网络安全评估：翻译版PDF电子书下载

第1章 漏洞窗口 1

引言 2

什么是漏洞？ 2

理解漏洞造成的风险 6

小结 9

快速解决方案 9

常见问题 9

第2章 漏洞评估101 11

引言 12

什么是漏洞评估？ 12

第一步：信息收集／发现 12

第二步：列举 14

第三步：检测 15

查找漏洞 16

利用安全技术检测漏洞 16

解释通过安全技术收集的漏洞评估数据 16

通过修复技术存取漏洞 19

从修复知识库中提取漏洞评估数据 20

利用配置工具评估漏洞 21

查找漏洞的重要性 23

看一些具体的数字 23

小结 26

快速解决方案 26

常见问题 27

第3章 漏洞评估工具 29

引言 30

一个好的漏洞评估工具的特征 30

使用漏洞评估工具 32

第一步：识别网络上的主机 33

第二步：把主机分组 35

第三步：创建一个审计策略 35

第四步：执行扫描 37

第五步：分析报告 37

第六步：在必要的地方做出修复 37

小结 39

快速解决方案 39

常见问题 40

第4章 漏洞评估：第一步 41

引言 42

认识你的网络 42

对资产分类 47

我认为这是一个漏洞评估章节 49

小结 51

快速解决方案 51

常见问题 52

第5章 漏洞评估：第二步 53

引言 54

一个有效的扫描计划 54

扫描你的网络 55

何时扫描 60

小结 61

快速解决方案 61

常见问题 62

第6章 更进一步 65

引言 66

渗透测试类型 66

场景：一次内部网络攻击 67

客户端网络 68

第一步：信息收集 69

第二步：测定漏洞 72

渗透测试 76

第三步：攻击和渗透 81

漏洞评估vs渗透测试 91

决定实施漏洞评估还是渗透测试的提示 91

内部vs外部 92

小结 93

快速解决方案 94

常见问题 94

第7章 漏洞管理 95

引言 96

漏洞管理计划 96

漏洞管理的6个阶段 97

阶段一：确定（Identification） 97

阶段二：评估（Assessment） 98

阶段三：修复（remediate） 99

阶段四：报告（report） 99

阶段五：改进（improve） 100

阶段六：监控（monitor） 100

管理（这是审查员想知道的） 101

度量漏洞管理计划的性能 102

使用说明 103

漏洞管理的常见问题 104

小结 105

快速解决方案 105

常见问题 107

第8章 漏洞管理工具 109

引言 110

在一个理想世界中的理想工具 110

评价漏洞管理工具 111

商业漏洞管理工具 112

eEye Digital Security 112

Symantec（BindView） 113

Attachmate（NetIQ） 113

StillSecure 113

McAfee 114

开源和免费的漏洞管理工具 114

资产管理、工作流和知识库 114

主机发现 114

漏洞扫描与配置扫描 114

配置和补丁扫描 115

漏洞通告 115

安全信息管理（SIM） 115

管理漏洞服务 116

小结 117

快速解决方案 117

常见问题 118

第9章 漏洞和配置管理 119

引言 120

补丁管理 120

系统清单（System Inventory） 122

系统分类（System Classification） 124

系统基线（System Baselining） 125

通用漏洞评分系统 127

建立补丁测试实验室 128

虚拟化 128

环境模拟 129

补丁发布与部署 132

配置管理 132

日志和报告（Logging and Reporting） 133

变更控制 133

小结 136

快速解决方案 136

常见问题 136

第10章 遵守管理法规 139

引言 140

调控评估和渗透测试 140

支付卡工业（PCI）标准 140

健康保险携带和责任法案（HIPAA） 142

2002年的萨班斯－奥克斯利法案（SOX） 144

法规总结 144

起草信息安全计划 145

小结 149

快速解决方案 149

常见问题 150

第11章 融会贯通 151

引言 152

漏洞管理方法论 152

第一步：知道你的资产 153

你需要做什么 153

你为什么要做 153

你如何去做 153

现有的哪些工具可以帮助你做 154

第二步：资产分类 155

你需要做什么 155

你为什么要做 156

你如何去做 156

现有的哪些工具可以帮助你做 156

第三步：创建资产的基线扫描 157

你需要做什么 157

你为什么要做 157

你如何去做 157

现有的哪些工具可以帮助你做 158

第四步：对特定资产进行渗透测试 158

你需要做什么 158

你为什么要做 159

你如何去做 159

现有的哪些工具帮助你做 160

第五步：修复漏洞和降低风险 160

你需要做什么 160

你为什么要做 161

你如何去做 161

现有的哪些工具帮助你做 162

第六步：创建漏洞评估进度表 162

你需要做什么 162

你为什么要做 162

你如何去做 162

第七步：创建补丁和变更管理过程 163

你需要做什么 163

你为什么要做 164

你如何去做 164

现有的哪些工具帮助你做 164

第八步：监控资产面临的新风险 164

你需要做什么 164

你为什么要做 165

你如何去做 165

现有的哪些工具帮助你做 165

小结 167

附录A 信息安全评价的法律案例 169

引言 170

山姆大叔希望你做的：公司的信息安全如何影响美国的国家安全（反之亦然） 170

信息安全相关的法律标准 173

选定的联邦法律 173

各州法律 176

申请强制执行判决的诉讼 177

3个致命谬论 177

遵纪守法还是拿公司的命运作赌注：减轻法律责任的工具 178

我们尽力而为；问题何在？ 179

我们能做什么？ 180

信息安全评价合同中应该涵盖什么64 182

内容、谁、何时、何地、如何去做，以及花费 183

橡胶适合道路：协议书（LOA）作为责任保护 191

我们要做的首要工作是……？要求律师自始至终地参与 193

律师－委托人特权 193

辩护律师的建议 194

建立和执行严格评估、汇报及书面报告的标准 195

为未来的诉讼创造一个良好的记录 195

最大化辩护的能力 195

处理好与管理者、执法人员及情报和国土安全部官员的关系 196

信息安全评价的道德规范92 197

快速解决方案 197

常见问题 199

参考文献 200

附录B 信息安全基线活动工具 205

端口扫描 206

SNMP扫描 207

枚举和包捕捉 208

无线枚举 209

漏洞扫描 210

主机评价 212

网络设备分析 213

密码规则测试 213

应用程序扫描 214

网络协议分析 216