资产攻击向量

第 1章 攻击链 1
第 2章 漏洞形势 3
2.1　漏洞 3
2.2　配置 5
2.3　漏洞利用 6
2.4　误报 6
2.5　漏报 7
2.6　恶意软件 8
2.7　社交工程 8
2.8　网络钓鱼 11
2.8.1　好奇害死猫 11
2.8.2　不会有事的 12
2.8.3　您知道他们从字典上删去了“轻信”二字吗 13
2.8.4　这不会发生在我身上 13
2.8.5　如何确定您收到的电子邮件是不是一次网络钓鱼攻击 13
2.9　勒索软件 14
2.10　内部人员威胁 16
2.11　外部威胁 19
2.12　漏洞披露 20
第3章 威胁情报 23
第4章 凭据资产风险 27
第5章 漏洞评估 29
5.1　主动漏洞扫描 29
5.2　被动扫描程序 29
5.3　侵入式漏洞扫描 30
5.4　非侵入式扫描 31
5.5　漏洞扫描的局限性与不足 32
第6章 配置评估 33
6.1　法规 33
6.2　框架 34
6.3　基准 34
6.4　配置评估工具 34
6.5　SCAP 36
第7章 风险度量 38
7.1　CVE 40
7.2　CVSS 41
7.3　STIG 42
7.4　OVAL 43
7.5　IAVA 44
第8章 漏洞状态 45
8.1　根据状态确定漏洞风险 46
8.2　漏洞的三种状态 47
8.2.1　活跃漏洞 48
8.2.2　休眠漏洞 48
8.2.3　潜在漏洞 48
8.2.4　状态优先级排序 49
第9章 漏洞权威机构 51
第 10章 渗透测试 52
第 11章 修复措施 56
11.1　微软 56
11.2　苹果 57
11.3　思科 58
11.4　谷歌 59
11.5　甲骨文 59
11.6　Red Hat 60
11.7　Adobe 60
11.8　开源产品 61
11.9　其他各方 62
第 12章 漏洞管理计划 63
12.1　设计 64
12.2　开发 64
12.3　部署 64
12.4　运营 65
12.5　成熟度 65
12.6　成熟度分类 66
12.7　描述 67
第 13章 漏洞管理设计 68
13.1　爬、走、跑和冲刺 69
13.2　落实今天的工作，为明天做计划 70
13.3　一切出于商业价值 70
第 14章 漏洞管理开发 72
14.1　漏洞管理范围 73
14.1.1　操作系统 73
14.1.2　客户端应用 74
14.1.3　Web应用 74
14.1.4　网络设备 76
14.1.5　数据库 76
14.1.6　平面文件数据库 76
14.1.7　虚拟机管理器 78
14.1.8　IaaS和PaaS 78
14.1.9　移动设备 79
14.1.10　IoT 81
14.1.11　工业控制系统（ICS）和SCADA 81
14.1.12　DevOps 82
14.1.13　Docker与容器 83
14.1.14　代码评审 83
14.1.15　工具选择 84
14.2　漏洞管理流程 85
14.2.1　评估 86
14.2.2　度量 86
14.2.3　修复 87
14.2.4　冲洗和重复（循环） 87
14.2.5　生命周期终止 87
14.3　漏洞生命周期中的常见错误 88
14.3.1　错误1：漏洞管理脱节 88
14.3.2　错误2：仅依赖远程评估 89
14.3.3　错误3：0day漏洞没有得到保护 90
14.3.4　错误4：分散的可见性 90
14.3.5　错误5：为了合规牺牲安全 91
14.4　常见的挑战 91
14.4.1　老化的基础设施 92
14.4.2　计划的深度与广度 92
14.5　制定计划 93
14.5.1　步骤1：要评估什么 93
14.5.2　步骤2：评估配置 93
14.5.3　步骤3：评估频率 94
14.5.4　步骤4：确定所有权 94
14.5.5　步骤5：数据与风险优先级排序 95
14.5.6　步骤6：报告 95
14.5.7　步骤7：修复管理 96
14.5.8　步骤8：验证与度量 96
14.5.9　步骤9：第三方集成 97
第 15章 漏洞管理部署 98
15.1　方法1：仅针对关键和高风险漏洞 98
15.2　方法2：统计抽样 99
15.3　方法3：根据业务功能针对性扫描 100
15.4　团队沟通 101
15.5　网络扫描程序 104
15.5.1　防火墙 105
15.5.2　IPS/IDS 105
15.5.3　封包整形 106
15.5.4　QoS 107
15.5.5　Tarpit 107
15.5.6　蜜罐 107
15.5.7　认证 108
15.5.8　空会话 109
15.5.9　凭据 109
15.5.10　权限集成 110
15.6　代理 112
15.7　第三方集成 113
15.8　补丁管理 114
15.9　虚拟补丁 115
15.10　威胁检测 115
15.11　持续监控 116
15.12　性能 117
15.12.1　线程 118
15.12.2　完成时间 119
15.12.3　带宽 120
15.12.4　端口 120
15.12.5　扫描窗口 121
15.12.6　扫描池化 121
15.12.7　目标随机化 121
15.12.8　容错 122
15.12.9　扫描程序锁定 123
第 16章 漏洞管理运营 124
16.1　发现 125
16.2　分析 125
16.3　报告 126
16.4　修复 126
16.5　度量 127
第 17章 漏洞管理架构 128
第 18章 漏洞管理计划示例 131
18.1　漏洞管理解决方案与修复的服务等级 131
18.2　漏洞扫描目标 132
18.3　漏洞扫描频率/计划 132
18.4　漏洞报告 133
18.5　修复管理 134
18.6　例外管理 135
18.7　排除在评估之外 137
第 19章 合规性 138
第 20章 风险管理框架 141
第 21章 让一切都真的发挥作用 144
21.1　知道您的网络上有什么 144
21.2　自动化凭据扫描 146
21.3　找出潜藏在阴影之中的东西 146
21.4　清晰看待数据 148
21.5　找出威胁中的软目标 149
21.6　注意您的漏洞缺口 150
21.7　统一漏洞与权限情报 150
21.8　威胁分析 151
21.9　合理化补丁流程 151
21.10　共享和协作 153
第 22章 实战故事 155
22.1　丢失的企业客户 155
22.2　只是一场胜利 157
22.3　太多了，无法管理 159
22.4　过时 160
22.5　复杂的才是最好的 161
22.6　弃赛 162
22.7　聆听技巧 163
22.8　承包商 164
22.9　流氓设备 165
22.10　大鱼 166
22.11　所有机器都被Rootkit控制了 167
22.12　不是唯一 168
22.13　我最喜欢的故事 168
22.14　有多少个B类网络 169
22.15　来自地狱的博客 170
22.16　漂亮的门户，宝贝 171
22.17　网上银行 172
22.18　谎言 173
22.19　说到比较 174
22.20　理清事实 175
22.21　保形涂层 176
22.22　依赖性 177
22.23　轶闻趣事 179
第 23章 最后的建议 181
第 24章 结语 183
附录A 请求建议书（RFP）示例 184
附录B 请求建议书（RFP）数据表格 206