資訊系統安全基礎
本書旨在快速而深入地回顧透過註冊資訊系統安全專業人員 (CISSP)[1] 考試所需的主題。
物理（環境）安全挑戰
- 威脅和漏洞
- 威脅型別
- 漏洞
網站位置
- 網站結構和基礎設施
分層防禦模型
物理因素
與他人合作實現物理和程式安全
物理和程式安全方法、工具和技術
程式控制
基礎設施支援系統
防火、探測和抑制
邊界保護
建築物入口
鑰匙和鎖具系統
牆壁、門和窗
訪問控制
閉路電視 (CCTV)
入侵檢測系統
行動式裝置安全
資產和風險登記冊
資訊保護和管理服務
- 託管服務
- 審計、演習、練習和測試
- 漏洞和滲透測試
- 環境危機
- 維護和服務問題
- 教育、培訓和意識
- 雲安全
- 安全程式
- 安全控制
- 安全的要素
核心資訊安全原則
- 機密性
- 完整性
- 可用性
資訊安全管理治理
- 安全治理
- 安全策略、程式、標準、指南和基線
- 組織安全模型
組織行為
- 組織結構演變
- 最佳實踐
- 安全形色和職責
- 報告模型
- 企業級安全監督
安全意識、培訓和教育
- 進行正式的安全意識培訓
- 意識活動和方法
資訊風險管理
- 風險管理概念
- 風險處理策略
- 風險評估/分析
資訊分類
- 介紹
- 分類型別
- 資訊分類指南
- 資訊分類標準
- 資料分類程式
- 分類控制
倫理
- 基本概念
- 職業道德準則
- 計算機倫理中的示例主題
- 常見的計算機倫理謬誤
- 駭客和駭客行為
- 訪問控制挑戰
- 訪問控制原則
- 訪問控制標準
- 訪問控制實踐
安全原則
身份驗證和授權
- 身份識別和驗證
- 身份管理
訪問控制類別
- 管理
- 物理
- 技術
訪問控制型別
訪問控制威脅
- 拒絕服務 (DoS/DDoS)
- 緩衝區溢位
- 惡意軟體
- 密碼破解器
- 欺騙/偽裝
- 輻射
- 窺視
- 物件重用
- 資料殘留
- 後門/陷阱門
- 字典攻擊
- 暴力攻擊
- 社會工程學
訪問控制技術
- 單點登入
- Kerberos
- SESAME
- 安全域
- 瘦客戶機
訪問控制模型
- 自由裁量訪問控制
- 強制訪問控制
- 非自由裁量或基於角色的訪問控制
- DAC VS MAC VS RBAC
訪問控制技術
- 基於規則的訪問控制
- 受限使用者介面
- 訪問控制矩陣
- 內容依賴訪問控制
- 上下文依賴訪問控制
訪問控制管理
- 集中式訪問控制
- 分散式訪問控制
訪問控制監控 (IDS/IPS)
- 入侵檢測系統
- 入侵防禦系統
訪問控制保證
- 基本概念
計算機系統架構
- 中央處理器 (CPU)
- 儲存
- 作業系統
- 韌體
- 虛擬機器
- 混合/雲計算架構
系統安全架構
- 安全設計原則
- 可信計算基礎
安全模型
- 格模型
- 狀態機模型
- 非干擾模型
- Bell-LaPadula 機密性模型
- Biba 完整性模型
- Clark-Wilson 完整性模型
- 訪問控制矩陣
- 資訊流模型
- Graham-Denning 模型
- Harrison-Ruzzo-Ullman 模型
- Brewer-Nash（中國牆）
安全產品評估方法和標準
- 彩虹系列
- 資訊科技安全評估標準 (ITSEC)
- 通用標準
- 認證和授權
業務連續性和災難恢復規劃
[編輯 | 編輯原始碼]介紹
核心資訊安全原則：可用性、完整性、機密性 (AIC)
為什麼需要連續性規劃？
恐怖襲擊的現實
自然災害
內部和外部審計監督
立法和監管要求
行業和專業標準
NFPA 1600
ISO 17799
國防安全服務 (DSS)
美國國家標準與技術研究院 (NIST)
良好的商業實踐或應盡的注意義務標準
企業連續性規劃及其與業務連續性和災難恢復規劃的關係
收入損失
額外支出
客戶服務受損
尷尬或信心影響損失
連續性規劃的隱藏益處
BCP/DRP 領域章節的組織
專案啟動階段
現狀評估階段
設計和開發階段
實施階段
管理階段
專案啟動階段描述
專案範圍開發和規劃
高層管理支援
BCP 專案範圍和授權
高層管理領導和意識
連續性規劃專案團隊組織和管理
災難或中斷避免和緩解
專案啟動階段活動和任務工作計劃
現狀評估階段描述
瞭解企業戰略、目標和目標
企業業務流程分析
人員和組織
時間依賴性
動機、風險和控制目標
預算
技術問題和限制
連續性規劃流程支援評估
威脅評估
風險管理
業務影響分析 (BIA)
基準測試和同行評審
現狀評估階段活動和任務工作計劃示例
開發階段描述
恢復策略開發
工作計劃開發
開發和設計恢復策略
資料和軟體備份方法
DRP IT 恢復策略
BCP 企業業務流程恢復策略
開發連續性計劃文件和基礎設施策略
開發測試/維護/培訓策略
計劃開發階段描述
制定連續性計劃
對比危機管理和連續性規劃方法
制定危機管理計劃
測試/維護/培訓開發階段描述
開發連續性和危機管理流程培訓和意識策略
階段活動和任務工作計劃示例
實施階段描述
分析 CPPT 實施工作計劃
程式短期和長期測試
業務連續性計劃測試（演練）流程部署
計劃培訓、意識和教育
應急指揮中心 (EOC)
管理階段描述
計劃監督
業務連續性計劃經理角色和職責
術語
參考文獻
示例問題
附錄 A：業務連續性計劃中解決立法合規性問題
HIPAA
GLB
愛國者法案
其他問題
OCC 銀行通告 177
介紹
基本概念
網路模型
OSI 參考模型
TCP/IP 模型
網路安全架構
網路在 IT 安全中的作用
網路安全目標和攻擊模式
攻擊方法
網路安全工具
第 1 層：物理層
概念和架構
通訊技術
網路拓撲
技術和實施
電纜
雙絞線
同軸電纜
光纖
配線架
調變解調器
無線傳輸技術
第 2 層：資料鏈路層
概念和架構
架構
傳輸技術
技術和實施
乙太網
無線區域網
地址解析協議 (ARP)
點對點協議 (PPP)
第 3 層：網路層
概念和架構
區域網 (LAN)
廣域網 (WAN) 技術
都會網路 (MAN)
全球網路 (GAN)
技術和實施
路由器
防火牆
終端系統
網際網路協議 (IP)
虛擬專用網路 (VPN)
隧道
動態主機配置協議 (DHCP)
網際網路控制報文協議 (ICMP)
網際網路組管理協議 (IGMP)
第 4 層：傳輸層
概念和架構
傳輸控制協議 (TCP)
使用者資料報協議 (UDP)
技術和實施
掃描技術
拒絕服務
第 5 層：會話層
概念和架構
技術和實施
遠端過程呼叫
目錄服務
訪問服務
第 6 層：表示層
概念和架構
技術和實施
傳輸層安全 (TLS)
第 7 層：應用層
概念和架構
技術和實施
非同步訊息傳遞（電子郵件和新聞）
即時通訊
資料交換（全球資訊網）
對等應用程式和協議
管理服務
遠端訪問服務
資訊服務
語音 over IP (VoIP)
一般參考
示例問題
尾註
領域描述和介紹
當前威脅和級別
應用程式開發安全大綱
CISSP 對該領域的期望
應用程式開發和程式設計概念及保護
當前軟體環境
開源
完全披露
程式設計
流程和元素
程式設計過程
軟體環境
軟體環境中的威脅
緩衝區溢位
公民程式設計師
隱蔽通道
惡意軟體
畸形輸入攻擊
記憶體重用（物件重用）
可執行內容/移動程式碼
社會工程學
檢查時/使用時（TOC/TOU）
陷阱門/後門
應用程式開發安全保護和控制
系統生命週期和系統開發
系統開發生命週期 (SDLC)
軟體開發方法
Java 安全
面向物件技術和程式設計
面向物件安全
分散式面向物件系統
軟體保護機制
安全核心
處理器特權狀態
緩衝區溢位安全控制
針對引數檢查和強制執行不完整問題的控制
記憶體保護
隱蔽通道控制
密碼學
密碼保護技術
控制粒度不足
環境控制和分離
檢查時/使用時（TOC/TOU）
社會工程學
備份控制
軟體取證
移動程式碼控制
程式語言支援
審計和保證機制
資訊完整性
資訊準確性
資訊審計
認證和授權
資訊保護管理
變更管理
配置管理
惡意軟體
惡意軟體型別
病毒
蠕蟲
騙局
特洛伊木馬
遠端訪問木馬 (RAT)
DDoS 殭屍網路
邏輯炸彈
間諜軟體和廣告軟體
惡作劇
惡意軟體防護
掃描程式
活動監控器
變更檢測
反惡意軟體策略
惡意軟體保證
資料庫和資料倉庫環境
DBMS 架構
層次資料庫管理模型
網路資料庫管理模型
關係資料庫管理模型
面向物件資料庫模型
資料庫介面語言
開放式資料庫連線 (ODBC)
Java 資料庫連線 (JDBC)
可擴充套件標記語言 (XML)
物件連結和嵌入資料庫 (OLE DB)
透過網際網路訪問資料庫
資料倉庫
元資料
聯機分析處理 (OLAP)
資料探勘
資料庫漏洞和威脅
DBMS 控制
鎖定控制
其他 DBMS 訪問控制
基於檢視的訪問控制
授予和撤銷訪問控制
面向物件 (OO) 資料庫的安全
元資料控制
資料汙染控制
聯機事務處理 (OLTP)
知識管理
Web 應用程式環境
Web 應用程式威脅和防護
總結
參考文獻
示例問題
介紹
特權實體控制
操作員
普通使用者
系統管理員
安全管理員
檔案敏感性標籤
系統安全特性
安全級別
密碼
帳戶特性
安全配置檔案
審計資料分析和管理
系統帳戶
帳戶管理
資源保護
設施
硬體
軟體
文件
對操作的威脅
洩露
破壞
中斷和不可用性
損壞和修改
盜竊
間諜活動
駭客
惡意程式碼
控制型別
預防性控制
檢測性控制
糾正性控制
指令性控制
恢復性控制
威懾性控制
補償性控制
控制方法
職責分離
最小特權
工作輪換
知情權
安全審計和評審
監督
輸入/輸出控制
防病毒管理
媒體型別和保護方法
物件重用
敏感媒體處理
標記
處理
儲存
破壞
解密
防止濫用
記錄保留
業務連續性
容錯
資料保護
軟體
硬體
通訊
設施
問題管理
系統元件故障
斷電
電信故障
物理入侵
篡改
生產延遲
輸入/輸出錯誤
系統恢復
入侵檢測系統
漏洞掃描
業務連續性計劃
變更控制管理
配置管理
生產軟體
軟體訪問控制
變更控制流程
請求
影響評估
批准/拒絕
構建和測試
通知
實施
驗證
文件
庫維護
補丁管理
總結
參考文獻
示例問題
法律、法規、合規和調查
[編輯 | 編輯原始碼]介紹
主要法律體系
普通法
刑法
侵權法
行政法
民法
習慣法
宗教法
混合法
資訊科技法律法規
智慧財產權法
專利
商標
版權
商業秘密
許可問題
隱私
責任
計算機犯罪
國際合作
事件響應
響應能力
事件響應和處理
分類
調查階段
遏制
分析和跟蹤
恢復階段
恢復和修復
總結/反饋
計算機取證
犯罪現場
數字/電子證據
一般指南
結論
參考文獻
示例問題
參考文獻