安全之美PDF电子书下载

第1章 心理上的安全陷阱&Peiter"Mudge"Zatko 1

1.1 习得性无助和无从选择 2

1.1.1 实例：Microsoft是如何允许LOphtCrack的 3

1.1.2 密码和身份认证可以从一开始就做得更好 6

1.1.3 客户的习得性无助——无从选择 8

1.2 确认陷阱 9

1.2.1 概念简介 10

1.2.2 分析师确认陷阱 11

1.2.3 陈腐的威胁模型 11

1.2.4 正确理解功能 12

1.3 功能锁定 13

1.3.1 安全位置的潜在风险 14

1.3.2 降低成本与未来收益：ISP实例 15

1.3.3 降低成本与未来收益：能源实例 16

1.4 小结 19

第2章 无线网络：社会工程的沃土&Jim Stickley 21

2.1 轻松赚钱 22

2.1.1 设置攻击 23

2.1.2 隐私的聚宝盆 24

2.1.3 Web安全的基本缺陷：不要相信可信系统 25

2.1.4 建立无线信任 25

2.1.5 采用可靠的解决方案 26

2.2 无线也疯狂 27

2.2.1 无线侧信道 28

2.2.2 无线接入点自身如何 30

2.3 无线仍然是未来 30

第3章 美丽的安全度量指标&Elizabeth A.Nichols 31

3.1 安全度量指标的类比：健康 32

3.1.1 不合理的期待 33

3.1.2 数据透明性 33

3.1.3 合理的度量指标 34

3.2 安全度量指标的实例 36

3.2.1 巴林银行：内部侵害 36

3.2.2 TJX：外部侵害 46

3.2.3 其他公共数据来源 56

3.3 小结 57

第4章 安全漏洞的地下经济&Chenxi Wang 59

4.1 地下网络的组成和基础设施 60

4.1.1 地下通信基础设施 61

4.1.2 攻击基础设施 61

4.2 回报 62

4.2.1 数据交换 62

4.2.2 信息来源 63

4.2.3 攻击向量 64

4.2.4 洗钱游戏 66

4.3 如何对抗日益增长的地下网络经济 66

4.3.1 降低数据的价值 67

4.3.2 信息的权限分离 67

4.3.3 构建动力／回报结构 67

4.3.4 为数据责任建立评估和声誉体系 67

4.4 小结 68

第5章 美丽的交易：重新思考电子商务的安全&Ed Bellis 69

5.1 解构商业 70

分析安全环境 71

5.2 微弱的改良尝试 71

5.2.1 3D安全 72

5.2.2 安全电子交易 74

5.2.3 单用途和多用途虚拟卡 75

5.2.4 破灭的动机 75

5.3 重塑电子商务：新的安全模型 78

5.3.1 需求1：消费者必须通过认证 78

5.3.2 需求2：商家必须通过认证 79

5.3.3 需求3：交易必须经过授权 79

5.3.4 需求4：认证数据不应被认证方和被认证方之外的其他各方所共享 79

5.3.5 需求5：过程不能完全依赖共享秘密 80

5.3.6 需求6：认证应该是可移植的（不受硬件或协议所限） 80

5.3.7 需求7：数据和交易的机密性和完整性必须得到维护 80

5.4 新模型 80

第6章 捍卫在线广告：新狂野西部的盗匪和警察&Benjamin Edelman 83

6.1 对用户的攻击 83

6.1.1 充满漏洞的横幅广告 83

6.1.2 恶意链接广告 86

6.1.3 欺骗式广告 88

6.2 广告客户也是受害者 91

6.2.1 虚假的印象 92

6.2.2 避开容易受骗的CPM广告 93

6.2.3 广告客户为何不奋起反击 97

6.2.4 其他采购环境的教训：在线采购的特殊挑战 98

6.3 创建在线广告的责任制 98

第7章 PGP信任网络的演变&Phil Zimmermann和Jon Callas 99

7.1 PGP和OpenPGP 99

7.2 信任、验证和授权 100

7.2.1 直接信任 101

7.2.2 层次式信任 101

7.2.3 累积式信任 102

7.2.4 基本的PGP信任网络 104

7.2.5 最早的信任网络的毛边 106

7.3 PGP和加密的历史 108

7.3.1 早期的PGP 108

7.3.2 专利和输出问题 109

7.3.3 密码战争 110

7.3.4 从PGP 3到OpenPGP 111

7.4 对最初信任网络的改进 111

7.4.1 撤销 111

7.4.2 伸缩性问题 114

7.4.3 签名的膨胀和困扰 115

7.4.4 证书内偏好 117

7.4.5 PGP全球目录 118

7.4.6 可变信任评分 119

7.5 未来研究的有趣领域 119

7.5.1 超级合法 119

7.5.2 社交网络和流量分析 119

7.6 参考资料 120

第8章 开源Honeyclient：先发制人的客户端漏洞检测&Kathy Wang 123

8.1 进入Honeyclient 124

8.2 世界上第一个开源Honeyclient简介 125

8.3 第二代Honeyclient 127

8.4 Honeyclient的操作结果 130

8.4.1 Windows XP的透明活动 130

8.4.2 Honeyclient数据的存储和关联 131

8.5 漏洞攻击的分析 132

8.6 当前Honeyclient实现的限制 134

8.7 相关的工作 135

8.8 Honeyclient的未来 137

第9章 未来的安全齿轮和杠杆&Mark Curphey 139

9.1 云计算和Web服务：这里是单机 141

9.1.1 创建者和破坏者 142

9.1.2 云计算和Web服务是拯救方案 144

9.1.3 新曙光 145

9.2 结合人、流程和技术：业务流程管理的潜力 146

9.2.1 发散型世界的发散型安全 146

9.2.2 BPM作为多站点安全的指导方针 147

9.3 社交网络：当人们开始通信时，大变革发生了 149

9.3.1 社交网络的艺术状态和潜力 150

9.3.2 安全行业的社交网络 151

9.3.3 数字中的安全 152

9.4 信息安全经济：超级数据解析和网络新规则 153

9.5 长尾变型的平台：未来为什么会截然不同 156

9.5.1 生产工具的大众化 156

9.5.2 发行渠道的大众化 157

9.5.3 连接供应和需求 158

9.6 小结 158

9.7 致谢 159

第10章 安全设计&John McManus 161

10.1 无意义的指标 162

10.2 市场还是质量 164

10.3 符合准则的系统开发周期的作用 168

10.4 结论：安全之美是系统之美的象征 170

第11章 促使公司思考：未来的软件安全吗&Jim Routh 173

11.1 隐式的需求也可能非常强大 173

11.2 公司为什么需要安全的软件 175

11.2.1 如何制订安全计划 176

11.2.2 修正问题 178

11.2.3 把安全计划扩展到外包 179

11.3 对现有的软件进行安全化 180

11.4 分析：如何使世界上的软件更安全 182

11.4.1 最好的软件开发人员创建了具有漏洞的代码 182

11.4.2 Microsoft领先一步 183

11.4.3 软件开发商给了我们想要的，却不是我们需要的 184

第12章 信息安全律师来了&Randy V.Sabett 187

12.1 文化 188

12.2 平衡 190

12.2.1 数字签名指南 190

12.2.2 加利福尼亚数据隐私法 191

12.2.3 安全的投资回报率 192

12.3 通信 194

12.3.1 技术狂为何需要律师 194

12.3.2 来自顶层的推动力，通过合作实现 197

12.3.3 数据泄露小虎队 197

12.4 正确做事 198

第13章 美丽的日志处理&Anton Chuvakin 199

13.1 安全法律和标准中的日志 199

13.2 聚焦日志 200

13.3 什么时候日志是极为珍贵的 201

13.4 日志所面临的困难 202

13.5 案例研究：瘫痪服务器的背后 204

13.5.1 事故的架构和环境 204

13.5.2 被观察的事件 204

13.5.3 调查开始 204

13.5.4 使数据起死回生 206

13.5.5 小结 207

13.6 未来的日志 207

13.6.1 来源的扩大化 207

13.6.2 未来的日志分析和管理工具 208

13.7 结论 209

第14章 事件检测：寻找剩余的68％&Grant Geyer和Brian Dunphy 211

14.1 一个常见起点 212

14.2 改进与上下文相关的检测 213

14.2.1 用流量分析提高覆盖率 214

14.2.2 对监测列表进行综合分析 216

14.3 使用主机日志增强洞察力 217

创建富有弹性的检测模型 218

14.4 小结 222

第15章 无需真实数据就能出色完成工作&Peter Wayner 225

15.1 数据半透明化的工作原理 226

15.2 一个现实的例子 228

15.3 为便利而存储的个人数据 230

15.4 如何权衡 230

15.5 进一步深入 231

15.6 参考资料 232

第16章 铸造新词：PC安全剧场&Michael Wood和Fernando Francisco 233

16.1 攻击不断增加，防御不断倒退 234

16.1.1 在Internet的传送带上 234

16.1.2 不正当行为的回报 235

16.1.3 暴徒的响应 236

16.2 揭穿假象 237

16.2.1 严格审查：传统的和更新的反病毒扫描 237

16.2.2 沙盒和虚拟化：新的银弹 240

16.3 桌面安全的更佳实践 242

16.4 小结 243

附录 作者简介 245