信息安全原理

第1部分 简 介
第1章 信息安全简介
1. 1 介绍
1. 2 信息安全发展史
1. 2. 1 20世纪60年代
1. 2. 2 20世纪70年代和80年代
1. 2. 3 20世纪90年代
1. 2. 4 现在
1. 3 安全的概念
1. 4 信息安全的概念
1. 5 信息的重要特性
1. 5. 1 可用性
1. 5. 2 精确性
1. 5. 3 真实性
1. 5. 4 机密性
1. 5. 5 完整性
1. 5. 6 效用性
1. 5. 7 所有性
1. 6 NSnSSC安全模型
1. 7 信息系统的组件
1. 7. 1 软件
1. 7. 2 硬件
1. 7. 3 数据
1. 7. 4 人员
1. 7. 5 过程
1. 8 保护IS组件的安全
1. 9 平衡安全性和访问性能
1. 10 自上而下地实现安全的方法
1. 11 系统开发生命周期
1. 11. 1 方法学
1. 11. 2 阶段
1. 11. 3 调研
1, 11. 4 分析
1. 11. 5 逻辑设计
1. 11. 6 物理设计
1. 11. 7 实现
1. 11. 8 维护和修改
1. 12 安全系统开发生命周期
1. 12. 1 调研
1. 12. 2 分析
1. 12. 3 逻辑设计
1. 12. 4 物理设计
1. 12. 5 实现
1. 12. 6 维护和修改
1. 13 关键术语
1. 14 安全专业人士和机构
1. 14. 1 高级管理者
1. 14. 2 安全项目队伍
1. 14. 3 数据所有权
1. 15 兴趣团体
1. 15. 1 信息安全管理和专业人士
1. 15. 2 信息技术管理和专业人士
1. 15. 3 机构管理和专业人士
1. 16 信息安全：是一门艺术还是一门科学
1. 16. 1 作为艺术的安全
1. 16. 2 作为科学的安全
1. 16. 3 作为社会科学的安全
1. 17 本章小结
1. 18 复习题
1. 19 练习
1. 20 案例练习
第Ⅱ部分 安全调研阶段
第2章 安全需求
2. 1 引言
2. 2 业务在前, 技术在后
2. 2. 1 保护机构运转的能力
2. 2. 2 实现应用程序的安全操作
2. 2. 3 保护机构收集并使用的数据
2. 2. 4 保护机构的技术资产
2. 3 威胁
2. 3. 1 威胁组一：疏忽行为
2. 3. 2 威胁组二：蓄意行为
2. 3. 3 威胁组三：天灾
2. 3. 4 威胁组四：技术故障
2. 3. 5 威胁组五：管理漏洞
2. 4 攻击
2. 4. 1 恶意代码
2. 4. 2 恶作剧
2. 4. 3 后门 backdoor
2. 4. 4 密码破解
2. 4. 5 暴力
2. 4. 6 词典方式
2. 4. 7 拒绝服务 DoS 及分布式拒绝服务 DDoS
2. 4. 8 欺骗
2. 4. 9 Man-in-the-Middle
2. 4. 10 垃圾邮件
2. 4. 11 邮件炸弹
2. 4. 12 嗅探器
2. 4. 13 社会工程
2. 4. 14 缓冲区溢出
2. 4. 15 定时攻击
2. 5 本章小结
2. 6 复习题
2. 7 练习
2. 8 案例练习
第3章 信息安全中的法律. 道德以及专业人员问题
3. 1 引言
3. 2 信息安全的法律及道德
3. 3 法律类型
3. 4 美国相关法律
3. 4. 1 普通计算机犯罪法
3. 4. 2 隐私
3. 4. 3 出口及间谍法
3. 4. 4 美国版权法
3. 5 国际法及法律主体
3. 5. 1 欧洲计算机犯罪委员会条例
3. 5. 2 数字时代版权法
3. 5. 3 联合国宪章
3. 6 政策与法律
3. 7 信息安全的道德观念
3. 7. 1 道德概念中的文化差异
3. 7. 2 软件许可侵犯
3. 7. 3 违法使用
3. 7. 4 共同资源的滥用
3. 7. 5道德和教育
3. 7. 6 不道德及违法行为的制止因素
3. 8 道德. 认证以及专业机构的规则
3. 8. 1 其他安全机构
3. 8. 2 美国主要联邦机构
3. 9 机构商议的责任和需求
3. 10 本章小结
3. 11 复习题
3. 12 练习
3. 13 案例练习
第Ⅲ部分 安全分析
第4章 风险管理：识别和评估风险
4. 1 引言
4. 2 风险管理
4. 2. 1 知己
4. 2. 2 知彼
4. 2. 3 所有的利益团体都应负责
4. 2. 4 使风险管理与SecSDLC一体化
4. 3 风险识别
4. 3. 1 资产识别和评估
4. 3. 2 自动化风险管理工具
4. 3. 3 信息资产分类
4. 3. 4 信息资产评估
4. 3. 5 记录资产的重要性
4. 3. 6 数据分类及管理
4. 3. 7 安全调查
4. 3. 8 分类数据的管理
4. 3. 9 威胁识别
4. 3. 10 识别威胁及威胁代理, 并区分其优先次序
4. 3. 11 漏洞识别
4. 4 风险评估
4. 4. 1 风险评估介绍
4. 4. 2 可能性
4. 4. 3 信息资产评估
4. 4. 4 当前控制减轻风险的百分比
4. 4. 5 风险确定
4. 4. 6 识别可能的控制
4. 4. 7 访问控制
4. 5 风险评估记录结果
4. 6 本章小结
4. 7 复习题
4. 8 练习
4. 9 案例练习
第5章 风险管理：评估和控制风险
5. 1 引言
5. 2 风险控制策略
5. 2. 1 避免
5. 2. 2 转移
5. 2. 3 缓解
5. 2. 4 承认
5. 3 风险缓解策略选择
5. 4 控制的种类
5. 4. 1 控制功能
5. 4. 2 体系结构层
5. 4. 3 策略层
5. 4. 4 信息安全原则
5. 5 可行性研究
5. 5. 1 成本效益分析 CBA
5. 5. 2 其他可行性研究
5. 6 风险管理讨论要点
5. 6. 1 风险可接受性
5. 6. 2 残留风险
5. 7 结果归档
5. 8 推荐的控制风险实践
5. 8. 1 定量评估
5. 8. 2 Delphi技术
5. 8. 3 风险管理和SecSDLC
5. 9 本章小结
5. 10 复习题
5. 11 练习
5. 12 案例练习
第Ⅳ部分 逻辑设计
第6章 安全蓝本
6. 1 引言
6. 2 信息安全政策, 标准及实践
6. 2. 1 定义
6. 2. 2 安全计划政策 SPP
6. 2. 3 特定问题安全政策 ISSP
6. 2. 4 特定系统政策 SysSP
6. 2. 5 政策管理
6. 3 信息分类
6. 4 系统设计
6. 5 信息安全蓝本
6. 6 ISO 17799／BS 7799
6. 7 NIST安全模式
6. 7. 1 NIST Special Publication SP 800-12
6. 7. 2 NIST Special Publication 800-14
6. 7. 3 IETF安全结构
6. 8 VISA国际安全模式
6. 9 信息安全系统蓝本的混合结构
6. 10 安全教育. 培训和意识计划
6. 10. 1 安全教育
6. 10. 2 安全培训
6. 10. 3 安全意识
6. 11 安全结构设计
6. 11. 1 深层防御
6. 11. 2 安全周界
6. 11. 3 关键技术组件
6. 12 本章小结
6. 13 复习题
6. 14 练习
6. 15 案例练习
第7章 持续性计划
7. 1 引言
7. 2 持续性策略
7. 3 商务影响分析
7. 3. 1 威胁攻击识别和优先级次序
7. 3. 2 商务单元分析
7. 3. 3 攻击成功方案开发
7. 3. 4 潜在破坏评估
7. 3. 5 后续计划分类
7. 4 事故响应计划
7. 4. 1 事故计划
7. 4. 2 事故检测
7. 4. 3 事故何时会成为一个灾难
7. 5 事故反应
7. 5. 1 关键人的通知
7. 5. 2 归档一个事故
7. 5. 3 事故遏制策略
7. 6 事故恢复
7. 6. 1 反应工作的优先次序
7. 6. 2 破坏的评估
7. 6. 3 恢复
7. 6. 4 备份媒体
7. 7 自动化响应
7. 8 灾难恢复计划
7. 8. 1 灾难恢复计划
7. 8. 2 危机管理
7. 8. 3 恢复操作
7. 9 商务持续性计划
7. 9. 1 开发持续性程序 BCP
7. 9. 2 持续性战略
7. 10 统一的应急计划模型
7. 11 法律实施相关事物
7. 11. 1 本地. 州或联邦
7. 11. 2 法律实施相关事物的优点和弊端
7. 12 本章小结
7. 13 复习题
7. 14 练习
7. 15 案例练习
第V部分 物理设计
第8章 安全技术
8. 1 引言
8. 2 SecSDIC的物理设计
8. 3 防火墙
8. 3. 1 防火墙发展
8. 3. 2 防火墙体系结构
8. 3. 3 配置和管理防火墙
8. 4 拨号的保护
8. 5 入侵检测系统 IDS
8. 5. 1 基于主机的IDS
8. 5. 2 基于网络的IDS
8. 5. 3 基于签名的IDS
8. 5. 4 基于异常事件统计的IDS
8. 6 浏览和分析工具
8. 6. 1 端口扫描器
8. 6. 2 漏洞扫描器
8. 6. 3 包嗅探器
8. 7 内容过滤器
8. 8 Trap和Trace 诱捕和跟踪
8. 9 密码系统和基于加密的方案
8. 9. 1 加密定义
8. 9. 2 加密运算
8. 9. 3 Vernam加密
8. 9. 4 书本或运行密钥加密
8. 9. 5 对称加密
8. 9. 6 非对称加密
8. 9. 7 数字签名
8. 9. 8 RSA
8. 9. 9 PKI
8. 9. 10 什么是数字证书和证书颁发机构
8. 9. 11 混合系统
8. 9. 12 保护电子邮件的安全
8. 9. 13 保护Web的安全
8. 9. 14 保护身份验证的安全
8. 9. 15 Sesame
8. 10 访问控制设备
8. 10. 1 身份验证
8. 10. 2 生物测定学的有效性
8. 10. 3 生物测定学的可接受性
8. 11 小结
8. 12 复习题
8. 13 练习
8. 14 案例练习
第9章 物理安全
9. 1 引言
9. 2 访问控制
9. 3 防火安全
9. 4 支持设施故障和建筑倒塌
9. 4. 1 加热. 通风和空调
9. 4. 2 电力管理和调整
9. 4. 3 测试设备系统
9. 5 数据的侦听
9. 6 可移动和便携系统
9. 7 物理安全威胁的特殊考虑
9. 8 本章小结
9. 9 复习题
9. 10 练习
9. 11 案例练习
第VI部分 实
现
第10章 实现安全
10. 1 引言
10. 2 实现阶段中的项目管理
10. 2. 1 开发项目计划
10. 2. 2 项目计划考虑
10. 2. 3 项目管理需求
10. 2. 4 管理的实现
10. 2. 5 执行计划
10. 2. 6 综合报导
10. 3 实现的技术主题
10. 3. 1 转换策略
10. 3. 2 信息安全项目计划的靶心模型
10. 3. 3 外购还是自行开发
10. 3. 4 技术监督和改动控制
10. 4 实现的非技术方面
10. 4. 1 改动管理的文化
10. 4. 2 机构改动的考虑
10. 5 本章小结
10. 6 复习题
10. 7 练习
10. 8 案例练习
第11章 安全和人员
11. 1 引言
11. 2 机构结构内的安全职能
11. 3 安全职能的人员配备
11. 3. 1 资格和需求
11. 3. 2 进入安全专业的入口
11. 3. 3 信息安全位置
11. 4 信息安全专业人员的认证
11. 4. 1 认证信息系统安全专业人员 CISSP 和系统安全认证从业者 SSCP
11. 4. 2 安全认证专业人员
11. 4. 3 TruSecureICSA认证安全联合 T. I. C. S. A 和TruSecureICSA认证安全专家 T. IC. S. E
11. 4. 4 安全
11. 4. 5 认证信息系统审计员 CISA
11. 4. 6 认证信息系统辩论调查员
11. 4. 7 相关认证
11. 4. 8 获得认证的费用
11. 4. 9 对信息安全专业人员的建议
11. 5 雇佣政策和实践
11. 5. 1 雇佣和解雇问题
11. 5. 2 工作成绩评估
11. 5. 3 解雇
11. 6 非雇员的安全考虑
11. 6. 1 暂时雇员
11. 6. 2 合同雇员
11. 6. 3 顾问
11. 6. 4 商务伙伴
11. 7 责任的分离和共谋
11. 8 人员数据的秘密性和安全
11. 9 本章小结
11. 10 复习题
11. 11 练习
11. 12 案例练习
第VII部分 维护和改动
第12章 信息安全维护
12. 1 引言
12. 2 改动的管理
12. 3 安全管理模式
12. 4 维护模式
12. 4. 1 监控外部环境
12. 4. 2 监控内部环境
12. 4. 3 规划与风险评估
12. 4. 4 漏洞评估和补救
12. 4. 5 备用状态与审查
12. 5 本章小节
12. 6 复习题
12. 7 练习
12. 8 案例练习
附录A 密码学
A. 1 引言
A. 2 定义
A. 3 密码类型
A. 3. 1 多字母置换密码
A. 3. 2 移项密码
A. 3. 3 加密算法
A. 3. 4 非对称密码或公开密钥密码使用法
A. 3. 5 混合密码系统
A. 4 流行的加密算法
A. 4. 1 数据加密标准 DES
A. 4. 2 数据加密核心过程
A. 4. 3 公钥基础结构 PKI
A. 4. 4 数字签名
A. 4. 5 数字证书
A. 4. 6 Pretty Good Privacy PGP
A. 4. 7 安全方案的PGP套件
A. 5 安全通信协议
A. 5. 1 S-HTTP和SSL
A. 5. 2 Secure／Multipurpose Internet mail Extension S／MIME
A. 5. 3 Internet Protocol Securtiy IPSec
A. 6 密码系统的攻击
A. 6. 1 中间人攻击
A. 6. 2 相关性攻击
A. 6. 3 字典攻击
A. 6. 4 定时攻击
术语表