3軟體體系結構 714
11.12.4數據結構 715
11.12.5內聚和耦合 715
11.13分散式計算 716