信息安全精要：從概念到安全性評估

譯者序
前言
關於作者
關於技術審校者
致謝
第1章資訊安全概述1
1.1資訊安全的定義1
1.2何時安全2
1.3討論安全問題的模型4
1.3.1機密性、完整性和可用性三要素4
1.3.2Parkerian六角模型6
1.4攻擊7
1.4.1攻擊類型7
1.4.2威脅、漏洞和風險9
1.4.3風險管理10
1.4.4事件回應14
1.5縱深防禦16
1.6小結19
1.7習題20
 
第2章身份識別和身份驗證21
2.1身份識別21
2.1.1我們聲稱自己是誰22
2.1.2身份證實22
2.1.3偽造身份23
2.2身份驗證23
2.2.1因數23
2.2.2多因數身份驗證25
2.2.3雙向驗證25
2.3常見身份識別和身份驗證方法26
2.3.1密碼26
2.3.2生物識別27
2.3.3硬體權杖30
2.4小結31
2.5習題32
 
第3章授權和存取控制33
3.1什麼是存取控制33                                           
3.2實施存取控制35
3.2.1存取控制清單35
3.2.2能力40
3.3存取控制模型40
3.3.1自主存取控制41
3.3.2強制存取控制41
3.3.3基於規則的存取控制41
3.3.4基於角色的存取控制42
3.3.5基於屬性的存取控制42
3.3.6多級存取控制43
3.4物理存取控制46
3.5小結47
3.6習題48
 
第4章審計和問責49
4.1問責50
4.2問責的安全效益51
4.2.1不可否認性51
4.2.2威懾52
4.2.3入侵偵測與防禦52
4.2.4記錄的可接受性52
4.3審計53
4.3.1審計對象53
4.3.2日誌記錄54
4.3.3監視55
4.3.4審計與評估55
4.4小結56
4.5習題57
 
第5章密碼學58
5.1密碼學歷史58
5.1.1凱撒密碼59
5.1.2加密機59
5.1.3柯克霍夫原則63
5.2現代密碼工具64
5.2.1關鍵字密碼和一次性密碼本64
5.2.2對稱和非對稱密碼學66
5.2.3散列函數69
5.2.4數位簽章70
5.2.5證書71
5.3保護靜態、動態和使用中的資料72
5.3.1保護靜態資料72
5.3.2保護動態資料74
5.3.3保護使用中的資料75
5.4小結75
5.5習題76
 
第6章合規、法律和法規77
6.1什麼是合規77
6.1.1合規類型78
6.1.2不合規的後果78
6.2用控制實現合規79
6.2.1控制類型79
6.2.2關鍵控制與補償控制80
6.3保持合規80
6.4法律與資訊安全81
6.4.1政府相關監管合規81
6.4.2特定行業法規合規83
6.4.3美國以外的法律85
6.5採用合規框架86
6.5.1標準化組織86
6.5.2美國標準與技術研究所86
6.5.3自訂框架87
6.6技術變革中的合規87
6.6.1雲中的合規88
6.6.2區塊鏈合規90
6.6.3加密貨幣合規90
6.7小結91
6.8習題91
 
第7章運營安全92
7.1運營安全流程92
7.1.1關鍵資訊識別93
7.1.2威脅分析93
7.1.3漏洞分析94&
7.1.4風險評估94
7.1.5對策應用95
7.2運營安全定律95
>7.2.1定律：知道這些威脅95
7.2.2第二定律：知道要保護什麼96
7.2.3第三定律：保護資訊96
7.3個人生活中的運營安全97
7.4運營安全起源98
7.4.1孫子99
7.4.2喬治·華盛頓99
7.4.3越南戰爭100
7.4.4商業100
7.4.5機構間OPSEC支援人員101
7.5小結102
7.6習題102
 
第8章人因安全103
8.1搜集資訊實施社會工程學攻擊103
8.1.1人力情報104
8.1.2開源情報104
8.1.3其他類型的情報109
8.2社會工程學攻擊類型110
8.2.1托詞110
8.2.2釣魚攻擊110
8.2.3尾隨111
8.3通過安全培訓計畫來培養安全意識112
8.3.1密碼112
8.3.2社會工程學培訓113
8.3.3網路使用113
8.3.4惡意軟體114
8.3.5個人設備114
8.3.6清潔桌面策略114
8.3.7熟悉政策和法規知識114
8.4小結115
8.5習題115
 
第9章物理安全117
9.1識別物理威脅117
9.2物理安全控制118
9.2.1威懾控制118
9.2.2檢測控制118
9.2.3預防控制119
9.2.4使用物理存取控制120
9.3人員防護120
9.3.1人的物理問題120
9.3.2確保安全121
9.3.3疏散121
9.3.4行政管控122
9.4數據防護123
9.4.1資料的物理問題123
9.4.2資料的可訪問性124
9.4.3殘留數據124
9.5設備防護125
9.5.1設備的物理問題125
9.5.2選址126
9.5.3訪問安全127
9.5.4環境條件127
9.6小結128
9.7習題128
 
第10章網路安全129
10.1網路防護130
10.1.1設計安全的網路130
10.1.2使用防火牆130
10.1.3實現網路入侵偵測系統133
10.2網路流量防護134
10.2.1使用虛擬私人網路絡134
10.2.2保護無線網路上的資料135
10.2.3使用安全協定136
10.3網路安全工具136
10.3.1無線防護工具137
10.3.2掃描器137
10.3.3包嗅探器137
10.3.4蜜罐139
10.3.5防火牆工具139
10.4小結140
10.5習題140
 
第11章作業系統安全141
11.1作業系統強化141
11.1.1刪除所有不必要的軟體142
11.1.2刪除所有不必要的服務143
11.1.3改默認帳戶144
11.1.4應用小許可權原則144
11.1.5執行新145
11.1.6啟用日誌記錄和審計146
11.2防範惡意軟體146
11.2.1反惡意軟體工具146
11.2.2可執行空間保護147
11.2.3軟體防火牆和主機入侵偵測148
11.3作業系統安全工具148
11.3.1掃描器149
11.3.2漏洞評估工具150
11.3.3漏洞利用框架150
11.4小結152
11.5習題153
 
第12章移動、嵌入式和物聯網安全154
12.1移動安全154
12.1.1保護移動設備155
12.1.2移動安全問題156
12.2嵌入式安全159
12.2.1嵌入式設備使用場景159
12.2.2嵌入式設備安全問題161
12.3物聯網安全162
12.3.1何為物聯網設備163
12.3.2物聯網安全問題165
12.4小結167
12.5習題167
 
第13章應用程式安全168
13.1軟體發展漏洞169
13.1.1緩衝區溢位170
13.1.2競爭條件170
13.1.3輸入驗證攻擊171
13.1.4身份驗證攻擊171
13.1.5授權攻擊172
13.1.6加密攻擊172
13.2Web安全173
13.2.1用戶端攻擊173
13.2.2伺服器端攻擊174
13.3資料庫安全176
13.3.1協議問題176
13.3.2未經身份驗證的訪問177
13.3.3任意代碼執行178
13.3.4許可權提升178
13.4應用安全工具179
13.4.1嗅探器179
13.4.2Web應用程式分析工具180
13.4.3模糊測試工具182
13.5小結183
13.6習題183
 
第14章安全評估185
14.1漏洞評估185
14.1.1映射和發現186
14.1.2掃描187
14.1.3漏洞評估面臨的技術挑戰188
14.2滲透測試189
14.2.1滲透測試過程189
14.2.2滲透測試分類191
14.2.3滲透測試的物件192
14.2.4漏洞賞金計畫194
14.2.5滲透測試面臨的技術挑戰194
14.3這真的意味著你安全了嗎195
14.3.1現實測試195
14.3.2你能檢測到自己遭受的攻擊嗎196
14.3.3安全並不意味著明天安全198
14.3.4修復安全性漏洞成本高昂199
14.4小結199
14.5習題200