安全技术经典译丛 CISSP认证考试指南 第7版【2025|PDF下载-Epub版本|mobi电子书|kindle百度云盘下载】

安全技术经典译丛 CISSP认证考试指南 第7版PDF格式电子书版下载

注意：本站所有压缩包均有解压码： 点击下载压缩包解压工具

第1章 安全和风险管理1

1.1安全基本原则2

1.1.1可用性3

1.1.2完整性3

1.1.3机密性3

1.1.4平衡安全4

1.2安全定义5

1.3控制类型6

1.4安全框架10

1.4.1 lSO/IEC 27000系列12

1.4.2企业安全架构开发14

1.4.3安全控制开发23

1.4.4流程管理开发26

1.4.5功能与安全性32

1.5计算机犯罪法的难题32

1.6网络犯罪的复杂性34

1.6.1电子资产35

1.6.2攻击的演变36

1.6.3国际问题38

1.6.4法律的类型41

1.7知识产权法44

1.7.1商业秘密44

1.7.2版权45

1.7.3商标45

1.7.4专利46

1.7.5知识产权的内部保护47

1.7.6软件盗版48

1.8隐私50

1.8.1对隐私法不断增长的需求51

1.8.2法律、指令和法规52

1.8.3员工隐私问题58

1.9数据泄露59

1.9.1美国的数据泄露相关法律60

1.9.2其他国家有关数据泄露的法律61

1.10策略、标准、基线、指南和过程61

1.10.1安全策略62

1.10.2标准64

1.10.3基线65

1.10.4指南66

1.10.5措施66

1.10.6实施66

1.11风险管理67

1.11.1全面的风险管理68

1.11.2信息系统风险管理策略68

1.11.3风险管理团队69

1.11.4风险管理过程69

1.12威胁建模70

1.12.1脆弱性70

1.12.2威胁71

1.12.3攻击71

1.12.4消减分析72

1.13风险评估和分析73

1.13.1风险分析团队74

1.13.2信息和资产的价值74

1.13.3构成价值的成本75

1.13.4识别脆弱性和威胁75

1.13.5风险评估方法76

1.13.6风险分析方法80

1.13.7定性风险分析83

1.13.8保护机制86

1.13.9综合考虑88

1.13.10总风险与剩余风险88

1.13.11处理风险89

1.13.12外包90

1.14风险管理框架91

1.14.1信息分类92

1.14.2安全控制的选择92

1.14.3安全控制的实现93

1.14.4安全控制的评估93

1.14.5信息系统的授权93

1.14.6 安全控制的监管93

1.15 业务连续性与灾难恢复94

1.15.1标准和最佳实践96

1.15.2使BCM成为企业安全计划的一部分98

1.15.3 BCP项目的组成100

1.16人员安全111

1.16.1招聘实践112

1.16.2解雇113

1.16.3安全意识培训114

1.16.4学位或证书115

1.17安全治理115

1.18道德120

1.18.1计算机道德协会120

1.18.2互联网架构研究委员会121

1.18.3企业道德计划122

1.19小结122

1.20快速提示123

1.21问题126

1.22答案133

第2章 资产安全137

2.1信息生命周期137

2.1.1获取138

2.1.2使用138

2.1.3存档139

2.1.4处置139

2.2信息分类140

2.2.1分类等级141

2.2.2分类控制143

2.3责任分层144

2.3.1行政管理层144

2.3.2数据所有者147

2.3.3数据看管员147

2.3.4系统所有者148

2.3.5安全管理员148

2.3.6主管148

2.3.7变更控制分析员148

2.3.8数据分析员149

2.3.9 用户149

2.3.10审计员149

2.3.11为何需要这么多角色149

2.4保留策略149

2.5保护隐私152

2.5.1数据所有者153

2.5.2数据处理者153

2.5.3数据残留153

2.5.4收集的限制156

2.6保护资产156

2.6.1数据安全控制157

2.6.2介质控制159

2.7数据泄露163

2.8保护其他资产170

2.8.1保护移动设备170

2.8.2纸质记录171

2.8.3保险箱171

2.9小结172

2.10快速提示172

2.11问题173

2.12答案176

第3章 安全工程179

3.1系统架构180

3.2计算机架构183

3.2.1中央处理单元183

3.2.2多重处理186

3.2.3存储器类型187

3.3操作系统197

3.3.1进程管理197

3.3.2存储器管理204

3.3.3输入/输出设备管理207

3.3.4 CPU架构集成209

3.3.5操作系统架构212

3.3.6虚拟机217

3.4系统安全架构219

3.4.1安全策略219

3.4.2安全架构要求220

3.5安全模型224

3.5.1 Bell-LaPadula模型224

3.5.2 Biba模型225

3.5.3 Clark-Wilson模型225

3.5.4无干扰模型226

3.5.5 Brewer and Nash模型227

3.5.6 Graham-Denning模型227

3.5.7 Harrison-Ruzzo-Ullman模型227

3.6系统评估方法228

3.6.1通用准则229

3.6.2对产品进行评估的原因232

3.7认证与认可232

3.7.1认证232

3.7.2认可233

3.8开放系统与封闭系统234

3.8.1开放系统234

3.8.2封闭系统234

3.9分布式系统安全234

3.9.1云计算235

3.9.2并行计算235

3.9.3数据库236

3.9.4 Web应用238

3.9.5移动设备239

3.9.6网络物理系统240

3.10一些对安全模型和架构的威胁242

3.10.1维护陷阱243

3.10.2检验时间/使用时间攻击243

3.11密码学背景244

3.12密码学定义与概念249

3.12.1 Kerckhoffs原则251

3.12.2密码系统的强度251

3.12.3密码系统的服务252

3.12.4一次性密码本252

3.12.5滚动密码与隐藏密码254

3.12.6 隐写术255

3.13密码的类型257

3.13.1替代密码257

3.13.2换位密码257

3.14加密的方法259

3.14.1对称算法与非对称算法259

3.14.2分组密码与流密码263

3.14.3混合加密方法267

3.15 对称系统的类型272

3.15.1数据加密标准272

3.15.2三重DES278

3.15.3高级加密标准278

3.15.4国际数据加密算法279

3.15.5 Blowfish279

3.15.6 RC4279

3.15.7 RC5279

3.15 8 RC6280

3.16非对称系统的类型280

3.16.1 Diffie-Hellman算法280

3.16.2 RSA282

3.16.3 El Gamal284

3.16.4椭圆曲线密码系统284

3.16.5背包算法285

3.16.6零知识证明285

3.17消息完整性286

3.17.1单向散列286

3.17.2各种散列算法290

3.17.3 MD4291

3.17.4 MD5291

3.17.5 SHA291

3.17.6针对单向散列函数的攻击291

3.17.7数字签名292

3.17.8数字签名标准294

3.18公钥基础设施294

3.18.1认证授权机构295

3.18.2证书297

3.18.3注册授权机构297

3.18.4 PKI步骤297

3.19密钥管理299

3.19.1密钥管理原则300

3.19.2密钥和密钥管理的规则301

3.20可信平台模块301

3.21针对密码学的攻击303

3.21.1唯密文攻击303

3.21.2已知明文攻击303

3.21.3选定明文攻击303

3.21.4选定密文攻击304

3.21.5差分密码分析304

3.21.6线性密码分析304

3.21.7旁路攻击305

3.21.8重放攻击305

3.21.9代数攻击305

3.21.10分析式攻击306

3.21.11统计式攻击306

3.21.12社会工程攻击306

3.21.13中间相遇攻击306

3.22站点和设施安全306

3.23站点规划过程307

3.23.1通过环境设计来预防犯罪310

3.23.2制订物理安全计划314

3.24保护资产324

3.24.1保护移动设备324

3.24.2使用保险柜325

3.25内部支持系统325

3.25.1电力325

3.25.2环境问题329

3.25.3火灾的预防、检测和扑灭331

3.26小结335

3.27快速提示336

3.28问题340

3.29答案346

第4章 通信与网络安全351

4.1通信352

4.2开放系统互连参考模型353

4.2.1协议354

4.2.2应用层356

4.2.3表示层356

4.2.4会话层357

4.2.5传输层359

4.2.6网络层360

4.2.7数据链路层360

4.2.8物理层362

4.2.9 OSI模型中的功能和协议362

4.2.10综合这些层364

4.2.11多层协议365

4.3 TCP/IP模型366

4.3.1 TCP367

4.3.2 IP寻址371

4.3.3 IPv6373

4.3.4第2层安全标准376

4.3.5汇聚协议377

4.4传输类型378

4.4.1模拟和数字378

4.4.2异步和同步379

4.4.3宽带和基带381

4.5线缆382

4.5.1同轴电缆382

4.5.2双绞线382

4.5.3光缆383

4.5.4布线问题384

4.6网络互联基础386

4.6.1网络拓扑386

4.6.2介质访问技术388

4.6.3传输方法397

4.6.4网络协议和服务398

4.6.5域名服务405

4.6.6电子邮件服务410

4.6.7网络地址转换414

4.6.8路由协议416

4.7网络互联设备419

4.7.1中继器420

4.7.2网桥420

4.7.3路由器422

4.7.4交换机423

4.7.5网关427

4.7.6 PBX428

4.7.7防火墙431

4.7.8 代理服务器448

4.7.9 蜜罐450

4.7.10统一威胁管理450

4.7.11内容分发网络451

4.7.12软件定义网络452

4.8内联网与外联网454

4.9城域网455

4.10广域网457

4.10.1通信的发展458

4.10.2专用链路459

4.10.3 WAN技术462

4.11远程连接478

4.11.1拨号连接478

4.11.2 ISDN479

4.11.3 DSL480

4.11.4线缆调制解调器481

4.11.5 VPN482

4.11.6身份验证协议488

4.12无线网络489

4.12.1无线通信技术490

4.12.2 WLAN组件492

4.12.3 WLAN安全的演化494

4.12.4无线标准498

4.12.5保护WLAN的最佳实践502

4.12.6卫星503

4.12.7移动无线通信504

4.13网络加密508

4.13.1链路加密与端对端加密508

4.13.2电子邮件加密标准510

4.13.3互联网安全512

4.14网络攻击516

4.14.1拒绝服务516

4.14.2嗅探518

4.14.3 DNS劫持519

4.14.4偷渡下载519

4.15 小结520

4.16快速提示520

4.17问题523

4.18答案530

第5章 身份与访问管理535

5.1访问控制概述535

5.2安全原则536

5.2.1可用性536

5.2.2完整性537

5.2.3机密性537

5.3身份标识、…身份验证、授权与可问责性538

5.3.1身份标识与身份验证539

5.3.2身份验证548

5.3.3授权564

5.3.4联合574

5.3.5身份即服务581

5.3.6集成身份识别服务581

5.4访问控制模型582

5.4.1自主访问控制582

5.4.2强制访问控制583

5.4.3角色访问控制585

5.4.4规则型访问控制587

5.5访问控制方法和技术588

5.5.1限制性用户接口588

5.5.2访问控制矩阵589

5.5.3内容相关访问控制590

5.5.4上下文相关访问控制591

5.6访问控制管理591

5.6.1集中式访问控制管理592

5.6.2分散式访问控制管理597

5.7访问控制方法597

5.7.1访问控制层598

5.7.2行政管理性控制598

5.7.3物理性控制599

5.7.4技术性控制600

5.8可问责性603

5.8.1审计信息的检查604

5.8.2保护审计数据和日志信息605

5.8.3击键监控605

5.9访问控制实践606

5.10访问控制监控608

5.10.1入侵检测608

5.10.2入侵防御系统616

5.11对访问控制的几种威胁618

5.11.1字典攻击618

5.11.2蛮力攻击619

5.11.3登录欺骗619

5.11.4网络钓鱼619

5.12小结622

5.13快速提示622

5.14问题625

5.15 答案632

第6章 安全评估与测试635

6.1审计策略636

6.1.1内部审计637

6.1.2第三方审计638

6.2审计技术控制640

6.2.1脆弱性测试640

6.2.2渗透测试642

6.2.3战争拨号攻击646

6.2.4其他脆弱性类型646

6.2.5事后检查648

6.2.6日志审查649

6.2.7综合事务651

6.2.8误用案例测试652

6.2.9代码审查653

6.2.10接口测试655

6.3审计管理控制655

6.3.1账户管理655

6.3.2备份验证657

6.3.3灾难恢复和业务连续性659

6.3.4安全培训和安全意识培训664

6.3.5关键绩效和风险指标667

6.4报告669

6.4.1技术报告669

6.4.2执行摘要669

6.5管理评审670

6.5.1管理评审前671

6.5.2审查输入671

6.5.3管理层的行动672

6.6小结672

6.7快速提示673

6.8问题674

6.9答案678

第7章 安全运营681

7.1运营部门的角色682

7.2行政管理682

7.2.1安全和网络人员684

7.2.2可问责性685

7.2.3阈值级别686

7.3保证级别686

7.4运营责任687

7.4.1不寻常或无法解释的事件687

7.4.2偏离标准687

7.4.3不定期的初始程序加载（也称为重启）688

7.5配置管理688

7.5.1可信恢复688

7.5.2输入与输出控制690

7.5.3系统强化691

7.5.4远程访问安全692

7.6物理安全693

7.6.1设施访问控制694

7.6.2人员访问控制699

7.6.3外部边界保护机制700

7.6.4入侵检测系统707

7.6.5巡逻警卫和保安709

7.6.6安全狗710

7.6.7对物理访问进行审计710

7.7安全资源配置710

7.7.1资产清单711

7.7.2配置管理712

7.7.3配置云资产714

7.8网络和资源可用性715

7.8.1平均故障间隔时间（MTBF）716

7.8.2平均修复时间（MTTR）716

7.8.3单点失败717

7.8.4备份723

7.8.5应急计划725

7.9预防措施725

7.9.1防火墙726

7.9.2入侵检测与预防系统727

7.9.3反恶意软件728

7.9.4补丁管理728

7.9.5蜜罐技术730

7.10事故管理流程731

7.10.1检测735

7.10.2响应735

7.10.3缓解735

7.10.4报告736

7.10.5恢复736

7.10.6修复737

7.11灾难恢复738

7.11.1业务流程恢复740

7.11.2设施恢复741

7.11.3供给和技术恢复746

7.11.4选择软件备份设施749

7.11.5终端用户环境751

7.11.6数据备份选择方案752

7.11.7电子备份解决方案755

7.11.8高可用性757

7.12保险759

7.13恢复与还原760

7.13.1为计划制定目标763

7.13.2实现战略764

7.14调查766

7.14.1计算机取证和适当的证据收集767

7.14.2动机、机会和方式768

7.14.3计算机犯罪行为768

7.14.4事故调查员769

7.14.5取证调查过程770

7.14.6法庭上可接受的证据774

7.14.7监视、搜索和查封776

7.14.8访谈和审讯777

7.15 义务及其后果777

7.15.1职责场景779

7.15.2第三方风险780

7.15.3合同协议781

7.15.4采购和供应商流程781

7.16合规性782

7.17个人安全问题784

7.18小结785

7.19快速提示785

7.20问题787

7.21答案791

第8章 软件开发安全795

8.1创建好的代码795

8.2何处需要安全796

8.2.1不同的环境需要不同的安全797

8.2.2环境与应用程序798

8.2.3功能与安全798

8.2.4实现和默认配置问题799

8.3软件开发生命周期800

8.3.1项目管理800

8.3.2需求收集阶段801

8.3.3设计阶段802

8.3.4开发阶段804

8.3.5测试/验证阶段806

8.3.6发布/维护阶段808

8.4安全软件开发最佳实践809

8.5软件开发模型810

8.5.1边做边改模型810

8.5.2瀑布模型811

8.5.3 V形模型（V模型）811

8.5.4原型模型812

8.5.5增量模型812

8.5.6螺旋模型813

8.5.7快速应用开发814

8.5.8敏捷模型815

8.5.9其他模型818

8.6集成产品开发团队818

8.7能力成熟度模型819

8.8变更控制821

8.8.1软件配置管理822

8.8.2代码库的安全性823

8.9编程语言和概念823

8.9.1汇编程序、编译器和解释器825

8.9.2面向对象概念826

8.10分布式计算834

8.10.1分布式计算环境835

8.10.2 CORBA与ORB836

8.10.3 COM与DCOM837

8.10.4 Java平台，企业版本839

8.10.5 面向服务的架构839

8.11移动代码842

8.11.1 Java applet842

8.11.2 ActiveX控件844

8.12 Web安全845

8.12.1针对Web环境的特定威胁845

8.12.2 Web应用安全原则851

8.13数据库管理851

8.13.1数据库管理软件852

8.13.2数据库模型853

8.13.3数据库编程接口857

8.13.4关系数据库组件858

8.13.5完整性860

8.13.6数据库安全问题862

8.13.7数据仓库与数据挖掘866

8.14恶意软件（恶意代码）869

8.14.1病毒870

8.14.2蠕虫871

8.14.3 rootkit872

8.14.4间谍软件和广告软件873

8.14.5僵尸网络873

8.14.6逻辑炸弹874

8.14.7特洛伊木马875

8.14.8防病毒软件876

8.14.9垃圾邮件检测879

8.14.10防恶意软件程序879

8.15 评估外部获取软件的安全性880

8.16小结881

8.17快速提示881

8.18问题884

8.19答案889

附录A 完整的复习题893

术语表929