CISSP認證考試指南（第7版）

《CISSP認證考試指南(第7版)》是2018年1月清華大學出版社出版的圖書，作者是[美] Shon Harris、Fernando Maymi。

基本介紹

• 中文名：CISSP認證考試指南(第7版)
• 作者：[美] Shon Harris、Fernando Maymi
• 出版社：清華大學出版社
• 出版時間：2018年1月
• 定價：158 元
• ISBN：9787302491491

內容簡介

如果你想成為一名經過(ISC)2 認證的CISSP，那么在《CISSP認證考試指南(第7版)》里能找到需要了解的所有內容。《CISSP認證考試指南(第7版)》講述企業如何制定和實現策略、措施、指導原則和標準及其原因；介紹網路、應用程式和系統的脆弱性，脆弱性的被利用情況以及如何應對這些威脅；解釋物理安全、操作安全以及不同系統會採用不同安全機制的原因。此外，還回顧美國與國際上用於測試系統安全性的安全準則和評估體系，詮釋這些準則的含義及其使用原因。最後，《CISSP認證考試指南(第7版)》還將闡明與計算機系統及其數據相關的各種法律責任問題，例如計算機犯罪、法庭證物以及如何為出庭準備計算機證據。

儘管《CISSP認證考試指南(第7版)》主要是為CISSP 考試撰寫的學習指南，但在你通過認證後，它仍不失為一本不可替代的重要參考用書。

圖書目錄

第1章 安全和風險管理 1

1.1 安全基本原則 2

1.1.1 可用性 3

1.1.2 完整性 3

1.1.3 機密性 3

1.1.4 平衡安全 4

1.2 安全定義 5

1.3 控制類型 6

1.4 安全框架 10

1.4.1 ISO/IEC 27000系列 12

1.4.2 企業安全架構開發 14

1.4.3 安全控制開發 23

1.4.4 流程管理開發 26

1.4.5 功能與安全性 32

1.5 計算機犯罪法的難題 32

1.6 網路犯罪的複雜性 34

1.6.1 電子資產 35

1.6.2 攻擊的演變 36

1.6.3 國際問題 38

1.6.4 法律的類型 41

1.7 智慧財產權法 44

1.7.1 商業秘密 44

1.7.2 著作權 45

1.7.3 商標 45

1.7.4 專利 46

1.7.5 智慧財產權的內部保護 47

1.7.6 軟體盜版 48

1.8 隱私 50

1.8.1 對隱私法不斷增長的需求 51

1.8.2 法律、指令和法規 52

1.8.3 員工隱私問題 58

1.9 數據泄露 59

1.9.1 美國的數據泄露相關法律 60

1.9.2 其他國家有關數據泄露的法律 61

1.10 策略、標準、基線、指南和

過程 61

1.10.1 安全策略 62

1.10.2 標準 64

1.10.3 基線 65

1.10.4 指南 66

1.10.5 措施 66

1.10.6 實施 66

1.11 風險管理 67

1.11.1 全面的風險管理 68

1.11.2 信息系統風險管理策略 68

1.11.3 風險管理團隊 69

1.11.4 風險管理過程 69

1.12 威脅建模 70

1.12.1 脆弱性 70

1.12.2 威脅 71

1.12.3 攻擊 71

1.12.4 消減分析 72

1.13 風險評估和分析 73

1.13.1 風險分析團隊 74

1.13.2 信息和資產的價值 74

1.13.3 構成價值的成本 75

1.13.4 識別脆弱性和威脅 75

1.13.5 風險評估方法 76

1.13.6 風險分析方法 80

1.13.7 定性風險分析 83

1.13.8 保護機制 86

1.13.9 綜合考慮 88

1.13.10 總風險與剩餘風險 88

1.13.11 處理風險 89

1.13.12 外包 90

1.14 風險管理框架 91

1.14.1 信息分類 92

1.14.2 安全控制的選擇 92

1.14.3 安全控制的實現 93

1.14.4 安全控制的評估 93

1.14.5 信息系統的授權 93

1.14.6 安全控制的監管 93

1.15 業務連續性與災難恢復 94

1.15.1 標準和最佳實踐 96

1.15.2 使BCM成為企業安全計畫的

一部分 98

1.15.3 BCP項目的組成 100

1.16 人員安全 111

1.16.1 招聘實踐 112

1.16.2 解僱 113

1.16.3 安全意識培訓 114

1.16.4 學位或證書 115

1.17 安全治理 115

1.18 道德 120

1.18.1 計算機道德協會 120

1.18.2 網際網路架構研究委員會 121

1.18.3 企業道德計畫 122

1.19 小結 122

1.20 快速提示 123

1.21 問題 126

1.22 答案 133

第2章 資產安全 137

2.1 信息生命周期 137

2.1.1 獲取 138

2.1.2 使用 138

2.1.3 存檔 139

2.1.4 處置 139

2.2 信息分類 140

2.2.1 分類等級 141

2.2.2 分類控制 143

2.3 責任分層 144

2.3.1 行政管理層 144

2.3.2 數據所有者 147

2.3.3 數據看管員 147

2.3.4 系統所有者 148

2.3.5 安全管理員 148

2.3.6 主管 148

2.3.7 變更控制分析員 148

2.3.8 數據分析員 149

2.3.9 用戶 149

2.3.10 審計員 149

2.3.11 為何需要這么多角色 149

2.4 保留策略 149

2.5 保護隱私 152

2.5.1 數據所有者 153

2.5.2 數據處理者 153

2.5.3 數據殘留 153

2.5.4 收集的限制 156

2.6 保護資產 156

2.6.1 數據安全控制 157

2.6.2 介質控制 159

2.7 數據泄露 163

2.8 保護其他資產 170

2.8.1 保護移動設備 170

2.8.2 紙質記錄 171

2.8.3 保險箱 171

2.9 小結 172

2.10 快速提示 172

2.11 問題 173

2.12 答案 176

第3章 安全工程 179

3.1 系統架構 180

3.2 計算機架構 183

3.2.1 中央處理單元 183

3.2.2 多重處理 186

3.2.3 存儲器類型 187

3.3 作業系統 197

3.3.1 進程管理 197

3.3.2 存儲器管理 204

3.3.3 輸入/輸出設備管理 207

3.3.4 CPU架構集成 209

3.3.5 作業系統架構 212

3.3.6 虛擬機 217

3.4 系統安全架構 219

3.4.1 安全策略 219

3.4.2 安全架構要求 220

3.5 安全模型 224

3.5.1 Bell-LaPadula模型 224

3.5.2 Biba模型 225

3.5.3 Clark-Wilson模型 225

3.5.4 無干擾模型 226

3.5.5 Brewer and Nash模型 227

3.5.6 Graham-Denning模型 227

3.5.7 Harrison-Ruzzo-Ullman模型 227

3.6 系統評估方法 228

3.6.1 通用準則 229

3.6.2 對產品進行評估的原因 232

3.7 認證與認可 232

3.7.1 認證 232

3.7.2 認可 233

3.8 開放系統與封閉系統 234

3.8.1 開放系統 234

3.8.2 封閉系統 234

3.9 分散式系統安全 234

3.9.1 雲計算 235

3.9.2 並行計算 235

3.9.3 資料庫 236

3.9.4 Web套用 238

3.9.5 移動設備 239

3.9.6 網路物理系統 240

3.10 一些對安全模型和架構的威脅 242

3.10.1 維護陷阱 243

3.10.2 檢驗時間/使用時間攻擊 243

3.11 密碼學背景 244

3.12 密碼學定義與概念 249

3.12.1 Kerckhoffs原則 251

3.12.2 密碼系統的強度 251

3.12.3 密碼系統的服務 252

3.12.4 一次性密碼本 252

3.12.5 滾動密碼與隱藏密碼 254

3.12.6 隱寫術 255

3.13 密碼的類型 257

3.13.1 替代密碼 257

3.13.2 換位密碼 257

3.14 加密的方法 259

3.14.1 對稱算法與非對稱算法 259

3.14.2 分組密碼與流密碼 263

3.14.3 混合加密方法 267

3.15 對稱系統的類型 272

3.15.1 數據加密標準 272

3.15.2 三重DES 278

3.15.3 高級加密標準 278

3.15.4 國際數據加密算法 279

3.15.5 Blowfish 279

3.15.6 RC4 279

3.15.7 RC5 279

3.15.8 RC6 280

3.16 非對稱系統的類型 280

3.16.1 Diffie-Hellman 算法 280

3.16.2 RSA 282

3.16.3 El Gamal 284

3.16.4 橢圓曲線密碼系統 284

3.16.5 背包算法 285

3.16.6 零知識證明 285

3.17 訊息完整性 286

3.17.1 單向散列 286

3.17.2 各種散列算法 290

3.17.3 MD4 291

3.17.4 MD5 291

3.17.5 SHA 291

3.17.6 針對單向散列函式的攻擊 291

3.17.7 數字簽名 292

3.17.8 數字簽名標準 294

3.18 公鑰基礎設施 294

3.18.1 認證授權機構 295

3.18.2 證書 297

3.18.3 註冊授權機構 297

3.18.4 PKI 步驟 297

3.19 密鑰管理 299

3.19.1 密鑰管理原則 300

3.19.2 密鑰和密鑰管理的規則 301

3.20 可信平台模組 301

3.21 針對密碼學的攻擊 303

3.21.1 唯密文攻擊 303

3.21.2 已知明文攻擊 303

3.21.3 選定明文攻擊 303

3.21.4 選定密文攻擊 304

3.21.5 差分密碼分析 304

3.21.6 線性密碼分析 304

3.21.7 旁路攻擊 305

3.21.8 重放攻擊 305

3.21.9 代數攻擊 305

3.21.10 分析式攻擊 306

3.21.11 統計式攻擊 306

3.21.12 社會工程攻擊 306

3.21.13 中間相遇攻擊 306

3.22 站點和設施安全 306

3.23 站點規划過程 307

3.23.1 通過環境設計來預防犯罪 310

3.23.2 制訂物理安全計畫 314

3.24 保護資產 324

3.24.1 保護移動設備 324

3.24.2 使用保險柜 325

3.25 內部支持系統 325

3.25.1 電力 325

3.25.2 環境問題 329

3.25.3 火災的預防、檢測和撲滅 331

3.26 小結 335

3.27 快速提示 336

3.28 問題 340

3.29 答案 346

第4章 通信與網路安全 351

4.1 通信 352

4.2 開放系統互連參考模型 353

4.2.1 協定 354

4.2.2 套用層 356

4.2.3 表示層 356

4.2.4 會話層 357

4.2.5 傳輸層 359

4.2.6 網路層 360

4.2.7 數據鏈路層 360

4.2.8 物理層 362

4.2.9 OSI模型中的功能和協定 362

4.2.10 綜合這些層 364

4.2.11 多層協定 365

4.3 TCP/IP模型 366

4.3.1 TCP 367

4.3.2 IP定址 371

4.3.3 IPv6 373

4.3.4 第2層安全標準 376

4.3.5 匯聚協定 377

4.4 傳輸類型 378

4.4.1 模擬和數字 378

4.4.2 異步和同步 379

4.4.3 寬頻和基帶 381

4.5 線纜 382

4.5.1 同軸電纜 382

4.5.2 雙絞線 382

4.5.3 光纜 383

4.5.4 布線問題 384

4.6 網路互聯基礎 386

4.6.1 網路拓撲 386

4.6.2 介質訪問技術 388

4.6.3 傳輸方法 397

4.6.4 網路協定和服務 398

4.6.5 域名服務 405

4.6.6 電子郵件服務 410

4.6.7 網路地址轉換 414

4.6.8 路由協定 416

4.7 網路互聯設備 419

4.7.1 中繼器 420

4.7.2 網橋 420

4.7.3 路由器 422

4.7.4 交換機 423

4.7.5 網關 427

4.7.6 PBX 428

4.7.7 防火牆 431

4.7.8 代理伺服器 448

4.7.9 蜜罐 450

4.7.10 統一威脅管理 450

4.7.11 內容分發網路 451

4.7.12 軟體定義網路 452

4.8 內聯網與外聯網 454

4.9 城域網 455

4.10 廣域網 457

4.10.1 通信的發展 458

4.10.2 專用鏈路 459

4.10.3 WAN技術 462

4.11 遠程連線 478

4.11.1 撥號連線 478

4.11.2 ISDN 479

4.11.3 DSL 480

4.11.4 線纜數據機 481

4.11.5 VPN 482

4.11.6 身份驗證協定 488

4.12 無線網路 489

4.12.1 無線通信技術 490

4.12.2 WLAN組件 492

4.12.3 WLAN安全的演化 494

4.12.4 無線標準 498

4.12.5 保護WLAN的最佳實踐 502

4.12.6 衛星 503

4.12.7 移動無線通信 504

4.13 網路加密 508

4.13.1 鏈路加密與端對端加密 508

4.13.2 電子郵件加密標準 510

4.13.3 網際網路安全 512

4.14 網路攻擊 516

4.14.1 拒絕服務 516

4.14.2 嗅探 518

4.14.3 DNS劫持 519

4.14.4 偷渡下載 519

4.15 小結 520

4.16 快速提示 520

4.17 問題 523

4.18 答案 530

第5章 身份與訪問管理 535

5.1 訪問控制概述 535

5.2 安全原則 536

5.2.1 可用性 536

5.2.2 完整性 537

5.2.3 機密性 537

5.3 身份標識、身份驗證、授權與

可問責性 538

5.3.1 身份標識與身份驗證 539

5.3.2 身份驗證 548

5.3.3 授權 564

5.3.4 聯合 574

5.3.5 身份即服務 581

5.3.6 集成身份識別服務 581

5.4 訪問控制模型 582

5.4.1 自主訪問控制 582

5.4.2 強制訪問控制 583

5.4.3 角色訪問控制 585

5.4.4 規則型訪問控制 587

5.5 訪問控制方法和技術 588

5.5.1 限制性用戶接口 588

5.5.2 訪問控制矩陣 589

5.5.3 內容相關訪問控制 590

5.5.4 上下文相關訪問控制 591

5.6 訪問控制管理 591

5.6.1 集中式訪問控制管理 592

5.6.2 分散式訪問控制管理 597

5.7 訪問控制方法 597

5.7.1 訪問控制層 598

5.7.2 行政管理性控制 598

5.7.3 物理性控制 599

5.7.4 技術性控制 600

5.8 可問責性 603

5.8.1 審計信息的檢查 604

5.8.2 保護審計數據和日誌信息 605

5.8.3 擊鍵監控 605

5.9 訪問控制實踐 606

5.10 訪問控制監控 608

5.10.1 入侵檢測 608

5.10.2 入侵防禦系統 616

5.11 對訪問控制的幾種威脅 618

5.11.1 字典攻擊 618

5.11.2 蠻力攻擊 619

5.11.3 登錄欺騙 619

5.11.4 網路釣魚 619

5.12 小結 622

5.13 快速提示 622

5.14 問題 625

5.15 答案 632

第6章 安全評估與測試 635

6.1 審計策略 636

6.1.1 內部審計 637

6.1.2 第三方審計 638

6.2 審計技術控制 640

6.2.1 脆弱性測試 640

6.2.2 滲透測試 642

6.2.3 戰爭撥號攻擊 646

6.2.4 其他脆弱性類型 646

6.2.5 事後檢查 648

6.2.6 日誌審查 649

6.2.7 綜合事務 651

6.2.8 誤用案例測試 652

6.2.9 代碼審查 653

6.2.10 接口測試 655

6.3 審計管理控制 655

6.3.1 賬戶管理 655

6.3.2 備份驗證 657

6.3.3 災難恢復和業務連續性 659

6.3.4 安全培訓和安全意識培訓 664

6.3.5 關鍵績效和風險指標 667

6.4 報告 669

6.4.1 技術報告 669

6.4.2 執行摘要 669

6.5 管理評審 670

6.5.1 管理評審前 671

6.5.2 審查輸入 671

6.5.3 管理層的行動 672

6.6 小結 672

6.7 快速提示 673

6.8 問題 674

6.9 答案 678

第7章 安全運營 681

7.1 運營部門的角色 682

7.2 行政管理 682

7.2.1 安全和網路人員 684

7.2.2 可問責性 685

7.2.3 閾值級別 686

7.3 保證級別 686

7.4 運營責任 687

7.4.1 不尋常或無法解釋的事件 687

7.4.2 偏離標準 687

7.4.3 不定期的初始程式載入

(也稱為重啟) 688

7.5 配置管理 688

7.5.1 可信恢復 688

7.5.2 輸入與輸出控制 690

7.5.3 系統強化 691

7.5.4 遠程訪問安全 692

7.6 物理安全 693

7.6.1 設施訪問控制 694

7.6.2 人員訪問控制 699

7.6.3 外部邊界保護機制 700

7.6.4 入侵檢測系統 707

7.6.5 巡邏警衛和保全 709

7.6.6 安全狗 710

7.6.7 對物理訪問進行審計 710

7.7 安全資源配置 710

7.7.1 資產清單 711

7.7.2 配置管理 712

7.7.3 配置雲資產 714

7.8 網路和資源可用性 715

7.8.1 平均故障間隔時間(MTBF) 716

7.8.2 平均修復時間(MTTR) 716

7.8.3 單點失敗 717

7.8.4 備份 723

7.8.5 應急計畫 725

7.9 預防措施 725

7.9.1 防火牆 726

7.9.2 入侵檢測與預防系統 727

7.9.3 反惡意軟體 728

7.9.4 補丁管理 728

7.9.5 蜜罐技術 730

7.10 事故管理流程 731

7.10.1 檢測 735

7.10.2 回響 735

7.10.3 緩解 735

7.10.4 報告 736

7.10.5 恢復 736

7.10.6 修復 737

7.11 災難恢復 738

7.11.1 業務流程恢復 740

7.11.2 設施恢復 741

7.11.3 供給和技術恢復 746

7.11.4 選擇軟體備份設施 749

7.11.5 終端用戶環境 751

7.11.6 數據備份選擇方案 752

7.11.7 電子備份解決方案 755

7.11.8 高可用性 757

7.12 保險 759

7.13 恢復與還原 760

7.13.1 為計畫制定目標 763

7.13.2 實現戰略 764

7.14 調查 766

7.14.1 計算機取證和適當的證據收集 767

7.14.2 動機、機會和方式 768

7.14.3 計算機犯罪行為 768

7.14.4 事故調查員 769

7.14.5 取證調查過程 770

7.14.6 法庭上可接受的證據 774

7.14.7 監視、搜尋和查封 776

7.14.8 訪談和審訊 777

7.15 義務及其後果 777

7.15.1 職責場景 779

7.15.2 第三方風險 780

7.15.3 契約協定 781

7.15.4 採購和供應商流程 781

7.16 合規性 782

7.17 個人安全問題 784

7.18 小結 785

7.19 快速提示 785

7.20 問題 787

7.21 答案 791

第8章 軟體開發安全 795

8.1 創建好的代碼 795

8.2 何處需要安全 796

8.2.1 不同的環境需要不同的安全 797

8.2.2 環境與應用程式 798

8.2.3 功能與安全 798

8.2.4 實現和默認配置問題 799

8.3 軟體開發生命周期 800

8.3.1 項目管理 800

8.3.2 需求收集階段 801

8.3.3 設計階段 802

8.3.4 開發階段 804

8.3.5 測試/驗證階段 806

8.3.6 發布/維護階段 808

8.4 安全軟體開發最佳實踐 809

8.5 軟體開發模型 810

8.5.1 邊做邊改模型 810

8.5.2 瀑布模型 811

8.5.3 V形模型(V模型) 811

8.5.4 原型模型 812

8.5.5 增量模型 812

8.5.6 螺旋模型 813

8.5.7 快速套用開發 814

8.5.8 敏捷模型 815

8.5.9 其他模型 818

8.6 集成產品開發團隊 818

8.7 能力成熟度模型 819

8.8 變更控制 821

8.8.1 軟體配置管理 822

8.8.2 代碼庫的安全性 823

8.9 程式語言和概念 823

8.9.1 彙編程式、編譯器和解釋器 825

8.9.2 面向對象概念 826

8.10 分散式計算 834

8.10.1 分散式計算環境 835

8.10.2 CORBA與ORB 836

8.10.3 COM與DCOM 837

8.10.4 Java平台，企業版本 839

8.10.5 面向服務的架構 839

8.11 移動代碼 842

8.11.1 Java applet 842

8.11.2 ActiveX 控制項 844

8.12 Web安全 845

8.12.1 針對Web 環境的特定威脅 845

8.12.2 Web套用安全原則 851

8.13 資料庫管理 851

8.13.1 資料庫管理軟體 852

8.13.2 資料庫模型 853

8.13.3 資料庫編程接口 857

8.13.4 關係資料庫組件 858

8.13.5 完整性 860

8.13.6 資料庫安全問題 862

8.13.7 數據倉庫與數據挖掘 866

8.14 惡意軟體(惡意代碼) 869

8.14.1 病毒 870

8.14.2 蠕蟲 871

8.14.3 rootkit 872

8.14.4 間諜軟體和廣告軟體 873

8.14.5 殭屍網路 873

8.14.6 邏輯炸彈 874

8.14.7 特洛伊木馬 875

8.14.8 防病毒軟體 876

8.14.9 垃圾郵件檢測 879

8.14.10 防惡意軟體程式 879

8.15 評估外部獲取軟體的安全性 880

8.16 小結 881

8.17 快速提示 881

8.18 問題 884

8.19 答案 889

附錄A 完整的複習題 893

術語表 929