第1章 信息安全简介

1.1 引言

1.2 信息安全发展史

1.2.1 20世纪60年代

1.2.2 20世纪70年代和80年代

1.2.3 20世纪90年代

1.2.4 2000年至今

1.3 安全的概念

1.3.1 重要的信息安全概念

1.3.2 信息的重要特性

1.4 CNSS安全模型

1.5 信息系统的组件

1.5.1 软件

1.5.2 硬件

1.5.3 数据

1.5.4 人员

1.5.5 过程

1.5.6 网络

1.6 平衡信息的安全和访问

1.7 实现信息安全的方法

1.8 系统生命周期的安全性

1.8.1 系统开发生命周期

1.8.2 安全系统开发生命周期

1.8.3 软件保证——SDLC中的安全性

1.8.4 软件设计原则

1.8.5 保护SDLC的NIST方法

1.9 安全专业人士和机构

1.9.1 高级管理者

1.9.2 信息安全项目小组

1.9.3 数据责任

1.10 利益团体

1.10.1 信息安全管理和专业人士

1.10.2 信息技术管理和专业人士

1.10.3 机构管理和专业人士

1.11 信息安全：艺术还是科学

1.11.1 作为艺术的安全

1.11.2 作为科学的安全

1.11.3 作为社会科学的安全

1.12 本章小结

1.13 复习题

1.14 练习

1.15 案例练习

1.16 尾注

第2章 安全需求

2.1 引言

2.2 威胁和攻击

2.2.1 25亿潜在黑客

2.2.2 关于威胁的其他研究

2.2.3 常见攻击模式枚举与分类（CAPEC）

2.2.4 12类威胁

2.3 知识产权的损害

2.3.1 软件盗版

2.3.2 版权保护和用户注册

2.4 服务质量差

2.4.1 互联网服务问题

2.4.2 通信及其他服务提供商的问题

2.4.3 电源不稳定

2.5 间谍或蓄意入侵

2.5.1 黑客

2.5.2 黑客的变体

2.5.3 密码攻击

2.6 自然灾害

2.6.1 火灾

2.6.2 水灾

2.6.3 地震

2.6.4 闪电

2.6.5 山崩或泥石流

2.6.6 龙卷风或风暴

2.6.7 飓风、台风或热带低气压

2.6.8 海啸

2.6.9 静电放电

2.6.10 灰尘污染

2.7 人为过失或失败

2.8 信息敲诈

2.9 蓄意破坏

2.10 软件攻击

2.10.1 恶意软件

2.10.2 后门

2.10.3 拒绝服务（DoS）及分布式拒绝服务（DDoS）攻击

2.10.4 电子邮件攻击

2.10.5 通信拦截攻击

2.11 技术硬件故障或错误

2.11.1 IntelPentiumCPU故障

2.11.2 平均故障间隔时间

2.12 技术软件故障或错误

2.12.1 OWASP十大风险列表

2.12.2 软件安全中的诸宗罪

2.13 技术淘汰

2.14 窃取

2.15 本章小结

2.16 复习题

2.17 练习

2.18 案例练习

2.19 尾注

第3章 信息安全中的法律、道德以及专业人员问题

3.1 引言

3.2 信息安全的法律及道德

3.2.1 机构的责任和忠告

3.2.2 政策与法律

3.2.3 法律的类型

3.3 美国相关法律

3.3.1 一般计算机犯罪法

3.3.2 出口及间谍法

3.3.3 美国版权法

3.3.4 财务报表

3.3.5 1966年信息自由法

3.3.6 支付卡行业数据安全标准（PCI DSS）

3.3.7 州和本地法规

3.4 国际法及法律主体

3.4.1 英国的计算机安全法

3.4.2 澳大利亚的计算机安全法

3.4.3 欧洲网络犯罪委员会条例

3.4.4 世界贸易组织和与贸易有关的知识产权协议

3.4.5 数字千年版权法

3.5 道德和信息安全

3.5.1 不同文化中的道德差异

3.5.2 道德和教育

3.5.3 不道德及违法行为的防范措施

3.6 专业机构的道德规范

3.7 美国主要联邦机构

3.7.1 本国安全部（DHS）

3.7.2 美国特勤局

3.7.3 联邦调查局（FBI）

3.7.4 国家安全局（NSA）

3.8 本章小结

3.9 复习题

3.10 练习

3.11 案例练习

3.12 尾注

第4章 安全规划

4.1 引言

4.2 信息安全规划和治理

4.2.1 规划级别

4.2.2 规划和CISO

4.2.3 信息安全治理

4.2.4 信息安全治理效果

4.3 信息安全政策、标准及实践

4.3.1 作为规划基础的政策

4.3.2 企业信息安全政策

4.3.3 特定问题的安全政策

4.3.4 特定系统的安全政策（SysSP）

4.3.5 政策管理

4.4 信息安全蓝图

4.4.1 ISO27000系列

4.4.2 NIST安全模式

4.4.3 安全框架的其他资源

4.4.4 安全体系的设计

4.5 安全教育、培训和认识计划

4.5.1 安全教育

4.5.2 安全培训

4.5.3 安全意识

4.6 持续性策略

4.6.1 CP政策

4.6.2 业务影响分析

4.6.3 事故响应规划

4.6.4 灾难恢复计划

4.6.5 业务持续性计划

4.6.6 危机管理

4.6.7 统一的应急计划

4.6.8 相关法律的实施

4.7 本章小结

4.8 复习题

4.9 练习

4.10 案例练习

4.11 尾注

第5章 风险管理

5.1 引言

5.2 风险管理概述

5.2.1 知己

5.2.2 知彼

5.2.3 利益团体的作用

5.2.4 风险胃纳和残余风险

5.3 风险识别

5.3.1 规划、组织过程

5.3.2 资产的识别、建立清单和分类

5.3.3 信息资产的分类、估价和分级

5.3.4 威胁的识别和分级

5.3.5 指定资产的漏洞

5.4 风险评估

5.4.1 风险评估的规划和组织

5.4.2 确定损失的频率

5.4.3 估计损失的量级

5.4.4 计算风险

5.4.5 评估风险的可接受程度

5.4.6 风险评估的FAIR方法

5.5 风险控制策略

5.5.1 选择控制策略

5.5.2 证实控制措施的有效性

5.5.3 风险控制的估计、评估及维护

5.6 定量和定性的风险管理实践

5.7 推荐的控制风险实践

5.7.1 验证结果

5.7.2 NIST风险管理框架

5.8 本章小结

5.9 复习题

5.10 练习

5.11 案例练习

5.12 尾注

第6章 安全技术：防火墙和VPN

6.1 引言

6.2 访问控制

6.2.1 访问控制机制

6.2.2 生物测定学

6.2.3 访问控制体系模型

6.3 防火墙

6.3.1 防火墙的处理模式

6.3.2 防火墙体系结构

6.3.3 选择正确的防火墙

6.3.4 配置和管理防火墙

6.3.5 内容过滤器

6.4 保护远程连接

6.4.1 远程访问

6.4.2 虚拟专用网络

6.5 本章小结

6.6 复习题

6.7 练习

6.8 案例练习

6.9 尾注

第7章 安全技术：入侵检测防护系统和其他安全工具

7.1 引言

7.2 入侵检测防护系统

7.2.1 IDPS术语

7.2.2 使用IDPS的原因

7.2.3 IDPS的类型

7.2.4 IDPS检测方法

7.2.5 IDPS响应行为

7.2.6 选择IDPS方法和产品

7.2.7 IDPS的优缺点

7.2.8 IDPS的部署和实现

7.2.9 评估IDPS的效果

7.3 蜜罐、蜜网和填充单元系统

7.3.1 诱捕和跟踪系统

7.3.2 积极阻止入侵

7.4 浏览和分析工具

7.4.1 端口扫描仪

7.4.2 防火墙分析工具

7.4.3 操作系统检测工具

7.4.4 漏洞扫描仪

7.4.5 包嗅探器

7.4.6 无线安全工具

7.5 本章小结

7.6 复习题

7.7 练习

7.8 案例练习

7.9 尾注

第8章 密码学

8.1 引言

8.2 密码简史

8.3 加密方法

8.3.1 置换加密

8.3.2 移项加密

8.3.3 异或

8.3.4 Vernam加密

8.3.5 基于书本的加密

8.3.6 散列函数

8.4 加密算法

8.4.1 对称加密

8.4.2 非对称加密

8.4.3 加密密钥的长度

8.5 加密工具

8.5.1 公钥基础结构

8.5.2 数字签名

8.5.3 数字证书

8.5.4 混合加密系统

8.5.5 密码术

8.6 安全通信协议

8.6.1 用S-HTTP和SSL保护Internet通信

8.6.2 使用S/MIME、PEM和PGP保护电子邮件

8.6.3 使用SET、SSL和S-HTTP保护Web事务

8.6.4 用WEP或WPA保护无线网络

8.6.5 用IPSec和PGP保护TCP／IP

8.7 本章小结

8.8 复习题

8.9 练习

8.10 案例分析

8.11 尾注

第9章 物理安全

9.1 引言

9.2 物理访问控制

9.3 防火安全

9.4 支持设备发生故障和建筑物倒塌

9.4.1 取暖、通风和空调

9.4.2 电力管理和调整

9.4.3 水问题

9.4.4 建筑物的倒塌

9.4.5 设施系统的维护

9.5 数据的侦听

9.6 可移动和便携系统的安全性

9.7 物理安全威胁的特殊考虑

9.8 本章小结

9.9 复习题

9.10 练习

9.11 案例练习

9.12 尾注

第10章 实现信息安全

10.1 引言

10.2 信息安全的项目管理

10.2.1 制定项目计划

10.2.2 项目计划的考虑

10.2.3 范围考虑

10.2.4 项目管理需求

10.2.5 安全项目管理证书

10.3 实现的技术主题

10.3.1 转换策略

10.3.2 靶心模型

10.3.3 外购还是自行开发

10.3.4 技术监督和改进控制

10.3.5 SANS的20个最重要的安全控制

10.4 实现的非技术方面

10.4.1 改进管理的文化氛围

10.4.2 机构改进的考虑

10.5 信息系统安全证书和鉴定

10.5.1 证书和鉴定书

10.5.2 NIST安全生命周期方法

10.5.3 NSTISS证书和鉴定书

10.5.4 ISO 27001/27002系统认证和鉴定

10.6 本章小结

10.7 复习题

10.8 练习

10.9 案例练习

10.10 尾注

第11章 安全和人员

11.1 引言

11.2 确定安全部门的人员配备

11.3 信息安全专业人员的认证

11.3.1 （ISC）2证书

11.3.2 ISACA认证

11.3.3 SANS认证

11.3.4 EC委员会认证

11.3.5 CompTIA认证

11.3.6 ISFCE认证

11.3.7 获得认证的费用

11.3.8 给信息安全专业人员的建议

11.4 招聘政策和实践

11.4.1 工作描述

11.4.2 面试

11.4.3 背景检查

11.4.4 聘用合同

11.4.5 新员工的定位

11.4.6 工作期间的安全培训

11.4.7 业绩评估

11.4.8 解聘

11.5 临时工、顾问和其他工作人员的安全考虑

11.5.1 临时工

11.5.2 合同工

11.5.3 顾问

11.5.4 业务伙伴

11.6 内部控制策略

11.7 人员数据的秘密性和安全

11.8 本章小结

11.9 复习题

11.10 练习

11.11 案例练习

11.12 尾注

第12章 信息安全维护

12.1 引言

12.2 安全管理维护模式

12.2.1 NIST SP 800-100，信息安全手册：经理的指南

12.2.2 安全维护模式

12.3 数字取证

12.3.1 数字取证组

12.3.2 宣誓书和搜索担保书

12.3.3 数字取证方法

12.3.4 举证过程

12.4 本章小结

12.5 复习题

12.6 练习

12.7 案例练习

12.8 尾注

术语表