Effective Cybersecurity中文版

譯者序
前言
第1章　最佳實踐、標準與行動計劃 1
11　網(wǎng)絡空間和網(wǎng)絡安全的定義 2
12　標準和最佳實踐文檔的價值 4
13　信息安全最佳實踐標準 5
14　ISO/IEC 27000信息安全標準套件 8
141　ISO 27001 10
142　ISO 27002 11
15　ISO 27000系列與ISF SGP的對應關系 12
16　NIST網(wǎng)絡安全框架和安全文檔 14
161　NIST網(wǎng)絡安全框架 14
162　NIST安全文檔 17
17　有效網(wǎng)絡防御的CIS關鍵安全控制 18
18　信息安全的COBIT-5 19
19　支付卡行業(yè)數(shù)據(jù)安全標準 20
110　ITU-T安全文檔 21
111　有效地實現(xiàn)網(wǎng)絡安全 23
1111　網(wǎng)絡安全管理流程 24
1112　使用最佳實踐和標準文檔 25
112　關鍵術語和復習題 26
113　參考文獻 26
第一部分　網(wǎng)絡安全規(guī)劃
第2章　安全治理 30
21　安全治理和安全管理 31
22　安全治理原則和期望結果 32
221　原則 32
222　期望結果 33
23　安全治理組件 34
231　戰(zhàn)略規(guī)劃 34
232　組織結構 36
233　角色和職責 39
234　與企業(yè)架構集成 41
235　政策和指導 45
24　安全治理方法 45
241　安全治理框架 45
242　安全指導 46
243　責任人、問責人、咨詢?nèi)撕椭槿耍≧ACI）圖表 47
25　安全治理評估 48
26　安全治理最佳實踐 50
27　關鍵術語和復習題 50
28　參考文獻 51
第3章　信息風險評估 53
31　風險評估的概念 54
311　風險評估面臨的挑戰(zhàn) 56
312　風險管理 57
313　本章結構 59
32　資產(chǎn)識別 60
321　硬件資產(chǎn) 60
322　軟件資產(chǎn) 60
323　信息資產(chǎn) 60
324　業(yè)務資產(chǎn) 62
325　資產(chǎn)登記 62
33　威脅識別 63
331　STRIDE威脅模型 63
332　威脅類型 63
333　信息來源 65
34　控制識別 69
35　漏洞識別 72
351　漏洞類別 73
352　美國國家漏洞數(shù)據(jù)庫和通用漏洞評分系統(tǒng) 73
36　風險評估方法 76
361　風險的定量評估和定性評估 76
362　簡單的風險分析工作表 80
363　信息風險因素分析 81
37　可能性評估 83
371　估算威脅事件頻率 84
372　脆弱性估計 84
373　損害事件頻率 86
38　影響評估 86
381　估算主要損害 87
382　估算次要損害 88
383　業(yè)務影響參考表 89
39　風險確定 90
310　風險測評 90
311　風險處置 91
3111　降低風險 92
3112　維持風險 92
3113　避免風險 92
3114　轉(zhuǎn)移風險 92
312　風險評估最佳實踐 92
313　關鍵術語和復習題 93
314　參考文獻 95
第4章　安全管理 96
41　安全管理功能 96
411　安全規(guī)劃 99
412　資本規(guī)劃 101
42　安全政策 102
421　安全政策類別 103
422　安全政策文檔內(nèi)容 104
423　安全政策管理指南 106
424　監(jiān)控政策 107
43　可接受的使用政策 107
44　安全管理最佳實踐 108
45　關鍵術語和復習題 109
46　參考文獻 110
第二部分　管理網(wǎng)絡安全功能
第5章　人員管理 112
51　人力資源安全 112
511　招聘流程中的安全性 113
512　雇傭期間 116
513　雇傭關系終止 116
52　安全意識和教育 117
521　安全意識 118
522　網(wǎng)絡安全基本程序 122
523　基于角色的培訓 123
524　教育和認證 123
53　人員管理最佳實踐 124
54　關鍵術語和復習題 124
55　參考文獻 125
第6章　信息管理 126
61　信息分類和處理 126
611　信息分類 127
612　信息標注 130
613　信息處理 131
62　隱私 132
621　隱私威脅 133
622　隱私原則和政策 135
623　隱私控制 138
63　文檔和記錄管理 139
631　文檔管理 140
632　記錄管理 141
64　敏感物理信息 142
65　信息管理最佳實踐 143
66　關鍵術語和復習題 144
67　參考文獻 145
第7章　物理資產(chǎn)管理 146
71　硬件生命周期管理 146
711　規(guī)劃 148
712　采購 148
713　部署 149
714　管理 149
715　處置 149
72　辦公設備 150
721　威脅和脆弱性 150
722　安全控制 152
723　設備處置 154
73　工業(yè)控制系統(tǒng) 155
731　IT系統(tǒng)與工業(yè)控制系統(tǒng)的區(qū)別 156
732　ICS安全 157
74　移動設備安全 161
741　移動設備技術 162
742　移動生態(tài)系統(tǒng) 163
743　漏洞 164
744　移動設備安全策略 165
745　移動設備安全資源 169
75　物理資產(chǎn)管理最佳實踐 170
76　關鍵術語和復習題 171
77　參考文獻 172
第8章　系統(tǒng)開發(fā) 173
81　系統(tǒng)開發(fā)生命周期 173
811　NIST SDLC模型 173
812　SGP的SDLC模型 176
813　DevOps 177
82　將安全性納入SDLC 181
821　啟動階段 182
822　開發(fā)/采購階段 185
823　實現(xiàn)/評估階段 187
824　運行/維護階段 190
825　廢棄階段 191
83　系統(tǒng)開發(fā)管理 192
831　系統(tǒng)開發(fā)方法 193
832　系統(tǒng)開發(fā)環(huán)境 193
833　質(zhì)量保證 195
84　系統(tǒng)開發(fā)最佳實踐 195
85　關鍵術語和復習題 196
86　參考文獻 197
第9章　業(yè)務應用程序管理 198
91　應用程序管理的概念 198
911　應用程序生命周期管理 199
912　應用程序項目組合管理 200
913　應用程序性能管理 203
92　公司業(yè)務應用程序安全 204
921　業(yè)務應用程序登記 204
922　業(yè)務應用程序保護 205
923　基于瀏覽器的應用程序保護 206
93　終端用戶開發(fā)的應用程序 210
931　EUDA的優(yōu)點 211
932　EUDA的風險 211
933　EUDA安全框架 212
94　業(yè)務應用程序管理最佳實踐 214
95　關鍵術語和復習題 215
96　參考文獻 216
第10章　系統(tǒng)訪問 217
101　系統(tǒng)訪問的概念 217
102　用戶身份認證 219
1021　電子用戶身份認證模型 219
1022　身份認證方式 221
1023　多因素身份認證 222
103　基于口令的身份認證 223
1031　口令的弱點 223
1032　哈希口令的使用 225
1033　用戶選擇口令的口令破解 226
1034　口令文件訪問控制 228
1035　口令選擇 228
104　基于所有權的身份認證 230
1041　存儲卡 230
1042　智能卡 231
1043　電子身份證 232
1044　一次性口令設備 234
1045　基于所有權的身份認證的威脅 235
1046　基于所有權的身份認證的安全控制 236
105　生物特征認證 236
1051　生物特征的指標 236
1052　用于生物識別應用的物理特征 237
1053　生物特征認證系統(tǒng)的操作 238
1054　生物識別的準確率 239
1055　生物特征認證的威脅 240
1056　生物特征認證的安全控制 242
106　用戶身份認證的風險評估 243
1061　身份認證保證級別 243
1062　選擇一個AAL 244
1063　選擇一種認證方式 246
107　訪問控制 248
1071　主體、客體和訪問權限 249
1072　訪問控制策略 249
1073　自主訪問控制 250
1074　基于角色的訪問控制 252
1075　基于屬性的訪問控制 252
1076　訪問控制度量指標 257
108　客戶訪問 258
1081　客戶訪問安排 258
1082　客戶合同 258
1083　客戶關系 259
1084　保護客戶數(shù)據(jù) 259
109　系統(tǒng)訪問最佳實踐 259
1010　關鍵術語和復習題 260
1011　參考文獻 261
第11章　系統(tǒng)管理 263
111　服務器配置 264
1111　服務器面臨的威脅 264
1112　服務器的安全需求 265
112　虛擬服務器 266
1121　虛擬化方案 266
1122　虛擬化面臨的安全問題 270
1123　安全的虛擬化系統(tǒng) 270
113　網(wǎng)絡存儲系統(tǒng) 272
114　服務級別協(xié)議 273
1141　網(wǎng)絡提供商 274
1142　計算機安全事故響應小組 275
1143　云服務提供商 276
115　性能和能力管理 277
116　備份 277
117　變更管理 278
118　系統(tǒng)管理最佳實踐 281
119　關鍵術語和復習題 281
1110　參考文獻 282
第12章　網(wǎng)絡與通信 283
121　網(wǎng)絡管理的概念 283
1211　網(wǎng)絡管理功能 284
1212　網(wǎng)絡管理系統(tǒng) 287
1213　網(wǎng)絡管理體系結構 290
122　防火墻 291
1221　防火墻特性 291
1222　防火墻類型 292
1223　下一代防火墻 298
1224　DMZ網(wǎng)絡 298
1225　現(xiàn)代IT邊界 299
123　虛擬專用網(wǎng)絡和IPsec 300
1231　虛擬專用網(wǎng)絡 300
1232　IPsec 300
1233　基于防火墻的VPN 302
124　網(wǎng)絡管理的安全注意事項 303
1241　網(wǎng)絡設備配置 303
1242　物理網(wǎng)絡管理 304
1243　無線接入 307
1244　外部網(wǎng)絡連接 308
1245　防火墻 308
1246　遠程維護 309
125　電子通信 310
1251　Email 310
1252　即時消息 313
1253　基于IP的語音通信網(wǎng)絡 315
1254　電話和會議 319
126　網(wǎng)絡與通信最佳實踐 319
127　關鍵術語和復習題 320
128　參考文獻 321
第13章　供應鏈管理與云安全 322
131　供應鏈管理的概念 322
1311　供應鏈 323
1312　供應鏈管理 324
132　供應鏈風險管理 325
1321　供應鏈威脅 328
1322　供應鏈漏洞 330
1323　供應鏈安全控制 331
1324　SCRM最佳實踐 333
133　云計算 334
1331　云計算要素 334
1332　云計算參考架構 338
134　云安全 339
1341　云計算的安全注意事項 339
1342　云服務用戶的威脅 340
1343　風險評估 341
1344　最佳實踐 342
1345　云服務協(xié)議 343
135　供應鏈最佳實踐 343
136　關鍵術語和復習題 344
137　參考文獻 345
第14章　技術安全管理 346
141　安全架構 347
142　惡意軟件防護行為 349
1421　惡意軟件的類型 350
1422　惡意軟件威脅的現(xiàn)狀 351
1423　惡意軟件防護的實際應用 352
143　惡意軟件防護軟件 354
1431　惡意軟件防護軟件的功能 354
1432　惡意軟件防護軟件的管理 355
144　身份和訪問管理 355
1441　IAM結構 356
1442　聯(lián)合身份管理 357
1443　IAM規(guī)劃 359
1444　IAM最佳實踐 360
145　入侵檢測 360