目 錄
第I部分 商 務 概 覽
第1章 Internet時代：電子商務 3
1.1 商務的演變 3
1.2 支付 5
1.2.1 貨幣 5
1.2.2 金融網絡 5
1.3 分布式計算：在商務前添加
“電子” 13
1.3.1 客戶機/服務器 13
1.3.2 網格計算 14
1.3.3 雲計算 15
1.3.4 雲安全 19
1.4 小結 28
第2章 移動商務 29
2.1 消費者電子設備 30
2.2 移動電話和移動商務 30
2.2.1 概述 30
2.2.2 移動商務與電子商務 33
2.2.3 移動狀態 38
2.3 移動技術 39
2.3.1 Carrier網絡 39
2.3.2 棧 41
2.4 小結 54
第3章 Web商務安全中的幾個重要
特性 55
3.1 機密性、完整性和可用性 55
3.1.1 機密性 55
3.1.2 完整性 56
3.1.3 可用性 57
3.2 可伸展性 57
3.2.1 黑盒可伸展性 58
3.2.2 白盒可伸展性(開放盒) 58
3.2.3 白盒可伸展性(玻璃盒) 59
3.2.4 灰盒可伸展性 60
3.3 故障耐受性 60
3.3.1 高可用性 61
3.3.2 電信網絡故障耐受性 61
3.4 互操作性 62
3.4.1 其他互操作性標準 62
3.4.2 互操作性測試 62
3.5 可維護性 63
3.6 可管理性 63
3.7 模塊性 64
3.8 可監測性 64
3.8.1 入侵檢測 65
3.8.2 滲透測試 66
3.8.3 危害分析 66
3.9 可操作性 67
3.9.1 保護資源和特權實體 67
3.9.2 Web商務可操作性控製
的分類 68
3.10 可移植性 68
3.11 可預測性 69
3.12 可靠性 69
3.13 普遍性 70
3.14 可用性 71
3.15 可擴展性 71
3.16 問責性 72
3.17 可審計性 73
3.18 溯源性 74
3.19 小結 75
第II部分 電子商務安全
第4章 電子商務基礎 79
4.1 為什麼電子商務安全很重要 79
4.2 什麼使係統更安全 80
4.3 風險驅動安全 81
4.4 安全和可用性 82
4.4.1 密碼的可用性 83
4.4.2 實用筆記 83
4.5 可擴展的安全 84
4.6 確保交易安全 84
4.7 小結 85
第5章 構件 87
5.1 密碼 87
5.1.1 密碼的作用 87
5.1.2 對稱加密係統 88
5.1.3 非對稱加密係統 96
5.1.4 數字簽名 100
5.1.5 隨機數生成 103
5.1.6 公共密鑰證書係統——數字
證書 105
5.1.7 數據保護 110
5.2 訪問控製 112
5.2.1 控製 112
5.2.2 訪問控製模型 113
5.3 係統硬化 114
5.3.1 服務級安全 114
5.3.2 主機級安全 125
5.3.3 網絡安全 128
5.4 小結 140
第6章 係統組件 141
6.1 身份認證 141
6.1.1 用戶身份認證 141
6.1.2 網絡認證 144
6.1.3 設備認證 146
6.1.4 API認證 146
6.1.5 過程驗證 148
6.2 授權 149
6.3 不可否認性 149
6.4 隱私權 150
6.4.1 隱私權政策 150
6.4.2 與隱私權有關的法律和指導
原則 151
6.4.3 歐盟原則 151
6.4.4 衛生保健領域的隱私權
問題 152
6.4.5 隱私權偏好平颱 152
6.4.6 電子監控 153
6.5 信息安全 154
6.6 數據和信息分級 156
6.6.1 信息分級的好處 156
6.6.2 信息分級概念 157
6.6.3 數據分類 160
6.6.4 Bell-LaPadula模型 161
6.7 係統和數據審計 162
6.7.1 Syslog 163
6.7.2 SIEM 164
6.8 縱深防禦 166
6.9 最小特權原則 168
6.10 信任 169
6.11 隔離 170
6.11.1 虛擬化 170
6.11.2 沙箱 171
6.11.3 IPSec域隔離 171
6.12 安全政策 171
6.12.1 高級管理政策聲明 172
6.12.2 NIST政策歸類 172
6.13 通信安全 173
6.14 小結 175
第7章 安全檢查 177
7.1 驗證安全的工具 177
7.1.1 脆弱性評估和威脅分析 179
7.1.2 使用Snort進行入侵檢測
和預防 180
7.1.3 使用Nmap進行網絡掃描 181
7.1.4 Web應用程序調查 183
7.1.5 漏洞掃描 187
7.1.6 滲透測試 189
7.1.7 無綫偵察 191
7.2 小結 194
第8章 威脅和攻擊 197
8.1 基本定義 198
8.1.1 目標 198
8.1.2 威脅 198
8.1.3 攻擊 199
8.1.4 控製 199
8.1.5 同源策略 199
8.2 常見的Web商務攻擊 200
8.2.1 遭破壞的驗證和會話管理
攻擊 200
8.2.2 跨站點請求僞造攻擊 201
8.2.3 跨站點腳本攻擊 204
8.2.4 DNS劫持攻擊 207
8.2.5 不限製URL訪問攻擊 208
8.2.6 注入漏洞 208
8.2.7 不充分的傳輸層保護攻擊 211
8.2.8 不安全的密碼存儲攻擊 211
8.2.9 不安全的直接對象引用
攻擊 212
8.2.10 釣魚和垃圾郵件攻擊 212
8.2.11 Rootkit及其相關攻擊 213
8.2.12 安全配置錯誤攻擊 213
8.2.13 未經驗證的重定嚮和引導
攻擊 214
8.3 小結 214
第9章 認證 215
9.1 認證與鑒定 215
9.2 標準和相關指南 217
9.2.1 可信計算機係統評價
標準 217
9.2.2 通用標準ISO/IEC 15408 218
9.2.3 防禦信息保證認證和鑒定
流程 218
9.2.4 管理和預算辦公室A-130
通報 219
9.2.5 國傢信息保證認證和鑒定
流程(NIACAP) 220
9.2.6 聯邦信息安全管理法案
(FISMA) 222
9.2.7 聯邦信息技術安全評估
框架 222
9.2.8 FIPS 199 223
9.2.9 FIPS 200 223
9.2.10 補充指南 224
9.3 相關標準機構和組織 225
9.3.1 耶利哥城論壇 225
9.3.2 分布式管理任務組 225
9.3.3 國際標準化組織/國際
電工委員會 226
9.3.4 歐洲電信標準協會 228
9.3.5 全球網絡存儲工業協會 228
9.3.6 開放Web應用程序安全
項目 229
9.3.7 NIST SP 800-30 231
9.4 認證實驗室 232
9.4.1 軟件工程中心軟件保證
實驗室 232
9.4.2 SAIC 233
9.4.3 國際計算機安全協會
實驗室 233
9.5 係統安全工程能力成熟度
模型 233
9.6 驗證的價值 236
9.6.1 何時重要 236
9.6.2 何時不重要 236
9.7 證書類型 237
9.7.1 通用標準 237
9.7.2 萬事達信用卡閤規和安全
測試 237
9.7.3 EMV 237
9.7.4 其他評價標準 239
9.7.5 NSA 240
9.7.6 FIPS 140認證和NIST 241
9.8 小結 241
附錄A 計算基礎 243
附錄B 標準化和管理機構 269
附錄C 術語錶 285
附錄D 參考文獻 339
· · · · · · (收起)