CISSP官方學習指南（第8版）

 
第1章  實現(xiàn)安全治理的原則和策略   1
1.1  理解和應用保密性、完整性及可用性的概念   1
1.1.1  保密性   2
1.1.2  完整性   3
1.1.3  可用性   4
1.1.4  其他安全概念   6
1.1.5  保護機制   8
1.1.6  分層   9
1.1.7  抽象   9
1.1.8  數(shù)據(jù)隱藏   9
1.1.9  加密   10
1.2  評估和應用安全治理原則   10
1.2.1  與業(yè)務戰(zhàn)略、目標、使命和宗旨相一致的安全功能   10
1.2.2  組織的流程   12
1.2.3  組織的角色與責任   16
1.2.4  安全控制框架   17
1.2.5  應盡關(guān)心和盡職審查   18
1.3  開發(fā)、記錄和實施安全策略、標準、程序和指南   18
1.3.1  安全策略   18
1.3.2  標準、基線和指南   19
1.3.3  程序   20
1.4  理解與應用威脅建模的概念和方法   21
1.4.1  識別威脅   22
1.4.2  確定和繪制潛在的攻擊   25
1.4.3  執(zhí)行簡化分析   26
1.4.4  優(yōu)先級排序和響應   26
1.5  將基于風險的管理理念應用到供應鏈   27
1.6  本章小結(jié)   28
1.7  考試要點   29
1.8  書面實驗   31
1.9  復習題   31
第2章  人員安全和風險管理的概念   35
2.1  人員安全策略和程序   36
2.1.1  候選人篩選及招聘   38
2.1.2  雇傭協(xié)議及策略   38
2.1.3  入職和離職程序   39
2.1.4  供應商、顧問和承包商的協(xié)議和控制   41
2.1.5  合規(guī)策略要求   42
2.1.6  隱私策略要求   42
2.2  安全治理   43
2.3  理解并應用風險管理理念   44
2.3.1  風險術(shù)語   45
2.3.2  識別威脅和脆弱性   46
2.3.3  風險評估/分析   47
2.3.4  風險響應   53
2.3.5  選擇與實施控制措施   54
2.3.6  適用的控制類型   56
2.3.7  安全控制評估   57
2.3.8  監(jiān)視和測量   57
2.3.9  資產(chǎn)估值與報告   57
2.3.10  持續(xù)改進   58
2.3.11  風險框架   59
2.4  建立和維護安全意識、教育和培訓計劃   60
2.5  管理安全功能   61
2.6  本章小結(jié)   62
2.7  考試要點   62
2.8  書面實驗   64
2.9  復習題   64
第3章  業(yè)務連續(xù)性計劃   68
3.1  業(yè)務連續(xù)性計劃簡介   68
3.2  項目范圍和計劃   69
3.2.1  業(yè)務組織分析   69
3.2.2  選擇BCP團隊   70
3.2.3  資源需求   71
3.2.4  法律和法規(guī)要求   72
3.3  業(yè)務影響評估   73
3.3.1  確定優(yōu)先級   74
3.3.2  風險識別   74
3.3.3  可能性評估   75
3.3.4  影響評估   76
3.3.5  資源優(yōu)先級排序   77
3.4  連續(xù)性計劃   77
3.4.1  策略開發(fā)   77
3.4.2  預備和處理   78
3.5  計劃批準和實施   79
3.5.1  計劃批準   79
3.5.2  計劃實施   79
3.5.3  培訓和教育   80
3.5.4  BCP文檔化   80
3.6  本章小結(jié)   83
3.7  考試要點   83
3.8  書面實驗   84
3.9  復習題   84
第4章  法律、法規(guī)和合規(guī)   88
4.1  法律的分類   88
4.1.1  刑法   89
4.1.2  民法   90
4.1.3  行政法   90
4.2  法律   90
4.2.1  計算機犯罪   91
4.2.2  知識產(chǎn)權(quán)   94
4.2.3  許可   97
4.2.4  進口/出口控制   98
4.2.5  隱私   98
4.3  合規(guī)   104
4.4  合同和采購   105
4.5  本章小結(jié)   105
4.6  考試要點   106
4.7  書面實驗   106
4.8  復習題   107
第5章  保護資產(chǎn)安全   110
5.1  資產(chǎn)識別和分類   110
5.1.1  定義敏感數(shù)據(jù)   111
5.1.2  定義數(shù)據(jù)分類   112
5.1.3  定義資產(chǎn)分類   114
5.1.4  確定數(shù)據(jù)的安全控制   114
5.1.5  理解數(shù)據(jù)狀態(tài)   115
5.1.6  管理信息和資產(chǎn)   116
5.1.7  數(shù)據(jù)保護方法   121
5.2  定義數(shù)據(jù)所有權(quán)   123
5.2.1  數(shù)據(jù)所有者   123
5.2.2  資產(chǎn)所有者   124
5.2.3  業(yè)務/任務所有者   124
5.2.4  數(shù)據(jù)使用者   125
5.2.5  管理員   127
5.2.6  托管員   127
5.2.7  用戶   128
5.2.8  保護隱私   128
5.3  使用安全基線   128
5.3.1  范圍界定和按需定制   129
5.3.2  選擇標準   129
5.4  本章小結(jié)   130
5.5  考試要點   130
5.6  書面實驗   131
5.7  復習題   131
第6章  密碼學和對稱密鑰算法   135
6.1  密碼學的歷史里程碑   135
6.1.1  凱撒密碼   136
6.1.2  美國南北戰(zhàn)爭   136
6.1.3  Ultra與Enigma   137
6.2  密碼學基本知識   137
6.2.1  密碼學的目標   137
6.2.2  密碼學的概念   139
6.2.3  密碼數(shù)學   140
6.2.4  密碼   144
6.3  現(xiàn)代密碼學   149
6.3.1  密碼密鑰   149
6.3.2  對稱密鑰算法   150
6.3.3  非對稱密鑰算法   151
6.3.4  散列算法   153
6.4  對稱密碼   154
6.4.1  數(shù)據(jù)加密標準   154
6.4.2  三重DES   155
6.4.3  國際數(shù)據(jù)加密算法   156
6.4.4  Blowfish   157
6.4.5  Skipjack   157
6.4.6  高級加密標準   157
6.4.7  對稱密鑰管理   158
6.5  密碼生命周期   160
6.6  本章小結(jié)   160
6.7  考試要點   161
6.8  書面實驗   162
6.9  復習題   162
第7章  PKI和密碼應用   166
7.1  非對稱密碼   166
7.1.1  公鑰和私鑰   167
7.1.2  RSA   167
7.1.3  El Gamal   169
7.1.4  橢圓曲線   169
7.2  散列函數(shù)   170
7.2.1  SHA   171
7.2.2  MD2   171
7.2.3  MD4   171
7.2.4  MD5   172
7.3  數(shù)字簽名   172
7.3.1  HMAC   173
7.3.2  數(shù)字簽名標準   174
7.4  公鑰基礎設施   174
7.4.1  證書   174
7.4.2  發(fā)證機構(gòu)   175
7.4.3  證書的生成和銷毀   176
7.5  非對稱密鑰管理   177
7.6  應用密碼學   178
7.6.1  便攜設備   178
7.6.2  電子郵件   179
7.6.3  Web應用程序   180
7.6.4  數(shù)字版權(quán)管理   182
7.6.5  聯(lián)網(wǎng)   185
7.7  密碼攻擊   187
7.8  本章小結(jié)   189
7.9  考試要點   190
7.10  書面實驗   191
7.11  復習題   191
第8章  安全模型、設計和能力的原則   195
8.1  使用安全設計原則實施和管理工程過程   195
8.1.1  客體和主體   196
8.1.2  封閉系統(tǒng)和開放系統(tǒng)   196
8.1.3  用于確保保密性、完整性和可用性的技術(shù)   197
8.1.4  控制   198
8.1.5  信任與保證   198
8.2  理解安全模型的基本概念   199
8.2.1  可信計算基   200
8.2.2  狀態(tài)機模型   201
8.2.3  信息流模型   201
8.2.4  非干擾模型   202
8.2.5  Take-Grant模型   202
8.2.6  訪問控制矩陣   203
8.2.7  Bell-LaPadula模型   204
8.2.8  Biba模型   206
8.2.9  Clark-Wilson模型   207
8.2.10  Brewer and Nash模型   208
8.2.11  Goguen-Meseguer模型   208
8.2.12  Sutherland模型   209
8.2.13  Graham-Denning模型   209
8.3  基于系統(tǒng)安全需求選擇控制措施   209
8.3.1  彩虹系列   210
8.3.2  TCSEC分類和所需功能   211
8.3.3  通用準則   214
8.3.4  行業(yè)和國際安全實施指南   217
8.3.5  認證和鑒定   217
8.4  理解信息系統(tǒng)的安全功能   219
8.4.1  內(nèi)存保護   219
8.4.2  虛擬化   220
8.4.3  可信平臺模塊   220
8.4.4  接口   220
8.4.5  容錯   221
8.5  本章小結(jié)   221
8.6  考試要點   221
8.7  書面實驗   222
8.8  復習題   222
第9章  安全漏洞、威脅和對策   226
9.1  評估和緩解安全漏洞   227
9.1.1  硬件   227
9.1.2  固件   241
9.2  基于客戶端的系統(tǒng)   242
9.2.1  applet   242
9.2.2  本地緩存   244
9.3  基于服務端的系統(tǒng)   245
9.4  數(shù)據(jù)庫系統(tǒng)安全   246
9.4.1  聚合   246
9.4.2  推理   246
9.4.3  數(shù)據(jù)挖掘和數(shù)據(jù)倉庫   247
9.4.4  數(shù)據(jù)分析   247
9.4.5  大規(guī)模并行數(shù)據(jù)系統(tǒng)   248
9.5  分布式系統(tǒng)和端點安全   248
9.5.1  基于云的系統(tǒng)和云計算   250
9.5.2  網(wǎng)格計算   253
9.5.3  對等網(wǎng)絡   253
9.6  物聯(lián)網(wǎng)   254
9.7  工業(yè)控制系統(tǒng)   255
9.8  評估和緩解基于Web系統(tǒng)的漏洞   255
9.9  評估和緩解移動系統(tǒng)的漏洞   259
9.9.1  設備安全   260
9.9.2  應用安全   263
9.9.3  BYOD關(guān)注點   264
9.10  評估和緩解嵌入式設備和信息物理系統(tǒng)的漏洞   267
9.10.1  嵌入式系統(tǒng)和靜態(tài)系統(tǒng)的示例   267
9.10.2  保護嵌入式和靜態(tài)系統(tǒng)的方法   268
9.11  基本安全保護機制   270
9.11.1  技術(shù)機制   270
9.11.2  安全策略和計算機架構(gòu)   272
9.11.3  策略機制   273
9.12  常見的架構(gòu)缺陷和安全問題   273
9.12.1  隱蔽通道   274
9.12.2  基于設計或編碼缺陷的攻擊和安全問題   274
9.12.3  編程   276
9.12.4  計時、狀態(tài)改變和通信中斷   277
9.12.5  技術(shù)和過程集成   277
9.12.6  電磁輻射   277
9.13  本章小結(jié)   278
9.14  考試要點   278
9.15  書面實驗   280
9.16  復習題   281
第10章  物理安全要求   284
10.1  站點與設施設計的安全原則   285
10.1.1  安全設施計劃   285
10.1.2  站點選擇   285
10.1.3  可見度   286
10.1.4  自然災害   286
10.1.5  設施設計   286
10.2  實現(xiàn)站點與設施安全控制   287
10.2.1  設備故障   288
10.2.2  配線間   288
10.2.3  服務器間與數(shù)據(jù)中心   290
10.2.4  介質(zhì)存儲設施   293
10.2.5  證據(jù)存儲   293
10.2.6  受限區(qū)與工作區(qū)安全   294
10.2.7  基礎設施與HVAC   295
10.2.8  火災預防、探測與消防   297
10.3  物理安全的實現(xiàn)與管理   300
10.3.1  邊界安全控制   300
10.3.2  內(nèi)部安全控制   303
10.4  本章小結(jié)   306
10.5  考試要點   307
10.6  書面實驗   309
10.7  復習題   309
第11章  安全網(wǎng)絡架構(gòu)和保護網(wǎng)絡組件   312
11.1  OSI模型   312
11.1.1  OSI模型的歷史   313
11.1.2  OSI功能   313
11.1.3  封裝/解封   314
11.1.4  OSI模型層次   315
11.2  TCP/IP模型   321
11.3  融合協(xié)議   334
11.4  無線網(wǎng)絡   336
11.4.1  保護無線接入點   336
11.4.2  保護SSID   338
11.4.3  進行現(xiàn)場調(diào)查   338
11.4.4  使用安全加密協(xié)議   339
11.4.5  天線放置   341
11.4.6  天線類型   342
11.4.7  調(diào)整功率電平控制   342
11.4.8  WPS   342
11.4.9  使用強制門戶   343
11.4.10  一般Wi-Fi安全程序   343
11.4.11  無線攻擊   344
11.5  安全網(wǎng)絡組件   346
11.5.1  網(wǎng)絡訪問控制   347
11.5.2  防火墻   347
11.5.3  端點安全   350
11.5.4  硬件的安全操作   351
11.6  布線、無線、拓撲、通信和
傳輸介質(zhì)技術(shù)   353
11.6.1  傳輸介質(zhì)   354
11.6.2  網(wǎng)絡拓撲   357
11.6.3  無線通信與安全   359
11.6.4  局域網(wǎng)技術(shù)   363
11.7  本章小結(jié)   366
11.8  考試要點   367
11.9  書面實驗   369
11.10  復習題   369
第12章  安全通信與網(wǎng)絡攻擊   373
12.1  網(wǎng)絡與協(xié)議安全機制   373
12.1.1  安全通信協(xié)議   374
12.1.2  身份驗證協(xié)議   374
12.2  語音通信的安全   375
12.2.1  VoIP   375
12.2.2  社會工程   376
12.2.3  欺騙與濫用   377
12.3  多媒體合作   378
12.3.1  遠程會議   379
12.3.2  即時通信   379
12.4  管理郵件安全   379
12.4.1  郵件安全目標   380
12.4.2  理解郵件安全問題   381
12.4.3  郵件安全解決方案   381
12.5  遠程訪問安全管理   383
12.5.1  遠程訪問安全計劃   385
12.5.2  撥號上網(wǎng)協(xié)議   386
12.5.3  中心化遠程身份驗證服務   386
12.6  虛擬專用網(wǎng)   387
12.6.1  隧道技術(shù)   387
12.6.2  VPN的工作機理   388
12.6.3  常用的VPN協(xié)議   388
12.6.4  虛擬局域網(wǎng)   390
12.7  虛擬化   391
12.7.1  虛擬軟件   391
12.7.2  虛擬化網(wǎng)絡   392
12.8  網(wǎng)絡地址轉(zhuǎn)換   392
12.8.1  私有IP地址   393
12.8.2  有狀態(tài)NAT   394
12.8.3  靜態(tài)與動態(tài)NAT   395
12.8.4  自動私有IP分配   395
12.9  交換技術(shù)   396
12.9.1  電路交換   396
12.9.2  分組交換   397
12.9.3  虛電路   397
12.10  WAN技術(shù)   398
12.10.1  WAN連接技術(shù)   399
12.10.2  撥號封裝協(xié)議   401
12.11  多種安全控制特征   401
12.11.1  透明性   402
12.11.2  驗證完整性   402
12.11.3  傳輸機制   402
12.12  安全邊界   403
12.13  防止或減輕網(wǎng)絡攻擊   403
12.13.1  DoS與DDoS   404
12.13.2  竊聽   404
12.13.3  假冒/偽裝   405
12.13.4  重放攻擊   405
12.13.5  修改攻擊   406
12.13.6  地址解析協(xié)議欺騙   406
12.13.7  DNS毒化、欺騙及劫持   406
12.13.8  超鏈接欺騙   407
12.14  本章小結(jié)   407
12.15  考試要點   409
12.16  書面實驗   410
12.17  復習題   410
第13章  管理身份和身份驗證   414
13.1  控制對資產(chǎn)的訪問   414
13.1.1  比較主體和客體   415
13.1.2  CIA 三性和訪問控制   416
13.1.3  訪問控制的類型   416
13.2  比較身份識別和身份驗證   418
13.2.1  身份注冊和證明   418
13.2.2  授權(quán)和問責   419
13.2.3  身份驗證因素   420
13.2.4  密碼   421
13.2.5  智能卡和令牌   423
13.2.6  生物識別技術(shù)   425
13.2.7  多因素身份驗證   428
13.2.8  設備驗證   429
13.2.9  服務身份驗證   429
13.3  實施身份管理   430
13.3.1  單點登錄   430
13.3.2  憑據(jù)管理系統(tǒng)   434
13.3.3  集成身份服務   434
13.3.4  管理會話   435
13.3.5  AAA協(xié)議   435
13.4  管理身份和訪問配置生命周期   437
13.4.1  訪問配置   437
13.4.2  賬戶審核   438
13.4.3  賬戶撤消   439
13.5  本章小結(jié)   439
13.6  考試要點   440
13.7  書面實驗   441
13.8  復習題   441
第14章  控制和監(jiān)控訪問   445
14.1  比較訪問控制模型   445
14.1.1  比較權(quán)限、權(quán)利和特權(quán)   445
14.1.2  理解授權(quán)機制   446
14.1.3  使用安全策略定義需求   447
14.1.4  實施縱深防御   447
14.1.5  總結(jié)訪問控制模型   448
14.1.6  自主訪問控制   449
14.1.7  非自主訪問控制   449
14.2  了解訪問控制攻擊   454
14.2.1  風險要素   454
14.2.2  識別資產(chǎn)   455
14.2.3  識別威脅   456
14.2.4  識別漏洞   457
14.2.5  常見的訪問控制攻擊   457
14.2.6  保護方法綜述   465
14.3  本章小結(jié)   467
14.4  考試要點   467
14.5  書面實驗   468
14.6  復習題   468
第15章  安全評估與測試   472
15.1  構(gòu)建安全評估和測試方案   473
15.1.1  安全測試   473
15.1.2  安全評估   474
15.1.3  安全審計   474
15.2     開展漏洞評估   476
15.2.1  漏洞描述   477
15.2.2  漏洞掃描   477
15.2.3  滲透測試   484
15.3  測試軟件      486
15.3.1  代碼審查與測試   486
15.3.2  接口測試   489
15.3.3  誤用例測試   489
15.3.4  測試覆蓋率分析   490
15.3.5  網(wǎng)站監(jiān)測   490
15.4  實施安全管理流程   491
15.4.1  日志審查   491
15.4.2  賬戶管理   491
15.4.3  備份驗證   492
15.4.4  關(guān)鍵績效和風險指標   492
15.5  本章小結(jié)   492
15.6  考試要點   493
15.7  書面實驗   494
15.8  復習題   494
第16章  安全運營管理   498
16.1  應用安全運營概念   498
16.1.1  知其所需和小特權(quán)   499
16.1.2  職責分離   500
16.1.3  崗位輪換   502
16.1.4  強制休假   503
16.1.5  特權(quán)賬戶管理   503
16.1.6  管理信息生命周期   504
16.1.7  服務水平協(xié)議   505
16.1.8  關(guān)注人員安全   506
16.2  安全配置資源   507
16.2.1  管理硬件和軟件資產(chǎn)   507
16.2.2  保護物理資產(chǎn)   508
16.2.3  管理虛擬資產(chǎn)   509
16.2.4  管理云資產(chǎn)   509
16.2.5  介質(zhì)管理   510
16.3  配置管理   513
16.3.1  基線   513
16.3.2  使用鏡像技術(shù)創(chuàng)建基線   513
16.4  變更管理   514
16.4.1  安全影響分析   516
16.4.2  版本控制   516
16.4.3  配置文檔   517
16.5  補丁管理和漏洞減少   517
16.5.1  系統(tǒng)管理   517
16.5.2  補丁管理   518
16.5.3  漏洞管理   519
16.5.4  常見的漏洞和風險   520
16.6  本章小結(jié)   521
16.7  考試要點   521
16.8  書面實驗   522
16.9  復習題   523
第17章  事件的預防和響應   526
17.1  事件響應管理   527
17.1.1  事件的定義   527
17.1.2  事件響應步驟   527
17.2  落實檢測和預防措施   532
17.2.1  基本預防措施   532
17.2.2  了解攻擊   533
17.2.3  入侵檢測和預防系統(tǒng)   540
17.2.4  具體預防措施   545
17.3  日志記錄、監(jiān)測和審計   553
17.3.1  日志記錄和監(jiān)測   553
17.3.2  出口監(jiān)測   559
17.3.3  效果評價審計   561
17.3.4  安全審計和審查   564
17.3.5  報告審計結(jié)果   564
17.4  本章小結(jié)   566
17.5  考試要點   567
17.6  書面實驗   569
17.7  復習題   570
第18章  災難恢復計劃   573
18.1  災難的本質(zhì)   574
18.1.1  自然災難   574
18.1.2  人為災難   577
18.2  理解系統(tǒng)恢復和容錯能力   580
18.2.1  保護硬盤驅(qū)動器   581
18.2.2  保護服務器   582
18.2.3  保護電源   583
18.2.4  受信恢復   583
18.2.5  服務質(zhì)量   584
18.3  恢復策略   585
18.3.1  確定業(yè)務單元的優(yōu)先順序   585
18.3.2  危機管理   586
18.3.3  應急通信   586
18.3.4  工作組恢復   586
18.3.5  可替代的工作站點   587
18.3.6  相互援助協(xié)議   590
18.3.7  數(shù)據(jù)庫恢復   590
18.4  恢復計劃開發(fā)   592
18.4.1  緊急事件響應   592
18.4.2  人員通知   593
18.4.3  評估   593
18.4.4  備份和離站存儲   593
18.4.5  軟件托管協(xié)議   596
18.4.6  外部通信   597
18.4.7  公用設施   597
18.4.8  物流和供應   597
18.4.9  恢復與還原的比較   597
18.5  培訓、意識與文檔記錄   598
18.6  測試與維護   599
18.6.1  通讀測試   599
18.6.2  結(jié)構(gòu)化演練   599
18.6.3  模擬測試   599
18.6.4  并行測試   599
18.6.5  完全中斷測試   599
18.6.6  維護   600
18.7  本章小結(jié)   600
18.8  考試要點   600
18.9  書面實驗   601
18.10  復習題   601
第19章  調(diào)查和道德   605
19.1  調(diào)查   605
19.1.1  調(diào)查的類型   606
19.1.2  證據(jù)   607
19.1.3  調(diào)查過程   610
19.2  計算機犯罪的主要類別   613
19.2.1  軍事和情報攻擊   613
19.2.2  商業(yè)攻擊   614
19.2.3  財務攻擊   614
19.2.4  恐怖攻擊   614
19.2.5  惡意攻擊   615
19.2.6  興奮攻擊   616
19.3  道德規(guī)范   616
19.3.1  (ISC)2的道德規(guī)范   616
19.3.2  道德規(guī)范和互聯(lián)網(wǎng)   617
19.4  本章小結(jié)   618
19.5  考試要點   618
19.6  書面實驗   619
19.7  復習題   619
第20章  軟件開發(fā)安全   623
20.1  系統(tǒng)開發(fā)控制概述   623
20.1.1  軟件開發(fā)   624
20.1.2  系統(tǒng)開發(fā)生命周期   628
20.1.3  生命周期模型   630
20.1.4  甘特圖與PERT   635
20.1.5  變更和配置管理   635
20.1.6  DevOps方法   636
20.1.7  應用編程接口   637
20.1.8  軟件測試   638
20.1.9  代碼倉庫   639
20.1.10  服務水平協(xié)議   639
20.1.11  軟件采購   640
20.2  創(chuàng)建數(shù)據(jù)庫和數(shù)據(jù)倉儲   640
20.2.1  數(shù)據(jù)庫管理系統(tǒng)的體系結(jié)構(gòu)   641
20.2.2  數(shù)據(jù)庫事務   643
20.2.3  多級數(shù)據(jù)庫的安全性   644
20.2.4  ODBC   646
20.2.5  NoSQL   646
20.3  存儲數(shù)據(jù)和信息   647
20.3.1  存儲器的類型   647
20.3.2  存儲器威脅   647
20.4  理解基于知識的系統(tǒng)   648
20.4.1  專家系統(tǒng)   648
20.4.2  機器學習   649
20.4.3  神經(jīng)網(wǎng)絡   649
20.4.4  安全性應用   649
20.5  本章小結(jié)   650
20.6  考試要點   650
20.7  書面實驗   651
20.8  復習題   651
第21章  惡意代碼和應用攻擊   654
21.1  惡意代碼   654
21.1.1  惡意代碼的來源   654
21.1.2  病毒   655
21.1.3  邏輯炸彈   659
21.1.4  特洛伊木馬   660
21.1.5  蠕蟲   661
21.1.6  間諜軟件與廣告軟件   662
21.1.7  零日(Zero-Day)攻擊   663
21.2  密碼攻擊   663
21.2.1  密碼猜測攻擊   663
21.2.2  字典攻擊   664
21.2.3  社會工程學   665
21.2.4  對策   666
21.3  應用程序攻擊   666
21.3.1  緩沖區(qū)溢出   666
21.3.2  檢驗時間到使用時間   667
21.3.3  后門   667
21.3.4  權(quán)限提升和rootkit   667
21.4  Web應用的安全性   668
21.4.1  跨站腳本   668
21.4.2  跨站請求偽造   669
21.4.3  SQL注入攻擊   669
21.5  偵察攻擊   671
21.5.1  IP探測   672
21.5.2  端口掃描   672
21.5.3  漏洞掃描   672
21.6  偽裝攻擊   673
21.6.1  IP欺騙   673
21.6.2  會話劫持   673
21.7  本章小結(jié)   673
21.8  考試要點   674
21.9  書面實驗   674
21.10  復習題   675
附錄A  書面實驗答案   678
附錄B  復習題答案   687