CISSP認證考試指南（第5版）

目    錄  
第1章  成為一名CISSP 1
1.1  成為CISSP的理由 1
1.2  CISSP考試 2
1.3  CISSP認證的發(fā)展簡史 6
1.4  如何成為一名CISSP 6
1.5  本書概要 7
1.6  CISSP應試小貼士 7
1.7  本書使用指南 8
1.7.1  問題 9
1.7.2  答案 12
第2章  計算機安全的發(fā)展趨勢 13
2.1  安全已成為一個難題 13
2.2  安全所涉及的領域 15
2.3  信息戰(zhàn) 16
2.3.1  黑客活動的最新進展 17
2.3.2  信息安全對國家的影響 19
2.3.3  信息安全對公司的影響 20
2.3.4  美國政府的相關行動 22
2.4  政治和法律 24
2.5  黑客與攻擊 26
2.6  管理 27
2.7  分層模式 29
2.7.1  結構化分析方法 30
2.7.2  遺漏的一層 30
2.7.3  將所有的層結合在一起 31
2.8  教育 31
2.9  小結 32
第3章  信息安全與風險管理 33
3.1  安全管理 33
3.1.1  安全管理職責 34
3.1.2  自頂而下的安全方式 35
3.2  安全管理與支持控制 35
3.2.1  安全的基本原則 37
3.2.2  可用性 37
3.2.3  完整性 38
3.2.4  機密性 38
3.2.5  安全定義 39
3.2.6  通過隱匿實現安全 40
3.3  組織化安全模型 41
3.4  信息風險管理 52
3.4.1  誰真正了解風險管理 52
3.4.2  信息風險管理策略 53
3.4.3  風險管理團隊 53
3.5  風險分析 54
3.5.1  風險分析團隊 55
3.5.2  信息和資產的價值 55
3.5.3  構成價值的成本 56
3.5.4  識別威脅 56
3.5.5  失效和故障分析 59
3.5.6  定量風險分析 61
3.5.7  定性風險分析 65
3.5.8  定量與定性的對比 66
3.5.9  保護機制 67
3.5.10  綜合考慮 70
3.5.11  總風險與剩余風險 70
3.5.12  處理風險 71
3.6  策略、措施、標準、基準
和指導原則 72
3.6.1  安全策略 73
3.6.2  標準 75
3.6.3  基準 75
3.6.4  指導原則 76
3.6.5  措施 76
3.6.6  實施 77
3.7  信息分類 77
3.7.1  私有企業(yè)與軍事機構的
分類比較 78
3.7.2  分類控制 80
3.8  責任分層 81
3.8.1  涉及的人員 81
3.8.2  數據所有者 87
3.8.3  數據看管員 87
3.8.4  系統所有者 87
3.8.5  安全管理員 88
3.8.6  安全分析員 88
3.8.7  應用程序所有者 88
3.8.8  監(jiān)督員 88
3.8.9  變更控制分析員 88
3.8.10  數據分析員 88
3.8.11  過程所有者 89
3.8.12  解決方案提供商 89
3.8.13  用戶 89
3.8.14  生產線經理 89
3.8.15  審計員 89
3.8.16  為何需要這么多角色 90
3.8.17  員工 90
3.8.18  結構 90
3.8.19  招聘實踐 91
3.8.20  雇員控制 92
3.8.21  解雇 93
3.9  安全意識培訓 93
3.9.1  各種類型的安全意識培訓 93
3.9.2  計劃評估 94
3.9.3  專門的安全培訓 95
3.10  小結 95
3.11  快速提示 96
3.11.1  問題 98
3.11.2  答案 103
第4章  訪問控制 107
4.1  訪問控制概述 107
4.2  安全原則 108
4.2.1  可用性 108
4.2.2  完整性 109
4.2.3  機密性 109
4.3  身份標識、身份驗證、授權
與可問責性 109
4.3.1  身份標識與身份驗證 111
4.3.2  密碼管理 119
4.3.3  授權 137
4.4  訪問控制模型 148
4.4.1  自主訪問控制 149
4.4.2  強制訪問控制 149
4.4.3  角色型訪問控制 151
4.5  訪問控制方法和技術 153
4.5.1  規(guī)則型訪問控制 153
4.5.2  限制性用戶接口 154
4.5.3  訪問控制矩陣 154
4.5.4  內容相關訪問控制 155
4.5.5  上下文相關訪問控制 156
4.6  訪問控制管理 156
4.6.1  集中式訪問控制管理 157
4.6.2  分散式訪問控制管理 162
4.7  訪問控制方法 162
4.7.1  訪問控制層 163
4.7.2  行政管理性控制 163
4.7.3  物理性控制 164
4.7.4  技術性控制 165
4.8  訪問控制類型 167
4.8.1  預防：行政管理方面 169
4.8.2  預防：物理方面 169
4.8.3  預防：技術方面 169
4.9  可問責性 171
4.9.1  審計信息的檢查 172
4.9.2  擊鍵監(jiān)控 173
4.9.3  保護審計數據
和日志信息 173
4.10  訪問控制實踐 173
4.11  訪問控制監(jiān)控 176
4.11.1  入侵檢測 176
4.11.2  入侵防御系統 183
4.12  對訪問控制的幾種威脅 184
4.12.1  字典攻擊 185
4.12.2  蠻力攻擊 185
4.12.3  登錄欺騙 1864.13  小結 189
4.14  快速提示 189
4.14.1  問題 191
4.14.2  答案 196
第5章  安全體系結構和設計 199
5.1  計算機體系結構 200
5.2  中央處理單元 201
5.2.1  多重處理 204
5.2.2  操作系統體系結構 205
5.2.3  進程活動 210
5.2.4  存儲器管理 211
5.2.5  存儲器類型 213
5.2.6  虛擬存儲器 219
5.2.7  CPU模式和保護環(huán) 220
5.2.8  操作系統體系結構 221
5.2.9  域 222
5.2.10  分層和數據隱藏 223
5.2.11  術語的演變 224
5.2.12  虛擬機 225
5.2.13  其他存儲設備 226
5.2.14  輸入/輸出設備管理 227
5.3  系統體系結構 229
5.3.1  預定義的主體和
客體子集 230
5.3.2  可信計算基 231
5.3.3  安全周邊 233
5.3.4  引用監(jiān)控器和安全內核 233
5.3.5  安全策略 234
5.3.6  最小特權 235
5.4  安全模型 235
5.4.1  狀態(tài)機模型 236
5.4.2  Bell-LaPadula模型 238
5.4.3  Biba模型 240
5.4.4  Clark-Wilson模型 241
5.4.5  信息流模型 243
5.4.6  無干擾模型 245
5.4.7  格子模型 246
5.4.8  Brewer and Nash模型 247
5.4.9  Graham-Denning模型 248
5.4.10  Harrison-Ruzzo-Ullman
模型 248
5.5  運行安全模式 249
5.5.1  專用安全模式 249
5.5.2  系統高安全模式 250
5.5.3  分隔安全模式 250
5.5.4  多級安全模式 250
5.5.5  信任與保證 251
5.6  系統評估方法 252
5.6.1  對產品進行評估的原因 252
5.6.2  橘皮書 253
5.7  橘皮書與彩虹系列 256
5.8  信息技術安全評估準則 258
5.9  通用準則 260
5.10  認證與鑒定 261
5.10.1  認證 263
5.10.2  鑒定 263
5.11  開放系統與封閉系統 264
5.11.1  開放系統 264
5.11.2  封閉系統 264
5.12  企業(yè)體系結構 264
5.13  一些對安全模型和體系
結構的威脅 270
5.13.1  維護陷阱 271
5.13.2  檢驗時間/使用時間
攻擊 271
5.13.3  緩沖區(qū)溢出 272
5.14  小結 276
5.15  快速提示 276
5.15.1  問題 279
5.15.2  答案 282
第6章  物理和環(huán)境安全 285
6.1  物理安全簡介 285
6.2  規(guī)劃過程 287
6.2.1  通過環(huán)境設計來
預防犯罪 290
6.2.2  制訂物理安全計劃 294
6.3  保護資產 304
6.4  內部支持系統 305
6.4.1  電力 305
6.4.2  環(huán)境問題 309
6.4.3  通風 311
6.4.4  火災的預防、檢測
和撲滅 311
6.5  周邊安全 317
6.5.1  設施訪問控制 318
6.5.2  人員訪問控制 325
6.5.3  外部邊界保護機制 325
6.5.4  入侵檢測系統 332
6.5.5  巡邏警衛(wèi)和保安 334
6.5.6  安全狗 335
6.5.7  對物理訪問進行審計 335
6.5.8  測試和演習 335
6.6  小結 336
6.7  快速提示 336
6.7.1  問題 338
6.7.2  答案 342
第7章  通信與網絡安全 345
7.1  開放系統互連參考模型 346
7.1.1  協議 347
7.1.2  應用層 349
7.1.3  表示層 350
7.1.4  會話層 350
7.1.5  傳輸層 351
7.1.6  網絡層 353
7.1.7  數據鏈路層 353
7.1.8  物理層 355
7.1.9  OSI模型中的功能
和協議 355
7.1.10  綜合這些層 357
7.2  TCP/IP 357
7.2.1  TCP 358
7.2.2  IP尋址 362
7.2.3  IPv6 364
7.3  傳輸的類型 365
7.3.1  模擬和數字 365
7.3.2  異步和同步 366
7.3.3  寬帶和基帶 367
7.4  LAN網絡互聯 367
7.4.1  網絡拓撲 368
7.4.2  LAN介質訪問技術 370
7.4.3  布線 375
7.4.4  傳輸方法 379
7.4.5  介質訪問技術 380
7.4.6  LAN協議 382
7.5  路由協議 386
7.6  網絡互聯設備 389
7.6.1  中繼器 389
7.6.2  網橋 389
7.6.3  路由器 391
7.6.4  交換機 392
7.6.5  網關 396
7.6.6  PBX 397
7.6.7  防火墻 398
7.6.8  蜜罐 411
7.6.9  網絡分隔與隔離 411
7.7  網絡互聯服務和協議 412
7.7.1  域名服務 412
7.7.2  目錄服務 416
7.7.3  輕量級目錄訪問協議 417
7.7.4  網絡地址轉換 418
7.8  內聯網與外聯網 419
7.9  城域網 420
7.10  廣域網 422
7.10.1  通信的發(fā)展 422
7.10.2  專用鏈路 424
7.10.3  WAN技術 426
7.11  遠程訪問 440
7.11.1  撥號和RAS 440
7.11.2  ISDN 441
7.11.3  DSL 442
7.11.4  線纜調制解調器 443
7.11.5  VPN 443
7.11.6  身份驗證協議 449
7.11.7  遠程訪問指導原則 450
7.12  無線技術 451
7.12.1  無線通信 451
7.12.2  WLAN組件 453
7.12.3  無線標準 455
7.12.4  WAP 463
7.12.5  i-Mode 464
7.12.6  移動電話安全 464
7.12.7  WLAN戰(zhàn)爭駕駛攻擊 466
7.12.8  衛(wèi)星 466
7.12.9  3G無線通信 467
7.13  rootkit 469
7.13.1  間諜軟件和廣告軟件 470
7.13.2  即時通信 470
7.14  小結 471
7.15  快速提示 471
7.15.1  問題 474
7.15.2  答案 477
第8章  密碼術 481
8.1  密碼術的歷史 482
8.2  密碼術定義與概念 486
8.2.1  Kerckhoffs原則 488
8.2.2  密碼系統的強度 488
8.2.3  密碼系統的服務 488
8.2.4  一次性密碼本 490
8.2.5  滾動密碼與隱藏密碼 491
8.2.6  隱寫術 492
8.3  密碼的類型 494
8.3.1  替代密碼 494
8.3.2  換位密碼 495
8.4  加密的方法 496
8.4.1  對稱算法與非對稱算法 497
8.4.2  對稱密碼術 497
8.4.3  分組密碼與流密碼 501
8.4.4  混合加密方法 504
8.5  對稱系統的類型 509
8.5.1  數據加密標準 509
8.5.2  三重DES 515
8.5.3  高級加密標準 515
8.5.4  國際數據加密算法 516
8.5.5  Blowfish 516
8.5.6  RC4 516
8.5.7  RC5 516
8.5.8  RC6 516
8.6  非對稱系統的類型 517
8.6.1  Diffie-Hellman算法 517
8.6.2  RSA 519
8.6.3  El Gamal 521
8.6.4  橢圓曲線密碼系統 521
8.6.5  LUC 522
8.6.6  背包算法 522
8.6.7  零知識證明 522
8.7  消息完整性 523
8.7.1  單向散列 523
8.7.2  各種散列算法 527
8.7.3  針對單向散列函數的
攻擊 529
8.7.4  數字簽名 530
8.7.5  數字簽名標準 532
8.8  公鑰基礎設施 532
8.8.1  認證授權機構 533
8.8.2  證書 535
8.8.3  注冊授權機構 535
8.8.4  PKI步驟 535
8.9  密鑰管理 537
8.9.1  密鑰管理原則 538
8.9.2  密鑰和密鑰管理的規(guī)則 539
8.10  鏈路加密與端對端加密 539
8.11  電子郵件標準 541
8.11.1  多用途Internet郵件
擴展(MIME) 541
8.11.2  保密增強郵件 542
8.11.3  消息安全協議 542
8.11.4  可靠加密 542
8.11.5  量子密碼術 543
8.12  Internet安全 545
8.13  攻擊 553
8.13.1  唯密文攻擊 554
8.13.2  已知明文攻擊 554
8.13.3  選定明文攻擊 554
8.13.4  選定密文攻擊 554
8.13.5  差分密碼分析 555
8.13.6  線性密碼分析 555
8.13.7  旁路攻擊 555
8.13.8  重放攻擊 556
8.13.9  代數攻擊 556
8.13.10  分析式攻擊 556
8.13.11  統計式攻擊 556
8.14  小結 556
8.15  快速提示 557
8.15.1  問題 559
8.15.2  答案 563
第9章  業(yè)務連續(xù)性與災難恢復 565
9.1  業(yè)務連續(xù)性與災難恢復 565
9.1.1  業(yè)務連續(xù)性步驟 567
9.1.2  將業(yè)務連續(xù)性計劃作為
安全策略和綱要的
一部分 568
9.1.3  項目起始階段 569
9.2  業(yè)務連續(xù)性規(guī)劃要求 571
9.2.1  業(yè)務影響分析 571
9.2.2  預防性措施 576
9.2.3  恢復戰(zhàn)略 577
9.2.4  業(yè)務流程恢復 578
9.2.5  設施恢復 578
9.2.6  供給和技術恢復 583
9.2.7  終端用戶環(huán)境 587
9.2.8  數據備份選擇方案 587
9.2.9  電子備份解決方案 589
9.2.10  選擇軟件備份設施 591
9.2.11  保險 593
9.2.12  恢復與還原 594
9.2.13  為計劃制定目標 597
9.2.14  實現戰(zhàn)略 598
9.2.15  測試和審查計劃 599
9.2.16  維護計劃 602
9.3  小結 604
9.4  快速提示 605
9.4.1  問題 606
9.4.2  答案 611
第10章  法律、法規(guī)、遵從
和調查 613
10.1  計算機法律的方方面面 613
10.2  計算機犯罪法律的關鍵點 614
10.3  網絡犯罪的復雜性 616
10.3.1  電子資產 617
10.3.2  攻擊的演變 617
10.3.3  發(fā)生在不同國家的
計算機犯罪 619
10.3.4  法律的類型 620
10.4  知識產權法 624
10.4.1  商業(yè)秘密 624
10.4.2  版權 624
10.4.3  商標 625
10.4.4  專利 625
10.4.5  知識產權的內部保護 626
10.4.6  軟件盜版 626
10.5  隱私 627
10.6  義務及其后果 633
10.6.1  個人信息 636
10.6.2  黑客入侵 636
10.7  調查 637
10.7.1  事故響應 637
10.7.2  事故響應措施 640
10.7.3  計算機取證和適當的
證據收集 643
10.7.4  國際計算機證據組織 643
10.7.5  動機、機會和方式 644
10.7.6  計算機犯罪行為 644
10.7.7  事故調查員 645
10.7.8  取證調查過程 646
10.7.9  法庭上可接受的證據 650
10.7.10  監(jiān)視、搜索和查封 652
10.7.11  訪談和審訊 653
10.7.12  幾種不同類型的攻擊 653
10.8  道德 655
10.8.1  計算機道德協會 656
10.8.2  Internet體系結構
研究委員會 657
10.8.3  企業(yè)道德計劃 658
10.9  總結 658
10.10  快速提示 659
10.10.1  問題 661
10.10.2  答案 664
第11章  應用程序安全 667
11.1  軟件的重要性 667
11.2  何處需要安全 668
11.3  不同的環(huán)境需要不同的
安全 669
11.4  環(huán)境與應用程序 670
11.5  功能的復雜性 670
11.6  數據的類型、格式與長度 670
11.7  實現和默認配置問題 671
11.8  故障狀態(tài) 672
11.9  數據庫管理 672
11.9.1  數據庫管理軟件 673
11.9.2  數據庫模型 674
11.9.3  數據庫編程接口 678
11.9.4  關系數據庫組件 679
11.9.5  完整性 682
11.9.6  數據庫安全問題 683
11.9.7  數據倉庫與數據挖掘 687
11.10  系統開發(fā) 689
11.10.1  開發(fā)管理 690
11.10.2  生命周期的不同
階段 690
11.10.3  軟件開發(fā)方法 700
11.10.4  計算機輔助軟件
工程 702
11.10.5  原型開發(fā) 702
11.10.6  安全設計方法 702
11.10.7  安全開發(fā)方法 703
11.10.8  安全測試 703
11.10.9  變更控制 704
11.10.10  能力成熟度模型 705
11.10.11  軟件托管 706
11.11  應用程序開發(fā)方法學 706
11.12  面向對象概念 708
11.12.1  多態(tài) 713
11.12.2  數據建模 714
11.12.3  軟件體系結構 714
11.12.4  數據結構 715
11.12.5  內聚和耦合 715
11.13  分布式計算 716
11.13.1  CORBA與ORB 716
11.13.2  COM與DCOM 718
11.13.3  企業(yè)JavaBeans 719
11.13.4  對象鏈接和嵌入 720
11.13.5  分布式計算環(huán)境 720
11.14  專家系統和知識性系統 721
11.15  人工神經網絡 723
11.16  Web安全 724
11.16.1  故意破壞 725
11.16.2  金融欺詐 725
11.16.3  特權訪問 725
11.16.4  竊取交易信息 725
11.16.5  竊取知識產權 725
11.16.6  拒絕服務(DoS)攻擊 726
11.16.7  建立質量保證流程 726
11.16.8  安裝Web應用程序
防火墻 726
11.16.9  安裝入侵防御系統 726
11.16.10  在防火墻上實現
SYN代理 726
11.16.11  針對Web環(huán)境的
特定威脅 727
11.17  移動代碼 734
11.17.1  Java applet 734
11.17.2  ActiveX控件 736
11.17.3  惡意軟件 737
11.17.4  防病毒軟件 741
11.17.5  垃圾郵件檢測 744
11.17.6  防惡意軟件程序 744
11.18  補丁管理 745
11.18.1  步驟1：基礎設施 745
11.18.2  步驟2：研究 746
11.18.3  步驟3：評估和
測試 746
11.18.4  步驟4：緩解
(“回滾”) 746
11.18.5  步驟5：部署
(“首次展示”) 746
11.18.6  步驟6：確證、
報告和日志記錄 746
11.18.7  補丁管理的限制 747
11.18.8  最佳實踐 747
11.18.9  其他注意事項 747
11.18.10  攻擊 747
11.19  小結 751
11.20  快速提示 751
11.20.1  問題 754
11.20.2  答案 757
第12章  操作安全 759
12.1  操作部門的角色 759
12.2  行政管理 760
12.2.1  安全和網絡人員 762
12.2.2  可問責性 763
12.2.3  閥值級別 763
12.3  保證級別 764
12.4  操作責任 764
12.4.1  不尋常或無法解釋的
事件 765
12.4.2  偏離標準 765
12.4.3  不定期的初始程序
加載(也稱為重啟) 765
12.4.4  資產標識和管理 765
12.4.5  系統控制 766
12.4.6  可信恢復 766
12.4.7  輸入與輸出控制 768
12.4.8  系統強化 769
12.4.9  遠程訪問安全 770
12.5  配置管理 771
12.5.1  變更控制過程 772
12.5.2  變更控制文檔化 773
12.6  介質控制 774
12.7  數據泄漏 778
12.8  網絡和資源可用性 779
12.8.1  平均故障間隔時間
(MTBF) 780
12.8.2  平均修復時間(MTTR) 781
12.8.3  單點失敗 781
12.8.4  備份 788
12.8.5  應急計劃 790
12.9  大型機 791
12.10  電子郵件安全 792
12.10.1  電子郵件的
工作原理 793
12.10.2  傳真安全 796
12.10.3  黑客和攻擊方法 797
12.11  脆弱性測試 803
12.11.1  滲透測試 806
12.11.2  戰(zhàn)爭撥號攻擊 808
12.11.3  其他脆弱性類型 809
12.11.4  事后檢查 811
12.12  小結 812
12.13  快速提示 812
12.13.1  問題 813
12.13.2  答案 818
附錄A  安全內容自動化協議綜述 821
附錄B  配套光盤使用指南 827
術語表 831