信息安全原理（第2版）

.1.6.2 硬件11
1.6.3 数据12
1.6.4 人员12
1.6.5 过程12
1.6.6 网络12
1.7 保护is组件的安全13
1.8 平衡信息的安全和访问权13
1.9 实现信息安全的方法14
1.10 系统开发生命周期15
1.10.1 方法学15
1.10.2 阶段15
1.10.3 调研16
1.10.4 分析16
1.10.5 逻辑设计16
1.10.6 物理设计16
1.10.7 实现17
1.10.8 维护和修改17
1.11 安全系统开发生命周期17
1.11.1 调研17
1.11.2 分析17
1.11.3 逻辑设计17
1.11.4 物理设计18
1.11.5 实现18
1.11.6 维护和修改18
1.12 安全专业人士和机构19
1.12.1 高级管理者20
1.12.2 信息安全项目小组20
1.12.3 数据所有人20
1.13 利益团体21
1.13.1 信息安全管理和专业人士21
1.13.2 信息技术管理和专业人士21
1.13.3 机构管理和专业人士21
1.14 信息安全：是一门艺术
还是一门科学21
1.14.1 作为艺术的安全22
1.14.2 作为科学的安全22
1.14.3 作为社会科学的安全22
1.15 信息安全的术语22
1.16 本章小结24
1.17 复习题24
1.18 练习25
1.19 案例练习25
第2章 安全需求27
2.1 引言28
2.2 业务需求在前，技术在后28
2.2.1 保护机构运转的能力28
2.2.2 实现应用程序的安全操作28
2.2.3 保护机构收集和使用的数据29
2.2.4 保护机构的技术资产29
2.3 威胁29
2.3.1 人为过失或失败的行为30
2.3.2 知识产权的损害31
2.3.3 间谍或者蓄意入侵行为32
2.3.4 信息敲诈蓄意行为37
2.3.5 蓄意破坏行为37
2.3.6 蓄意窃取行为39
2.3.7 蓄意软件攻击39
2.3.8 自然灾害43
2.3.9 服务质量差44
2.3.10 技术硬件故障或者错误45
2.3.11 技术软件故障或者错误46
2.3.12 技术淘汰46
2.4 攻击46
2.4.1 恶意代码47
2.4.2 恶作剧47
2.4.3 后门47
2.4.4 密码破解48
2.4.5 暴力48
2.4.6 词典方式48
2.4.7 拒绝服务(dos)及分布式
拒绝服务(ddos)48
2.4.8 欺骗49
2.4.9 中间人50
2.4.10 垃圾邮件50
2.4.11 邮件炸弹50
2.4.12 嗅探器51
2.4.13 社会工程51
2.4.14 缓冲区溢出52
2.4.15 定时攻击52
2.5 本章小结52
2.6 复习题54
2.7 练习54
2.8 案例练习55
第3章 信息安全中的法律、道德
以及专业人员问题59
3.1 引言59
3.2 信息安全的法律及道德60
3.3 法律的类型60
3.4 美国相关法律60
3.4.1 一般计算机犯罪法61
3.4.2 隐私61
3.4.3 出口及间谍法64
3.4.4 美国版权法65
3.4.5 财务报表65
3.4.6 1966年的信息自由法(foia)65
3.4.7 州和本地法规65
3.5 国际法及法律主体66
3.5.1 欧洲计算机犯罪委员会条例67
3.5.2 数字时代版权法68
3.5.3 联合国宪章68
3.6 政策与法律69
3.7 道德和信息安全69
3.7.1 不同文化中的道德差异70
3.7.2 软件许可侵犯70
3.7.3 违法使用71
3.7.4 公司资源的滥用71
3.7.5 道德和教育74
3.7.6 不道德及违法行为的防范措施74
3.8 道德规范和专业机构75
3.8.1 it的主要专业机构76
3.8.2 其他安全机构76
3.8.3 美国主要联邦机构77
3.9 机构的责任和忠告80
3.10 本章小结80
3.11 复习题81
3.12 练习81
3.13 案例练习82
第4章 风险管理84
4.1 引言85
4.2 风险管理概述86
4.2.1 知己86
4.2.2 知彼86
4.2.3 利益团体的作用86
4.3 风险识别87
4.3.1 资产识别和评估87
4.3.2 自动化风险管理工具91
4.3.3 信息资产分类91
4.3.4 信息资产评估91
4.3.5 按照重要性列出资产93
4.3.6 数据的分类及管理93
4.3.7 安全调查95
4.3.8 分类数据的管理95
4.3.9 威胁识别95
4.3.10 识别威胁及威胁代理，并区
分其优先次序96
4.3.11 漏洞识别99
4.4 风险评估100
4.4.1 风险评估概述100
4.4.2 可能性101
4.4.3 信息资产评估101
4.4.4 风险的确定102
4.4.5 识别可能的控制102
4.4.6 访问控制103
4.4.7 记录风险评估的结果103
4.5 风险控制策略105
4.5.1 避免105
4.5.2 实现避免106
4.5.3 转移107
4.5.4 缓解108
4.5.5 灾难恢复计划108
4.5.6 接受109
4.6 选择风险控制策略110
4.6.1 风险控制的估计、评估及维护111..
4.6.2 控制的种类111
4.6.3 可行性研究113
4.6.4 其他可行性研究121
4.7 风险管理的讨论要点122
4.7.1 风险的可接受程度122
4.7.2 残留风险123
4.8 验证结果123
4.9 推荐的控制风险实践124
4.9.1 定量评估125
4.9.2 delphi技术125
4.10 本章小结125
4.11 复习题126
4.12 练习126
4.13 案例练习128
第5章 安全规划130
5.1 引言130
5.2 信息安全政策、标准及实践131
5.2.1 定义132
5.2.2 企业信息安全政策133
5.2.3 特定问题安全政策133
5.2.4 特定系统政策(syssp)136
5.2.5 政策管理139
5.2.6 信息的分类140
5.3 信息安全蓝本141
5.3.1 iso 17799/bs 7799141
5.3.2 nist安全模式143
5.3.3 ietf安全结构148
5.3.4 visa国际安全模式148
5.3.5 基线和最佳业务实践149
5.3.6 信息安全系统蓝本的混合结构149
5.3.7 安全体系的设计152
5.4 安全教育、培训和认识计划155
5.4.1 安全教育156
5.4.2 安全培训156
5.4.3 安全意识156
5.5 持续性策略157
5.5.1 业务影响分析159
5.5.2 事故响应计划161
5.5.3 灾难恢复计划171
5.5.4 业务持续性计划173
5.5.5 统一的应急计划模型175
5.5.6 相关法律的实施176
5.6 本章小结178
5.7 复习题178
5.8 练习179
5.9 案例练习180
第6章 安全技术：防火墙和vpn182
6.1 引言182
6.2 物理设计183
6.3 防火墙183
6.3.1 防火墙的分类方法183
6.3.2 防火墙体系结构193
6.3.3 选择正确的防火墙196
6.3.4 配置和管理防火墙197
6.3.5 内容过滤器203
6.4 保护远程连接204
6.4.1 拨号204
6.4.2 虚拟专用网络207
6.5 本章小结210
6.6 复习题210
6.7 练习211
6.8 案例练习211
第7章 安全技术：入侵检测、访问
控制和其他安全工具213
7.1 引言214
7.2 入侵检测系统(ids)215
7.2.1 ids术语215
7.2.2 使用ids的原因216
7.2.3 ids的类型和检测方法217
7.2.4 ids响应行为224
7.2.5 选择ids方法和产品227
7.2.6 ids的优缺点230
7.2.7 ids的部署和实现231
7.2.8 评估ids的效果236
7.3 蜜罐、蜜网和填充单元系统237
7.3.1 诱捕和跟踪系统238
7.3.2 积极阻止入侵239
7.4 浏览和分析工具239
7.4.1 端口扫瞄仪241
7.4.2 防火墙分析工具242
7.4.3 操作系统检测工具243
7.4.4 漏洞扫瞄仪243
7.4.5 包嗅探器247
7.4.6 无线安全工具248
7.5 访问控制设备249
7.5.1 身份验证250
7.5.2 生物测定学的有效性252
7.5.3 生物测定学的可接受性252
7.6 本章小结253
7.7 复习题253
7.8 练习254
7.9 案例练习254
第8章 密码学257
8.1 引言258
8.2 密码简史258
8.3 密码系统的原则260
8.3.1 基本的加密定义260
8.3.2 加密方法261
8.3.3 加密系统的元素261
8.3.4 加密密钥的长度275
8.3.5 密码原则的总结277
8.4 加密工具277
8.4.1 公钥基础结构277
8.4.2 数字签名278
8.4.3 数字证书279
8.4.4 混合加密系统281
8.4.5 密码术281
8.5 安全通信协议282
8.5.1 用s-http和ssl保护
internet通信283
8.5.2 使用s/mime、pem和pgp
保护电子邮件283
8.5.3 使用set、ssl和s-http
保护web事务284
8.5.4 用ipsec和pgp保护tcp/ip285
8.6 密码系统的攻击287
8.6.1 中间人攻击288
8.6.2 相关性攻击288
8.6.3 字典式攻击288
8.6.4 定时攻击288
8.6.5 防御攻击289
8.7 本章小结289
8.8 复习题290
8.9 练习290
8.10 案例分析291
第9章 物理安全293
9.1 引言294
9.2 物理访问控制295
9.3 防火安全301
9.4 支持设备发生故障和建筑物倒塌307
9.4.1 取暖、通风和空调307
9.4.2 电力管理和调整309
9.4.3 水问题312
9.4.4 建筑物的倒塌312
9.4.5 设施系统的维护312
9.5 数据的侦听312
9.6 可移动和便携系统313
9.7 物理安全威胁的特殊考虑316
9.8 本章小结316
9.9 复习题317
9.10 练习318
9.11 案例练习319
第10章 实现信息安全321
10.1 引言322
10.2 信息安全的项目管理323
10.2.1 制定项目计划323
10.2.2 项目计划的考虑327
10.2.3 范围考虑329
10.2.4 项目管理需求330
10.3 实现的技术主题331
10.3.1 转换策略331
10.3.2 信息安全项目计划的
靶心模型332
10.3.3 外购还是自行开发333
10.3.4 技术监督和改进控制334
10.4 实现的非技术方面334
10.4.1 改进管理的文化氛围334
10.4.2 机构改进的考虑334
10.5 本章小结335
10.6 复习题336
10.7 练习337
10.8 案例练习338
第11章 安全和人员339
11.1 引言340
11.2 确定安全部门的人员配备340
11.3 信息安全专业人员的认证346
11.3.1 认证信息系统安全专业
人员(cissp)和系统安全认证
从业者(sscp)347
11.3.2 认证信息系统审计员
(cisa)和认证信息系统
经理(cism)348
11.3.3 全球信息保险认证(giac)349
11.3.4 安全认证专业人员(scp)350
11.3.5 trusecure icsa认证
安全联合(ticsa)350
11.3.6 security+351
11.3.7 认证信息系统辩论调查员351
11.3.8 相关认证352
11.3.9 获得认证的费用352
11.3.10 给信息安全专业人员
的建议353
11.4 招聘政策和实践354
11.4.1 工作描述355
11.4.2 面试355
11.4.3 背景检查355
11.4.4 聘用合同356
11.4.5 新员工的定位356
11.4.6 工作期间的安全培训356
11.4.7 业绩评估357
11.4.8 解聘357
11.5 非员工的安全考虑359
11.5.1 临时工359
11.5.2 合同工359
11.5.3 顾问359
11.5.4 业务伙伴360
11.6 责任的分离和共谋360
11.7 人员数据的秘密性和安全361
11.8 本章小结362
11.9 复习题363
11.10 练习364
11.11 案例练习364
第12章 信息安全维护366
12.1 引言367
12.2 安全管理模式368
12.3 维护模式374
12.3.1 监控外部环境375
12.3.2 监控内部环境378
12.3.3 规划与风险评估381
12.3.4 漏洞评估和补救386
12.3.5 备用状态与审查392
12.4 本章小节393
12.5 复习题394
12.6 练习394
12.7 案例练习395
术语表397...