網絡安全設計權威指南 Engineering Trustworthy Systems: Get Cybersecurity Design Right the First Time

三十年來，O. Sami Saydjari先生一直是網絡安全領域富有遠見卓識的思想領袖，為DARPA(美國國防部高級研究計劃局)、NSA(美國國家安全局)和NASA(美國國家航空航天局)等關鍵部門工作。

Sami已經發表了十多篇具有里程碑意義的安全論文，就網絡安全政策為美國政府提供諮詢，並通過CNN、PBS、ABC、《紐約時報》《金融時報》《華爾街日報》和《時代》雜誌等主流媒體訪談提升大眾的安全意識。

目錄

第I部分什麼是真正的網絡安全？

第1章問題之所在 3
1.1 建立在信任基礎上的安全設計 4
1.1.1 什麼是信任？4
1.1.2 信任與信心 5
1.1.3 工程 6
1.1.4 為什麼需要信任？6
1.2 運營視角：基本問題 6
1.2.1 組織是否受到攻擊？8
1.2.2 攻擊的本質是什麼？9
1.2.3 到目前為止，攻擊目標系統的影響是什麼？10
1.2.4 潛在的攻擊目標系統影響是什麼？11
1.2.5 攻擊是什麼時候開始的？11
1.2.6 誰在攻擊？12
1.2.7 攻擊者的目標是什麼？12
1.2.8 攻擊者的下一步行動是什麼？13
1.2.9 組織能做些什麼？13
1.2.10 組織的選擇有哪些？每個安全選項的防禦效果如何？13
1.2.11 組織的緩解措施將如何影響業務運營？14
1.2.12 組織今後該如何更好地保護自己？14
1.3 網絡空間效應的不對稱性14
1.3.1 維度15
1.3.2 非線性15
1.3.3 耦合15
1.3.4 速度16
1.3.5 表現形式16
1.3.6 可檢測性16
1.4 網絡安全解決方案17
1.4.1 信息保障科學與工程18
1.4.2 防禦機制18
1.4.3 網絡傳感器與漏洞利用18
1.4.4 網絡態勢認知19
1.4.5 網絡驅動19
1.4.6 網絡指揮與控制19
1.4.7 網絡防禦戰略20
1.5 預防和治療的成本效益考慮20
1.6 小結20
1.7 問題21

第2章正確思考網絡安全23
2.1 關於風險23
2.2 網絡安全的權衡：性能和功能24
2.2.1 用戶友好度25
2.2.2 上市時間26
2.2.3 員工士氣26
2.2.4 商機流失27
2.2.5 機會成本27
2.2.6 服務或產品數量27
2.2.7 服務或產品質量28
2.2.8 服務或產品成本29
2.2.9 有限的資源29
2.3 安全理論來源於不安全理論29
2.4 攻擊者虎視眈眈，伺機而動30
2.5 自上而下和自下而上30
2.6 網絡安全是現場演奏樂隊，而不是錄製儀器31
2.7 小結32
2.8 問題32

第3章價值和目標系統33

第4章危害：目標系統處於危險之中45

第5章抽象、模型和現實57

第II部分攻擊帶來什麼問題？

第6章敵對者：了解組織的敵人79

第7章攻擊森林101

第II I 部分緩解風險的構建塊

第8章安全對策：安全控制措施115

第9章可信賴的硬件：基石137

第10章密碼術：鋒利而脆弱的工具147

第11章身份驗證165

第12章授權173

第13章檢測基本原理195

第14章檢測系統205

第15章檢測策略223

第16章威懾和對抗性風險237
16.1 威懾的要求237
16.1.1 可靠的檢測：暴露的風險237
16.1.2 可靠地歸屬238
16.1.3 有意義的後果239
16.2 所有敵對者都有風險閾值240
16.3 系統設計可改變敵對者的風險240
16.3.1 檢測概率240
16.3.2 歸屬概率241
16.3.3 讓敵對者付出代價的能力和概率241
16.3.4 報復能力和概率241
16.3.5 喜歡冒險的程度241
16.4 不確定性和欺騙242
16.4.1 不確定性242
16.4.2 欺騙242
16.5 什麼情況下檢測和威懾無效242
16.6 小結244
16.7 問題244

第IV部分如何協調網絡安全？

第17章網絡安全風險評估249
17.1 定量風險評估實例249
17.2 風險作為主要指標250
17.3 為什麼要度量？250
17.3.1 特徵化251
17.3.2 評估251
17.3.3 預測252
17.3.4 改善253
17.4 從攻擊者的價值角度評估防禦253
17.5 風險評估和度量在設計中的作用254
17.6 風險評估分析元素255
17.6.1 開發目標系統模型256
17.6.2 開發系統模型256
17.6.3 開發敵對者模型256
17.6.4 選擇代表性的戰略攻擊目標257
17.6.5 基於群體智慧估算危害258
17.6.6 基於群體智慧估算概率259
17.6.7 選擇代表子集260
17.6.8 開發深度攻擊樹261
17.6.9 估算葉概率併計算根概率262
17.6.10 細化基線預期危害264
17.6.11 獲取攻擊序列割集=>風險來源265
17.6.12 從攻擊序列推斷攻擊緩解候選方案266
17.7 攻擊者成本和風險檢測267
17.7.1 資源267
17.7.2 風險容忍度267
17.8 小結268
17.9 問題268

第18章風險緩解和優化271
18.1 制定候選緩解方案272
18.2 評估緩解方案的費用274
18.2.1 直接成本274
18.2.2 對目標系統的影響275
18.3 重新估算葉概率併計算根概率277
18.4 優化各種實際預算水平279
18.4.1 背包算法279
18.4.2 敏感性分析282
18.5 決定投資282
18.6 執行283
18.7 小結283
18.8 問題284

第19章工程基礎285
19.1 系統工程原理285
19.1.1 墨菲定律286
19.1.2 安全冗餘288
19.1.3 能量和風險守恆289
19.1.4 KISS原則290
19.1.5 開發流程290
19.1.6 增量開發和敏捷開發291
19.2 計算機科學原理292
19.2.1 模塊化和抽象292
19.2.2 層次化294
19.2.3 時間和空間複雜度：理解可擴展性295
19.2.4 關注重點：循環和局部性296
19.2.5 分治和遞歸297
19.3 小結298
19.4 問題299

第20章網絡安全架構設計301
20.1 訪問監測屬性301
20.1.1 功能正確性302
20.1.2 不可繞過性304
20.1.3 防篡改性304
20.2 簡化和最小化提升信心304
20.3 關注點和可擴展性分離305
20.4 安全策略流程305
20.4.1 策略規範306
20.4.2 策略決策307
20.4.3 策略執行308
20.5 可靠性和容錯309
20.5.1 網絡安全需要故障安全309
20.5.2 預期故障：使用隔板限制破壞309
20.5.3 容錯310
20.5.4 預防、檢測響應及容錯協同312
20.6 雲安全313
20.7 小結314
20.8 問題314

第21章確保網絡安全：正確處理317
21.1 沒有保證的網絡安全功能是不安全的317
21.2 應將網絡安全子系統視為關鍵系統318
21.3 形式化保證論證318
21.3.1 網絡安全需求319
21.3.2 形式化安全策略模型321
21.3.3 形式化概要規範321
21.3.4 關鍵安全子系統實施322
21.4 總體保證和組合323
21.4.1 組合323
21.4.2 可信賴性的依賴關係323
21.4.3 避免依賴關係循環324
21.4.4 小心輸入、輸出和依賴關係324
21.4.5 違反未陳述的假設條件325
21.5 小結325
21.6 問題326

第22章網絡態勢認知：發生了什麼329
22.1 態勢認知和指揮與控制的相互作用329
22.2 基於態勢的決策：OODA循環330
22.3 掌握攻擊的本質332
22.3.1 利用了哪些脆弱性(漏洞)？332
22.3.2 攻擊使用哪些路徑？332
22.3.3 路徑是否仍然開放？333
22.3.4 如何關閉滲入、滲出和傳播路徑？334
22.4 對目標系統的影響335
22.4.1 風險增加337
22.4.2 應急方案337
22.4.3 本質和位置指導防禦337
22.5 評估攻擊損失338
22.6 威脅評估339
22.7 防御狀態339
22.7.1 健康、壓力和脅迫339
22.7.2 狀態340
22.7.3 配置可控性340
22.7.4 進度與失敗341
22.8 動態防禦的有效性342
22.9 小結342
22.10 問題343

第23章指揮與控制：如何應對攻擊345

第V部分推進網絡安全

第24章戰略方針與投資369

第25章對網絡安全未來的思考379