CISSP 官方學習指南, 8/e ((ISC)2 CISSP Certified Information Systems Security Professional Official Study Guide, 8/e)

第1章 實現安全治理的原則和策略
1.1 理解和應用保密性、完整性及可用性的概念
1.1.1 保密性
1.1.2 完整性
1.1.3 可用性
1.1.4 其他安全概念
1.1.5 保護機制
1.1.6 分層
1.1.7 抽象
1.1.8 數據隱藏
1.1.9 加密
1.2 評估和應用安全治理原則
1.2.1 與業務戰略、目標、使命和宗旨相一致的安全功能
1.2.2 組織的流程
1.2.3 組織的角色與責任
1.2.4 安全控制框架
1.2.5 應盡關心和盡職審查
1.3 開發、記錄和實施安全策略、標準、程序和指南
1.3.1 安全策略
1.3.2 標準、基線和指南
1.3.3 程序
1.4 理解與應用威脅建模的概念和方法
1.4.1 識別威脅
1.4.2 確定和繪製潛在的攻擊
1.4.3 執行簡化分析
1.4.4 優先級排序和響應
1.5 將基於風險的管理理念應用到供應鏈
1.6 本章小結
1.7 考試要點
1.8 書面實驗
1.9 複習題

第2章 人員安全和風險管理的概念
2.1 人員安全策略和程序
2.1.1 候選人篩選及招聘
2.1.2 僱傭協議及策略
2.1.3 入職和離職程序
2.1.4 供應商、顧問和承包商的協議和控制
2.1.5 合規策略要求
2.1.6 隱私策略要求
2.2 安全治理
2.3 理解並應用風險管理理念
2.3.1 風險術語
2.3.2 識別威脅和脆弱性
2.3.3 風險評估/分析
2.3.4 風險響應
2.3.5 選擇與實施控制措施
2.3.6 適用的控制類型
2.3.7 安全控制評估
2.3.8 監視和測量
2.3.9 資產估值與報告
2.3.10 持續改進
2.3.11 風險框架
2.4 建立和維護安全意識、教育和培訓計劃
2.5 管理安全功能
2.6 本章小結
2.7 考試要點
2.8 書面實驗
2.9 複習題

第3章 業務連續性計劃
3.1 業務連續性計劃簡介
3.2 項目範圍和計劃
3.2.1 業務組織分析
3.2.2 選擇BCP團隊
3.2.3 資源需求
3.2.4 法律和法規要求
3.3 業務影響評估
3.3.1 確定優先級
3.3.2 風險識別
3.3.3 可能性評估
3.3.4 影響評估
3.3.5 資源優先級排序
3.4 連續性計劃
3.4.1 策略開發
3.4.2 預備和處理
3.5 計劃批准和實施
3.5.1 計劃批准
3.5.2 計劃實施
3.5.3 培訓和教育
3.5.4 BCP文檔化
3.6 本章小結
3.7 考試要點
3.8 書面實驗
3.9 複習題

第4章 法律、法規和合規
4.1 法律的分類
4.1.1 刑法
4.1.2 民法
4.1.3 行政法
4.2 法律
4.2.1 計算機犯罪
4.2.2 知識產權
4.2.3 許可
4.2.4 進口/出口控制
4.2.5 隱私
4.3 合規
4.4 合同和採購
4.5 本章小結
4.6 考試要點
4.7 書面實驗
4.8 複習題

第5章 保護資產安全
5.1 資產識別和分類
5.1.1 定義敏感數據
5.1.2 定義數據分類
5.1.3 定義資產分類
5.1.4 確定數據的安全控制
5.1.5 理解數據狀態
5.1.6 管理信息和資產
5.1.7 數據保護方法
5.2 定義數據所有權
5.2.1 數據所有者
5.2.2 資產所有者
5.2.3 業務/任務所有者
5.2.4 數據使用者
5.2.5 管理員
5.2.6 託管員
5.2.7 用戶
5.2.8 保護隱私
5.3 使用安全基線
5.3.1 範圍界定和按需定制
5.3.2 選擇標準
5.4 本章小結
5.5 考試要點
5.6 書面實驗
5.7 複習題

第6章 密碼學和對稱密鑰算法
6.1 密碼學的歷史里程碑
6.1.1 凱撒密碼
6.1.2 美國南北戰爭
6.1.3 Ultra與Enigma
6.2 密碼學基本知識
6.2.1 密碼學的目標
6.2.2 密碼學的概念
6.2.3 密碼數學
6.2.4 密碼
6.3 現代密碼學
6.3.1 密碼密鑰
6.3.2 對稱密鑰算法
6.3.3 非對稱密鑰算法
6.3.4 散列算法
6.4 對稱密碼
6.4.1 數據加密標準
6.4.2 三重DES
6.4.3 國際數據加密算法
6.4.4 Blowfish
6.4.5 Skipjack
6.4.6 高級加密標準
6.4.7 對稱密鑰管理
6.5 密碼生命週期
6.6 本章小結
6.7 考試要點
6.8 書面實驗
6.9 複習題

第7章 PKI和密碼應用
7.1 非對稱密碼
7.1.1 公鑰和私鑰
7.1.2 RSA
7.1.3 El Gamal
7.1.4 橢圓曲線
7.2 散列函數
7.2.1 SHA
7.2.2 MD2
7.2.3 MD4
7.2.4 MD5
7.3 數字簽名
7.3.1 HMAC
7.3.2 數字簽名標準
7.4 公鑰基礎設施
7.4.1 證書
7.4.2 發證機構
7.4.3 證書的生成和銷毀
7.5 非對稱密鑰管理
7.6 應用密碼學
7.6.1 便攜設備
7.6.2 電子郵件
7.6.3 Web應用程序
7.6.4 數字版權管理
7.6.5 聯網
7.7 密碼攻擊
7.8 本章小結
7.9 考試要點
7.10 書面實驗
7.11 複習題

第8章 安全模型、設計和能力的原則
8.1 使用安全設計原則實施和管理工程過程
8.1.1 客體和主體
8.1.2 封閉系統和開放系統
8.1.3 用於確保保密性、完整性和可用性的技術
8.1.4 控制
8.1.5 信任與保證
8.2 理解安全模型的基本概念
8.2.1 可信計算基
8.2.2 狀態機模型
8.2.3 信息流模型
8.2.4 非干擾模型
8.2.5 Take-Grant模型
8.2.6 訪問控制矩陣
8.2.7 Bell-LaPadula模型
8.2.8 Biba模型
8.2.9 Clark-Wilson模型
8.2.10 Brewer and Nash模型
8.2.11 Goguen-Meseguer模型
8.2.12 Sutherland模型
8.2.13 Graham-Denning模型
8.3 基於系統安全需求選擇控制措施
8.3.1 彩虹系列
8.3.2 TCSEC分類和所需功能
8.3.3 通用準則
8.3.4 行業和國際安全實施指南
8.3.5 認證和鑑定
8.4 理解信息系統的安全功能
8.4.1 內存保護
8.4.2 虛擬化
8.4.3 可信平台模塊
8.4.4 接口
8.4.5 容錯
8.5 本章小結
8.6 考試要點
8.7 書面實驗
8.8 複習題

第9章 安全漏洞、威脅和對策
9.1 評估和緩解安全漏洞
9.1.1 硬件
9.1.2 固件
9.2 基於客戶端的系統
9.2.1 applet
9.2.2 本地緩存
9.3 基於服務端的系統
9.4 數據庫系統安全
9.4.1 聚合
9.4.2 推理
9.4.3 數據挖掘和數據倉庫
9.4.4 數據分析
9.4.5 大規模並行數據系統
9.5 分佈式系統和端點安全
9.5.1 基於雲的系統和雲計算
9.5.2 網格計算
9.5.3 對等網絡
9.6 物聯網
9.7 工業控制系統
9.8 評估和緩解基於Web系統的漏洞
9.9 評估和緩解移動系統的漏洞
9.9.1 設備安全
9.9.2 應用安全
9.9.3 BYOD關注點
9.10 評估和緩解嵌入式設備和信息物理系統的漏洞
9.10.1 嵌入式系統和靜態系統的示例
9.10.2 保護嵌入式和靜態系統的方法
9.11 基本安全保護機制
9.11.1 技術機制
9.11.2 安全策略和計算機架構
9.11.3 策略機制
9.12 常見的架構缺陷和安全問題
9.12.1 隱蔽通道
9.12.2 基於設計或編碼缺陷的攻擊和安全問題
9.12.3 編程
9.12.4 計時、狀態改變和通信中斷
9.12.5 技術和過程集成
9.12.6 電磁輻射
9.13 本章小結
9.14 考試要點
9.15 書面實驗
9.16 複習題

第10章 物理安全要求
10.1 站點與設施設計的安全原則
10.1.1 安全設施計劃
10.1.2 站點選擇
10.1.3 可見度
10.1.4 自然災害
10.1.5 設施設計
10.2 實現站點與設施安全控制
10.2.1 設備故障
10.2.2 配線間
10.2.3 服務器間與數據中心
10.2.4 介質存儲設施
10.2.5 證據存儲
10.2.6 受限區與工作區安全
10.2.7 基礎設施與HVAC
10.2.8 火災預防、探測與消防
10.3 物理安全的實現與管理
10.3.1 邊界安全控制
10.3.2 內部安全控制
10.4 本章小結
10.5 考試要點
10.6 書面實驗
10.7 複習題

第11章 安全網絡架構和保護網絡組件
11.1 OSI模型
11.1.1 OSI模型的歷史
11.1.2 OSI功能
11.1.3 封裝/解封
11.1.4 OSI模型層次
11.2 TCP/IP模型
11.3 融合協議
11.4 無線網絡
11.4.1 保護無線接入點
11.4.2 保護SSID
11.4.3 進行現場調查
11.4.4 使用安全加密協議
11.4.5 天線放置
11.4.6 天線類型
11.4.7 調整功率電平控制
11.4.8 WPS
11.4.9 使用強制門戶
11.4.10 一般Wi-Fi安全程序
11.4.11 無線攻擊
11.5 安全網絡組件
11.5.1 網絡訪問控制
11.5.2 防火牆
11.5.3 端點安全
11.5.4 硬件的安全操作
11.6 佈線、無線、拓撲、通信和傳輸介質技術
11.6.1 傳輸介質
11.6.2 網絡拓撲
11.6.3 無線通信與安全
11.6.4 局域網技術
11.7 本章小結
11.8 考試要點
11.9 書面實驗
11.10 複習題

第12章 安全通信與網絡攻擊
12.1 網絡與協議安全機制
12.1.1 安全通信協議
12.1.2 身份驗證協議
12.2 語音通信的安全
12.2.1 VoIP
12.2.2 社會工程
12.2.3 欺騙與濫用
12.3 多媒體合作
12.3.1 遠程會議
12.3.2 即時通信
12.4 管理郵件安全
12.4.1 郵件安全目標
12.4.2 理解郵件安全問題
12.4.3 郵件安全解決方案
12.5 遠程訪問安全管理
12.5.1 遠程訪問安全計劃
12.5.2 撥號上網協議
12.5.3 中心化遠程身份驗證服務
12.6 虛擬專用網
12.6.1 隧道技術
12.6.2 VPN的工作機理
12.6.3 常用的VPN協議
12.6.4 虛擬局域網
12.7 虛擬化
12.7.1 虛擬軟件
12.7.2 虛擬化網絡
12.8 網絡地址轉換
12.8.1 私有IP地址
12.8.2 有狀態NAT
12.8.3 靜態與動態NAT
12.8.4 自動私有IP分配
12.9 交換技術
12.9.1 電路交換
12.9.2 分組交換
12.9.3 虛電路
12.10 WAN技術
12.10.1 WAN連接技術
12.10.2 撥號封裝協議
12.11 多種安全控制特徵
12.11.1 透明性
12.11.2 驗證完整性
12.11.3 傳輸機制
12.12 安全邊界
12.13 防止或減輕網絡攻擊
12.13.1 DoS與DDoS
12.13.2 竊聽
12.13.3 假冒/偽裝
12.13.4 重放攻擊
12.13.5 修改攻擊
12.13.6 地址解析協議欺騙
12.13.7 DNS毒化、欺騙及劫持
12.13.8 超鏈接欺騙
12.14 本章小結
12.15 考試要點
12.16 書面實驗
12.17 複習題

第13章 管理身份和身份驗證
13.1 控制對資產的訪問
13.1.1 比較主體和客體
13.1.2 CIA三性和訪問控制
13.1.3 訪問控制的類型
13.2 比較身份識別和身份驗證
13.2.1 身份註冊和證明