第1章 信息安全简介 1
1.1 引言 2
1.2 信息安全发展史 3
1.2.1 20世纪60年代 3
1.2.2 20世纪70年代和80年代 4
1.2.3 20世纪90年代 8
1.2.4 2000年至今 8
1.3 安全的概念 9
1.3.1 重要的信息安全概念 10
1.3.2 信息的重要特性 12
1.4 CNSS安全模型 15
1.5 信息系统的组件 15
1.5.1 软件 16
1.5.2 硬件 16
1.5.3 数据 17
1.5.4 人员 17
1.5.5 过程 17
1.5.6 网络 17
1.6 平衡信息的安全和访问 18
1.7 实现信息安全的方法 18
1.8 系统生命周期的安全性 19
1.8.1 系统开发生命周期 20
1.8.2 安全系统开发生命周期 21
1.8.3 软件保证——SDLC中的安全性 23
1.8.4 软件设计原则 24
1.8.5 保护SDLC的NIST方法 25
1.9 安全专业人士和机构 27
1.9.1 高级管理者 27
1.9.2 信息安全项目小组 28
1.9.3 数据责任 28
1.10 利益团体 29
1.10.1 信息安全管理和专业人士 29
1.10.2 信息技术管理和专业人士 29
1.10.3 机构管理和专业人士 29
1.11 信息安全：艺术还是科学 29
1.11.1 作为艺术的安全 30
1.11.2 作为科学的安全 30
1.11.3 作为社会科学的安全 30
1.12 本章小结 30
1.13 复习题 31
1.14 练习 32
1.15 案例练习 32
1.16 尾注 32
第2章 安全需求 35
2.1 引言 36
2.2 威胁和攻击 37
2.2.1 25亿潜在黑客 38
2.2.2 关于威胁的其他研究 38
2.2.3 常见攻击模式枚举与分类（CAPEC） 40
2.2.4 12类威胁 40
2.3 知识产权的损害 41
2.3.1 软件盗版 41
2.3.2 版权保护和用户注册 42
2.4 服务质量差 43
2.4.1 互联网服务问题 43
2.4.2 通信及其他服务提供商的问题 44
2.4.3 电源不稳定 44
2.5 间谍或蓄意入侵 45
2.5.1 黑客 45
2.5.2 黑客的变体 50
2.5.3 密码攻击 50
2.6 自然灾害 52
2.6.1 火灾 52
2.6.2 水灾 52
2.6.3 地震 52
2.6.4 闪电 52
2.6.5 山崩或泥石流 53
2.6.6 龙卷风或风暴 53
2.6.7 飓风、台风或热带低气压 53
2.6.8 海啸 53
2.6.9 静电放电 53
2.6.10 灰尘污染 54
2.7 人为过失或失败 54
2.8 信息敲诈 58
2.9 蓄意破坏 59
2.10 软件攻击 61
2.10.1 恶意软件 61
2.10.2 后门 66
2.10.3 拒绝服务（DoS）及分布式拒绝服务（DDoS）攻击 67
2.10.4 电子邮件攻击 67
2.10.5 通信拦截攻击 68
2.11 技术硬件故障或错误 69
2.11.1 IntelPentiumCPU故障 69
2.11.2 平均故障间隔时间 70
2.12 技术软件故障或错误 70
2.12.1 OWASP十大风险列表 70
2.12.2 软件安全中的诸宗罪 71
2.13 技术淘汰 75
2.14 窃取 76
2.15 本章小结 77
2.16 复习题 77
2.17 练习 78
2.18 案例练习 78
2.19 尾注 79
第3章 信息安全中的法律、道德以及专业人员问题 83
3.1 引言 84
3.2 信息安全的法律及道德 84
3.2.1 机构的责任和忠告 84
3.2.2 政策与法律 84
3.2.3 法律的类型 85
3.3 美国相关法律 85
3.3.1 一般计算机犯罪法 85
3.3.2 出口及间谍法 93
3.3.3 美国版权法 94
3.3.4 财务报表 94
3.3.5 1966年信息自由法 95
3.3.6 支付卡行业数据安全标准（PCI DSS） 95
3.3.7 州和本地法规 96
3.4 国际法及法律主体 97
3.4.1 英国的计算机安全法 97
3.4.2 澳大利亚的计算机安全法 97
3.4.3 欧洲网络犯罪委员会条例 98
3.4.4 世界贸易组织和与贸易有关的知识产权协议 98
3.4.5 数字千年版权法 98
3.5 道德和信息安全 99
3.5.1 不同文化中的道德差异 99
3.5.2 道德和教育 103
3.5.3 不道德及违法行为的防范措施 104
3.6 专业机构的道德规范 104
3.7 美国主要联邦机构 106
3.7.1 本国安全部（DHS） 106
3.7.2 美国特勤局 109
3.7.3 联邦调查局（FBI） 110
3.7.4 国家安全局（NSA） 111
3.8 本章小结 112
3.9 复习题 113
3.10 练习 113
3.11 案例练习 113
3.12 尾注 114
第4章 安全规划 117
4.1 引言 117
4.2 信息安全规划和治理 118
4.2.1 规划级别 118
4.2.2 规划和CISO 118
4.2.3 信息安全治理 119
4.2.4 信息安全治理效果 120
4.3 信息安全政策、标准及实践 120
4.3.1 作为规划基础的政策 121
4.3.2 企业信息安全政策 123
4.3.3 特定问题的安全政策 124
4.3.4 特定系统的安全政策（SysSP） 127
4.3.5 政策管理 131
4.4 信息安全蓝图 132
4.4.1 ISO27000系列 133
4.4.2 NIST安全模式 136
4.4.3 安全框架的其他资源 141
4.4.4 安全体系的设计 142
4.5 安全教育、培训和认识计划 144
4.5.1 安全教育 145
4.5.2 安全培训 145
4.5.3 安全意识 146
4.6 持续性策略 146
4.6.1 CP政策 150
4.6.2 业务影响分析 150
4.6.3 事故响应规划 152
4.6.4 灾难恢复计划 162
4.6.5 业务持续性计划 163
4.6.6 危机管理 165
4.6.7 统一的应急计划 166
4.6.8 相关法律的实施 166
4.7 本章小结 166
4.8 复习题 167
4.9 练习 168
4.10 案例练习 168
4.11 尾注 169
第5章 风险管理 173
5.1 引言 174
5.2 风险管理概述 174
5.2.1 知己 176
5.2.2 知彼 176
5.2.3 利益团体的作用 176
5.2.4 风险胃纳和残余风险 177
5.3 风险识别 178
5.3.1 规划、组织过程 178
5.3.2 资产的识别、建立清单和分类 178
5.3.3 信息资产的分类、估价和分级 182
5.3.4 威胁的识别和分级 188
5.3.5 指定资产的漏洞 192
5.4 风险评估 194
5.4.1 风险评估的规划和组织 194
5.4.2 确定损失的频率 195
5.4.3 估计损失的量级 197
5.4.4 计算风险 197
5.4.5 评估风险的可接受程度 198
5.4.6 风险评估的FAIR方法 199
5.5 风险控制策略 203
5.5.1 选择控制策略 203
5.5.2 证实控制措施的有效性 206
5.5.3 风险控制的估计、评估及维护 209
5.6 定量和定性的风险管理实践 209
5.7 推荐的控制风险实践 215
5.7.1 验证结果 215
5.7.2 NIST风险管理框架 216
5.8 本章小结 217
5.9 复习题 218
5.10 练习 219
5.11 案例练习 220
5.12 尾注 221
第6章 安全技术：防火墙和VPN 223
6.1 引言 224
6.2 访问控制 224
6.2.1 访问控制机制 226
6.2.2 生物测定学 229
6.2.3 访问控制体系模型 231
6.3 防火墙 236
6.3.1 防火墙的处理模式 236
6.3.2 防火墙体系结构 244
6.3.3 选择正确的防火墙 248
6.3.4 配置和管理防火墙 248
6.3.5 内容过滤器 255
6.4 保护远程连接 256
6.4.1 远程访问 256
6.4.2 虚拟专用网络 259
6.5 本章小结 262
6.6 复习题 263
6.7 练习 263
6.8 案例练习 264
6.9 尾注 264
第7章 安全技术：入侵检测防护系统和其他安全工具 267
7.1 引言 268
7.2 入侵检测防护系统 268
7.2.1 IDPS术语 269
7.2.2 使用IDPS的原因 270
7.2.3 IDPS的类型 271
7.2.4 IDPS检测方法 278
7.2.5 IDPS响应行为 280
7.2.6 选择IDPS方法和产品 282
7.2.7 IDPS的优缺点 286
7.2.8 IDPS的部署和实现 286
7.2.9 评估IDPS的效果 292
7.3 蜜罐、蜜网和填充单元系统 294
7.3.1 诱捕和跟踪系统 295
7.3.2 积极阻止入侵 296
7.4 浏览和分析工具 296
7.4.1 端口扫描仪 299
7.4.2 防火墙分析工具 300
7.4.3 操作系统检测工具 301
7.4.4 漏洞扫描仪 301
7.4.5 包嗅探器 305
7.4.6 无线安全工具 306
7.5 本章小结 308
7.6 复习题 308
7.7 练习 309
7.8 案例练习 309
7.9 尾注 310
第8章 密码学 313
8.1 引言 314
8.2 密码简史 314
8.3 加密方法 317
8.3.1 置换加密 318
8.3.2 移项加密 321
8.3.3 异或 322
8.3.4 Vernam加密 323
8.3.5 基于书本的加密 324
8.3.6 散列函数 325
8.4 加密算法 326
8.4.1 对称加密 327
8.4.2 非对称加密 329
8.4.3 加密密钥的长度 331
8.5 加密工具 333
8.5.1 公钥基础结构 333
8.5.2 数字签名 334
8.5.3 数字证书 335
8.5.4 混合加密系统 337
8.5.5 密码术 338
8.6 安全通信协议 339
8.6.1 用S-HTTP和SSL保护Internet通信 339
8.6.2 使用S/MIME、PEM和PGP保护电子邮件 340
8.6.3 使用SET、SSL和S-HTTP保护Web事务 341
8.6.4 用WEP或WPA保护无线网络 342
8.6.5 用IPSec和PGP保护TCP／IP 344
8.7 本章小结 347
8.8 复习题 348
8.9 练习 348
8.10 案例分析 349
8.11 尾注 349
第9章 物理安全 351
9.1 引言 352
9.2 物理访问控制 353
9.3 防火安全 360
9.4 支持设备发生故障和建筑物倒塌 365
9.4.1 取暖、通风和空调 365
9.4.2 电力管理和调整 367
9.4.3 水问题 369
9.4.4 建筑物的倒塌 369
9.4.5 设施系统的维护 369
9.5 数据的侦听 370
9.6 可移动和便携系统的安全性 371
9.7 物理安全威胁的特殊考虑 373
9.8 本章小结 374
9.9 复习题 375
9.10 练习 375
9.11 案例练习 376
9.12 尾注 376
第10章 实现信息安全 379
10.1 引言 380
10.2 信息安全的项目管理 381
10.2.1 制定项目计划 381
10.2.2 项目计划的考虑 384
10.2.3 范围考虑 386
10.2.4 项目管理需求 387
10.2.5 安全项目管理证书 388
10.3 实现的技术主题 389
10.3.1 转换策略 389
10.3.2 靶心模型 391
10.3.3 外购还是自行开发 392
10.3.4 技术监督和改进控制 392
10.3.5 SANS的20个最重要的安全控制 393
10.4 实现的非技术方面 394
10.4.1 改进管理的文化氛围 394
10.4.2 机构改进的考虑 394
10.5 信息系统安全证书和鉴定 395
10.5.1 证书和鉴定书 395
10.5.2 NIST安全生命周期方法 396
10.5.3 NSTISS证书和鉴定书 401
10.5.4 ISO 27001/27002系统认证和鉴定 405
10.6 本章小结 407
10.7 复习题 408
10.8 练习 408
10.9 案例练习 409
10.10 尾注 410
第11章 安全和人员 411
11.1 引言 412
11.2 确定安全部门的人员配备 412
11.3 信息安全专业人员的认证 422
11.3.1 （ISC）2证书 422
11.3.2 ISACA认证 425
11.3.3 SANS认证 427
11.3.4 EC委员会认证 427
11.3.5 CompTIA认证 428
11.3.6 ISFCE认证 429
11.3.7 获得认证的费用 429
11.3.8 给信息安全专业人员的建议 430
11.4 招聘政策和实践 432
11.4.1 工作描述 432
11.4.2 面试 432
11.4.3 背景检查 433
11.4.4 聘用合同 433
11.4.5 新员工的定位 434
11.4.6 工作期间的安全培训 434
11.4.7 业绩评估 434
11.4.8 解聘 434
11.5 临时工、顾问和其他工作人员的安全考虑 436
11.5.1 临时工 436
11.5.2 合同工 437
11.5.3 顾问 437
11.5.4 业务伙伴 437
11.6 内部控制策略 437
11.7 人员数据的秘密性和安全 439
11.8 本章小结 439
11.9 复习题 440
11.10 练习 441
11.11 案例练习 441
11.12 尾注 442
第12章 信息安全维护 445
12.1 引言 446
12.2 安全管理维护模式 446
12.2.1 NIST SP 800-100，信息安全手册：经理的指南 447
12.2.2 安全维护模式 464
12.3 数字取证 484
12.3.1 数字取证组 485
12.3.2 宣誓书和搜索担保书 486
12.3.3 数字取证方法 486
12.3.4 举证过程 490
12.4 本章小结 491
12.5 复习题 492
12.6 练习 493
12.7 案例练习 493
12.8 尾注 494
术语表 497