CISSP權(quán)威指南（第8版）

第1章  安全和風(fēng)險(xiǎn)管理  1
1.1  安全基本原則  3
1.1.1  可用性  3
1.1.2  完整性  4
1.1.3  機(jī)密性  4
1.1.4  平衡安全性  5
1.2  安全定義  6
1.3  控制措施類型  8
1.4  安全框架  12
1.4.1  ISO/IEC 27000系列  14
1.4.2  企業(yè)安全架構(gòu)建設(shè)  16
1.4.3  部署安全控制措施  27
1.4.4  建立流程管理體系  31
1.4.5  功能性與安全性  37
1.5  反計(jì)算機(jī)犯罪法律的難題  37
1.6  網(wǎng)絡(luò)犯罪的復(fù)雜性  39
1.6.1  電子資產(chǎn)  40
1.6.2  攻擊的演變  41
1.6.3  國際化問題  44
1.6.4  法律體系的分級(jí)  47
1.7  知識(shí)產(chǎn)權(quán)  50
1.7.1  商業(yè)秘密  50
1.7.2  版權(quán)(著作權(quán))  51
1.7.3  商標(biāo)  52
1.7.4  專利  53
1.7.5  內(nèi)部知識(shí)產(chǎn)權(quán)保護(hù)  54
1.7.6  軟件盜版  54
1.8  個(gè)人隱私保護(hù)  56
1.8.1  日益增加的隱私法需求  58
1.8.2  法律、法規(guī)與指引  59
1.8.3  員工隱私問題  65
1.9  數(shù)據(jù)泄露  67
1.9.1  有關(guān)數(shù)據(jù)泄露的美國法律  67
1.9.2  其他國家有關(guān)數(shù)據(jù)泄露的
法律  69
1.10  方針、策略、標(biāo)準(zhǔn)、基線、
指南與程序  69
1.10.1  安全方針及策略  70
1.10.2  標(biāo)準(zhǔn)  72
1.10.3  基線  73
1.10.4  指南  74
1.10.5  程序  74
1.10.6  實(shí)施  75
1.11  風(fēng)險(xiǎn)管理  75
1.11.1  全面風(fēng)險(xiǎn)管理  76
1.11.2  信息系統(tǒng)風(fēng)險(xiǎn)管理策略  76
1.11.3  風(fēng)險(xiǎn)管理團(tuán)隊(duì)  77
1.11.4  風(fēng)險(xiǎn)管理流程  78
1.12  威脅建模  78
1.12.1  威脅建模概念  78
1.12.2  威脅建模方法論  80
1.13  風(fēng)險(xiǎn)評(píng)估與分析  82
1.13.1  風(fēng)險(xiǎn)評(píng)估團(tuán)隊(duì)  83
1.13.2  信息與資產(chǎn)的價(jià)值  84
1.13.3  資產(chǎn)價(jià)值的成本要素  84
1.13.4  識(shí)別脆弱性與威脅  85
1.13.5  風(fēng)險(xiǎn)評(píng)估方法論  86
1.13.6  風(fēng)險(xiǎn)分析方法  90
1.13.7  定性風(fēng)險(xiǎn)分析  93
1.13.8  保護(hù)機(jī)制  96
1.13.9  總體風(fēng)險(xiǎn)與殘余風(fēng)險(xiǎn)的對(duì)比  99
1.13.10  處理風(fēng)險(xiǎn)  100
1.14  供應(yīng)鏈風(fēng)險(xiǎn)管理  101
1.14.1 上下游供應(yīng)商  103
1.14.2  服務(wù)水平協(xié)議  104
1.15  風(fēng)險(xiǎn)管理框架  104
1.15.1  信息系統(tǒng)分類  105
1.15.2  選擇安全控制措施  106
1.15.3  實(shí)施安全控制措施  106
1.15.4  評(píng)估安全控制措施  107
1.15.5  信息系統(tǒng)授權(quán)  107
1.15.6  持續(xù)監(jiān)測安全控制措施  107
1.16  業(yè)務(wù)連續(xù)性和災(zāi)難恢復(fù)  108
1.16.1  標(biāo)準(zhǔn)與實(shí)踐  110
1.16.2  將業(yè)務(wù)連續(xù)性管理融入企業(yè)安全計(jì)劃  112
1.16.3  業(yè)務(wù)連續(xù)性計(jì)劃的組件  114
1.17  人員安全  127
1.17.1  聘用安全實(shí)踐  128
1.17.2  入職安全實(shí)踐  129
1.17.3  解聘  130
1.17.4  安全意識(shí)宣貫培訓(xùn)  130
1.17.5  學(xué)位或認(rèn)證  132
1.18  安全治理  133
1.19  道德  137
1.19.1  計(jì)算機(jī)道德協(xié)會(huì)  138
1.19.2  Internet架構(gòu)委員會(huì)  139
1.19.3  企業(yè)道德計(jì)劃  140
1.20  總結(jié)  140
1.21  快速提示  142
1.22  問題  145
1.23  答案  152
第2章  資產(chǎn)安全  157
2.1  信息生命周期  158
2.1.1  獲取  158
2.1.2  使用  159
2.1.3  歸檔  159
2.1.4  廢棄  160
2.2  數(shù)據(jù)分級(jí)  160
2.2.1  數(shù)據(jù)分級(jí)水平  161
2.2.2  分級(jí)控制措施  164
2.3  管理責(zé)任層級(jí)  165
2.3.1  行政管理層  166
2.3.2  信息所有者  168
2.3.3  數(shù)據(jù)托管者  169
2.3.4  系統(tǒng)所有者  169
2.3.5  安全管理員  169
2.3.6  主管  170
2.3.7  變更控制分析師  170
2.3.8  數(shù)據(jù)分析師  170
2.3.9  用戶  170
2.3.10  審計(jì)師  170
2.3.11  為什么有這么多角色？  171
2.4  資產(chǎn)留存策略  171
2.5  隱私保護(hù)  174
2.5.1  數(shù)據(jù)所有者  175
2.5.2  數(shù)據(jù)處理者  175
2.5.3  數(shù)據(jù)殘留  175
2.5.4  信息收集限制  178
2.6  保護(hù)資產(chǎn)  179
2.6.1  數(shù)據(jù)安全控制措施  179
2.6.2  介質(zhì)安全控制措施  183
2.6.3  移動(dòng)設(shè)備安全保護(hù)  187
2.6.4  紙質(zhì)記錄  188
2.6.5  保險(xiǎn)柜  188
2.6.6  選擇恰當(dāng)?shù)陌踩珮?biāo)準(zhǔn)  189
2.7  數(shù)據(jù)泄露  189
2.8  總結(jié)  197
2.9  快速提示  198
2.10  問題  199
2.11  答案  202
第3章  安全架構(gòu)與工程  205
3.1  系統(tǒng)架構(gòu)  206
3.2  計(jì)算機(jī)架構(gòu)  209
3.2.1  中央處理器  210
3.2.2  多處理器  213
3.2.3  存儲(chǔ)器類型  214
3.3  操作系統(tǒng)  225
3.3.1  進(jìn)程管理  225
3.3.2  內(nèi)存管理  233
3.3.3  輸入/輸出設(shè)備管理  237
3.3.4  中央處理器(CPU)集成架構(gòu)  239
3.3.5  操作系統(tǒng)架構(gòu)  242
3.3.6  虛擬機(jī)  248
3.4  系統(tǒng)安全架構(gòu)  251
3.4.1  安全策略  252
3.4.2  安全架構(gòu)需求  252
3.5  安全模型  256
3.5.1  Bell-LaPadula模型  257
3.5.2  Biba模型  257
3.5.3  Bell-LaPadula 模型與Biba模型  258
3.5.4  Clark-Wilson 模型  258
3.5.5  非干擾模型  259
3.5.6  Brewer-Nash模型  260
3.5.7  Graham-Denning模型  260
3.5.8  Harrison-Ruzzo-Ullman模型  261
3.6  系統(tǒng)評(píng)價(jià)  262
3.6.1  通用準(zhǔn)則  262
3.6.2  產(chǎn)品評(píng)價(jià)的必要性  265
3.7  認(rèn)證和認(rèn)可  265
3.7.1  認(rèn)證  266
3.7.2  認(rèn)可  266
3.8  開放式系統(tǒng)與封閉式系統(tǒng)  267
3.9  系統(tǒng)安全  268
3.9.1  客戶端系統(tǒng)  268
3.9.2  客戶/服務(wù)端系統(tǒng)  268
3.9.3  分布式系統(tǒng)安全  269
3.9.4  云計(jì)算安全  269
3.9.5  并行計(jì)算  270
3.9.6  數(shù)據(jù)庫系統(tǒng)安全  271
3.9.7  Web系統(tǒng)安全  272
3.9.8  移動(dòng)系統(tǒng)安全  273
3.9.9  信息物理系統(tǒng)  274
3.10  工控安全威脅回顧  277
3.10.1  維護(hù)鉤子  277
3.10.2  檢查時(shí)間/使用時(shí)間
攻擊  278
3.11  密碼編碼術(shù)的背景  279
3.12  密碼學(xué)的定義與概念  284
3.12.1  Kerckhoffs原則  286
3.12.2  密碼系統(tǒng)的強(qiáng)度  286
3.12.3  一次性密碼本  287
3.12.4  滾動(dòng)密碼與隱藏密碼  289
3.12.5  隱寫術(shù)  290
3.13  密碼運(yùn)算的類型  292
3.13.1  替換密碼  292
3.13.2  置換密碼  292
3.14  加密方法  294
3.14.1  對(duì)稱算法與非對(duì)稱算法  294
3.14.2  對(duì)稱密碼算法  295
3.14.3  非對(duì)稱密碼算法  296
3.14.4  分組密碼與流密碼  299
3.14.5  混合加密方法  303
3.15  對(duì)稱密碼系統(tǒng)的種類  308
3.15.1  數(shù)據(jù)加密標(biāo)準(zhǔn)  308
3.15.2  三重DES  315
3.15.3  高級(jí)加密標(biāo)準(zhǔn)  315
3.15.4  國際數(shù)據(jù)加密算法  316
3.15.5  Blowfish  316
3.15.6  RC4  316
3.15.7  RC5  317
3.15.8  RC6  317
3.16  非對(duì)稱密碼系統(tǒng)的種類  317
3.16.1  Diffie-Hellman算法  318
3.16.2  RSA  320
3.16.3  El Gamal  322
3.16.4  橢圓曲線密碼系統(tǒng)  322
3.16.5  背包問題算法  323
3.16.6  零知識(shí)證明  323
3.17  消息完整性  324
3.17.1  單向哈希  324
3.17.2  各種哈希算法  328
3.17.3  MD4算法  329
3.17.4  MD5算法  329
3.17.5  SHA 算法  329
3.17.6  對(duì)單向哈希函數(shù)的攻擊  330
3.18  公鑰基礎(chǔ)架構(gòu)  331
3.18.1  證書認(rèn)證機(jī)構(gòu)  331
3.18.2  證書  333
3.18.3  證書注冊機(jī)構(gòu)  333
3.18.4  PKI步驟  334
3.19  密碼技術(shù)的應(yīng)用  336
3.19.1  密碼系統(tǒng)的服務(wù)  336
3.19.2  數(shù)字簽名  337
3.19.3  數(shù)字簽名標(biāo)準(zhǔn)(DSS)  339
3.19.4  密鑰管理  339
3.19.5  可信平臺(tái)模塊  341
3.19.6  數(shù)字版權(quán)管理  343
3.20  對(duì)密碼技術(shù)的攻擊  343
3.20.1  唯密文攻擊  343
3.20.2  已知明文攻擊  344
3.20.3  選擇明文攻擊  344
3.20.4  選擇密文攻擊  344
3.20.5  差分密碼分析  345
3.20.6  線性密碼分析  345
3.20.7  側(cè)信道攻擊  345
3.20.8  重放攻擊  346
3.20.9  代數(shù)攻擊  346
3.20.10  分析攻擊  346
3.20.11  統(tǒng)計(jì)攻擊  347
3.20.12  社交工程攻擊  347
3.20.13  中間相遇攻擊  347
3.21  設(shè)計(jì)場所與基礎(chǔ)設(shè)施安全  347
3.22  場所安全設(shè)計(jì)過程  348
3.22.1  通過環(huán)境設(shè)計(jì)來阻止犯罪  352
3.22.2  設(shè)計(jì)一個(gè)物理安全計(jì)劃  356
3.23  內(nèi)部支持系統(tǒng)  367
3.23.1  電力  368
3.23.2  環(huán)境問題  372
3.23.3  防火、探測和滅火  374
3.24  總結(jié)  379
3.25  快速提示  380
3.26  問題  384
3.27  答案  391
第4章  通信與網(wǎng)絡(luò)安全  395
4.1  網(wǎng)絡(luò)架構(gòu)原則  396
4.2  開放系統(tǒng)互聯(lián)參考模型  397
4.2.1  協(xié)議  398
4.2.2  應(yīng)用層  400
4.2.3  表示層  401
4.2.4  會(huì)話層  402
4.2.5  傳輸層  404
4.2.6  網(wǎng)絡(luò)層  405
4.2.7  數(shù)據(jù)鏈路層  405
4.2.8  物理層  407
4.2.9  OSI模型的功能與協(xié)議  408
4.2.10  OSI各層綜述  410
4.2.11  多層協(xié)議  411
4.3  TCP/IP模型  412
4.3.1  TCP  413
4.3.2  IP尋址  418
4.3.3  IPv6  420
4.3.4  第二層安全標(biāo)準(zhǔn)  423
4.3.5  聚合協(xié)議  424
4.4  傳輸介質(zhì)  425
4.4.1  傳輸類型  425
4.4.2  布線  429
4.5  無線網(wǎng)絡(luò)  433
4.5.1  無線通信技術(shù)  434
4.5.2  無線網(wǎng)絡(luò)組件  437
4.5.3  無線網(wǎng)絡(luò)安全的演化  438
4.5.4  無線標(biāo)準(zhǔn)  443
4.5.5  無線網(wǎng)絡(luò)安全實(shí)踐  448
4.5.6  衛(wèi)星  448
4.5.7  移動(dòng)無線通信  450
4.6  網(wǎng)絡(luò)基礎(chǔ)  453
4.6.1  網(wǎng)絡(luò)拓?fù)? 454
4.6.2  介質(zhì)訪問技術(shù)  456
4.6.3  傳輸方法  466
4.7  網(wǎng)絡(luò)協(xié)議和服務(wù)  467
4.7.1  地址解析協(xié)議  467
4.7.2  動(dòng)態(tài)主機(jī)配置協(xié)議  469
4.7.3  網(wǎng)絡(luò)控制報(bào)文協(xié)議  471
4.7.4  簡單網(wǎng)絡(luò)管理協(xié)議  473
4.7.5  域名服務(wù)  475
4.7.6  電子郵件服務(wù)  481
4.7.7  網(wǎng)絡(luò)地址轉(zhuǎn)換  486
4.7.8  路由協(xié)議  487
4.8  網(wǎng)絡(luò)組件  491
4.8.1  中繼器  491
4.8.2  網(wǎng)橋  492
4.8.3  路由器  494
4.8.4  交換機(jī)  495
4.8.5  網(wǎng)關(guān)  499
4.8.6  PBX  501
4.8.7  防火墻  504
4.8.8  代理服務(wù)器  523
4.8.9  統(tǒng)一威脅管理  525
4.8.10  內(nèi)容分發(fā)網(wǎng)絡(luò)  526
4.8.11  軟件定義網(wǎng)絡(luò)  526
4.8.12  終端  528
4.8.13  蜜罐  529
4.8.14  網(wǎng)絡(luò)準(zhǔn)入控制  530
4.8.15  虛擬網(wǎng)絡(luò)  530
4.9  內(nèi)聯(lián)網(wǎng)與外聯(lián)網(wǎng)  531
4.10  城域網(wǎng)  533
4.11  廣域網(wǎng)(WAN)  535
4.11.1  通信的發(fā)展  536
4.11.2  專用鏈路  538
4.11.3  WAN技術(shù)  541
4.12  通信信道  551
4.12.1  多服務(wù)訪問技術(shù)  551
4.12.2  H.323 網(wǎng)關(guān)  553
4.12.3  SIP詳述  554
4.12.4  IP電話安全問題  557
4.13  遠(yuǎn)程連接  558
4.13.1  撥號(hào)連接  559
4.13.2  ISDN  560
4.13.3  DSL  561
4.13.4  線纜調(diào)制解調(diào)器  562
4.13.5  VPN  563
4.13.6  身份驗(yàn)證協(xié)議  569
4.14  網(wǎng)絡(luò)加密  571
4.14.1  鏈路加密與端對(duì)端加密  572
4.14.2  電子郵件加密標(biāo)準(zhǔn)  573
4.14.3  Internet安全  576
4.15  網(wǎng)絡(luò)攻擊  581
4.15.1  拒絕服務(wù)  581
4.15.2  嗅探  583
4.15.3  DNS劫持  583
4.15.4  偷渡下載  584
4.16  總結(jié)  585
4.17  快速提示  585
4.18  問題  589
4.19  答案  596
第5章  身份與訪問管理  601
5.1  訪問控制概述  601
5.2  安全原理  602
5.2.1  可用性  603
5.2.2  完整性  603
5.2.3  機(jī)密性  603
5.3  身份標(biāo)識(shí)、身份驗(yàn)證、授權(quán)與可問責(zé)性  604
5.3.1  身份標(biāo)識(shí)和身份驗(yàn)證  606
5.3.2  身份驗(yàn)證方法  615
5.3.3  授權(quán)  634
5.3.4  可問責(zé)性  646
5.3.5  會(huì)話管理  650
5.3.6  聯(lián)合身份驗(yàn)證  651
5.4  集成身份即服務(wù)  661
5.4.1  本地部署  661
5.4.2  云計(jì)算  661
5.4.3  集成問題  662
5.5  訪問控制機(jī)制  663
5.5.1  自主訪問控制  663
5.5.2  強(qiáng)制訪問控制  664
5.5.3  基于角色的訪問控制  667
5.5.4  基于規(guī)則的訪問控制  669
5.5.5  基于屬性的訪問控制  670
5.6  訪問控制方法和技術(shù)  670
5.6.1  用戶界面限制  671
5.6.2  遠(yuǎn)程訪問控制技術(shù)  671
5.6.3  訪問控制矩陣  677
5.6.4  內(nèi)容相關(guān)訪問控制  678
5.6.5  上下文相關(guān)訪問控制  678
5.7  身份與訪問權(quán)限配置生命周期管理  679
5.7.1  配置  679
5.7.2  用戶訪問審查  680
5.7.3  系統(tǒng)賬戶訪問審查  680
5.7.4  撤銷  680
5.8  控制物理與邏輯訪問  681
5.8.1  訪問控制層級(jí)  681
5.8.2  行政性控制措施  682
5.8.3  物理性控制措施  683
5.8.4  技術(shù)性控制措施  684
5.9  訪問控制實(shí)踐  686
5.10  訪問控制持續(xù)監(jiān)測  689
5.10.1  入侵檢測系統(tǒng)  689
5.10.2  入侵防御系統(tǒng)  698
5.11  訪問控制面臨的威脅  700
5.11.1  字典攻擊  700
5.11.2  暴力破解攻擊  701
5.11.3  登錄欺騙  702
5.11.4  網(wǎng)絡(luò)釣魚和域欺騙  702
5.12  總結(jié)  705
5.13  快速提示  705
5.14  問題  708
5.15  答案  715
第6章  安全評(píng)估與測試  719
6.1  評(píng)估、測試和審計(jì)策略  720
6.1.1  內(nèi)部審計(jì)  722
6.1.2  外部審計(jì)  723
6.1.3  第三方審計(jì)  724
6.1.4  測試覆蓋率  725
6.2  審計(jì)技術(shù)控制措施  725
6.2.1  漏洞測試  726
6.2.2  滲透測試  729
6.2.3  戰(zhàn)爭撥號(hào)  732
6.2.4  其他漏洞類型  733
6.2.5  事后檢查  734
6.2.6  日志審查  735
6.2.7  綜合交易  738
6.2.8  誤用用例測試  738
6.2.9  代碼審查  740
6.2.10  代碼測試  741
6.2.11  接口測試  742
6.3  審計(jì)管理控制措施  742
6.3.1  賬戶管理  742
6.3.2  備份驗(yàn)證  744
6.3.3  災(zāi)難恢復(fù)和業(yè)務(wù)連續(xù)性  747
6.3.4  安全培訓(xùn)和安全意識(shí)宣貫  752
6.3.5  關(guān)鍵績效和風(fēng)險(xiǎn)指標(biāo)  756
6.4  報(bào)告  758
6.4.1  分析結(jié)果  758
6.4.2  撰寫技術(shù)報(bào)告  759
6.4.3  摘要  760
6.5  管理評(píng)審和批準(zhǔn)  761
6.5.1  管理評(píng)審之前  762
6.5.2  評(píng)審的輸入  762
6.5.3  管理批準(zhǔn)  763
6.6  總結(jié)  763
6.7  快速提示  764
6.8  問題  765
6.9  答案  769
第7章  運(yùn)營安全  771
7.1  運(yùn)營部門的角色  772
7.2  行政管理  773
7.2.1  安全與網(wǎng)絡(luò)人員  775
7.2.2  可問責(zé)性  776
7.2.3  閾值水平  776
7.3  物理安全  777
7.3.1  工作場所訪問控制  777
7.3.2  人員訪問控制  784
7.3.3  外部邊界保護(hù)機(jī)制  785
7.3.4  入侵檢測系統(tǒng)  792
7.3.5  巡邏與警衛(wèi)  795
7.3.6  警犬  795
7.3.7  物理訪問的審計(jì)  796
7.3.8  內(nèi)部安全控制措施  796
7.4  安全資源配置  796
7.4.1  資產(chǎn)清單  797
7.4.2  資產(chǎn)管理  798
7.4.3  配置管理  800
7.4.4  可信恢復(fù)  803
7.4.5  輸入/輸出控制措施  805
7.4.6  系統(tǒng)加固  806
7.4.7  遠(yuǎn)程訪問的安全性  808
7.4.8  配置云資產(chǎn)  808
7.5  網(wǎng)絡(luò)與資源的可用性  809
7.5.1  平均故障間隔時(shí)間  810
7.5.2  平均修復(fù)時(shí)間  810
7.5.3  單點(diǎn)故障  811
7.5.4  備份  818
7.5.5  應(yīng)急計(jì)劃  821
7.6  預(yù)防與檢測  821
7.6.1  不間斷持續(xù)監(jiān)測  822
7.6.2  防火墻  823
7.6.3  入侵檢測和防御系統(tǒng)  823
7.6.4  白名單與黑名單  824
7.6.5  反惡意軟件  825
7.6.6  脆弱性管理  825
7.6.7  補(bǔ)丁管理  828
7.6.8  沙箱  830
7.6.9  蜜罐和蜜網(wǎng)  830
7.6.10  出口流量持續(xù)監(jiān)測  831
7.6.11  安全信息和事件管理  832
7.6.12  外包服務(wù)  832
7.7  事故管理流程  833
7.7.1  檢測  837
7.7.2  響應(yīng)  837
7.7.3  緩解  838
7.7.4  報(bào)告  839
7.7.5  恢復(fù)  839
7.7.6  修復(fù)  840
7.8  調(diào)查  840
7.8.1  計(jì)算機(jī)取證與適當(dāng)?shù)淖C據(jù)收集  841
7.8.2  動(dòng)機(jī)、機(jī)會(huì)與手段  842
7.8.3  計(jì)算機(jī)犯罪行為  843
7.8.4  事故調(diào)查  843
7.8.5  調(diào)查類型  844
7.8.6  司法調(diào)查流程  845
7.8.7  什么是法庭上可受理的？  850
7.8.8  監(jiān)視、搜查和扣押  852
7.9  災(zāi)難恢復(fù)  853
7.9.1  業(yè)務(wù)流程恢復(fù)  856
7.9.2  恢復(fù)站點(diǎn)策略  857
7.9.3  供應(yīng)和技術(shù)恢復(fù)  863
7.9.4  備份存儲(chǔ)策略  866
7.9.5  終端用戶環(huán)境  874
7.9.6  可用性  875
7.10  責(zé)任及其影響  877
7.10.1  責(zé)任示例場景  879
7.10.2  第三方風(fēng)險(xiǎn)  881
7.10.3  合同協(xié)議  881
7.10.4  采購和供應(yīng)商流程  881
7.11  保險(xiǎn)  882
7.12  實(shí)施災(zāi)難恢復(fù)  883
7.12.1  人員  884
7.12.2  評(píng)估  884
7.12.3  還原  885
7.12.4  通信  887
7.12.5  培訓(xùn)  887
7.13  人員安全問題  888
7.13.1  應(yīng)急管理  888
7.13.2  脅迫  889
7.13.3  旅行  889
7.13.4  培訓(xùn)  890
7.14  總結(jié)  890
7.15  快速提示  890
7.16  問題  892
7.17  答案  897
第8章  軟件開發(fā)安全  901
8.1  構(gòu)建良好代碼  902
8.1.1  如何處置軟件安全問題？  902
8.1.2  不同環(huán)境需要不同的安全  904
8.1.3  環(huán)境與應(yīng)用程序  905
8.1.4  功能性與安全性  905
8.1.5  實(shí)施與默認(rèn)配置問題  906
8.2  軟件開發(fā)生命周期  907
8.2.1  項(xiàng)目管理  907
8.2.2  需求收集階段  908
8.2.3  設(shè)計(jì)階段  909
8.2.4  開發(fā)階段  912
8.2.5  測試階段  914
8.2.6  運(yùn)營維護(hù)階段  916
8.3  軟件開發(fā)方法論  918
8.3.1  瀑布模式  918
8.3.2  V形模式  919
8.3.3  原型模式  919
8.3.4  增量模式  920
8.3.5  螺旋模式  921
8.3.6  快速應(yīng)用程序開發(fā)  922
8.3.7  敏捷模式  923
8.3.8  集成產(chǎn)品團(tuán)隊(duì)  926
8.3.9  DevOps  927
8.4  能力成熟度集成模型(CMMI)  928
8.5  變更管理  930
8.6  開發(fā)環(huán)境的安全性  931
8.6.1  開發(fā)平臺(tái)的安全性  932
8.6.2  代碼庫的安全性  932
8.6.3  軟件配置管理  933
8.7  安全編碼  934
8.7.1  源代碼漏洞  934
8.7.2  安全編碼實(shí)踐  934
8.8  編程語言與概念  935
8.8.1  匯編器、編譯器和解釋器  937
8.8.2  面向?qū)ο蟮母拍? 939
8.8.3  其他軟件開發(fā)的概念  945
8.8.4  應(yīng)用程序接口  947
8.9  分布式計(jì)算  947
8.9.1  分布式計(jì)算環(huán)境  948
8.9.2  CORBA和 ORB  949
8.9.3  COM和DCOM  951
8.9.4  Java平臺(tái)企業(yè)版  953
8.9.5  面向服務(wù)的架構(gòu)  953
8.10  移動(dòng)代碼  956
8.10.1  Java applet  956
8.10.2  ActiveX控件  958
8.11  Web安全  959
8.11.1  Web環(huán)境的具體威脅  960
8.11.2  Web應(yīng)用安全準(zhǔn)則  965
8.12  數(shù)據(jù)庫管理  966
8.12.1  數(shù)據(jù)庫管理軟件  967
8.12.2  數(shù)據(jù)庫模型  968
8.12.3  數(shù)據(jù)庫編程接口  972
8.12.4  關(guān)系型數(shù)據(jù)庫組件  974
8.12.5  完整性  976
8.12.6  數(shù)據(jù)庫安全問題  978
8.12.7  數(shù)據(jù)倉庫與數(shù)據(jù)挖掘  982
8.13  惡意軟件  985
8.13.1  病毒  987
8.13.2  蠕蟲  989
8.13.3  rootkit  989
8.13.4  間諜軟件和廣告軟件  990
8.13.5  僵尸網(wǎng)絡(luò)  991
8.13.6  邏輯炸彈  992
8.13.7  特洛伊木馬  992
8.13.8  反惡意軟件  993
8.13.9  垃圾郵件檢測  996
8.13.10  反惡意軟件程序  997
8.14  評(píng)估獲取軟件的安全性  998
8.15  總結(jié)  999
8.16  快速提示  999
8.17  問題  1002
8.18  答案  1008
附錄  關(guān)于在線內(nèi)容  1013