CISSP官方学习指南第7版（中文）James Michael Stewart等著

书籍推荐 · 发表于 2019-2-23 07:52:15

《CISSP官方学习指南(第7版)》是完整涵盖2015年CISSP认证知识体系的一站式资源，100%覆盖了2015年CISSP CIB考点。可以通过本书更明智、更快捷地准备考试，包括检查备考情况的评估测试、目标地图、真实场景、实践练习、关键主题考试要点和有挑战的章末复习题。通过Sybex提供的独特的在线学习环境和测试题库(它们可以在多种设备上访问)，进一步增强你的考试能力。开始使用本书准备CISSP考试吧！

第1章通过原则和策略的安全治理 1
1.1 理解和应用机密性、完整性
和可用性的概念 2
1.1.1 机密性 2
1.1.2 完整性 3
1.1.3 可用性 4
1.1.4 其他安全概念 5
1.1.5 保护机制 8
1.2 应用安全治理原则 9
1.2.1 安全功能战略、目标、
任务和愿景的一致 9
1.2.2 组织流程 11
1.2.3 安全角色和责任 15
1.2.4 控制架构 16
1.2.5 应尽关注和应尽职责 16
1.3 开发和文档化安全策略、
标准、指导方针和程序 17
1.3.1 安全策略 17
1.3.2 安全标准、基准及指南 18
1.3.3 安全程序 18
1.4 理解和应用威胁建模 19
1.4.1 识别威胁 20
1.4.2 确定和用图表示潜在攻击 22
1.4.3 执行降低分析 23
1.4.4 优先级和响应 23
1.5 把安全风险考虑到收购
策略和实践中 24
1.6 本章小结 25
1.7 考试要点 26
1.8 书面实验室 28
1.9 复习题 28
第2章人员安全和风险管理概念 31
2.1 促进人员安全策略 32
2.1.1 筛选候选人 34
2.1.2 雇佣协议和策略 34
2.1.3 解雇员工的流程 35
2.1.4 供应商、顾问和承包商控制 37
2.1.5 合规性 38
2.1.6 隐私 38
2.2 安全治理 39
2.3 理解和应用风险管理概念 39
2.3.1 风险术语 40
2.3.2 识别威胁和脆弱性 42
2.3.3 风险评估/分析 43
2.3.4 风险分配/接受 48
2.3.5 对策的选择和评估 49
2.3.6 实施 50
2.3.7 控制的类型 51
2.3.8 监控和测量 52
2.3.9 资产评估 52
2.3.10 持续改进 53
2.3.11 风险框架 54
2.4 建立和管理信息安全教育、
培训和意识 55
2.5 管理安全功能 56
2.6 本章小结 57
2.7 考试要点 57
2.8 书面实验室 59
2.9 复习题 59
第3章业务连续性计划 63
3.1 业务连续性计划 63
3.2 项目范围与计划 64
3.2.1 业务组织分析 65
3.2.2 BCP团队的选择 65
3.2.3 资源要求 66
3.2.4 法律和法规要求 67
3.3 业务影响评估 68
3.3.1 确定优先级 69
3.3.2 风险识别 69
3.3.3 可能性评估 70
3.3.4 影响评估 71
3.3.5 资源优先级划分 72
3.4 连续性计划 72
3.4.1 策略开发 73
3.4.2 预备和处理 73
3.4.3 计划批准和实现 74
3.4.4 计划实现 75
3.4.5 培训和教育 75
3.5 BCP文档化 75
3.5.1 连续性计划的目标 75
3.5.2 重要性声明 76
3.5.3 优先级声明 76
3.5.4 组织职责的声明 76
3.5.5 紧急程度和时限的声明 76
3.5.6 风险评估 76
3.5.7 可接受的风险/风险缓解 77
3.5.8 重大记录计划 77
3.5.9 响应紧急事件的指导原则 77
3.5.10 维护 78
3.5.11 测试和演习 78
3.6 本章小结 78
3.7 考试要点 79
3.8 书面实验室 79
3.9 复习题 79
第4章法律、法规和合规性 83
4.1 法律的分类 84
4.1.1 刑法 84
4.1.2 民法 85
4.1.3 行政法 85
4.2 法律 86
4.2.1 计算机犯罪 86
4.2.2 知识产权 89
4.2.3 进口/出口 94
4.2.4 隐私 95
4.3 合规性 99
4.4 合同与采购 100
4.5 本章小结 101
4.6 考试要点 101
4.7 书面实验室 102
4.8 复习题 102
第5章保护资产的安全 107
5.1 对资产进行分类和标记 107
5.1.1 定义敏感数据 108
5.1.2 定义分类 109
5.1.3 定义数据安全要求 111
5.1.4 理解数据状态 112
5.1.5 管理敏感数据 112
5.1.6 应用密码学保护机密文件 117
5.2 定义数据角色 119
5.2.1 数据所有者 119
5.2.2 系统所有者 120
5.2.3 业务/任务所有者 120
5.2.4 数据处理者 121
5.2.5 管理员 121
5.2.6 保管者 121
5.2.7 用户 122
5.3 保护隐私 122
5.3.1 使用安全基线 122
5.3.2 审视和定制 123
5.3.3 选择标准 123
5.4 本章小结 124
5.5 考试要点 124
5.6 书面实验室 125
5.7 复习题 125
第6章密码学与对称加密算法 129
6.1 密码学历史上的里程碑 129
6.1.1 凯撒密码 129
6.1.2 美国内战 130
6.1.3 Ultra与Enigma 130
6.2 密码学基础 131
6.2.1 密码学的目标 131
6.2.2 密码学概念 132
6.2.3 密码学的数学原理 133
6.2.4 密码 138
6.3 现代密码学 143
6.3.1 密钥 143
6.3.2 对称密钥算法 144
6.3.3 非对称密钥算法 145
6.3.4 散列算法 147
6.4 对称密码 147
6.4.1 数据加密标准 148
6.4.2 三重数据加密算法(3DES) 149
6.4.3 国际数据加密算法(IDEA) 150
6.4.4 Blowfish 150
6.4.5 Skipjack 151
6.4.6 高级加密标准(AES) 151
6.4.7 对称密钥管理 152
6.4.8 密码生命周期 154
6.5 本章小结 154
6.6 考试要点 154
6.7 书面实验室 155
6.8 复习题 156
第7章 PKI和密码学应用 159
7.1 非对称密码学 159
7.1.1 公钥与私钥 160
7.1.2 RSA 160
7.1.3 El Gamal 161
7.1.4 椭圆曲线密码系统(ECC) 162
7.2 散列函数 162
7.2.1 SHA 163
7.2.2 MD2 164
7.2.3 MD4 164
7.2.4 MD5 165
7.3 数字签名 165
7.3.1 HMAC 166
7.3.2 数字签名标准 167
7.4 公钥基础设施(PKI) 167
7.4.1 证书 167
7.4.2 证书授权机构 168
7.4.3 证书的生成与撤消 169
7.4.4 非对称密钥的管理 170
7.5 密码学的应用 171
7.5.1 便携式设备 171
7.5.2 电子邮件 171
7.5.3 Web应用 172
7.5.4 数字版权管理(DRM) 174
7.5.5 网络连接 176
7.6 密码学攻击 179
7.7 本章小结 181
7.8 考试要点 181
7.9 书面实验室 182
7.10 复习题 183
第8章安全模型的原则、
设计和功能 187
8.1 使用安全设计原则实施和
管理工程过程 187
8.1.1 客体和主体 188
8.1.2 封闭式系统和开放式系统 188
8.1.3 用于确保机密性、完整性和
可用性的技术 189
8.1.4 控制 190
8.1.5 信任与保证 190
8.2 理解安全模型的基本概念 191
8.2.1 可信计算基 192
8.2.2 状态机模型 193
8.2.3 信息流模型 193
8.2.4 无干扰模型 194
8.2.5 Take-Grant 模型 194
8.2.6 访问控制矩阵 195
8.2.7 Bell-LaPadula模型 196
8.2.8 Biba模型 197
8.2.9 Clark-Wilson模型 199
8.2.10 Brewer and Nash模型
(也叫作Chinese Wall) 200
8.2.11 Goguen-Meseguer模型 200
8.2.12 Sutherland模型 200
8.2.13 Graham-Denning模型 200
8.3 基于系统安全评估模型
选择控制和对策 201
8.3.1 彩虹系列 201
8.3.2 TCSEC分类和所需功能 202
8.3.3 彩虹系列中的其他颜色 203
8.3.4 ITSEC类别与所需的
保证和功能性 205
8.3.5 通用准则 206
8.3.6 认证和鉴定 208
8.4 理解信息系统的安全功能 210
8.4.1 内存保护 210
8.4.2 虚拟化 210
8.4.3 可信平台模块 211
8.4.4 接口 211
8.4.5 容错 211
8.5 本章小结 212
8.6 考试要点 212
8.7 书面实验室 213
8.8 复习题 213
第9章安全脆弱性、威胁和对施 217
9.1 评估和缓解安全脆弱性 218
9.1.1 硬件 218
9.1.2 存储器 226
9.1.3 存储设备 230
9.1.4 存储介质的安全性 231
9.1.5 输入和输出设备 231
9.1.6 固件 233
9.2 基于客户端 234
9.2.1 applet 234
9.2.2 本地缓存 235
9.3 基于服务端 237
9.4 数据库安全 237
9.4.1 聚合 237
9.4.2 推理 238
9.4.3 数据挖掘和数据仓库 238
9.4.4 数据分析 239
9.4.5 大规模并行数据系统 239
9.5 分布式系统 239
9.5.1 云计算 241
9.5.2 网格计算 241
9.5.3 点对点 242
9.6 工业控制系统 242
9.7 评估和缓解基于Web系统的
脆弱性 243
9.8 评估和缓解移动系统的
脆弱性 243
9.8.1 设备安全 244
9.8.2 应用安全 247
9.8.3 BYOD关注点 248
9.9 评估和缓解嵌入式设备和
物联网系统的脆弱性 251
9.9.1 嵌入式系统和静态
系统的示例 251
9.9.2 安全方法 252
9.10 基本安全保护机制 253
9.10.1 技术机制 254
9.10.2 安全策略与计算机
体系结构 256
9.10.3 策略机制 256
9.11 常见的缺陷和安全问题 257
9.11.1 隐蔽通道 257
9.11.2 基于设计或编码缺陷的
攻击和安全问题 258
9.11.3 编程 260
9.11.4 计时、状态改变和
通信中断 260
9.11.5 技术和过程完整性 261
9.11.6 电磁辐射 261
9.12 本章小结 262
9.13 考试要点 262
9.14 书面实验室 264
9.15 复习题 264
第10章物理安全需求 269
10.1 应用安全原则到选址和
设施设计 270
10.1.1 安全设施计划 270
10.1.2 场所选择 270
10.1.3 可视性 271
10.1.4 自然灾害 271
10.1.5 设施的设计 271
10.2 设计和实施物理安全 272
10.2.1 设备故障 273
10.2.2 配线间 273
10.2.3 服务器机房 274
10.2.4 介质存储设施 275
10.2.5 证据存储 276
10.2.6 受限的和工作区域安全
(例如，运营中心) 276
10.2.7 数据中心安全 277
10.2.8 基础设施和HVAC
注意事项 279
10.2.9 水的问题(例如，漏水
和水灾) 281
10.2.10 火灾的预防、检测和
抑制 281
10.3 实施和管理物理安全 285
10.3.1 周边(例如，访问控制
和监控) 285
10.3.2 内部安全(例如，陪同要求/
访问者控制、钥匙和锁) 287
10.4 本章小结 291
10.5 考试要点 292
10.6 书面实验室 293
10.7 复习题 294
第11章网络安全架构与保护
网络组件 297
11.1 OSI模型 298
11.1.1 OSI模型的历史 298
11.1.2 OSI功能 298
11.1.3 封装/解封装 299
11.1.4 OSI分层 300
11.2 TCP/IP模型 305
11.2.1 TCP/IP协议族概述 306
11.2.2 分层协议的应用 313
11.2.3 TCP/IP的脆弱性 314
11.2.4 域名解析 315
11.3 汇聚协议 315
11.4 内容分发网络 317
11.5 无线网络 317
11.5.1 保护无线接入点 317
11.5.2 保护SSID 319
11.5.3 执行现场勘测 319
11.5.4 使用加密协议 320
11.5.5 天线位置的确定 322
11.5.6 天线类型 322
11.5.7 调整功率水平控制 323
11.5.8 使用强制门户 323
11.5.9 一般的Wi-Fi安全措施 323
11.6 保护网络组件 324
11.6.1 网络接入控制 325
11.6.2 防火墙 325
11.6.3 终端安全 328
11.6.4 其他网络设备 328
11.7 布线、无线、拓扑和
通信技术 330
11.7.1 网络布线 331
11.7.2 网络拓扑 334
11.7.3 无线通信与安全性 335
11.7.4 LAN技术 339
11.8 本章小结 342
11.9 考试要点 343
11.10 书面实验室 344
11.11 复习题 345
第12章安全通信和网络攻击 349
12.1 网络与协议安全机制 350
12.1.1 安全通信协议 350
12.1.2 身份认证协议 351
12.2 安全的语音通信 351
12.2.1 互联网语音协议(VoIP) 352
12.2.2 社会工程学 352
12.2.3 伪造与滥用 353
12.3 多媒体协作 354
12.3.1 远程会议 355
12.3.2 即时消息 355
12.4 管理电子邮件的安全性 355
12.4.1 电子邮件安全性的目标 356
12.4.2 理解电子邮件的安全性
问题 356
12.4.3 电子邮件安全性
解决方案 357
12.5 远程接入安全管理 359
12.5.1 计划远程接入安全 360
12.5.2 拨号协议 361
12.5.3 集中化的远程身份
认证服务 361
12.6 虚拟专用网络 362
12.6.1 隧道技术 362
12.6.2 VPN的工作原理 363
12.6.3 常用VPN协议 363
12.6.4 虚拟局域网 365
12.7 虚拟化 365
12.7.1 虚拟化软件 366
12.7.2 虚拟化网络 366
12.8 网络地址转换 367
12.8.1 专用IP地址 368
12.8.2 状态NAT 369
12.8.3 静态NAT与动态NAT 369
12.8.4 自动私有IP地址寻址 370
12.9 交换技术 371
12.9.1 电路交换 371
12.9.2 分组交换 371
12.9.3 虚电路 372
12.10 WAN技术 372
12.10.1 WAN连接技术 374
12.10.2 X.25 WAN连接 374
12.10.3 帧中继连接 374
12.10.4 ATM 375
12.10.5 SMDS 375
12.10.6 专门的协议 375
12.10.7 拨号封装协议 375
12.11 各种安全控制特性 376
12.11.1 透明性 376
12.11.2 验证完整性 376
12.11.3 传输机制 377
12.12 安全边界 377
12.13 网络攻击与对策 378
12.13.1 DoS和DDoS 378
12.13.2 偷听 379
12.13.3 假冒/伪装 379
12.13.4 重放攻击 380
12.13.5 修改攻击 380
12.13.6 地址解析协议欺骗 380
12.13.7 DNS 投毒、欺骗和
劫持 381
12.13.8 超链接欺骗 381
12.14 本章小结 382
12.15 考试要点 383
12.16 书面实验室 384
12.17 复习题 385
第13章管理身份与认证 389
13.1 控制对资产的访问 389
13.1.1 主体与客体的对比 390
13.1.2 访问控制的类型 391
13.1.3 CIA三要素 392
13.2 比较身份标识与认证 393
13.2.1 身份的注册和证明 393
13.2.2 授权与可问责性 393
13.2.3 认证因素 394
13.2.4 密码 395
13.2.5 智能卡和令牌 397
13.2.6 生物识别 398
13.2.7 多因素身份认证 401
13.2.8 设备认证 401
13.3 实施身份管理 402
13.3.1 单点登录 402
13.3.2 LDAP和集中式访问
控制 402
13.3.3 LDAP和PKI 402
13.3.4 Kerberos 403
13.3.5 联合身份管理和SSO 404
13.3.6 其他单点登录的例子 405
13.3.7 证书管理系统 406
13.3.8 整合身份服务 406
13.3.9 管理会话 406
13.3.10 AAA 协议 407
13.4 管理标识和访问开通
生命周期 408
13.4.1 开通 408
13.4.2 账号审核 409
13.4.3 账号撤消 410
13.5 本章小结 410
13.6 考试要点 411
13.7 书面实验室 412
13.8 复习题 412
第14章控制和监控访问 417
14.1 对比访问控制模型 417
14.1.1 对比许可、权限和特权 418
14.1.2 理解授权机制 418
14.1.3 用安全策略定义需求 419
14.1.4 部署深度防御 419
14.1.5 自主访问控制 420
14.1.6 非自主访问控制 421
14.2 理解访问控制攻击方式 425
14.2.1 风险元素 425
14.2.2 常见的访问控制攻击 428
14.3 本章小结 436
14.4 考试要点 437
14.5 书面实验室 438
14.6 复习题 438
第15章安全评估和测试 441
15.1 创建安全评估和测试程序 442
15.1.1 安全测试 442
15.1.2 安全评估 443
15.1.3 安全审计 443
15.2 执行漏洞评估 444
15.2.1 漏洞扫描 444
15.2.2 渗透测试 451
15.3 测试你的软件 452
15.3.1 代码审查和测试 452
15.3.2 接口测试 455
15.3.3 误用案例测试 455
15.3.4 测试覆盖率分析 456
15.4 实现安全管理过程 456
15.4.1 日志审核 456
15.4.2 账户管理 456
15.4.3 备份验证 457
15.4.4 关键性能指标和
风险指标 457
15.5 本章小结 457
15.6 考试要点 458
15.7 书面实验室 458
15.8 复习题 459
第16章管理安全运营 463
16.1 应用安全运营的概念 464
16.1.1 知其所需和最小特权 464
16.1.2 职责和责任分离 465
16.1.3 岗位轮换 467
16.1.4 强制休假 468
16.1.5 监控特殊的特权 468
16.1.6 管理信息生命周期 469
16.1.7 服务级别协议 470
16.1.8 关注人员安全 470
16.2 提供和管理资源 471
16.2.1 管理硬件和软件资产 471
16.2.2 保护物理资产 472
16.2.3 管理虚拟资产 472
16.2.4 管理基于云的资产 472
16.2.5 介质管理 473
16.2.6 管理介质的生命周期 475
16.3 配置管理 476
16.3.1 基线 476
16.3.2 用镜像创建基线 476
16.4 变更管理 478
16.4.1 安全影响分析 479
16.4.2 版本控制 479
16.4.3 配置文档 480
16.5 补丁管理和减少漏洞 480
16.5.1 补丁管理 480
16.5.2 漏洞管理 481
16.5.3 漏洞扫描 481
16.5.4 漏洞评估 482
16.5.5 常见漏洞和披露 483
16.6 本章小结 483
16.7 考试要点 484
16.8 书面实验室 485
16.9 复习题 485
第17章事件预防和响应 489
17.1 管理事件响应 490
17.1.1 事件界定 490
17.1.2 事件响应步骤 491
17.1.3 检测 491
17.1.4 响应 492
17.1.5 缓解 492
17.1.6 报告 492
17.1.7 恢复 493
17.1.8 修复 493
17.1.9 经验教训 494
17.2 部署预防措施 494
17.2.1 基本的预防措施 495
17.2.2 理解攻击 495
17.2.3 入侵检测和防御系统 502
17.2.4 特殊的防御措施 507
17.3 日志、监控和审计 513
17.3.1 日志和监控 513
17.3.2 出口监控 520
17.3.4 审计和评估有效性 521
17.4 本章小结 525
17.5 考试要点 527
17.6 书面实验室 529
17.7 复习题 529
第18章灾难恢复计划 533
18.1 灾难的本质 534
18.1.1 自然灾难 534
18.1.2 人为灾难 538
18.1.3 其他公共设施和基础
设施故障 539
18.2 理解系统恢复和容错能力 541
18.2.1 保护硬盘驱动器 542
18.2.2 保护服务器 542
18.2.3 保护电源 543
18.2.4 受信恢复 544
18.2.5 服务质量 545
18.3 恢复策略 545
18.3.1 确定业务单元的
优先顺序 546
18.3.2 危机管理 546
18.3.3 应急通信 547
18.3.4 工作组恢复 547
18.3.5 可替代的工作站点 547
18.3.6 相互援助协议 550
18.3.7 数据库恢复 551
18.4 恢复计划开发 552
18.4.1 紧急事件响应 552
18.4.2 人员通知 553
18.4.3 评估 553
18.4.4 备份和离站存储 553
18.4.5 软件托管协议 556
18.4.6 外部通信 556
18.4.7 公用设施 557
18.4.8 物流和供应 557
18.4.9 恢复与还原的比较 557
18.5 培训、意识与文档记录 558
18.6 测试与维护 558
18.6.1 通读测试 558
18.6.2 结构化演练 559
18.6.3 模拟测试 559
18.6.4 并行测试 559
18.6.5 完全中断测试 559
18.6.6 维护 559
18.7 总结 560
18.8 考试要点 560
18.9 书面实验 561
18.10 复习题 561
第19章事件与道德规范 565
19.1 调查 565
19.1.1 调查的类型 566
19.1.2 证据 567
19.1.3 调查过程 570
19.2 计算机犯罪的主要类别 571
19.2.1 军事和情报攻击 571
19.2.2 商业攻击 572
19.2.3 财务攻击 572
19.2.4 恐怖攻击 573
19.2.5 恶意攻击 573
19.2.6 兴奋攻击 574
19.3 事故处理 575
19.3.1 常见的事故类型 575
19.3.2 响应团队 576
19.3.3 事故响应过程 578
19.3.4 约谈个人 580
19.3.5 事故数据的完整性和
保存 580
19.3.6 事故报告 580
19.4 道德规范 581
19.4.1 (ISC)2的道德规范 582
19.4.2 道德规范和互联网 582
19.5 本章小结 583
19.6 考试要点 584
19.7 书面实验室 585
19.8 复习题 585
第20章软件开发安全 589
20.1 系统开发控制概述 589
20.1.1 软件开发 590
20.1.2 系统开发生命周期 593
20.1.3 生命周期模型 595
20.1.4 甘特图与PERT 600
20.1.5 变更和配置管理 600
20.1.6 DevOps方法 601
20.1.7 应用编程接口 602
20.1.8 软件测试 603
20.1.9 代码仓库 604
20.1.10 服务等级协议 604
20.1.11 软件采购 605
20.2 创建数据库和数据仓储 605
20.2.1 数据库管理系统的
体系结构 605
20.2.2 数据库事务 608
20.2.3 多级数据库的安全性 609
20.2.4 ODBC 610
20.3 存储数据和信息 611
20.3.1 存储器的类型 611
20.3.2 存储器威胁 612
20.4 理解基于知识的系统 612
20.4.1 专家系统 612
20.4.2 神经网络 613
20.4.3 决策支持系统 613
20.4.4 安全性应用 614
20.5 本章小结 614
20.6 考试要点 614
20.7 书面实验室 615
20.8 复习题 615
第21章恶意代码与应用攻击 619
21.1 恶意代码 619
21.1.1 恶意代码的来源 620
21.1.2 病毒 620
21.1.3 逻辑炸弹 624
21.1.4 特洛伊木马 624
21.1.5 蠕虫 625
21.1.6 间谍软件与广告软件 627
21.1.7 对策 628
21.2 密码攻击 629
21.2.1 密码猜测攻击 629
21.2.2 字典攻击 630
21.2.3 社会工程学攻击 630
21.2.4 对策 631
21.3 应用程序攻击 631
21.3.1 缓冲区溢出 632
21.3.2 检验时间到使用时间 632
21.3.3 后门 632
21.3.4 权限提升和rootkit 633
21.4 Web应用的安全性 633
21.4.1 跨站脚本(XSS)攻击 633
21.4.2 SQL注入攻击 634
21.5 侦察攻击 636
21.5.1 IP探测 636
21.5.2 端口扫描 637
21.5.3 漏洞扫描 637
21.5.4 垃圾搜寻 637
21.6 伪装攻击 638
21.6.1 IP欺骗 638
21.6.2 会话劫持 638
21.7 本章小结 639
21.8 考试要点 639
21.9 书面实验室 640
21.10 复习题 640
附录A 复习题答案 643
附录B 书面实验室答案 667
术语表 677