目 录 1
第1章成为一名CISSP的理由 1
1.1 为什么要成为一名CISSP 1
1.2 CISSP认证考试 2
1.3 CISSP认证的历史回顾 6
1.4如何成为一名CISSP 6
1.5关于再认证的规定 7
1.6本书概要 7
1.7 CISSP认证考试小窍门 8
1.8本书使用指南 9
1.9问题 10
第2章计算机安全的发展趋势 14
2.1计算机安全的发展趋势 14
2.2安全的领域 16
2.3信息战 17
2.3.1黑客活动的最新进展 18
2.3.2信息安全对国家的影响 19
2.3.3公司如何受到影响 21
2.3.4美国政府的行动 22
2.3.5这对于我们意味着什么 23
2.4黑客和攻击 23
2.5管理部门的责任 25
2.6因特网和网上行为 26
2.6.1双层结构模式 28
2.6.2数据库的角色 30
2.6.3微软数据访问组件 31
2.7一种分层的模式 32
2.8一种结构化的分析方法 33
2.8.1消失的那一层 35
2.8.2将所有的层结合在一起 36
2.9政治和法律 36
2.11 总结 38
2.10教育 38
3.1 安全管理 40
第3章安全管理实践 40
3.2安全管理职责 41
3.3安全管理和支持控制 42
3.4安全的基本原则 43
3.4.1可用性 44
3.4.2完整性 44
3.4.3机密性 45
3.5 安全定义 45
3.6 自项向下的方法 47
3.7机构安全模型 48
3.8商业需求——私有企业和军事组织 50
3.9风险管理 50
3.10风险分析 51
3.10.1风险分析团队 51
3.10.3构成价值的成本 52
3.10.2信息和财产的价值 52
3.10.4识别威胁 53
3.10.5定量的方法 54
3.10.6分析输入和数据采集 54
3.10.7自动风险分析方法 55
3.10.8风险分析的步骤 56
3.10.9风险分析的结果 58
3.10.10定性的风险分析 59
3.10.11定量和定性的对比 60
3.10.12保护机制 60
3.10.13综合考虑 63
3.10.14总风险和剩余风险 63
3.10.15处理风险 64
3.11策略、规程、标准、基线和方针 64
3.11.1安全策略 65
3.11.3基线 66
3.11.2标准 66
3.11.4方针 67
3.11.5规程 67
3.11.6实行 68
3.12信息分级 69
3.13职责层次 72
3.13.1人员 74
3.13.2构架 74
3.14雇用措施 75
3.14.1 运作 75
3.14.2终止 76
3.15安全意识 76
3.16总结 77
3.17快速提示 78
3.18问题 80
4.1 访问控制 87
第4章访问控制 87
4.2安全原则 88
4.2.1可用性 88
4.2.2完整性 89
4.2.3机密性 89
4.3标识、认证、授权和稽核 90
4.3.1标识和认证 91
4.3.2授权 100
4.3.3单点登录 103
4.4访问控制模型 109
4.4.1 自主型访问控制 110
4.4.2强制型访问控制 110
4.4.3基于角色的访问控制 112
4.5访问控制方法和技术 114
4.5.1基于规则的访问控制 114
4.5.2限制性的用户接口 114
4.5.4访问能力表 115
4.5.3访问控制矩阵 115
4.5.5访问控制列表 116
4.5.6基于内容的访问控制 116
4.6访问控制管理 117
4.6.1集中式 117
4.6.2分散式 119
4.6.3混合式 120
4.7访问控制方法 120
4.7.2管理控制 121
4.7.1访问控制层 121
4.7.3物理控制 123
4.7.4技术控制 125
4.8访问控制类型 128
4.9访问控制实践 134
4.10访问控制监控 137
4.11对访问控制的几种威胁 140
4.11.2蛮力攻击 141
4.11.1字典式攻击 141
4.11.3登录欺骗 142
4.11.4渗透测试 142
4.12总结 143
4.13快速提示 143
4.14 问题 145
第5章安全模型和体系结构 150
5.1安全模型和体系结构 151
5.2计算机体系结构 151
5.2.1 中央处理单元 152
5.2.2存储器 153
5.2.3 CPU模式和保护环 156
5.2.4进程活动 159
5.2.5输入输出设备管理 161
5.2.6小结 162
5.3系统体系结构 162
5.3.2可信计算基础 164
5.3.1定义主体和客体子集 164
5.3.3安全边界 165
5.3.4引用监控器和安全核心 166
5.3.5领域 167
5.3.6资源隔离 169
5.3.7安全策略 169
5.3.8最小特权 170
5.3.9分层、数据隐藏和抽象化 170
5.4安全模型 171
5.4.1状态机模型 172
5.4.2 Bell-LaPadula模型 172
5.4.3 Biba模型 174
5.4.4 Clark-Wilson模型 175
5.4.5信息流模型 176
5.4.6非干涉模型 176
5.4.8 Graham-Denning和Harrison-Ruzzo-Ullman模型 177
5.4.7 Brewer和Nash模型 177
5.5运行安全模式 179
5.5.1专门的安全模式 179
5.5.2系统范围的安全模式 179
5.5.3分段安全模式 179
5.5.4多级安全模式 179
5.5.5可信与保险 180
5.6系统评测方法 181
5.7橘皮书 181
5.7.1 D组——最小保护 182
5.7.2 C组——自主保护 182
5.7.3 B组——强制保护 183
5.7.4 A组——验证保护 184
5.8彩虹系列 184
5.9信息技术安全评测标准 186
5.10通用准则 188
5.11认证和认可 190
5.11.2认可 191
5.11.3 7799标准 191
5.11.1认证 191
5.12开放系统和封闭系统 192
5.12.1开放系统 192
5.12.2封闭系统 192
5.13一些对安全模型和体系结构 193
的威胁 193
5.13.1 隐蔽通道 193
5.13.2后门 194
5.13.3异步攻击 195
5.13.4缓冲区溢出 195
5.14总结 196
5.15快速提示 196
5.16习题 199
6.1物理安全 205
第6章物理安全 205
6.2执行步骤的计划 207
6.3设施管理 208
6.3.1设施的物理特性 209
6.3.2建筑物的建造 210
6.3.3建筑设施的构件 212
6.3.4计算机和设备的房间 213
6.4物理安全风险 214
6.5物理安全设备的选择步骤 215
6.5.1安全须知 215
6.5.2安全应知 215
6.5.3备份 216
6.6环境因素 222
6.6.1通风 224
6.6.2火灾的预防、探测和排除 225
6.6.3火灾探测的类型 225
6.6.4火灾的扑灭 228
6.7管理方面的措施 231
6.8周边安全问题 232
6.8.1设施访问控制 233
6.8.2员工的访问控制 235
6.8.3外部边界的保护措施 237
6.8.4入侵检测系统 241
6.9总结 242
6.10快速提示 243
6.11 问题 245
第7章远程通信和网络安全 252
7.1远程通信和网络安全 253
7.2开放系统互连模型 253
7.2.1应用层 256
7.2.2表示层 257
7.2.3会话层 257
7.2.4传输层 258
7.2.5网络层 259
7.2.6数据链路层 260
7.2.7物理层 261
7.3综合这些层 263
7.4 TCP/IP 264
7.4.1 TCP 265
7.4.2 TCP握手 267
7.4.3数据结构 268
7.4.4 IP寻址 269
7.5传输类型 269
7.5.1模拟和数字 269
7.5.2异步和同步 270
7.5.3宽带和基带 271
7.6联网 271
7.7.1环形拓扑 272
7.7.2总线拓扑 272
7.7网络拓扑 272
7.7.3星型拓扑 273
7.7.4网格拓扑 273
7.7.5 LAN介质访问技术 274
7.7.6布线 280
7.7.7布线问题 282
7.7.8 LAN传输方法 284
7.8.1令牌传递 285
7.8 LAN介质访问技术 285
7.8.2 CSMA 286
7.8.3冲突域 286
7.8.4轮询 287
7.9协议 288
7.9.1地址解析协议 288
7.9.2反向地址解析协议 289
7.9.3因特网控制消息协议 289
7.10.2桥接器 290
7.10网络设备 290
7.10.1 中继器 290
7.10.3转发表 291
7.10.4路由器 292
7.10.5路由选择 293
7.10.6交换机 295
7.10.7 VLAN 296
7.10.8网关 298
7.10.9 PBX 299
7.10.10防火墙 300
7.11 网络隔离 313
7.12网络服务 313
7.12.1网络操作系统 313
7.12.2 DNS 314
7.12.3因特网DNS和域 315
7.12.4目录服务 317
7.13内部网和外部网 318
7.14城域网 320
7.15 广域网 321
7.15.1远程通信的发展 322
7.15.2专用链路 324
7.15.3T载波 324
7.15.4 S/WAN 325
7.15.5 WAN技术 325
7.15.6多服务访问技术 332
7.16远程访问 334
7.16.1拨号和RAS 335
7.16.2 ISDN 335
7.16.3 DSL 337
7.16.4电缆调制解调器 337
7.16.5 VPN 338
7.16.6隧道协议 339
7.17.1单一故障点 345
7.17网络和资源的可用性 345
7.17.2 RAID 346
7.17.3集群 347
7.17.4备份 348
7.1 8无线技术 348
7.19小结 357
7.20快速提示 357
7.21 问题 360
第8章密码学 366
8.1密码学 366
8.2密码学的历史 367
8.3密码学的定义 370
8.4密码系统的强度 372
8.5密码系统的目标 372
8.6密码的类型 373
8.6.2置换密码 374
8.6.1代换密码 374
8.6.3流动密码与隐藏密码 375
8.7隐藏术 375
8.8政府与密码学的牵连 376
8.9加密方法 380
8.9.1对称和非对称加密算法 380
8.9.2流密码与分组密码 385
8.9.3对称密码系统的类型 388
8.9.4非对称加密算法 393
8.9.5混合加密方法 395
8.10公钥基础设施 398
8.10.1认证授权方 399
8.10.2证书 400
8.10.3注册授权方 401
8.10.4 PKI步骤 401
8.1 1消息完整性 402
8.11.1单向哈希函数 403
8.11.2数字签名 405
8.11.3数字签名标准 407
8.11.4各种哈希算法 408
8.11.5攻击单向哈希函数 409
8.11.6一次一密 410
8.12密钥管理 412
8.13链路加密与端到端加密 414
8.14 e-mail标准 416
8.14.1 MIME 416
8.14.2增强型加密邮件 417
8.14.3消息安全协议 418
8.14.4良好隐私标准 418
8.15因特网安全 419
8.16.2 知明文攻击 428
8.16.3选择明文攻击 428
8.16.1仅密文攻击 428
8.16攻击 428
8.16.4选择密文攻击 429
8.16.5中间人攻击 429
8.16.6字典攻击 430
8.16.7重放攻击 431
8.16.8旁路攻击 431
8.17总结 432
8.18快速提示 432
8.19 问题 435
第9章业务连贯性规划 441
9.1业务连贯性和灾难恢复 442
9.2将其作为安全策略和纲要的 443
一部分 443
9.3业务影响分析 444
9.4业务连贯性计划的需求 448
9.4.1制定意外事故计划的目标 450
9.4.2发展团队 451
9.4.3企业范围 452
9.4.4计划的发展 453
9.4.5确定业务关键功能 454
9.4.6确定支持关键功能的资源和系统 454
9.4.7估计潜在的灾难事件 454
9.4.8选择计划策略 454
9.5终端用户环境 455
9.4.10测试和修订计划 455
9.4.9实施策略 455
9.6备份方案选择 456
9.6.1硬件备份 456
9.6.2软件备份 459
9.7选择软件备份设施 462
9.7.1文档 463
9.7.2人力资源 463
9.9测试和演习 464
9.8恢复和重建 464
9.9.1核对性的测试 465
9.9.2结构化的排练性测试 465
9.9.3模拟测试 465
9.9.4并行测试 466
9.9.5全中断测试 466
9.9.6其他类型的训练 466
9.10紧急事件响应 466
9.11 总结 468
9.12快速提示 468
9.13 问题 469
第10章道德、法律和调查 476
10.1计算机法律的方方面面 476
10.2道德 477
10.2.1计算机道德协会 478
10.2.2因特网体系结构研究委员会 478
10.2.3通用安全规则系统 479
10.2.4动机、机会和方式 480
10.3黑客和骇客 480
10.4著名的计算机犯罪 486
10.4.1布谷鸟彩蛋 487
10.4.2 Kevin Mitnick 487
10.4.3 Chaos计算机俱乐部 487
10.4.4 Cult ofthe Dead Cow 488
10.4.5电话飞客 488
10.5识别、保护和起诉 489
10.6义务及其后果 490
10.6.1个人信息 492
10.6.2黑客入侵 493
10.7法律类型 494
10.8丢弃设备及软件案例 498
10.9计算机犯罪调查 498
10.9.1一个不同的方法 498
10.9.2事件处理 501
10.9.3法庭上可接受些什么 502
10.9.4监视、搜索和查封 504
10.9.5访谈和审讯 505
10.10进出口法律 506
10.11 隐私 507
10.12法律、指令和规范 508
10.12.1联邦健康保险法案 509
10.12.2 1999年的金融现代化法案 509
10.12.3计算机诈骗及滥用法案 510
10.12.4 1974年的联邦隐私法案 510
10.12.5欧盟隐私原则 511
10.12.6 1987年的计算机安全法案 511
10.12.7通过加密的安全和自由法案 511
10.13.3欧盟 512
10.13.2 Interpo1 512
10.13.1 G8 512
10.13国际合作成就 512
10.12.9 1996年的经济间谍法案 512
10.12.8联邦判决指南 512
10.14总结 513
10.15快速提示 513
10.16 问题 515
第11章应用和系统开发 522
11.1软件的重要性 522
11.2设备和软件安全 523
11.3不同的环境需要不同的安全 524
11.3.1电子商务 525
11.3.2客户／服务器模型 525
11.4环境和应用程序控制 525
11.5功能复杂性 526
11.6数据类型、格式和长度 526
11.7实施和默认配置问题 527
11.9数据库管理 528
11.8故障状态 528
11.9.1数据库管理软件 529
11.9.2数据库模型 530
11.9.3数据库接口语言 532
11.9.4关系数据库组件 532
11.9.5数据字典 533
11.9.6完整性 534
11.9.7数据库安全问题 536
11.9.8数据仓库和数据挖掘 540
11.10系统开发 541
11.10.1开发管理 542
11.10.2生命周期 542
11.10.3软件开发方法 554
11.10.4变更控制 554
11.10.5能力成熟度模型 556
11.11应用开发方法学 557
11.10.6软件托管 557
11.11.1面向对象的概念 558
11.11.2数据建模 563
11.11.3软件体系结构 564
11.11.4数据结构 565
11.11.5 ORB和CORBA 566
11.11.6计算机辅助软件工程 568
11.11.7原型开发 568
11.11.8 COM和DCOM 569
11.11.9开放数据库连接 570
11.11.10对象链接和嵌入 570
11.11.11动态数据交换 571
11.11.12分布式计算环境 571
11.11.13企业Java Bean 572
11.11.14专家系统和基于知识的 572
系统 572
11.11.15人工神经网络 574
11.11.16 Java 575
11.11.17 ActiveX 577
11.11.18恶意代码 578
11.11.19攻击 582
11.12总结 588
11.1 3快速提示 588
11.14问题 591
第12章操作安全 597
12.1操作安全 597
12.1.1行政管理 598
12.1.2可稽核性 599
12.1.3安全操作和产品评估 600
12.1.4输入和输出控制 604
12.2电子邮件安全 605
12.2.1传真安全 609
12.2.2破坏和攻击方法 610
12.2.3操作部门 618
12.3总结 619
12.4快速提示 619
12.5 问题 620
附录A安全策略 627
A.1安全策略的类型 627
A.1.1信息保护策略 627
A.1.2远程访问策略 628
A.1.3外部网和业务伙伴策略 628
A.2策略示例 628
A.2.1信息保护策略 629
A.2.2远程访问策略 629
A.3制定安全策略 630
附录B British Standard 7799 631
C.1 NSA 633
C.2 NIST 633
附录C安全组织 633
C.3 NCSC 634
C.4 ISO 635
C.5 ANSI 635
C.6 IEEE 635
附录D Gramm-Leach-Bliley法案 637
D.1 Security Program Components 638
D.1.1 Responsibility 638
D.1.2 Risk Management 638
D.1.3 Training 638
D.1.4 Test Security Measures 638
D.1.5 Service Provider 639
D.1.6 Disclosing Procedures 639
D.1.7 Responding to Incidents 639
D.2 Summary 639
E.1.1 10Mbps以太网 640
E.1 以太网 640
附录E以太网的多种组网方式 640
E.1.2百兆快速以太网 641
———IEEE 802.3u 641
E.1.3 G比特千兆以太网 641
E.1.4以太网帧结构 642
附录F无线技术 643
F.1新的无线标准 643
附录G HIPAA 651
H.1运行QuickTime，观看密码技术视频课件 652
附录H关于光盘 652
H.1.1故障处理 653
H.1.2技术支持 653
H.2 安装Total Seminar的考试软件 653
H.2.1导航 653
H.2.2 Total Seminar的考试软件的系统最小配置 653
H.2.3技术支持 654
术语表 655