信息安全测评与风险评估 Xin xi an quan ce ping yu feng xian ping gu

前 言 目 录 第1 章信息安全测评思想 序幕:何危最险? 要点:本章结束之后,读者应当了解和掌握 1.1 信息安全测评的科学精神 1.2 信息安全测评的科学方法 1.3 信息安全测评的贯标思想 1.4 信息安全标准化组织 1.4.1 国际标准化组织 1.4.2 国外标准化组织 1.4.3 国内标准化组织 1.5 本章小结 尾声:三位旅行者 观感 第2 章信息安全测评方法 序幕:培根的《新工具》 要点:本章结束之后,读者应当了解和掌握 2.1 为何测评 2.1.1 信息系统安全等级保护标准与TCSEC 2.1.2 中国的计算机安全等级保护标准 2.1.3 安全域 2.2 何时测评 2.3 测评什么 2.3.1 外网测评特点 2.3.2 内网测评特点 2.4 谁来测评 委托测评队伍 2.5 如何准备测评 2.6 怎样测评 2.6.1 测评案例——“天网”工程 2.6.2 启动“天网”测评 2.7 本章小结 尾声:比《新工具》更新的是什么? 观感 第3 章数据安全测评技术 序幕:谜已解,史可鉴 要点:本章结束之后,读者应当了解和掌握 3.1 数据安全测评的诸方面 3.2 数据安全测评的实施 3.2.1 数据安全访谈调研 1.数据完整性访谈 2.数据保密性访谈 3.数据备份与恢复访谈 问卷调查表的设计 3.2.2 数据安全现场检查 1.数据完整性检查 2.数据保密性检查 3.数据备份与恢复检查 3.2.3 数据安全测试 3.3 本章小结 尾声:窃之犹在! 观感 第4 章主机安全测评技术 序幕:第一代黑客 要点:本章结束之后,读者应当了解和掌握 4.1 主机安全测评的诸方面 4.2 主机安全测评的实施 4.2.1 主机安全访谈调研 1.主机身份鉴别访谈 2.主机安全审计访谈 3.主机剩余信息保护访谈 4.主机入侵防范访谈 5.主机恶意代码防范访谈 问卷调查表设计: 4.2.2 主机安全现场检查 1.主机身份鉴别现场检查 2.主机自主访问控制现场检查 3.主机的强制访问控制现场检查 4.安全审计现场检查 5.剩余信息保护现场检查 6.主机的入侵防范现场检查 7.主机的恶意代码现场检查 8.主机的资源控制现场检查 4.2.3 主机安全测试 1.身份鉴别测试 2.主机的自主访问控制测试 3.主机的强制访问控制测试 4.主机的安全审计测试 4.3 本章小结 尾声:可信赖的主体 观感 第5 章网络安全测评技术 序幕:围棋的智慧 要点:本章结束之后,读者应当了解和掌握 5.1 网络安全测评的诸方面 5.2 网络安全测评的实施 5.2.1 网络安全访谈调研 1.结构安全与网段划分访谈 2.网络访问控制访谈 3.拨号访问控制访谈 4.网络安全审计访谈 5.边界完整性访谈 6.网络入侵防范访谈 7.网络恶意代码防范访谈 8.网络设备防护访谈 问卷调查表设计 5.2.2 网络安全现场检查 1.结构安全与网段划分现场检查 2.网络访问控制现场检查 3.拨号访问控制现场检查 4.网络安全审计现场检查 5.边界完整性现场检查 6.网络入侵防范现场检查 7.恶意代码防范现场检查 8.网络设备防护现场检查 5.2.3 网络安全测试 1.网络访问控制测试 2.拨号访问控制测试 3.网络安全审计测试 4.边界完整性检查测试 5.网络入侵防范测试 6.网络设备防护测试 5.3 本章小结 尾声:墙、门、界 观感 第6 章应用安全测评技术 序幕:“机器会思考吗?” 要点:本章结束之后,读者应当了解和掌握 6.1 应用安全测评的诸方面 6.2 应用安全测评的实施 6.2.1 应用安全访谈调研 1.身份鉴别访谈 2.访问控制访谈 3.安全审计访谈 4.剩余信息保护访谈 5.通信完整性访谈 6.通信保密性访谈 7.抗抵赖访谈 8.软件容错访谈 9.资源控制访谈 问卷调查表设计 6.2.2 应用安全现场检查 1.身份鉴别现场检查 2.访问控制现场检查 3.安全审计现场检查 4.剩余信息保护现场检查 5.通信完整性现场检查 6.软件容错现场检查 7.资源控制现场检查 6.2.3 应用安全测试 1.身份鉴别测试 2.访问控制测试 3.安全审计测试 4.剩余信息保护测试 5.通信完整性测试 6.通信保密性测试 7.抗抵赖测试 8.软件容错性测试 9.资源控制测试 6.3 本章小结 尾声:史上最“万能”的机器 观感 第7 章资 产 识 别 序幕:伦敦大火启示录 要点:本章结束之后,读者应当了解和掌握 7.1 风险概述 7.2 资产识别的诸方面 7.2.1 资产分类 7.2.2 资产赋值 1.资产安全性赋值 2.资产重要性等级 7.3 资产识别案例分析 7.3.1 模拟案例背景简介 1.企业背景 2.业务战略 3.信息化目标 4.信息化组织机构 5.信息化建设概况 7.3.2 资产分类 1.信息环境资产 1)组织机构资产 2)管理制度资产 3)信息中心机房资产 2.公用信息载体资产 1)通信载体资产 2)安全防护资产 3.专属信息及信息载体资产——“兰芯”子系统 1)“兰芯”子系统边界识别 2)”兰芯”子系统业务流程描述 3)“兰芯”子系统专属信息载体资产 4)“兰芯”子系统软件资产 5)“兰芯”子系统数据资产 7.3.3 资产赋值 1.信息环境资产赋值 1)人员资产赋值 2)人员重要性等级赋值 3)管理制度资产赋值 4)管理制度重要性赋值 5)系统机房资产赋值 6)系统机房重要性赋值 2.公用信息载体资产赋值 1)网络设备资产赋值 2)网络设备资产重要性赋值 3)安全防护资产赋值 4)安全防护资产重要性赋值 3.专用信息及信息载体资产赋值——“兰芯”子系统资产赋值 1)“兰芯”子系统硬件资产赋值 2)“兰芯”子系统硬件资产重要性赋值 3)“兰芯”子系统软件资产赋值 4)“兰芯”子系统软件资产重要性赋值 5)“兰芯”子系统数据资产赋值——文档部分 6)“兰芯”子系统数据资产重要性赋值——文档部分 7)“兰芯”子系统数据资产赋值——IP地址部分 8)“兰芯”子系统数据资产重要性赋值——IP地址部分 7.3.4 资产识别输出报告 7.4 本章小结 尾声:我们究竟拥有什么? 观感 第8 章威 胁 识 别 序幕:威胁在哪里? 要点:本章结束之后,读者应当了解和掌握 8.1 威胁概述 1.外因和外部 2.真假和虚实 8.2 威胁识别的诸方面 8.2.1 威胁分类——植树和剪枝 8.2.2 威胁赋值——统计 8.3 威胁识别案例分析 8.3.1 “数字兰曦”威胁识别 1.“数字兰曦”威胁源概述 1)信息环境威胁识别——软环境威胁 2)信息环境威胁识别——硬环境威胁 2.公用信息载体威胁识别 1)通信设备威胁识别 2)安全防护设备威胁识别 3.专用信息及信息载体威胁识别 8.3.2 威胁识别输出报告 8.4 本章小结 尾声:在鹰隼盘旋的天空下 观感 第9 章脆弱性识别 序幕:永恒的阿基里斯之踵 要点:本章结束之后,读者应当了解和掌握 9.1 脆弱性概述 1.绝对和相对 2.技术和管理 3.点和面 9.2 脆弱性识别的诸方面 9.2.1 脆弱性发现 9.2.2 脆弱性分类 9.2.3 脆弱性验证 9.2.4 脆弱性赋值 9.3 脆弱性识别案例分析 1.网络脆弱性 2.主机系统脆弱性 3.应用系统脆弱性 4.管理脆弱性 9.3.1 信息环境脆弱性识别 1.软环境脆弱性识别——管理脆弱性 2.软环境脆弱性识别——人员脆弱性 3.硬环境脆弱性识别 9.3.2 公用信息载体脆弱性识别 1.网络平台配置脆弱性 2.公用信息载体脆弱性 3.专用信息及信息载体脆弱性识别——“兰芯”子系统 9.3.3 脆弱性仿真验证 1.“兰芯”子系统“空口令”漏洞仿真实验 1)实验案例描述 2)仿真实验平台描述 3)仿真实验预期结果描述 4)仿真实验步骤 5)攻击行为特征描述 6)仿真实验总结 2.Apache Tomcat 目录和文件暴露漏洞的仿真验证 1)仿真实验案例描述 2)实验平台描述 3)仿真实验预期结果描述 4)仿真实验步骤 5)攻击行为特征描述 6)实验总结 3.大模块编码HTTP所造成的阻断服务仿真实验 1)仿真实验案例描述 2)实验平台描述 3)仿真实验预期结果描述 4)仿真实验步骤 5)攻击行为特征描述 6)仿真实验总结 4.mod_rewrite模块缓冲区溢出漏洞仿真实验 1)仿真实验案例描述 2)仿真实验平台描述 3)仿真实验预期结果描述 4)仿真实验步骤 5)攻击行为特征描述 6)仿真实验总结 9.3.4 脆弱性识别输出报告 9.4 本章小结 尾声:木马歌 观感 第10章 风险分析 序幕:烽火的演变 要点:本章结束之后,读者应当了解和掌握 10.1 风险分析概述 1.风险分析和风险评估 2.风险分析和风险管理 10.2 风险计算 1.计算安全事件发生的可能性 2.计算安全事件发生后的损失 3.计算风险值R 10.2.1 相乘法原理 10.2.2 风险值计算示例 10.3 风险定级 10.4 风险控制 10.5 残余风险 10.6 风险评估案例分析 10.6.1 信息环境风险计算 10.6.2 人员资产风险计算 10.6.3 管理制度风险计算 10.6.4 机房风险计算 10.6.5 信息环境风险统计 10.6.6 公用信息载体风险计算 1.通信载体风险计算 2.安全防护设备风险计算 3.公用信息载体风险统计 10.6.7 专用信息及信息载体的风险计算 10.6.8 风险计算报告 10.6.9 风险控制示例 1.数据安全风险控制措施 2.应用安全风险控制措施 3.主机安全风险控制措施 4.“兰芯”子系统残余风险分析 10.6.10 风险控制计划 10.7 本章小结 尾声:“勇敢”的反面是什么 观感 第11 章应 急 响 应 序幕:虚拟社会的消防队 要点:本章结束之后,读者应当了解和掌握 11.1 应急响应概述 1.应急响应和应急响应计划 2.应急响应和风险评估 11.2 应急响应计划 11.2.1 应急响应计划的准备 11.2.2 应急响应计划制定中应注意的问题 1.通用性和特殊性 2.灵活性和规范性 3.可操作性和系统性 11.2.3 应急响应计划的制定 1.总则 2.角色及职责 3.预防和预警机制 4.应急响应流程 1)事件通告 2)事件定级 3)应急启动 4)应急处置 5)后期处置 5.应急响应保障措施 1)人员保障 2)物质保障 3)技术保障 6.附件 11.2.4 应急响应计划的培训、演练和更新 1.计划的培训 2.计划的演练 11.2.5 文档的保存、分发与维护 11.3 应急响应计划案例分析 11.3.1 南海大学信息安全应急响应计划示例 11.3.2 “南洋烽火计划” 1.总则 1)编制目的 2)编制依据 3)适用范围 4)工作原则 2.角色及职责 1)角色的划分及职责 2)外部协作 3.预防和预警机制 1)信息监测及报告 2)预警 3)预防机制 4.应急响应流程 1)事件通告 2)事件分类与定级 3)应急启动 4)应急处置 5)后期处置 5.应急响应保障措施 1)人力保障 2)物质保障 3)技术保障 6.计划的培训和演练 7.附件 附件A 南海大学信息安全应急响应工作机构 附件B 联系人清单表 附件C 重大信息安全事件报告表 附件D 重大信息安全事件应急响应结果报告表 附件E 重大信息安全事件应急响应演练方案——病毒事件应急演练 1)应急事件列表 2)发现应急事件 3)启动应急响应 4)应急事件处置 11.4 本章小结 尾声:如何变“惊慌失措”为“从容不迫” 观感 第12 章法律和法规 序幕:神话世界中需要秩序吗 要点:本章结束之后,读者应当了解和掌握 12.1 计算机犯罪概述 12.2 信息安全法律和法规简介 12.2.1 美国有关法律 1.美国联邦政府信息安全管理法案(The Federal Information Security Management Act FISMA) 2.美国《Sarbanes-Oxley法案》 3.美国《爱国者法案》(USA Patriot Act of 2001) 4.美国《计算机安全法案》(The computer Security Act of 1987) 5.美国《计算机诈骗和滥用法案》(Computer Fraud And Abuse Act of 1986) 6.美国《通信规范法案》(Communications Decency Act) 7.美国《隐私权法》(The Privacy Act) 8.美国《信息自由法案》(Freedom of information Act of 1966) 12.2.2 中国信息安全法律和法规的历史沿革 1.计算机系统安全阶段 《中华人民共和国计算机信息系统安全保护条例》简介 2.互联网安全与内容安全阶段 3.信息安全战略阶段 《中华人民共和国政府公开信息条例》简介 12.3 本章小结 尾声:从囚徒困境说起 观感 第13 章信息安全管理体系 序幕:武学的最高境界 要点:本章结束之后,读者应当了解和掌握 13.1 ISMS概述 13.2 ISMS主要内容 13.2.1 计划(Plan) 1.范围 2.方针 3.风险评估和管理 4.管理者授权实施和运行ISMS 5.适用性声明 6.ISMS文件要求——文件的作用 7.ISMS必备的文档 8.ISMS对管理者职责的要求 13.2.2 实施(Do) 13.2.3 检查(Check) 13.2.4 处置(Act) 13.3 本章小结 尾声:实力源于何处 观感 参 考 文 献 反侵权盗版声明