第1章 绪论 1
1.1风险管理的作用 2
1.2漏洞管理的起源 3
1.3安全产业及其缺陷介绍 4
1.4来自政府和产业的挑战 5
1.5漏洞的来源 5
1.6有缺陷的漏洞管理示例 5
1.7漏洞管理的重要性 6
第2章 漏洞体验 7
2.1简介 8
2.2漏洞产生过程 8
2.2.1复杂性 9
2.2.2连通性 10
2.2.3互操作性 10
2.3创建漏洞：一个例子 11
2.4使用漏洞管理程序的理由 13
2.4.1网络过度开放 13
2.4.2安全系统配置标准缺失 14
2.4.3重大经济损失风险 14
2.4.4收益损失 15
2.4.5生产力损失 15
2.5漏洞管理程序故障 16
2.5.1案例研究1：获得组织的支持 16
2.5.2案例研究2：技术集成的挑战 22
第3章 计划和组织 33
3.1概述：计划结构 34
3.2漏洞管理计划和技术开发 36
3.3参与者 37
3.3.1操作者角色 37
3.3.2贡献者角色 39
3.4策略和信息流 40
3.4.1现行策略 40
3.4.2新策略 41
3.4.3合规和统辖 42
3.5小结 44
第4章 漏洞管理技术 45
4.1简介 46
4.2总体架构 47
4.2.1硬件模式 47
4.2.2用户提供的硬件和虚拟化 49
4.3代理 50
4.3.1代理架构 50
4.3.2优点与缺点 52
4.3.3检测方法 53
4.4被动网络分析 53
4.4.1优点与缺点 56
4.4.2检测方法 57
4.4.3物理层 57
4.4.4数据链路层 58
4.4.5网络层 58
4.4.6 4至7层 58
4.5主动扫描技术 58
4.5.1优点与缺点 59
4.5.2检测方法 59
4.6混合方法 82
4.7推理扫描 83
4.8 CVE 83
4.8.1结构 84
4.8.2 CVE的局限 86
4.9漏洞测试数据标准 86
4.9.1架构定义 87
4.9.2系统特征架构 88
4.9.3结果架构 88
4.9.4测试描述 88
4.10漏洞危害程度评价标准 92
4.11美国国家漏洞库 98
4.11.1 CPE 98
4.11.2 XCCDF 100
4.12 SCAP 101
4.13 Nessus 102
4.13.1优点与缺点 103
4.13.2扫描模型 103
4.13.3使用Nessus 104
第5章 选择技术 107
5.1概述 108
5.2总体需求 108
5.2.1责任分担 108
5.2.2时间表 110
5.2.3标准 112
5.2.4报告 113
5.2.5高级报告 115
5.3自动化 116
5.3.1标签生成 116
5.3.2流程整合 117
5.3.3流程和系统的灵活性 117
5.3.4补丁管理支持 118
5.4体系结构 118
5.4.1被动的体系结构 119
5.4.2基于代理的体系结构 119
5.4.3主动扫描的体系结构 120
5.4.4保证平台安全 124
5.4.5系统整合 125
5.5定制与整合 126
5.6评分方法 127
5.7访问控制 129
5.7.1活动目录 129
5.7.2 RADIUS和TACACS+ 130
5.7.3授权 130
5.8部署方法 131
5.8.1主动扫描器部署：物理部署 132
5.8.2虚拟扫描器 133
5.8.3被动分析器的部署 133
5.8.4代理部署 134
5.9小结 135
第6章 过程 137
6.1介绍 138
6.2漏洞管理过程 138
6.2.1准备 139
6.2.2发现 140
6.2.3轮廓 140
6.2.4审计 141
6.2.5修复 141
6.2.6监控和调整 141
6.2.7管理 142
6.3基准 142
6.4 ITIL-ITSM流程 144
6.4.1服务支持 144
6.4.2服务台 146
6.4.3事件管理 146
6.4.4服务交付 148
6.4.5其他方面 149
6.5 IAVA流程 149
6.6数据分级 152
6.6.1案例研究：Big TyreCorporation 153
6.6.2数据分级流程 154
6.7风险评估 154
6.7.1信息收集 155
6.7.2安全控制评估 156
6.7.3业务需求 157
6.7.4资产估值 158
6.7.5漏洞评估 159
6.7.6安全控制措施有效性评估 160
6.8小结 160
第7章 执行、汇报与分析 161
7.1介绍 162
7.2发现报告 162
7.3评估报告 165
7.4框架报告 168
7.5审计报告 171
7.5.1主动扫描审计报告 171
7.5.2被动扫描审计报告 172
7.5.3审计趋势分析 174
7.6主动扫描：时间安排与资源 177
7.6.1审计参数 177
7.6.2时间安排 180
7.7审计趋势与性能报告 180
7.7.1基本报告 180
7.7.2高级报告：控制图 184
7.7.3介绍漏洞群：控制性能报告 187
7.8合规性报告 190
7.8.1系统合规性报告 190
7.8.2合规性执行总结 192
7.9小结 193
第8章 规划 195
8.1介绍 196
8.2章程制定 197
8.2.1介绍：业务价值 197
8.2.2目的和目标 197
8.2.3范围 198
8.2.4假设 198
8.3业务用例 199
8.4需求文档 199
8.5安全架构建议 201
8.6 RFP 202
8.7实施计划 202
8.8操作流程文档 204
8.9资产估价指南 205
8.10漏洞管理策略 205
8.11部署策略 206
8.11.1基本策略 206
8.11.2基于风险的策略 207
8.11.3改进的时间表 208
8.12部署标准与进展报告 209
8.13小结 209
第9章 策略性漏洞 211
9.1介绍 212
9.2操作环境 215
9.3管理外部因素 216
9.4控制内部漏洞 217
9.4.1业务模式 218
9.4.2业务程序 218
9.4.3复杂性 219
9.4.4反应方案 219
9.4.5漏洞方法论与变更 220
9.4.6复杂性 222
9.5规避原则 223
9.6了解对手 225
9.6.1优点与缺点 225
9.6.2现实事件 226
9.6.3目的与目标的对比 227
9.6.4时间放大效应 228
9.6.5政治环境加剧攻击 229
9.7小结 229
第10章 总结 231
10.1介绍 232
10.2跨领域机会 233
10.3跨技术机会 234
10.3.1代理 234
10.3.2补丁管理 235
10.3.3应用渗透测试 235
10.4流程缺陷 236
10.5运行环境的变化 238
10.5.1省时 238
10.5.2节电 238
10.5.3分布式计算 239
10.6报告 241
10.7服务水平协议 241
10.8小结 241