推薦序一　xvii 推薦序二　xix 對(duì)本書(shū)的贊譽(yù)　xxi 序一　xxiii 序二　xxv 前言　xxvii 第 一部分　入門(mén)資料 第 1章　安全性與可靠性的交集　3 1.1　從密碼和電鉆談起　3 1.2　可靠性與安全性：設(shè)計(jì)注意事項(xiàng)　4 1.3　機(jī)密性、完整性、可用性　5 1.3.1　機(jī)密性　5 1.3.2　完整性　5 1.3.3　可用性　6 1.4　可靠性與安全性：共性　6 1.4.1　隱形　6 1.4.2　評(píng)估　7 1.4.3　簡(jiǎn)潔性　7 1.4.4　演變　7 1.4.5　彈性　8 1.4.6　從設(shè)計(jì)到生產(chǎn)　9 1.4.7　調(diào)查系統(tǒng)和日志　9 1.4.8　危機(jī)響應(yīng)　9 1.4.9　恢復(fù)　10 1.5　小結(jié)　10 第 2章　了解攻擊者　11 2.1　攻擊者動(dòng)機(jī)　12 2.2　攻擊者畫(huà)像　13 2.2.1　業(yè)余愛(ài)好者　13 2.2.2　漏洞研究人員　13 2.2.3　黑客活動(dòng)家　14 2.2.4　犯罪分子　14 2.2.5　自動(dòng)化和人工智能　15 2.2.6　內(nèi)部人員　15 2.3　攻擊者方法論　19 2.3.1　威脅情報(bào)　19 2.3.2　網(wǎng)絡(luò)殺傷鏈　20 2.3.3　TTP　20 2.4　風(fēng)險(xiǎn)評(píng)估注意事項(xiàng)　21 2.5　小結(jié)　21 第二部分　設(shè)計(jì)系統(tǒng) 第3章　示例分析：安全代理　25 3.1　生產(chǎn)環(huán)境中的安全代理　25 3.2　Google工具代理　27 3.3　小結(jié)29 第4章　設(shè)計(jì)中的權(quán)衡　30 4.1　設(shè)計(jì)目標(biāo)和要求　31 4.1.1　特性需求　31 4.1.2　非功能性需求　31 4.1.3　功能與涌現(xiàn)特性　32 4.1.4　案例：Google的設(shè)計(jì)文檔　33 4.2　需求平衡　34 4.3　處理緊張局勢(shì)和統(tǒng)一目標(biāo)　37 4.3.1　案例：微服務(wù)和Google Web應(yīng)用程序框架　37 4.3.2　統(tǒng)一涌現(xiàn)特性的需求　39 4.4　初始速度和持續(xù)速度　39 4.5　小結(jié)　41 第5章　最小特權(quán)設(shè)計(jì)　42 5.1　概念和術(shù)語(yǔ)　43 5.1.1　最小特權(quán)　43 5.1.2　零信任網(wǎng)絡(luò)　43 5.1.3　零接觸　43 5.2　基于風(fēng)險(xiǎn)的訪問(wèn)分類(lèi)　43 5.3　最佳實(shí)踐　44 5.3.1　API功能最小化　45 5.3.2　Breakglass機(jī)制　47 5.3.3　審計(jì)　47 5.3.4　測(cè)試和最小特權(quán)　49 5.3.5　診斷被拒絕的訪問(wèn)　50 5.3.6　優(yōu)雅失敗和Breakglass機(jī)制　51 5.4　工作案例：配置分發(fā)　51 5.4.1　基于OpenSSH實(shí)現(xiàn)的POSIX API　52 5.4.2　軟件更新API　52 5.4.3　自定義OpenSSH ForceCommand　53 5.4.4　自定義HTTP接收器（邊車(chē)）　53 5.4.5　自定義HTTP接收器（內(nèi)置）　53 5.4.6　權(quán)衡取舍　53 5.5　一種用于認(rèn)證和授權(quán)決策的策略框架　54 5.5.1　使用高級(jí)授權(quán)控件　55 5.5.2　投入廣泛使用的授權(quán)框架　55 5.5.3　避免潛在的陷阱　56 5.6　高級(jí)控制　56 5.6.1　MPA　56 5.6.2　3FA　57 5.6.3　業(yè)務(wù)依據(jù)　58 5.6.4　臨時(shí)訪問(wèn)　59 5.6.5　代理　59 5.7　權(quán)衡和沖突　59 5.7.1　增加了安全復(fù)雜性　60 5.7.2　對(duì)合作商及公司文化的影響　60 5.7.3　影響安全性的質(zhì)量數(shù)據(jù)和系統(tǒng)　60 5.7.4　對(duì)用戶(hù)工作效率的影響　60 5.7.5　對(duì)開(kāi)發(fā)復(fù)雜性的影響　60 5.8　小結(jié)　61 第6章　面向易理解性的設(shè)計(jì)　62 6.1　為什么易理解性很重要　62 6.1.1　系統(tǒng)不變量　63 6.1.2　分析不變量　64 6.1.3　心智模型　65 6.2　設(shè)計(jì)易理解的系統(tǒng)　65 6.2.1　復(fù)雜性與易理解性　65 6.2.2　分解復(fù)雜性　66 6.2.3　集中負(fù)責(zé)安全性和可靠性需求　67 6.3　系統(tǒng)架構(gòu)　67 6.3.1　易于理解的接口規(guī)范　68 6.3.2　易于理解的身份、認(rèn)證和訪問(wèn)控制　69 6.3.3　安全邊界　74 6.4　軟件設(shè)計(jì)　78 6.4.1　使用應(yīng)用程序框架滿足服務(wù)需求　78 6.4.2　理解復(fù)雜的數(shù)據(jù)流　79 6.4.3　考慮API的可用性　81 6.5　小結(jié)　83 第7章　適應(yīng)變化的設(shè)計(jì)　84 7.1　安全變更的類(lèi)型　85 7.2　變更中的設(shè)計(jì)　85 7.3　讓發(fā)布更容易的架構(gòu)決策　86 7.3.1　讓依賴(lài)項(xiàng)保持最新并頻繁重建86 7.3.2　用自動(dòng)化測(cè)試讓發(fā)布更頻繁86 7.3.3　使用容器　87 7.3.4　使用微服務(wù)　87 7.4　不同的變更：不同的速度與不同的時(shí)間線　89 7.4.1　短期變更：零日漏洞　90 7.4.2　中期變更：改善安全態(tài)勢(shì)　92 7.4.3　長(zhǎng)期變更：外部需求　94 7.5　難點(diǎn)：計(jì)劃調(diào)整　96 7.6　不斷擴(kuò)大的范圍：心臟滴血漏洞　97 7.7　小結(jié)　98 第8章　彈性設(shè)計(jì)　99 8.1　彈性設(shè)計(jì)原則　100 8.2　縱深防御　100 8.2.1　特洛伊木馬　100 8.2.2　Google App Engine分析　102 8.3　控制降級(jí)　104 8.3.1　區(qū)分故障成本　105 8.3.2　部署響應(yīng)機(jī)制　107 8.3.3　負(fù)責(zé)任的自動(dòng)化　109 8.4　控制爆炸半徑　111 8.4.1　角色分離　112 8.4.2　位置分離　113 8.4.3　時(shí)間分離　115 8.5　故障域和冗余　115 8.5.1　故障域　116 8.5.2　組件類(lèi)型　117 8.5.3　控制冗余　119 8.6　持續(xù)驗(yàn)證　120 8.6.1　驗(yàn)證關(guān)鍵區(qū)域　121 8.6.2　驗(yàn)證實(shí)踐　122 8.7　實(shí)踐建議：著手點(diǎn)　124 8.8　小結(jié)　125 第9章　面向恢復(fù)性的設(shè)計(jì)　127 9.1　要恢復(fù)什么　128 9.1.1　隨機(jī)錯(cuò)誤　128 9.1.2　意外錯(cuò)誤　128 9.1.3　軟件錯(cuò)誤　128 9.1.4　惡意行為　129 9.2　恢復(fù)機(jī)制的設(shè)計(jì)原則　129 9.2.1　面向快速恢復(fù)的設(shè)計(jì)（受政策監(jiān)督）　129 9.2.2　限制對(duì)外部時(shí)間觀念的依賴(lài)　132 9.2.3　回滾所代表的安全性和可靠性間的權(quán)衡　133 9.2.4　使用顯式吊銷(xiāo)機(jī)制　139 9.2.5　了解精確到字節(jié)的預(yù)期狀態(tài)　142 9.2.6　面向測(cè)試和持續(xù)驗(yàn)證的設(shè)計(jì)　145 9.3　緊急訪問(wèn)　146 9.3.1　訪問(wèn)控制　147 9.3.2　通信　148 9.3.3　響應(yīng)人員的習(xí)慣　148 9.4　預(yù)期外的收益　149 9.5　小結(jié)　149 第 10章　緩解拒絕服務(wù)攻擊　150 10.1　攻守雙方的策略　150 10.1.1　攻方的策略　151 10.1.2　守方的策略　152 10.2　面向防御的設(shè)計(jì)　152 10.2.1　具有防御能力的架構(gòu)　152 10.2.2　使服務(wù)具備防護(hù)能力　154 10.3　緩解攻擊　154 10.3.1　監(jiān)控與告警　154 10.3.2　優(yōu)雅降級(jí)　155 10.3.3　DoS防護(hù)系統(tǒng)　155 10.3.4　有策略的響應(yīng)　156 10.4　應(yīng)對(duì)源于服務(wù)本身的“攻擊”　157 10.4.1　用戶(hù)行為　157 10.4.2　客戶(hù)端重試行為　158 10.5　小結(jié)　159 第三部分　實(shí)現(xiàn)系統(tǒng) 第 11章　案例分析：設(shè)計(jì)、實(shí)現(xiàn)和維護(hù)一個(gè)受信任的公共CA　163 11.1　受信任的公共CA的背景　163 11.2　為什么需要受信任的公共CA　164 11.3　自建還是購(gòu)買(mǎi)CA　165 11.4　設(shè)計(jì)、開(kāi)發(fā)和維護(hù)過(guò)程中的考慮　165 11.4.1　選擇編程語(yǔ)言　166 11.4.2　復(fù)雜與簡(jiǎn)明　166 11.4.3　保護(hù)第三方和開(kāi)源組件　167 11.4.4　測(cè)試　167 11.4.5　CA密鑰材料的彈性　168 11.4.6　數(shù)據(jù)驗(yàn)證　168 11.5　小結(jié)　169 第 12章　編寫(xiě)代碼　170 12.1　框架級(jí)安全性和可靠性保證措施　171 12.1.1　使用框架的好處.172 12.1.2　案例：用于創(chuàng)建RPC后端的框架　172 12.2　常見(jiàn)安全漏洞　176 12.2.1　SQL注入漏洞：TrustedSqlString　177 12.2.2　預(yù)防XSS漏洞：SafeHtml　178 12.3　評(píng)估和構(gòu)建框架的經(jīng)驗(yàn)　179 12.3.1　用于常見(jiàn)任務(wù)的簡(jiǎn)單、安全、可靠的庫(kù)　180 12.3.2　部署策略　181 12.4　簡(jiǎn)潔性有助于提升代碼的安全性和可靠性　182 12.4.1　避免多層嵌套　182 12.4.2　消除YAGNI類(lèi)代碼　183 12.4.3　償還技術(shù)債務(wù)　184 12.4.4　重構(gòu)　184 12.5　默認(rèn)安全性和可靠性　185 12.5.1　選擇合適的工具　185 12.5.2　使用強(qiáng)類(lèi)型　186 12.5.3　檢查代碼.188 12.6　小結(jié)　189 第 13章　代碼測(cè)試　190 13.1　單元測(cè)試　190 13.1.1　編寫(xiě)有效的單元測(cè)試　191 13.1.2　編寫(xiě)單元測(cè)試的時(shí)機(jī)　191 13.1.3　單元測(cè)試對(duì)代碼的影響　192 13.2　集成測(cè)試　193 13.3　動(dòng)態(tài)程序分析　194 13.4　模糊測(cè)試　197 13.4.1　模糊引擎的工作原理　197 13.4.2　編寫(xiě)有效的模糊測(cè)試驅(qū)動(dòng)程序　200 13.4.3　示例fuzzer　201 13.4.4　持續(xù)模糊測(cè)試　204 13.5　靜態(tài)程序分析　205 13.5.1　自動(dòng)代碼檢查工具　205 13.5.2　如何將靜態(tài)分析集成至開(kāi)發(fā)工作流中　209 13.5.3　抽象解釋　211 13.5.4　形式化方法　213 13.6　小結(jié)　213 第 14章　部署代碼　214 14.1　概念和術(shù)語(yǔ)　214 14.2　威脅建�！�216 14.3　最佳實(shí)踐　217 14.3.1　強(qiáng)制做代碼審查　217 14.3.2　依賴(lài)自動(dòng)化　218 14.3.3　驗(yàn)證工件，而不僅僅是人　218 14.3.4　將配置視為代碼.219 14.4　基于威脅建模做安全加固　220 14.5　高級(jí)緩解策略　222 14.5.1　二進(jìn)制文件來(lái)源　222 14.5.2　基于來(lái)源的部署策略　224 14.5.3　可驗(yàn)證的構(gòu)建　225 14.5.4　部署阻塞點(diǎn)　230 14.5.5　部署后驗(yàn)證　231 14.6　實(shí)用建議　232 14.6.1　一步步來(lái)　232 14.6.2　提供可操作的錯(cuò)誤消息　233 14.6.3　確保來(lái)源信息明確　233 14.6.4　創(chuàng)建明確的策略　233 14.6.5　引入Breakglass機(jī)制　234 14.7　重溫基于威脅建模部署安全措施　234 14.8　小結(jié)　234 第 15章　調(diào)查系統(tǒng)　235 15.1　從調(diào)試到調(diào)查　236 15.1.1　案例：臨時(shí)文件　236 15.1.2　調(diào)試技巧　237 15.1.3　當(dāng)陷入困境時(shí)該怎么辦　243 15.1.4　協(xié)同調(diào)試：一種教學(xué)方法　246 15.1.5　安全調(diào)查與系統(tǒng)調(diào)試間的差異　246 15.2　收集恰當(dāng)、有用的日志　247 15.2.1　將日志設(shè)計(jì)為不可變的　248 15.2.2　考慮隱私要素　249 15.2.3　確定要保留哪些安全相關(guān)的日志　249 15.2.4　日志記錄成本　252 15.3　可靠、安全的調(diào)試訪問(wèn)　253 15.3.1　可靠性　253 15.3.2　安全性　253 15.4　小結(jié)　254 第四部分　維護(hù)系統(tǒng) 第 16章　防災(zāi)規(guī)劃　257 16.1　“災(zāi)難”的定義　257 16.2　動(dòng)態(tài)災(zāi)難響應(yīng)策略　258 16.3　災(zāi)難風(fēng)險(xiǎn)分析　259 16.4　建立事件響應(yīng)團(tuán)隊(duì)　259 16.4.1　確定團(tuán)隊(duì)成員和角色　260 16.4.2　制訂團(tuán)隊(duì)章程　261 16.4.3　建立嚴(yán)重性和優(yōu)先級(jí)模型　262 16.4.4　確定與IR團(tuán)隊(duì)合作的運(yùn)營(yíng)參數(shù)　262 16.4.5　制訂響應(yīng)計(jì)劃　263 16.4.6　創(chuàng)建詳細(xì)的行動(dòng)手冊(cè)　264 16.4.7　確保訪問(wèn)和更新機(jī)制就位　264 16.5　在事件發(fā)生前預(yù)先安排系統(tǒng)和人員　264 16.5.1　配置系統(tǒng)　265 16.5.2　培訓(xùn)　265 16.5.3　流程和程序　266 16.6　測(cè)試系統(tǒng)和響應(yīng)計(jì)劃　266 16.6.1　審計(jì)自動(dòng)化系統(tǒng)　267 16.6.2　開(kāi)展非侵入式桌面演練.267 16.6.3　在生產(chǎn)環(huán)境中測(cè)試響應(yīng)　268 16.6.4　紅隊(duì)測(cè)試　270 16.6.5　評(píng)估響應(yīng)　270 16.7　Google的案例　271 16.7.1　具有全球影響的測(cè)試　271 16.7.2　DiRT演習(xí)測(cè)試緊急訪問(wèn)　271 16.7.3　行業(yè)級(jí)漏洞　271 16.8　小結(jié)　272 第 17章　危機(jī)管理　273 17.1　是否存在危機(jī)　274 17.1.1　事件分診　274 17.1.2　入侵與缺陷　275 17.2　指揮事件　276 17.2.1　第 一步：不要驚慌　276 17.2.2　開(kāi)展響應(yīng)　277 17.2.3　組建自己的事件團(tuán)隊(duì)　277 17.2.4　OpSec　278 17.2.5　犧牲好的OpSec實(shí)踐換取更大的利益　280 17.2.6　調(diào)查過(guò)程　280 17.3　控制事件　283 17.3.1　并行處理事件　283 17.3.2　移交　284 17.3.3　士氣　286 17.4　溝通　287 17.4.1　誤解　287 17.4.2　拐彎抹角　287 17.4.3　會(huì)議　288 17.4.4　讓合適的人了解合適的細(xì)節(jié)　289 17.5　整合回顧　290 17.5.1　分診　290 17.5.2　宣布事件　290 17.5.3　溝通和OpSec　290 17.5.4　開(kāi)始處理事件　291 17.5.5　移交　291 17.5.6　交還事件調(diào)查工作　291 17.5.7　準(zhǔn)備溝通和補(bǔ)救　292 17.5.8　結(jié)束　292 17.6　小結(jié)　293 第 18章　恢復(fù)和善后　294 18.1　恢復(fù)調(diào)度　295 18.2　恢復(fù)時(shí)間線　296 18.3　恢復(fù)計(jì)劃　297 18.3.1　確定恢復(fù)范圍　297 18.3.2　恢復(fù)過(guò)程的考慮因素　298 18.3.3　恢復(fù)檢查清單　301 18.4　啟動(dòng)恢復(fù)　302 18.4.1　隔離資產(chǎn)　302 18.4.2　系統(tǒng)恢復(fù)和軟件升級(jí)　303 18.4.3　數(shù)據(jù)過(guò)濾　304 18.4.4　恢復(fù)數(shù)據(jù)　304 18.4.5　更換憑據(jù)和密鑰　305 18.6　恢復(fù)之后　306 18.7　示例　308 18.7.1　被入侵的云實(shí)例　308 18.7.2　大規(guī)模釣魚(yú)攻擊　309 18.7.3　需要復(fù)雜恢復(fù)工作的、有針對(duì)性的攻擊　310 18.8　小結(jié)　311 第五部分　組織與文化 第 19章　案例研究：Chrome安全團(tuán)隊(duì)　315 19.1　背景和團(tuán)隊(duì)發(fā)展史　315 19.2　安全是團(tuán)隊(duì)的職責(zé)　317 19.3　幫助用戶(hù)安全地瀏覽Web頁(yè)面　318 19.4　速度很重要　319 19.5　設(shè)計(jì)縱深防御機(jī)制　319 19.6　保持透明，讓社區(qū)參與進(jìn)來(lái)　320 19.7　小結(jié)　320 第 20章　理解角色和責(zé)任　321 20.1　誰(shuí)為安全性和可靠性負(fù)責(zé)　322 20.1.1　專(zhuān)家的作用　322 20.1.2　了解安全專(zhuān)業(yè)知識(shí)　324 20.1.3　資格認(rèn)證和學(xué)術(shù)教育　325 20.2　將安全性整合到組織中　325 20.2.1　嵌入安全人員和安全團(tuán)隊(duì)　327 20.2.2　案例：Google的嵌入式安全　327 20.2.3　特殊的團(tuán)隊(duì)：藍(lán)隊(duì)和紅隊(duì)　329 20.2.4　外部研究者　330 20.3　小結(jié)　332 第 21章　建立安全可靠的文化　333 21.1　定義健康的安全性和可靠性文化　334 21.1.1　默認(rèn)的安全性和可靠性文化　334 21.1.2　評(píng)審文化　335 21.1.3　意識(shí)文化　336 21.1.4　說(shuō)“是”的文化　339 21.1.5　接受必然性的文化　340 21.1.6　可持續(xù)發(fā)展文化　340 21.2　通過(guò)最佳實(shí)踐改變文化　342 21.2.1　對(duì)齊項(xiàng)目目標(biāo)和激勵(lì)參與者　342 21.2.2　通過(guò)風(fēng)險(xiǎn)規(guī)避機(jī)制減少恐懼　343 21.2.3　使安全兜底措施成為常態(tài)　344 21.2.4　提高生產(chǎn)力和可用性　344 21.2.5　多溝通，保持透明　345 21.2.6　懷抱同理心　346 21.3　說(shuō)服領(lǐng)導(dǎo)層　347 21.3.1　了解決策過(guò)程　347 21.3.2　為變革立案　348 21.3.3　選擇自己的戰(zhàn)場(chǎng)　349 21.3.4　升級(jí)和問(wèn)題解決　349 21.4　小結(jié)　350 總結(jié)　351 附錄　災(zāi)難風(fēng)險(xiǎn)評(píng)估矩陣　353 作者介紹　355 封面介紹　355