Web商务安全设计与开发宝典 涵盖电子商务与移动商务PDF电子书下载

第Ⅰ部分 商务概览 3

第1章Internet时代：电子商务 3

1.1商务的演变 3

1.2支付 5

1.2.1货币 5

1.2.2金融网络 5

1.3分布式计算：在商务前添加“电子” 13

1.3.1客户机/服务器 13

1.3.2网格计算 14

1.3.3云计算 15

1.3.4云安全 19

1.4小结 28

第2章 移动商务 29

2.1消费者电子设备 30

2.2移动电话和移动商务 30

2.2.1概述 30

2.2.2移动商务与电子商务 33

2.2.3移动状态 38

2.3移动技术 39

2.3.1 Carrier网络 39

2.3.2栈 41

2.4小结 54

第3章Web商务安全中的几个重要特性 55

3.1机密性、完整性和可用性 55

3.1.1机密性 55

3.1.2完整性 56

3.1.3可用性 57

3.2可伸展性 57

3.2.1黑盒可伸展性 58

3.2.2白盒可伸展性（开放盒） 58

3.2.3白盒可伸展性（玻璃盒） 59

3.2.4灰盒可伸展性 60

3.3故障耐受性 60

3.3.1高可用性 61

3.3.2电信网络故障耐受性 61

3.4互操作性 62

3.4.1其他互操作性标准 62

3.4.2互操作性测试 62

3.5可维护性 63

3.6可管理性 63

3.7模块性 64

3.8可监测性 64

3.8.1入侵检测 65

3.8.2渗透测试 66

3.8.3危害分析 66

3.9可操作性 67

3.9.1保护资源和特权实体 67

3.9.2 Web商务可操作性控制的分类 68

3.10可移植性 68

3.11可预测性 69

3.12可靠性 69

3.13普遍性 70

3.14可用性 71

3.15可扩展性 71

3.16问责性 72

3.17可审计性 73

3.18溯源性 74

3.19小结 75

第Ⅱ部分 电子商务安全 79

第4章 电子商务基础 79

4.1为什么电子商务安全很重要 79

4.2什么使系统更安全 80

4.3风险驱动安全 81

4.4安全和可用性 82

4.4.1密码的可用性 83

4.4.2实用笔记 83

4.5可扩展的安全 84

4.6确保交易安全 84

4.7小结 85

第5章 构件 87

5.1密码 87

5.1.1密码的作用 87

5.1.2对称加密系统 88

5.1.3非对称加密系统 96

5.1.4数字签名 100

5.1.5随机数生成 103

5.1.6公共密钥证书系统——数字证书 105

5.1.7数据保护 110

5.2访问控制 112

5.2.1控制 112

5.2.2访问控制模型 113

5.3系统硬化 114

5.3.1服务级安全 114

5.3.2主机级安全 125

5.3.3网络安全 128

5.4小结 140

第6章 系统组件 141

6.1身份认证 141

6.1.1用户身份认证 141

6.1.2网络认证 144

6.1.3设备认证 146

6.1.4 API认证 146

6.1.5过程验证 148

62授权 149

6.3不可否认性 149

6.4隐私权 150

6.4.1隐私权政策 150

6.4.2与隐私权有关的法律和指导原则 151

6.4.3欧盟原则 151

6.4.4卫生保健领域的隐私权问题 152

6.4.5隐私权偏好平台 152

6.4.6电子监控 153

6.5信息安全 154

6.6数据和信息分级 156

6.6.1信息分级的好处 156

6.6.2信息分级概念 157

6.6.3数据分类 160

6.6.4 Bell-LaPadula模型 161

6.7系统和数据审计 162

6.7.1 Syslog 163

6.7.2 SIEM 164

6.8纵深防御 166

6.9最小特权原则 168

6.10信任 169

6.11隔离 170

6.11.1虚拟化 170

6.11.2沙箱 171

6.11.3 IPSec域隔离 171

6.12安全政策 171

6.12.1高级管理政策声明 172

6.12.2 NIST政策归类 172

6.13通信安全 173

6.14小结 175

第7章 安全检查 177

7.1验证安全的工具 177

7.1.1脆弱性评估和威胁分析 179

7.1.2使用Snort进行入侵检测和预防 180

7.1.3使用Nmap进行网络扫描 181

7.1.4 Web应用程序调查 183

7.1.5漏洞扫描 187

7.1.6渗透测试 189

7.1.7无线侦察 191

7.2小结 194

第8章 威胁和攻击 197

8.1基本定义 198

8.1.1目标 198

8.1.2威胁 198

8.1.3攻击 199

8.1.4控制 199

8.1.5同源策略 199

8.2常见的Web商务攻击 200

8.2.1遭破坏的验证和会话管理攻击 200

8.2.2跨站点请求伪造攻击 201

8.2.3跨站点脚本攻击 204

8.2.4 DNS劫持攻击 207

8.2.5不限制URL访问攻击 208

8.2.6注入漏洞 208

8.2.7不充分的传输层保护攻击 211

8.2.8不安全的密码存储攻击 211

8.2.9不安全的直接对象引用攻击 212

8.2.10钓鱼和垃圾邮件攻击 212

8.2.11 Rootkit及其相关攻击 213

8.2.12安全配置错误攻击 213

8.2.13未经验证的重定向和引导攻击 214

8.3小结 214

第9章 认证 215

9.1认证与鉴定 215

9.2标准和相关指南 217

9.2.1可信计算机系统评价标准 217

9.2.2通用标准ISO/IEC 15408 218

9.2.3防御信息保证认证和鉴定流程 218

9.2.4管理和预算办公室A-130通报 219

9.2.5国家信息保证认证和鉴定流程（NIACAP） 220

9.2.6联邦信息安全管理法案（FISMA） 222

9.2.7联邦信息技术安全评估框架 222

9.2.8 FIPS 199 223

9.2.9 FIPS 200 223

9.2.10补充指南 224

9.3相关标准机构和组织 225

9.3.1耶利哥城论坛 225

9.3.2分布式管理任务组 225

9.3.3国际标准化组织/国际电工委员会 226

9.3.4欧洲电信标准协会 228

9.3.5全球网络存储工业协会 228

9.3.6开放Web应用程序安全项目 229

9.3.7 NIST SP 800-30 231

9.4认证实验室 232

9.4.1软件工程中心软件保证实验室 232

9.4.2 SAIC 233

9.4.3国际计算机安全协会实验室 233

9.5系统安全工程能力成熟度模型 233

9.6验证的价值 236

9.6.1何时重要 236

9.6.2何时不重要 236

9.7证书类型 237

9.7.1通用标准 237

9.7.2万事达信用卡合规和安全测试 237

9.7.3 EMV 237

9.7.4其他评价标准 239

9.7.5 NSA 240

9.7.6 FIPS 140认证和NIST 241

9.8小结 241

附录A计算基础 243

附录B标准化和管理机构 269

附录C术语表 285

附录D参考文献 339