《 CISSP信息系统安全专家认证All-in-One (第9版)》[83]百度网盘|亲测有效|pdf下载

书籍详情

CISSP信息系统安全专家认证All-in-One (第9版)
出版社:清华大学出版社
作者:[美] 费尔南多·梅米(Fernando Maymí)、肖恩·哈里斯(Shon Harris)
出版时间:2023-02-01
热度:2487
上架时间:2025-03-08 06:13:50
价格:0.0

书籍下载

点击下载

书籍预览

查看链接

免责声明

本站支持尊重有效期内的版权/著作权,所有的资源均来自于互联网网友分享或网盘资源，一旦发现资源涉及侵权，将立即删除。希望所有用户一同监督并反馈问题，如有侵权请联系站长或发送邮件到ebook666@outlook.com,本站将立马改正

内容介绍

产品特色

编辑推荐

配备1400多道练习题
涵盖CISSP的
8个专业领域：
• 安全和风险管理
• 资产安全
• 安全架构与工程
• 通信与网络安全
• 身份和访问管理
• 安全评估与测试
• 安全运营
• 软件研发安全

内容简介

《CISSP信息系统安全专家认证All-in-One(第9版)》针对**发布的CISSP考试做了全面细致的修订和更新，涵盖(ISC)2新开发的2021 CISSP考试大纲的所有目标。这本综合性**指南编排精当，每章开头列出学习目标，正文中穿插考试提示，章末附有练习题和精辟解释。本书由**的IT安全认证和培训专家撰写，将帮助你轻松通过考试；也可作为你工作中的一本重要参考书。

作者简介

Fernando Maymí，博士，CISSP持证专家，目前是IronNet Cybersecurity公司的培训副总裁、安全顾问，曾任西点军校陆军网络研究所副所长。Fernando 28年来一直致力于满足五大洲学术、政府和企业研究等客户的安全需求。
Shon Harris，CISSP持证专家，Logical Security公司的创始人兼CEO、信息安全顾问、美国空军信息作战部门的前工程师、讲师和作家。Shon撰写了多本畅销全球的信息安全书籍，销量已超过一百万册，被翻译成六种文字。

目　　录

第I部分
安全和风险管理
第1章网络安全治理 2
1.1 网络安全的基本概念和术语 3
1.1.1 机密性 3
1.1.2 完整性 4
1.1.3 可用性 4
1.1.4 真实性 5
1.1.5 不可否认性 5
1.1.6 平衡安全性 6
1.1.7 其他安全术语 7
1.2 安全治理原则 8
1.2.1 帮助安全性和业务战略
保持一致 11

第I部分   安全和风险管理 第1章  网络安全治理 2 1.1  网络安全的基本概念和术语 3 1.1.1  机密性 3 1.1.2  完整性 4 1.1.3  可用性 4 1.1.4  真实性 5 1.1.5  不可否认性 5 1.1.6  平衡安全性 6 1.1.7  其他安全术语 7 1.2  安全治理原则 8 1.2.1  帮助安全性和业务战略 保持一致 11 1.2.2  组织流程 14 1.2.3  组织角色和责任 15 1.3  安全策略、标准、工作程序和 准则 21 1.3.1  安全策略 22 1.3.2  标准 24 1.3.3  基线 25 1.3.4  准则 26 1.3.5  工作程序 26 1.3.6  实施 27 1.4  人员安全 27 1.4.1  候选人筛选和招聘 29 1.4.2  雇佣协议和策略 30 1.4.3  入职、调动和解聘流程 30 1.4.4  供应商、顾问和承包商 31 1.4.5  合规政策 32 1.4.6  隐私策略 32 1.4.7  安全意识宣贯、教育和 培训计划 32 1.4.8  学历或证书？ 33 1.4.9  意识建立和培训的方法与 技巧 33 1.4.10  定期审查安全意识宣贯 内容 35 1.4.11 计划有效性评价 35 1.5  职业道德 35 1.5.1  (ISC)2职业道德准则 36 1.5.2  组织道德准则 36 1.5.3  计算机道德协会 37 1.6  本章回顾 37 1.7  快速提示 37 1.8  问题 38 1.9  答案 40 第2章  风险管理 42 2.1  风险管理概念 42 2.1.1  全面风险管理 43 2.1.2  信息系统风险管理策略 44 2.1.3  风险管理团队 45 2.1.4  风险管理流程 45 2.1.5  漏洞和威胁概述 46 2.1.6  识别威胁和漏洞 50 2.2  评估风险 51 2.2.1  资产评估 52 2.2.2  风险评估团队 53 2.2.3  风险评估方法论 54 2.2.4  风险分析方法 58 2.2.5  定性风险分析 61 2.3  应对风险 64 2.3.1  总体风险与残余风险的 对比 65 2.3.2  安全对策选择及实施 66 2.3.3  控制措施类型 68 2.3.4  控制措施评估 73 2.4  监测风险 74 2.4.1  有效性监测 75 2.4.2  变更监测 75 2.4.3  合规性监测 76 2.4.4  风险报告 77 2.5  供应链风险管理 79 2.5.1  上下游供应商 80 2.5.2  硬件、软件、服务的风险 评估 80 2.5.3  其他第三方风险 81 2.5.4  安全需求 82 2.5.5  服务水平协议 82 2.6  业务持续 83 2.6.1  标准和实践 85 2.6.2  将业务持续管理融入企业 安全计划 87 2.6.3  业务影响分析 89 2.7　本章回顾 95 2.8  快速提示 95 2.9  问题 97 2.10  答案 99
第3章  合规 101 3.1  法律与法规 101 3.1.1  法律体系的类型 102 3.1.2  回顾普通法体系 104 3.2  网络犯罪与数据泄露 105 3.2.1  网络犯罪的复杂性 107 3.2.2  攻击的演变 108 3.2.3  国际化问题 112 3.2.4  数据泄露 112 3.2.5  跨境数据流 117 3.2.6  隐私 118 3.3  授权许可与知识产权要求 119 3.3.1  商业秘密 119 3.3.2  版权 120 3.3.3  商标 121 3.3.4  专利 121 3.3.5  内部知识产权保护 123 3.3.6  软件盗版 123 3.4  法律法规监管合规要求 125 3.4.1  合同、法律、行业标准和 监管要求 125 3.4.2  隐私要求 127 3.4.3  责任和后果 127 3.5  调查要求 130 3.5.1  行政调查 130 3.5.2  刑事调查 130 3.5.3  民事调查 130 3.5.4  监管调查 131 3.6  本章回顾 131 3.7  快速提示 131 3.8  问题 133 3.9  答案 135 第4章  框架 137 4.1  框架总览 137 4.2  风险框架 139 4.2.1  NIST风险管理框架 139 4.2.2  ISO/IEC 27005信息安全 风险管理指南 143 4.2.3  OCTAVE 144 4.2.4  信息风险要素分析 145 4.3  信息安全框架 145 4.3.1  安全计划框架 145 4.3.2  安全控制措施框架 148 4.4  企业架构框架 154 4.4.1  为何需要企业架构框架？ 156 4.4.2  Zachman框架 157 4.4.3  TOGAF 158 4.4.4  面向军事的架构框架 159 4.5  其他框架 159 4.5.1  ITIL 159 4.5.2  六西格玛 160 4.5.3  能力成熟度模型 160 4.6  各类框架的集成 162 4.7  本章回顾 165 4.8  快速提示 166 4.9  问题 167 4.10  答案 169
第II部分 资 产 安 全 第5章  资产 172 5.1  信息和资产 173 5.1.1  识别 173 5.1.2  分类分级 174 5.2  物理安全注意事项 178 5.2.1  移动设备安全保护 178 5.2.2  纸质记录 179 5.2.3  保险柜 179 5.3  管理资产的生命周期 180 5.3.1  所有权 181 5.3.2  库存 181 5.3.3  安全资源调配 184 5.3.4  资产留存 185 5.4  数据生命周期 186 5.4.1  数据采集 187 5.4.2  数据存储 188 5.4.3  数据使用 192 5.4.4  数据共享 193 5.4.5  数据归档 194 5.4.6  数据销毁 194 5.4.7  数据角色 198 5.5  本章回顾 199 5.6  快速提示 199 5.7  问题 200 5.8  答案 202 第6章  数据安全 204 6.1  数据安全控制措施 204 6.1.1  数据状态 205 6.1.2  安全标准 208 6.2  数据保护措施 209 6.2.1  数字资产管理 210 6.2.2  数字版权管理 212 6.2.3  数据防泄露 214 6.2.4  云访问安全代理 222 6.3  本章回顾 223 6.4  快速提示 223 6.5  问题 224 6.6  答案 225
第III部分 安全架构与工程 第7章  系统架构 228 7.1  通用系统架构 228 7.1.1  客户端系统 229 7.1.2  服务端系统 229 7.1.3  数据库系统 230 7.1.4  高性能计算系统 233 7.2  工业控制体系 234 7.2.1  设备 235 7.2.2  可编程逻辑控制器 235 7.2.3  人机界面 236 7.2.4  历史数据系统 237 7.2.5  分布式控制体系 237 7.2.6  SCADA 237 7.2.7  ICS安全 238 7.3  虚拟化系统 239 7.3.1  虚拟机 240 7.3.2  容器化 241 7.3.3  微服务 242 7.3.4  无服务器架构 242 7.4  云计算系统 244 7.4.1  软件即服务 245 7.4.2  平台即服务 245 7.4.3  基础架构即服务 246 7.4.4  一切皆服务 246 7.4.5  云部署模型 247 7.5  普适系统 247 7.5.1  嵌入式系统 247 7.5.2  物联网 248 7.6  分布式系统 249 7.7  本章回顾 251 7.8  快速提示 251 7.9  问题 252 7.10  答案 254 第8章  密码学 256 8.1  密码术的历史 257 8.2  密码术的定义与概念 260 8.2.1  密码体系 262 8.2.2  Kerckhoffs原则 263 8.2.3  密码体系的强度 263 8.2.4  一次性密码本 264 8.2.5  密码生命周期 266 8.2.6  加密方法 266 8.3  对称密钥密码术 267 8.3.1  分组密码 268 8.3.2  流密码 270 8.3.3  初始化向量 271 8.4  非对称密钥密码术 272 8.4.1  Diffie-Hellman算法 274 8.4.2  RSA 276 8.4.3  椭圆曲线密码体系 278 8.4.4  量子加密 279 8.4.5  混合加密方法 281 8.5  完整性 285 8.5.1  哈希函数 285 8.5.2  消息完整性确认 288 8.6  公钥基础架构 292 8.6.1  数字证书 293 8.6.2  证书颁发机构 293 8.6.3  注册机构 295 8.6.4  PKI步骤 295 8.6.5  密钥管理 297 8.7  密码攻击技术 299 8.7.1  密钥和算法攻击 300 8.7.2  实施攻击 302 8.7.3  其他攻击 304 8.8  本章回顾 307 8.9  快速提示 307 8.10  问题 309 8.11  答案 311 第9章  安全架构 313 9.1  威胁建模 313 9.1.1  攻击树 314 9.1.2  MITRE ATT&CK框架 316 9.1.3  为什么使用威胁建模 316 9.2  安全设计原则 317 9.2.1  深度防御 318 9.2.2  零信任 319 9.2.3  信任但要验证 319 9.2.4  责任共担 319 9.2.5  职责分离 320 9.2.6  小特权 321 9.2.7  简法则 321 9.2.8  默认安全 322 9.2.9  失效关闭 322 9.2.10  隐私设计 323 9.3  安全模型 323 9.3.1  Bell-LaPadula模型 323 9.3.2  Biba模型 324 9.3.3  Clark-Wilson 模型 325 9.3.4  非干扰模型 326 9.3.5  Brewer-Nash模型 327 9.3.6  Graham-Denning模型 327 9.3.7  Harrison-Ruzzo-Ullman 模型 327 9.4  安全需求 328 9.5  信息系统的安全能力 329 9.5.1  可信平台模块 329 9.5.2  硬件安全模块 330 9.5.3  自加密驱动器 331 9.5.4  总线加密 331 9.5.5  安全处理 332 9.6  本章回顾 335 9.7  快速提示 335 9.8  问题 336 9.9  答案 338 第10章  场所和基础设施安全 339 10.1  场所和基础设施安全 339 10.1.1  安全原则 340 10.1.2  场所规划流程 344 10.1.3  通过环境设计预防犯罪 347 10.1.4  设计一个物理安全计划 352 10.2  场所和基础设施控制措施 358 10.2.1  工作区安全 358 10.2.2  数据处理设施 360 10.2.3  配线器 362 10.2.4  存储基础设施 363 10.2.5  公共设施 363 10.2.6  消防安全 368 10.2.7  环境问题 373 10.3  本章回顾 373 10.4  快速提示 374 10.5  问题 375 10.6  答案 376
第IV部分 通信与网络安全 第11章  网络基础 380 11.1  数据通信基础 380 11.1.1  网络参考模型 381 11.1.2  协议 382 11.1.3  应用层 384 11.1.4  表示层 385 11.1.5  会话层 386 11.1.6  传输层 388 11.1.7  网络层 389 11.1.8  数据链路层 389 11.1.9  物理层 391 11.1.10  OSI 模型中的功能和 协议 392 11.1.11  OSI各层综述 393 11.2  局域网 395 11.2.1  网络拓扑 395 11.2.2  介质访问控制机制 397 11.2.3  第 2 层协议 401 11.2.4  传输方式 405 11.2.5  第2层安全标准 406 11.3  Internet协议网络 408 11.3.1  TCP 409 11.3.2  IP寻址 414 11.3.3  IPv6 416 11.3.4  地址解析协议 419 11.3.5  动态主机配置协议 420 11.3.6  Internet控制报文协议 422 11.3.7  简单网络管理协议 424 11.3.8  域名服务 426 11.3.9  网络地址转换 432 11.3.10  路由协议 434 11.4  内联网和外联网 437 11.5  城域网 438 11.6  广域网 440 11.6.1  专用链路 440 11.6.2  广域网技术 443 11.7  本章回顾 450 11.8  快速提示 451 11.9  问题 452 11.10  答案 454 第12章  无线网络 456 12.1  无线通信技术 456 12.1.1  扩频 457 12.1.2  正交频分复用 460 12.2  无线网络基础 460 12.2.1  WLAN组件 460 12.2.2  WLAN标准 462 12.2.3  其他无线网络标准 464 12.2.4  其他重要标准 468 12.3  无线网络安全的演化 469 12.3.1  802.11 470 12.3.2  802.11i 471 12.3.3  802.11w 472 12.3.4  WPA3 473 12.3.5  802.1X 473 12.4  无线网络安全实践 475 12.5  移动无线通信 476 12.5.1  多址技术 477 12.5.2  历代移动技术 478 12.6  卫星 481 12.7  本章回顾 482 12.8  快速提示 482 12.9  问题 484 12.10  答案 485 第13章  网络安全 487 13.1  安全设计原则运用于网络 架构 487 13.2  安全网络 489 13.2.1  链路加密与端到端加密 489 13.2.2  传输层安全 491 13.2.3  虚拟私有网络 493 13.3  安全协议 498 13.3.1  Web 服务 498 13.3.2  域名系统 502 13.3.3  电子邮件 507 13.4  多层协议 511 13.4.1  分布式网络协议3 511 13.4.2  CAN总线 511 13.4.3  Modbus 512 13.5  聚合协议 512 13.5.1  封装 512 13.5.2  以太网光纤通道 513 13.5.3  Internet小型计算机系统 接口 513 13.6  网络分段 513 13.6.1  虚拟局域网 514 13.6.2  虚拟可扩展局域网 516 13.6.3  软件定义网络 516 13.6.4  软件定义广域网 518 13.7  本章回顾 518 13.8  快速提示 519 13.9  问题 521 13.10  答案 522 第14章  网络组件 524 14.1  传输介质 524 14.1.1  传输类型 525 14.1.2  带宽和吞吐量 533 14.2  网络设备 534 14.2.1  中继器 534 14.2.2  交换机 536 14.2.3  网络访问控制设备 544 14.3  终端安全 549 14.4  内容分发网络 550 14.5  本章回顾 550 14.6  快速提示 551 14.7  问题 552 14.8  答案 553 第15章  安全通信信道 555 15.1  语音通信 555 15.1.1  公共交换电话网 556 15.1.2  DSL 557 15.1.3  ISDN 558 15.1.4  有线调制解调器 560 15.1.5  IP电话 560 15.2  多媒体协同 566 15.2.1  会议程序 566 15.2.2  统一通信 567 15.3  远程访问 568 15.3.1  VPN 569 15.3.2  VPN验证协议 569 15.3.3  桌面虚拟化 571 15.3.4  安全外壳 573 15.4  数据通信 574 15.4.1  网络套接字 574 15.4.2  远程过程调用 575 15.5  虚拟网络 575 15.6  第三方接入 576 15.7  本章回顾 578 15.8  快速提示 578 15.9  问题 579 15.10  答案 581
第V部分 身份和访问管理 第16章  身份和访问基础 584 16.1  身份标识、身份验证、 授权与可问责性 584 16.1.1  身份标识和身份验证 586 16.1.2  基于知识的身份验证 588 16.1.3  生物识别身份验证技术 591 16.1.4  基于所有权的身份验证 596 16.2  凭证管理 602 16.2.1  口令管理器 602 16.2.2  口令同步 603 16.2.3  自助式口令重置 603 16.2.4  辅助式口令重置 604 16.2.5  即时访问 604 16.2.6  注册与身份证明 604 16.2.7  用户配置文件更新 605 16.2.8  会话管理 606 16.2.9  可问责性 607 16.2.10  审查审计信息 608 16.3  身份管理 610 16.3.1  目录服务 612 16.3.2  目录在身份管理中的 角色 613 16.3.3  单点登录 614 16.3.4  联合身份管理 616 16.4  使用第三方服务的联合 身份 618 16.5  本章回顾 620 16.6  快速提示 620 16.7  问题 622 16.8  答案 625 第17章  管理身份和访问 626 17.1  授权机制 626 17.1.1  自主访问控制 627 17.1.2  强制访问控制 629 17.1.3  基于角色的访问控制 631 17.1.4  基于规则的访问控制 633 17.1.5  基于属性的访问控制 634 17.1.6  基于风险的访问控制 634 17.2  身份验证和授权系统实施 635 17.2.1  访问控制和标记语言 635 17.2.2  OAuth 640 17.2.3  OpenID连接 641 17.2.4  Kerberos 642 17.2.5  远程访问控制技术 646 17.3  管理身份和访问配置生命 周期 652 17.3.1  配置 652 17.3.2  访问控制 653 17.3.3  合规 653 17.3.4  配置管理 655 17.3.5  撤销 656 17.4  控制物理与逻辑访问 657 17.4.1  信息访问控制 657 17.4.2  系统和应用程序访问 控制 658 17.4.3  对设备的访问控制 658 17.4.4  基础设施访问控制 658 17.5  本章回顾 659 17.6  快速提示 659 17.7  问题 661 17.8  答案 663
第VI部分 安全评估与测试 第18章  安全评估 666 18.1  测试、评估和审计战略 666 18.1.1  评估设计 667 18.1.2  评估验证 668 18.2  测试技术性控制分类 669 18.2.1  漏洞测试 670 18.2.2  其他漏洞类型 673 18.2.3  渗透测试 674 18.2.4  红队测试 678 18.2.5  模拟入侵攻击 679 18.2.6  日志审查 679 18.2.7  合成交易 682 18.2.8  代码审查 683 18.2.9  代码测试 684 18.2.10  误用案例测试 685 18.2.11  测试覆盖率 686 18.2.12  接口测试 687 18.2.13  合规检查 687 18.3  实施安全审计 688 18.3.1  内部审计 689 18.3.2  外部审计 691 18.3.3  第三方审计 691 18.4  本章回顾 693 18.5  快速提示 693 18.6  问题 694 18.7  答案 696 第19章  安全度量 697 19.1  量化安全 697 19.1.1  安全度量 699 19.1.2  关键绩效和风险指标 701 19.2  安全流程数据 703 19.2.1  账户管理 703 19.2.2  备份确认 705 19.2.3  安全培训和安全意识 宣贯培训 708 19.2.4  灾难恢复和业务持续 711 19.3  报告 713 19.3.1  分析结果 713 19.3.2  技术报告编写 715 19.3.3  执行摘要 716 19.4  管理评审和批准 717 19.4.1  管理评审之前 718 19.4.2  评审的输入 719 19.4.3  管理层批准 719 19.5  本章回顾 720 19.6  快速提示 720 19.7  问题 721 19.8  答案 722
第VII部分 安全运营 第20章  安全运营管理 726 20.1  安全运营基础概念 726 20.1.1  可问责性 728 20.1.2  小特权/知必所需 728 20.1.3  职责分离和责任 729 20.1.4  特权账户管理 729 20.1.5  职责轮换 730 20.1.6  服务水平协议 730 20.2  变更管理 731 20.2.1  变更管理实践 731 20.2.2  变更管理文档 732 20.3  配置管理 733 20.3.1  基线 733 20.3.2  资源调配 734 20.3.3  自动化 734 20.4  资源保护 735 20.4.1  系统镜像 735 20.4.2  源文件 735 20.4.3  备份 736 20.5  漏洞和补丁管理 738 20.5.1  漏洞管理 739 20.5.2  补丁管理 741 20.6  物理安全 744 20.6.1  外部边界安全控制措施 744 20.6.2  基础设施访问控制 752 20.6.3  内部安全控制措施 759 20.6.4  人员访问控制措施 759 20.6.5  入侵检测系统 760 20.6.6  物理访问的审计 763 20.7  人员安全与保护措施 763 20.7.1  差旅 764 20.7.2  安全培训和意识宣贯 764 20.7.3  应急管理 764 20.7.4  胁迫 765 20.8  本章回顾 765 20.9  快速提示 766 20.10  问题 767 20.11  答案 769 第21章  安全运营活动 771 21.1  安全运营中心 771 21.1.1  成熟SOC的要素 772 21.1.2  威胁情报 773 21.2  预防与检测措施 775 21.2.1  防火墙 776 21.2.2  入侵检测和防御系统 794 21.2.3  反恶意软件 795 21.2.4  沙箱 799 21.2.5  外包安全服务 799 21.2.6  蜜罐和蜜网 800 21.2.7  人工智能工具 802 21.3  持续记录日志和持续监测 803 21.3.1  日志管理 804 21.3.2  安全信息和事件管理 805 21.3.3  出口流量持续监测 806 21.3.4  用户和实体行为分析 806 21.3.5  不间断监测 806 21.4  本章回顾 807 21.5  快速提示 807 21.6  问题 809 21.7  答案 810 第22章  安全事故 812 22.1  事故管理概述 812 22.1.1  检测 816 22.1.2  响应 817 22.1.3  缓解 818 22.1.4  报告 818 22.1.5  恢复 819 22.1.6  修复 819 22.1.7  总结经验教训 820 22.2  事故响应规划 820 22.2.1  角色和职责 821 22.2.2  事故分级 822 22.2.3  通知 823 22.2.4  运营任务 824 22.2.5  操作手册 825 22.3  调查 826 22.3.1  动机、机会与手段 827 22.3.2  计算机犯罪行为 827 22.3.3  证据收集和处理 828 22.3.4  什么是法庭上可 受理的？ 831 22.3.5  数字取证工具、策略和 程序 833 22.3.6  取证调查技术 834 22.3.7  其他调查技术 835 22.3.8  司法证物 837 22.3.9  报告和记录 838 22.4  本章回顾 838 22.5  快速提示 839 22.6  问题 840 22.7  答案 842 第23章  灾难 843 23.1  恢复战略 843 23.1.1  业务流程恢复 847 23.1.2  数据备份 847 23.1.3  文档记录 853 24.1.4  人力资源 854 23.1.5  恢复场所战略 854 23.1.6  可用性 859 23.2  灾难恢复流程 862 23.2.1  响应 863 23.2.2  人员 864 23.2.3  通信 865 23.2.4  评估 866 23.2.5  还原 866 23.2.6  培训和意识 868 23.2.7  经验教训 868 23.2.8  测试灾难恢复方案 869 23.3  业务持续 871 23.3.1  BCP生命周期 872 23.3.2  信息系统可用性 873 23.3.3  终用户环境 876 23.4  本章回顾 877 23.5  快速提示 877 23.6  问题 878 23.7  答案 880
第VIII部分 软件研发安全 第24章  软件研发 882 24.1  软件研发生命周期 882 24.2  项目管理 883 24.2.1  需求收集阶段 884 24.2.2  设计阶段 886 24.2.3  研发阶段 889 24.2.4  测试阶段 891 24.2.5  运营维护阶段 893 24.2.6  变更管理 893 24.2.7  变更控制 893 24.3  软件研发方法论 895 24.3.1  瀑布模式 895 24.3.2  原型模式 896 24.3.3  增量模式 897 24.3.4  螺旋模式 898 24.3.5  快速应用程序研发 899 24.3.6  敏捷模式 900 24.4  成熟度模型 904 24.4.1  能力成熟度集成模型 905 24.4.2  软件保障成熟度模型 907 24.5  本章回顾 907 24.6  快速提示 908 24.7  问题 909 24.8  答案 910 第25章  安全的软件 913 25.1  编程语言与概念 913 25.1.1  汇编器、编译器和 解释器 915 25.1.2  运行时环境 917 25.1.3  面向对象的概念 919 25.1.4  内聚和耦合 924 25.1.5  应用程序编程接口 924 25.1.6  软件库 925 25.2  安全的软件研发 925 25.2.1  源代码漏洞 926 25.2.2  安全编码实践 926 25.2.3  软件研发安全控制措施 928 25.2.4  应用程序安全测试 930 25.2.5  持续集成和交付 931 25.2.6  安全编排、自动化和 响应 932 25.2.7  软件配置管理 932 25.2.8  代码存储库 933 25.3  软件安全评估 934 25.3.1  风险分析和缓解 934 25.3.2  变更管理 934 25.3.3  评估获取软件的安全性 935 25.4  本章回顾 937 25.5  快速提示 937 25.6  问题 939 25.7  答案 940 ——以下内容可扫封底二维码下载—— 附录A  完整的复习题 943 附录B  知识点目标映射 983 附录C  关于在线内容 998

显示全部信息

前　　言

译者序
《CISSP信息系统安全专家认证All-in-One(第9版)》是备考CISSP认证证书的宝典，在所有CISSP认证证书备考资料中享有极高声誉。本书内容全面、专业、通俗易懂，是一本享誉全球、畅销超过15年的安全经典教材，曾帮助包括译者团队在内的全球无数网络安全专家通过CISSP认证考试。
数字经济被誉为第四次工业革命的“钥匙”，已成为全球经济复苏的新引擎，成为国家发展新征程的助推器和战略。《“十四五”数字经济发展规划》指出：2025年数字经济将进入全面扩展期，2035年数字经济将进入繁荣成熟期。数字化技术已渗透到社会生活的方方面面。新兴技术的日趋普及，对企业运营模式产生了重大影响，而2019年开始的新冠疫情，对社会生产生活方式带来了巨大影响。

译者序
(ISC)2的CISSP认证是目前世界上全面的、权威的国际化信息系统安全方面的认证，CISSP认证证书可证明证书持有者具备符合国际标准要求的信息安全知识水平和能力，提升持证专家的专业可信度，目前，CISSP认证证书已得到全球的广泛认可。在安全行业中，能否取得CISSP认证证书，已成为表明专家是否具备完善的信息安全知识体系和丰富的行业经验的佐证之一。对于立志扎根于网络安全行业的网络安全专家而言，CISSP认证应该是职业生涯中有价值、值得追求的职业认证之一。 《CISSP信息系统安全专家认证All-in-One(第9版)》是备考CISSP认证证书的宝典，在所有CISSP认证证书备考资料中享有极高声誉。本书内容全面、专业、通俗易懂，是一本享誉全球、畅销超过15年的安全经典教材，曾帮助包括译者团队在内的全球无数网络安全专家通过CISSP认证考试。 数字经济被誉为第四次工业革命的“钥匙”，已成为全球经济复苏的新引擎，成为国家发展新征程的助推器和战略。《“十四五”数字经济发展规划》指出：2025年数字经济将进入全面扩展期，2035年数字经济将进入繁荣成熟期。数字化技术已渗透到社会生活的方方面面。新兴技术的日趋普及，对企业运营模式产生了重大影响，而2019年开始的新冠疫情，对社会生产生活方式带来了巨大影响。 近年来，随着社会数字化程度的提升，数字化安全的风险也日益突出，国内外都发生了多起网络安全和数据安全事件，导致数据泄露或服务终止。初创公司Socialarks由于ElasticSearch数据库设置错误，泄露了近400GB数据(超过3.18亿条用户记录)。美国燃油管道运营商Colonial Pipeline于2021年5月7日遭受网络犯罪团伙DarkSide的勒索软件攻击，导致该公司被迫关停其主要输油管道。而巴基斯坦国民银行(NBP)于当地时间2021年10月30日发布的一份声明称，已检测到敌对方对NBP的网络攻击。2021年10月4日，Facebook及其旗下Instagram和WhatsApp等应用程序全网宕机，停机时间近7小时。宕机期间，Facebook在欧洲、美洲和大洋洲几乎完全下线，在亚洲的日本、韩国和印度等国也无法访问。由此可见，如果没有数字安全、数据安全和网络安全技术保驾护航，数字化发展的程度越高，其背后隐藏的风险就越大。 与此同时，我国日益关注网络安全、数据安全和个人信息安全，2021年密集发布了《数据安全法》《个人信息保护法》和《关键信息基础设施安全保护条例》等一系列网络安全相关的法律法规，进一步完善了我国网络安全相关规章制度。网络安全已成为企业合规的必选项。今天，已有越来越多的组织机构将数字安全、数据安全和网络安全工作放在数字技术工作的首要位置。数字安全、数据安全和网络安全不再是数字技术工作中一个可有可无的选项，而成为不可或缺的部分；能帮助企业和机构提高数字安全防护水平的人才也日益紧俏，形成巨大的岗位需求。 本书第9版本得到全面更新，涵盖CISSP认证考试的所有八大知识域，即安全和风险管理、资产安全、安全架构与工程、通信与网络安全、身份和访问管理、安全评估与测试、安全运营、软件研发安全。本书由安全认证和培训领域的专家Fernando Maymí和Shon Harris撰写，用通俗易懂的语言，介绍了安全知识体系的方方面面，并通过丰富的案例加深考生对重要知识点的理解、激发考生的阅读兴趣，帮助考生在较短时间内吸取网络安全知识体系的精髓。本书不仅是准备CISSP认证考试的学习指南，也是安全专家提高业务水平、拓宽职业视野及建立完整知识体系的经典书籍。全球每一名安全专家的案头都应常备本书。 在本书的译校过程中，诸位译者力求忠于原著，尽可能传达作者的原意。在此，感谢栾浩先生，正是在他的努力下，多位译者才能聚集到一起，共同完成这项工作。栾浩先生投入了大量时间和精力，组织翻译工作，把控进度和质量，没有栾浩先生的辛勤付出，翻译工作不可能如此顺利地完成。 同时，要感谢本书的审校单位北京谷安天下科技有限公司(简称“谷安天下”)。谷安天下是国内中立的网络安全与数字风险服务机构，以成就更高的社会价值为目标，专注于网络安全与数字风险管理领域的研究与实践，致力于全面提升中国企业的安全能力与风险管控能力，依靠严谨的专业团队、全方位的网络安全保障体系、良好的沟通能力，为政府部门、大型国有企业、银行保险、大型民营企业等客户提供网络安全规划、信息系统审计、数据安全咨询等以实现管理目标和数字资产价值交付为核心的，全方位、定制化的专业服务。在本书的译校过程中，谷安天下作为(ISC)2中国的OTP授权培训机构，投入了多位专家、讲师和技术人员以及大量时间支持本书译校工作，进而保证了全书的质量。 此外，感谢本书的技术支持单位上海珪梵科技有限公司(简称“上海珪梵”)。上海珪梵是一家集数字化软件技术与数字安全于一体的专业服务机构，专注于数字化软件技术和数字安全领域的研究与实践，并提供数字科技建设、数字安全规划与建设、网络安全技术支持、数据安全治理、软件项目造价、数据安全审计和信息系统审计等服务。在本书译校过程中，上海珪梵投入了多名人员以支持本书的译校工作。 后，再次感谢清华大学出版社，感谢王军等编辑的严格把关，悉心指导。正是有了这些编辑的辛勤努力和付出，才有了本书中文译稿的出版发行。 本书涉及内容广泛，立意精深。因译者能力局限，在翻译中难免有错误或不妥之处，恳请广大考生朋友指正。
 
业界推荐 Fernando对本书的更新延续了过去与Shon Harris的合作传统，分解了关键概念和技能。再次证明了本书是重要的备考资料。即便通过考试后，本书也是工作中宝贵的参考资料。 ——Stefanie Keuser CISSP，美国军官协会首席信息官
本书是通过CISSP考试所需的书籍。Fernando Maymí不仅是一名作家，还是网络安全行业的领导者。Fernando的洞察力、知识和专长体现在本书的内容中。本书不仅为考生提供通过考试所需的知识，还可帮助考生在网络安全领域取得进一步的发展。 ——Marc Coady CISSP，Costco Wholesale公司合规分析师
本书是网络安全专家的参考资料，介绍了宝贵的实践知识，列出当今世界开展业务需要了解的日益复杂的安全概念、控制措施及实践。 ——Steve Zalewski Levi Strauss公司前首席信息安全官
Shon Harris将这本经典的CISSP书籍引入安全行业，Fernando Maymí用清晰、准确和客观的行文完美传承了Shon Harris的精神，我相信Shon会对此深感欣慰和自豪。 ——David R. Miller CISSP、CCSP、GIAC GISP GSEC GISF、PCI QSA、LPT、ECSA、CEH、CWNA、CCNA、SME、MCT、MCIT Pro EA、MCSE:Security、CNE、Security 
一本经典的参考资料，内容清晰明了，对考生、教育工作者和安全专家而言，都堪称无价之宝。 —— Joe Adams博士 密歇根赛博系列创始人兼执行董事
 本书由安全领域的两位大师Maymí和Shon撰写，内容通俗易懂，极具启发性，将一幅网络安全的全景图在考生面前徐徐展开。 ——Greg Conti博士 Kopidion公司创始人
多么希望在职业生涯早期就能阅读到本书！不可否认，本书是助我通过CISSP考试的工具。更重要的是，本书传授了许多我以前完全不了解的安全知识。从本书中学到的知识将在今后多年对我的职业生涯起到帮助作用。非常棒的书籍！ ——Janet Robinson 首席安全官
译者介绍
栾浩，获得美国天普大学IT审计与网络安全专业理学硕士学位，持有CISSP、CISA、CISP、CISP-A和TOGAF 9等认证。负责金融科技研发、数据安全、云计算安全和信息科技审计及内部风险控制等工作。担任中国计算机行业协会数据安全产业专家委员会委员、(ISC)2上海分会理事。栾浩先生担任本书翻译的总技术负责人，并承担全书的校对和定稿工作。 姚凯，获得中欧国际工商学院工商管理专业管理学硕士学位，持有CISA、CISM、CGEIT、CRISC、CISSP、CCSP、CSSLP和CEH等认证，现任CIO职务，负责IT战略规划、策略制定、数字化转型、IT架构设计和应用部署、系统取证和应急响应、数据安全备份策略规划制定、数据保护、灾难恢复演练和复盘等工作。姚凯先生承担本书第24章和第25章的翻译工作，并承担全书的校对和定稿工作，同时为本书撰写译者序。 王向宇，获得安徽科技学院网络工程专业工学学士学位，持有CISSP、CISP、CISP-A和软件研发安全师等认证。现任资深安全工程师职务，负责安全事件处置与应急、数据安全治理、安全监测平台研发与运营、云平台安全和软件研发安全等工作。王向宇先生担任本书项目经理，负责本书第5章和第6章的翻译工作，并承担全书的校对和定稿工作。 曹洪泽，获得哈尔滨工程大学通信与信息系统专业工学博士学位，正高级工程师职称。现任审计署计算中心审计技术服务处处长职务，负责中央部门、中央企业、金融机构等多领域审计工作以及金审工程建设和运营。持有CISA、审计师等认证。担任中国审计学会计算机审计分会副秘书长。曹洪泽女士作为本书信息系统审计领域特邀专家，承担本书通读工作。 李杺恬，获得北京理工大学软件工程专业工程硕士学位，持有CISSP、CISP和CISA等认证。现任中国计算机行业协会数据安全产业专家委员会委员，负责人才培养、能力评定和成果转化等工作。李杺恬女士作为本书数据安全领域特邀专家，承担本书通读工作。 徐坦，获得河北科技大学理工学院网络工程专业工学学士学位，持有CISP、CISP-A等认证。现任安全技术经理职务，负责数据安全、渗透测试、安全工具研发、代码审计、安全教育培训、IT审计和企业安全攻防等工作。徐坦先生承担本书全书的校对、通读工作。 李浩轩，获得河北科技大学理工学院网络工程专业工学学士学位，持有CISP-A、CISP等认证。现任安全技术经理职务，负责数据安全、IT审计、网络安全、平台研发和企业安全攻防等工作。李浩轩先生承担本书全书的校对、通读工作。 高峡，获得西安科技大学计算机及应用专业工学学士学位，持有CISSP、CISA和CISP等认证。现任网络安全教学质量总监职务，负责网络安全相关课程体系设计、网络安全相关课程研发、课程讲授和课程管理等工作。高峡女士负责本书第1章和第2章，附录A、B、C的翻译工作。 戴贇，获得上海大学通信工程专业工学学士学位，持有CISSP和CCSP等认证。现任云安全专家职务，负责云计算安全架构设计、项目实施、方案优化和日常运维管理等工作。戴贇先生负责本书第3章和第4章的翻译工作。 伏伟任，获得东华理工大学环境工程专业工学学士学位，持有CISSP和CCSP等认证。现任IT经理和信息安全负责人职务，负责IT运维、信息安全相关工作，伏伟任先生负责本书第7章和第8章的翻译工作。 郑伟，获得华中科技大学计算机科学与技术专业工学学士学位，持有CISSP等认证。现任诺基亚通信无线基站安全技术专家职务，负责产品安全需求分析、系统规范制定等工作。郑伟先生负责本书第9章和第10章的翻译工作。 梁龙亭，获得北京理工大学计算机科学与技术专业工学学士学位，持有CISSP和ISO/IEC27001等认证。现任信息安全&合规职务，负责安全技术架构设计、安全攻防、安全技术实施、安全合规等工作。梁龙亭先生负责本书第11章的翻译工作。 万雪莲，获得武汉大学计算机技术专业工程硕士学位，持有CISSP、CISM和CISA等认证。现任网络安全与隐私保护高级安全咨询顾问职务，负责数据安全、隐私保护、云安全、安全分析和安全管理等工作。万雪莲女士负责本书前言、第12章和第13章的翻译工作。 张帆，获得上海交通大学工商管理专业管理学硕士学位，持有CISSP和CISA认证。现任信息安全负责人职务，负责IT安全策略和制度制定、IT安全架构及应用安全风险评估、数据跨境传输安全评估、灾难恢复演练等工作。张帆先生负责本书第14章和第15章的翻译工作。 周可政，获得上海交通大学电子与通信工程专业工学硕士学位，持有CISSP、CISA等认证。现任资深安全工程师职务，负责数据安全、SIEM平台规划建设和企业安全防护体系建设等工作。周可政先生负责本书第16章和第17章的翻译工作。 许琛超，获得上海交通大学计算机科学与技术专业工学学士学位，持有CISSP、CCSP和CISA等认证。现任信息安全高级经理职务，负责数据安全治理、个人信息保护、信息安全管理体系、信息安全评估等工作。许琛超先生承担本书第18章和第19章的翻译工作。 吕丽，获得吉林大学文秘专业文学学士学位，持有CISSP、CISA和CISP-PTE等认证。现任中银金融商务有限公司信息安全经理职务，负责信息科技风险管理、网络安全技术架构评估和规划、数据安全治理、信息安全管理体系制度管理、信息科技外包风险管理、安全合规与审计等工作。吕丽女士承担本书第20章和第21章翻译工作。 汤国洪，获得电子科技大学电子材料与元器件专业工学学士学位，持有CISSP、CISA和ISO/IEC27001等认证。现任IT经理与信息安全负责人职务，负责IT运维、基础架构安全、网络安全和隐私合规等工作。汤国洪先生承担第22章及第23章的翻译工作。 牛承伟，获得中南大学工商管理专业管理学硕士学位，持有CISP等认证。现任广州越秀企业集团股份有限公司IT经理职务，负责云安全、基础设施安全、数据安全和资产安全等工作。牛承伟先生承担本书全书的通读工作。 朱思奇，获得上海交通大学通信与信息系统专业工学硕士学位，持有CISA和CISSP等认证。现任中国银行江苏省分行科技经理职务，负责信息科技风险管理、信息科技审计、信息安全意识培训等工作。朱思奇先生承担本书的校对、通读工作。 陈伟，获得中国石油大学工业管理工程专业管理学硕士学位，持有CISA等认证。现任谷安天下研究院院长职务，负责IT治理、网络安全、数字风险管理及IT审计、咨询等工作。陈伟先生负责本书部分章节的校对工作。 方乐，获得复旦大学计算机专业理学硕士学位，持有CISSP、CISA等认证。现任谷安天下咨询顾问职务，负责IT管理、IT治理、信息安全管理、IT风险管理、信息系统审计、数据治理咨询及培训等工作。方乐先生承担本书部分章节的校对工作。
以下专家参加本书各章节的校对、通读等工作，在此一并感谢： 刘竞雄先生，获得长春工业大学计算机技术专业工学硕士学位。 赵晨明先生，获得西安交通大学工商管理专业管理学硕士学位。 马洪晓先生，获得北京邮电大学计算机科学与技术专业工学硕士学位。 王厚奎先生，获得南宁师范大学教育技术学(网络信息安全方向)专业工学硕士学位。 邢海韬先生，获得北京工业大学软件工程专业工学硕士学位。 罗进先生，获得澳大利亚南昆士兰大学信息技术专业工学硕士学位。 刘海先生，获得华东师范大学软件工程专业工学硕士学位。 张锋先生，获得郑州大学计算机科学与技术专业工学学士学位、北京工业大学工商管理专业管理学硕士学位。 李海霞女士，获得对外经贸大学公共管理专业管理学硕士学位。 陈欣炜先生，获得同济大学工程管理专业本科学历。 王伏彧女士，获得吉林大学电子信息科学与技术专业理学学士学位、法学学士学位。 朱建滨先生，获得香港大学工商管理专业管理学硕士学位。 刘北水先生，获得西安电子科技大学工学硕士学位。 王涛女士，获得新疆财经大学工商管理专业管理学硕士学位、电子科技大学软件工程专业工程硕士学位。 张亭亭先生，获得哈尔滨商业大学工学学士学位。 张士莹先生，获得中北大学网络工程专业工学学士学位。 张晓飞先生，获得内蒙古大学理工学院应用物理学专业理学学士学位。 陈岳林女士，获得香港浸会大学资讯科技管理专业理学硕士学位。 陈峻先生，获得同济大学软件工程专业工学硕士学位。 马春燕女士，获得挪威商学院工商管理专业管理学硕士学位。   贡献者/技术编辑简介 Bobby E. Rogers是一名信息安全工程师，在美国国防部工作，职责包括信息系统安全工程、风险管理以及认证和认可工作。Bobby在美国空军服役21年后退休，担任网络安全工程师和指导者，保护全球各地的网络。Bobby拥有信息保障(InformationAssurance，IA)硕士学位，目前，正在美国马里兰州国会科技大学攻读网络安全博士学位。Bobby获得的认证包括CISSP-ISSEP、CEH和MCSE: Security，以及CompTIA A 、Network 、Security 和Mobility 。
  自序
 
感谢诸位考生在《CISSP信息系统安全专家认证All-in-One(第9版)》中投入学习精力，我相信你会发现本书不仅对准备CISSP考试很有帮助，而且对未来职业生涯也很有帮助。这是Shon Harris撰写前六版时的首要目标之一，也是我在近三版CISSP中努力追求的目标。这个目标并不那么容易，但我希望考生会对我们如何平衡这两个需求感到满意。 (ISC)2在实际应用中为CISSP通用知识体系(Common Body of Knowledge，CBK)打下了良好基础，但仍有很多讨论和分歧。与几乎任何其他领域一样，在网络安全领域，很少有主题可达成普遍共识。本书内容为了平衡备考和现实应用的模糊性，从我们的经验中总结了大量的评论和示例。 特意说“我们的经验”，因为即使Shon去世多年，她的见解在这一版本中仍然充满活力、信息丰富和富有娱乐性。本书尽可能多地保留了她的见解，同时确保相关内容是的，也尽量保持Shon作品特有的行文风格。其结果是我希望本书读起来更像是一篇文章，甚至是一个故事，而不是一本教科书，但本书是以优良的教学作为基础。本书应易于阅读，同时帮助考生准备考试。 说到考试，2021年(ISC)2对 CBK 所做的变化并不显著，但意义重大。每个知识域都以某种方式做出了调整，八个知识域中有七个添加了多个主题(知识域1除外)。这些变化以及本书第8版中的大量主题，促使我对这一版内容进行了彻底重组。我将每个知识域和主题分解为原子粒度，然后重新设计整本书，以整合下表中列出的CBK 2021新目标(注意，方括号中的内容供参考，并非新增目标)。 知识域2：资产安全2.4管理数据生命周期2.4.1数据角色(例如，所有方、控制方、托管方、处理方和用户/数据主体)2.4.3数据物理位置2.4.4数据维护2.5确保适当的资产留存，如生命周期终止(End-of-Life，EOL)、支持终止(End-of-Support，EOS) 知识域3：安全架构与工程[3.7理解密码攻击方法]3.7.1暴力破解3.7.4频率分析3.7.6实施攻击3.7.8故障注入3.7.9时序3.7.10中间人攻击(Man-in-the-Middle，MITM)3.7.11传递哈希3.7.12 Kerberos 攻击3.7.13勒索软件[3.9设计现场和设施安全控制措施]3.9.9电源(如冗余、备用) 知识域4：通信与网络安全[4.1评估并实施网络架构中的安全设计原则]4.1.3安全协议4.1.6微分段，如软件定义网络(Software Defined Networks，SDN)、虚拟可扩展局域网(Virtual eXtensible Local Area Network ，VXLAN)、封装和软件定义广域网(Software-Defined Wide Area Network，SD-WAN)4.1.8 蜂窝网络(如 4G、5G)[4.3根据设计实施安全通信通道]4.3.6第三方连接 知识域5：身份和访问管理(IAM)[5.1控制对资产的物理和逻辑访问]5.1.5应用程序[5.2管理人员、设备和服务的标识和身份认证]5.2.8单点登录(SSO)5.2.9 准时制(Just-In-Time，JIT)[5.4实施和管理授权机制]5.4.6基于风险的访问控制[5.5管理身份和访问资源调配生命周期]5.5.3角色定义(如分配了新角色的人员)5.5.4权限提升(如托管服务账户、使用sudo和尽量减少使用)5.6实施身份验证系统5.6.1 OpenID Connect(OIDC)/Open Authorization(OAuth)5.6.2安全声明标记语言(SAML)5.6.3 Kerberos5.6.4远程用户拨号认证服务(RADIUS)/终端访问控制器访问控制系统升级版(TACACS ) 知识域6：安全评估与测试[6.2实施安全控制测试]6.2.9漏洞攻击模拟6.2.10合规检查[6.3收集安全流程数据(如技术和行政)]6.3.6灾难恢复(DR)和业务持续(BC)[6.4分析测试输出并生成报告]6.4.1补救措施6.4.2异常处理6.4.3道德披露 知识域7：安全运营[7.1理解并遵守调查]7.1.5制品(如计算机、网络和移动设备)[7.2实施记录和持续监测活动]7.2.5日志管理7.2.6 威胁情报(如威胁源、威胁狩猎)7.2.7用户和实体行为分析(UEBA)[7.7操作和维护检测和预防措施]7.7.8基于机器学习和人工智能(AI)的工具[7.11实施灾难恢复(DR)流程]7.11.7经验教训 知识域8：软件研发安全[8.2在软件研发生态系统中识别并实施安全控制措施]8.2.1编程语言8.2.2库8.2.3工具集8.2.5运行时间8.2.6持续集成和持续交付(CI/CD)8.2.7安全编排、自动化和响应(SOAR)8.2.10应用程序安全测试，如静态应用程序安全测试(SAST)、动态应用程序安全测试(DAST)[8.4评估收购软件的安全影响]8.4.1商用现货(COTS)8.4.2开源8.4.3第三方8.4.4托管服务，如软件即服务(SaaS)、基础架构即服务(IaaS)和平台即服务(PaaS)[8.5定义并实施安全编码指南和标准]8.5.4软件定义安全
注意，这些目标中的部分内容在之前(2018年)版本的CBK中是隐性的，在第8版中已有所涉及。事实上，这些目标现在是明确的，这表明在考试和实践中都变得越来越重要(在准备考试时，请特别注意这些)。总之，与上一版相比，第9版有显著不同且有所改进，相信考生会表示认同。再次感谢考生对CISSP第9版书籍的关注。

显示全部信息

相关推荐