第1部分 网络安全基础 1
第1章 网络安全的概念 3
1.1 “我已经知道了吗？”测试题 3
1.2 理解网络与信息安全基础 5
1.2.1 网络安全的目标 5
1.2.2 机密性、完整性和可用性 5
1.2.3 安全的成本效益分析 6
1.2.4 资产分类 7
1.2.5 漏洞分类 8
1.2.6 对策分类 9
1.2.7 我们该如何应对风险 9
1.3 认识当前的网络威胁 10
1.3.1 潜在的攻击者 10
1.3.2 攻击方式 11
1.3.3 攻击矢量 11
1.3.4 间人攻击 12
1.3.5 其他攻击方式 12
1.4 将基本的安全原则应用到网络设计当中 13
1.4.1 指导方针 13
1.4.2 如何把所有内容拼成一个整体 14
1.5 复习所有考试要点 14
1.6 通过记忆补全表格 15
1.7 定义关键术语 15
第2章 使用生命周期的方式来理解安全策略 17
2.1 “我已经知道了吗？”测试题 17
2.2 风险分析与管理 18
2.2.1 安全网络生命周期 18
2.2.2 风险分析方式 19
2.2.3 安全状况评估 20
2.2.4 风险管理的一种方式 20
2.2.5 可以削减风险的法规 21
2.3 安全策略 21
2.3.1 主体、客体与原因 21
2.3.2 策略的类型 22
2.3.3 标准、流程与基准 22
2.3.4 测试安全架构 23
2.3.5 响应网络中的事件 24
2.3.6 证据采集 24
2.3.7 不当黑客的理由 24
2.3.8 责任 25
2.3.9 灾难恢复与业务连续性计划 25
2.4 复习所有考试要点 25
2.5 通过记忆补全表格 26
2.6 定义关键术语 26
第3章 建立安全战略 29
3.1 “我已经知道了吗？”测试题 29
3.2 保护无边界网络 31
3.2.1 网络本质的变化 31
3.2.2 逻辑边界 31
3.2.3 SecureX与可感知情景的安全技术 32
3.3 控制并遏制数据丢失 33
3.3.1 一盎司的预防措施 33
3.3.2 使用VPN实现安全连接 33
3.3.3 安全管理 34
3.4 复习所有考试要点 34
3.5 通过记忆补全表格 34
3.6 定义关键术语 35
第2部分 保护网络架构 37
第4章 网络基础保护 39
4.1 “我已经知道了吗？”测试题 39
4.2 使用网络基础保护（NFP）来保护网络 41
4.2.1 网络架构的重要性 41
4.2.2 网络基础保护（NFP）框架 41
4.2.3 相互间的依存关系 42
4.2.4 实施NFP 42
4.3 理解管理层 43
4.3.1 第一要务 43
4.3.2 保护管理层的最佳做法 43
4.4 理解控制层 44
保护控制层的最佳做法 44
4.5 理解数据层 45
4.5.1 保护数据层的最佳做法 46
4.5.2 其他保护数据层的机制 46
4.6 复习所有考试要点 47
4.7 通过记忆补全表格 47
4.8 定义关键术语 47
第5章 使用Cisco配置专家（CCP）来保护网络架构 49
5.1 “我已经知道了吗？”测试题 49
5.2 介绍Cisco配置专家（CCP） 50
5.3 理解CCP特性和GUI 51
5.3.1 菜单栏 52
5.3.2 工具栏 52
5.3.3 左侧导航面板 53
5.3.4 内容面板 53
5.3.5 状态栏 53
5.4 设置新的设备 54
5.5 CCP的组成 55
5.5.1 社团（Community） 55
5.5.2 模板（Template） 58
5.5.3 用户文件（UserProfile） 61
5.6 CCP审计特性 63
5.6.1 一步锁定 66
5.6.2 几个重点 66
5.7 复习所有考试要点 69
5.8 通过记忆补全表格 70
5.9 定义关键术语 70
5.10 需要回忆的命令行参考信息 70
第6章 在Cisco IOS设备上保护管理层 73
6.1 “我已经知道了吗？”测试题 73
6.2 保护管理流量 75
6.2.1 什么是管理流量，什么是管理层 75
6.2.2 超越蓝色的反转线 75
6.2.3 管理层最佳做法 75
6.2.4 密码推荐 77
6.2.5 使用AAA对用户进行验证 78
6.2.6 基于角色的访问控制 82
6.2.7 加密的管理协议 83
6.2.8 使用日志记录文件 83
6.2.9 理解NTP 85
6.2.10 保护Cisco IOS文件 85
6.3 通过实施安全措施来保护管理层 85
6.3.1 实施强健的密码 85
6.3.2 通过AAA实现用户认证 87
6.3.3 使用CLI在Cisco路由器上对AAA进行排错 92
6.3.4 RBAC privilege level／分析器视图 97
6.3.5 实施分析器视图 99
6.3.6 SSH与HTTPS 101
6.3.7 实施日志记录特性 103
6.3.8 SNMP特性 106
6.3.9 配置NTP 108
6.3.10 保护CisCo IOS镜像和配置文件 110
6.4 复习所有考试要点 111
6.5 通过记忆补全表格 111
6.6 定义关键术语 112
6.7 需要回忆的命令行参考信息 112
第7章 使用IOS和ACS服务器来实施AAA 115
7.1 “我已经知道了吗？”测试题 115
7.2 Cisco Secure ACS、RADIUS和TACACS 117
7.2.1 使用Cisco ACS的理由 117
7.2.2 ACS可以运行在什么平台上 118
7.2.3 何为ISE 118
7.2.4 ACS和路由器之间使用的协议 118
7.2.5 ACS服务器和客户端（路由器）之间可以选择的协议 119
7.3 配置路由器使其与ACS服务器互操作 120
7.4 配置ACS服务器使其与路由器互操作 130
7.5 路由器－ACS服务器互动的验证与排错 138
7.6 复习所有考试要点 145
7.7 通过记忆补全表格 145
7.8 定义关键术语 145
7.9 需要回忆的命令行参考信息 145
第8章 保护二层技术 149
8.1 “我已经知道了吗？”测试题 149
8.2 VLAN与Trunking基础 151
8.2.1 何为VLAN 151
8.2.2 Trunkng与802.1Q 153
8.2.3 紧跟数据帧的步伐 154
8.2.4 Trunk上的Native VLAN 154
8.2.5 好吧，那么你想使用哪种模式呢？（端口问） 155
8.2.6 VLAN间路由 155
8.2.7 只使用物理接口所面临的问题 155
8.2.8 使用虚拟“子”接口 155
8.3 生成树基础 157
8.3.1 网络中有环路多半不是什么好事 157
8.3.2 环路的生命 157
8.3.3 二层环路的解决方案 157
8.3.4 STP对新端口保持警惕 160
8.3.5 改善转发前的时间 160
8.4 常见的二层威胁及缓解方法 161
8.4.1 根基不牢，地动山摇 161
8.4.2 二层最佳做法 161
8.4.3 不要允许协商 163
8.4.4 各类二层安全工具 163
8.4.5 CCNA安全的专用二层缓解技术 163
8.5 复习所有考试要点 167
8.6 通过记忆补全表格 167
8.7 复习本书中包含的端口安全视频 167
8.8 定义关键术语 168
8.9 需要回忆的命令行参考信息 168
第9章 在IPv6环境中保护数据层 171
9.1 “我已经知道了吗？”测试题 171
9.2 理解和配置IPv6 173
9.2.1 为何使用IPv6 173
9.2.2 IPv6地址的格式 174
9.3 配置IPv6路由 178
9.4 为IPv6设计一个安全计划 180
9.4.1 IPv4和1Pv6通用的最佳做法 180
9.4.2 IPv4和IPv6面临的共同威胁 181
9.4.3 关注IPv6安全 182
9.4.4 与IPv6有关的新型风险 182
9.4.5 IPv6最佳做法 184
9.5 复习所有考试要点 184
9.6 通过记忆补全表格 185
9.7 定义关键术语 185
9.8 需要回忆的命令行参考信息 185
第3部分 缓解和控制网络威胁 187
第10章 规划威胁控制战略 189
10.1 “我已经知道了吗？”测试题 189
10.2 设计威胁缓解与遏制方案 191
10.2.1 攻击者确实拥有很多机会 191
10.2.2 大量的潜在风险 191
10.2.3 最大的风险 191
10.2.4 一切的起点 192
10.3 通过硬件／软件／服务来保护网络 193
10.3.1 交换机 193
10.3.2 路由器 194
10.3.3 ASA防火墙 195
10.3.4 其他系统与服务 196
10.4 复习所有考试要点 196
10.5 通过记忆补全表格 196
10.6 定义关键术语 197
第11章 使用访问控制列表来缓解网络威胁 199
11.1 “我已经知道了吗？”测试题 199
11.2 访问控制列表的基础及优势 201
11.2.1 访问列表不再是一盘早点 201
11.2.2 以访问列表来防止恶意流量 202
11.2.3 防御的对象 202
11.2.4 包过滤ACL的工作方式 204
11.2.5 标准访问列表与扩展访问列表 205
11.2.6 访问列表中的行数 206
11.2.7 反掩码 206
11.2.8 对象组 206
11.3 通过实施IPv4 ACL来实现包过滤 207
11.3.1 应用策略 207
11.3.2 监测访问列表 216
11.3.3 记录还是不记录 219
11.4 通过实旋IPv6 ACL来实现包过滤 221
11.5 复习所有考试要点 224
11.6 通过记忆补全表格 225
11.7 复习本书中包含的NAT视频 225
11.8 定义关键术语 225
11.9 需要回忆的命令行参考信息 225
第12章 理解防火墙的基础概念 227
12.1 “我已经知道了吗？”测试题 227
12.2 防火墙的概念与技术 229
12.2.1 防火墙技术 229
12.2.2 好的防火墙应该是什么样 229
12.2.3 使用防火墙的理由 230
12.2.4 深度防御的做法 231
12.2.5 防火墙的五大基本方法 232
12.3 使用网络地址转换 235
12.3.1 NAT的作用是隐藏和更改源地址的真实信息 236
12.3.2 内部、外部、本地、全局 236
12.3.3 端口地址转换 237
12.3.4 NAT的选择 238
12.4 创建和部署防火墙 239
12.4.1 防火墙技术 239
12.4.2 设计防火墙网络时的考量因素 239
12.4.3 防火墙访问规则 240
12.4.4 包过滤访问规则结构 241
12.4.5 防火墙规则设计指南 241
12.4.6 规则实施的一致性 242
12.7 复习所有考试要点 242
12.8 通过记忆补全表格 243
12.9 定义关键术语 243
第13章 实施Cisco IOS基于区域的防火墙 245
13.1 我已经知道了吗？”测试题 245
13.2 Cisco IOS基于区域的防火墙 246
13.2.1 基于区域的防火墙如何工作 247
13.2.2 基于区域的防火墙的具体特点 247
13.2.3 区域与使用区域对的理由 247
13.2.4 组合 249
13.2.5 服务策略 250
13.2.6 self区域 252
13.3 配置和验证Cisco IOS基于区域的防火墙 252
13.3.1 头等大事 252
13.3.2 使用CCP来配置防火墙 253
13.3.3 对防火墙的配置进行验证 266
13.3.4 通过命令行验证配置 267
13.3.5 在ZBF的基础止配置NAT转换 271
13.3.6 验证NAT的工作 274
13.4 复习所有考试要点 276
13.5 复习本书中包含的端口安全视频 276
13.6 定义关键术语 276
13.7 需要回忆的命令行参考信息 276
第14章 在Cisco ASA上配置基本防火墙策略 279
14.1 “我已经知道了吗？”测试题 279
14.2 ASA设备的产品与特性 281
14.2.1 了解ASA系列 281
14.2.2 ASA的特性与服务 282
14.3 ASA防火墙基础 284
14.3.1 ASA的安全级别 284
14.3.2 默认的流量 285
14.3.3 管理ASA的工具 287
14.3.4 初始的访问 287
14.3.5 ASA上的数据包过滤 287
14.3.6 实施包过滤ACL 288
14.3.7 模块化策略框架 289
14.3.8 将策略应用在哪里 289
14.4 配置ASA 290
14.4.1 开始配置 290
14.4.2 ASDM GUI界面 295
14.4.3 配置接口 297
14.4.4 客户端的IP地址 304
14.4.5 去往Internet的基本路由 305
14.4.6 NAT和PAT 306
14.4.7 放行其他访问通过防火墙 308
14.4.8 使用PacketTracer验证哪些数据包会被放行 310
14.4.9 验证过滤Telnet的策略 314
14.5 复习所有考试要点 314
14.6 通过记忆补全表格 315
14.7 定义关键术语 315
14.8 需要回忆的命令行参考信息 315
第15章 Cisco IPS/IDS基础 317
15.1 “我已经知道了吗？”测试题 317
15.2 IPS和IDS 319
15.2.1 传感器的作用是什么 319
15.2.2 IPS和IDS之间的区别 319
15.2.3 传感器平台 321
15.2.4 误报与漏报 321
15.2.5 术语解释——真实与错误 321
15.3 识别在网络中的恶意流量 322
15.3.1 基于特征的IPS/IDS 322
15.3.2 基于策略的IPS/IDS 322
15.3.3 基于异常的IPS/IDS 323
15.3.4 基于信誉的IPS/IDS 323
15.3.5 传感器何时检测恶意流量 323
15.3.6 控制传感器应该采取的行为 324
15.3.7 依据风险评估值采取行动 325
15.3.8 IPv6与IPS 325
15.3.9 规避IPS/IDS 326
15.4 管理特征 326
15.5 警报与告警的监测与管理 327
15.5.1 安全智能 328
15.5.2 IPS/IDS最佳做法 328
15.6 复习所有考试要点 329
15.7 通过记忆补全表格 329
15.8 定义关键术语 329
第16章 实施基于IOS的IPS 331
16.1 “我已经知道了吗？”测试题 331
16.2 了解和安装IOS IPS 332
16.2.1 IOS IPS都可以做什么？ 333
16.2.2 安装IOS IPS特性 334
16.2.3 IPS向导 334
16.3 使用IOS IPS中的特征 340
16.3.1 可以采取的行动 344
16.3.2 调整IPS的最佳做法 351
16.4 管理和监测IPS警报 352
16.5 复习所有考试要点 355
16.6 通过记忆补全表格 355
16.7 定义关键术语 356
16.8 需要回忆的命令行参考信息 356
第4部分 使用VPN建立安全连接 359
第17章 VPN技术基础 361
17.1 “我已经知道了吗？”测试题 361
17.2 理解VPN及使用VPN的原因 363
17.2.1 什么是VPN 363
17.2.2 VPN的类型 363
17.2.3 VPN的主要优势 364
17.3 密码的基本组成 367
17.3.1 加密算法与秘钥 367
17.3.2 块加密和流加密 368
17.3.3 对称算法和非对称算法 369
17.3.4 散列 370
17.3.5 散列消息认证码 370
17.3.6 数字签名 371
17.3.7 密钥管理 372
17.3.8 IPSec和SSL 372
17.4 复习所有考试要点 374
17.5 通过记忆补全表格 375
17.6 定义关键术语 375
第18章 理解公钥基础设施 377
18.1 “我已经知道了吗？”测试题 377
18.2 公钥基础设施 379
18.2.1 公钥和私钥对 379
18.2.2 RSA算法、密钥和数字证书 380
18.2.3 证书授权中心 380
18.2.4 根和身份证书 381
18.2.5 CA的认证和注册 384
18.2.6 公钥加密标准 384
18.2.7 简单证书注册协议 385
18.2.8 撤销证书 385
18.2.9 数字证书的用途 385
18.2.10 PKI拓扑 386
18.3 实施PKI 387
18.3.1 ASA的默认状态 387
18.3.2 在ASDM中查看证书 388
18.3.3 添加新的根证书 388
18.3.4 更轻松地安装根证书和身份证书 389
18.4 复习所有考试要点 393
18.5 通过记忆补全表格 394
18.6 定义关键术语 394
18.7 需要回忆的命令行参考信息 394
第19章 IP安全基础 397
19.1 “我已经知道了吗？”测试题 397
19.2 IPSec的概念、组成和操作 399
19.2.1 IPSec的目标 399
19.2.2 IPSec的具体介绍 400
19.2.3 IPSec总结 405
19.3 IPSec的配置和验证 405
19.3.1 配置隧道的工具 405
19.3.2 从规划开始 405
19.3.3 应用配置 406
19.3.4 在路由器上查看等效的CLI命令 412
19.3.5 完成并验证IPSeC的设置 414
19.4 复习所有考试要点 420
19.5 通过记忆补全表格 420
19.6 定义关键术语 420
19.7 需要回忆的命令行参考信息 421
第20章 实施IPSec站点到站点VPN 423
20.1 “我已经知道了吗？”测试题 423
20.2 IPSec站点到站点VPN的规划与准备 425
20.2.1 客户需求 425
20.2.2 规划IKE阶段1 427
20.2.3 规划IKE阶段2 427
20.3 IPSec站点到站点VPN的实施与验证 428
20.4 复习所有考试要点 452
20.5 通过记忆补全表格 452
20.6 定义关键术语 452
20.7 需要回忆的命令行参考信息 452
第21章 使用Cisco ASA实现SSL VPN 455
21.1 “我已经知道了吗？”测试题 455
21.2 SSL VPN的功能和用途 457
21.2.1 IPSec过时了吗 457
21.2.2 SSL和TLS协议框架 458
21.2.3 SSLVPN的具体介绍 458
21.2.4 SSLVPN 459
21.3 在ASA上配置SSL无客户端VPN 459
21.3.1 使用SSLVPN向导 460
21.3.2 数字证书 461
21.3.3 认证用户 461
21.3.4 登录 464
21.3.5 从服务器上看到的VPN活动 466
21.4 在ASA上配置完整的SSLAnyConnect VPN 467
21.4.1 SSLVPN类型 467
21.4.2 配置服务器以支持AnyConnect客户端 467
21.4.3 组、连接用户文件、默认值 474
21.4.4 一个项目，三个名称 475
21.4.5 拆分隧道 475
21.5 复习所有考试要点 477
21.6 通过记忆补全表格 477
21.7 定义关键术语 477
第22章 最终冲刺 479
22.1 最后冲刺工具 479
22.1.1 CD上的Pearson认证练习测试引擎和测试题 479
22.1.2 Cisco网络学习空间 480
22.1.3 回忆表 481
22.1.4 章节末尾回顾工具 481
22.1.5 视频 481
22.2 最后复习／学习的建议计划 481
22.3 总结 483
第5部分 附录 485
附录A “我已经知道了吗？”测试题答案 487
附录B CCNA安全640-554(IINSv2)考试更新 493
术语表 495