由瑞士大衛(wèi)·貝森、帕特里克·沙勒和邁克爾· 施萊普菲兒所合*的《信息安全實(shí)用教程》一書共8 章，**章介紹基本安全原理的背景知識(shí)，第二章介紹實(shí)驗(yàn)所需的VirtualBox環(huán)境，第三章到第五章是網(wǎng)絡(luò)和操作系統(tǒng)安全，第六、七章是Web應(yīng)用安全和證書，第八章是風(fēng)險(xiǎn)分析。該書有4個(gè)附錄：附錄A-B詳細(xì)介紹項(xiàng)目作業(yè)的需求文檔和報(bào)告格式；附錄C簡(jiǎn)要介紹Linux和實(shí)驗(yàn)需要的各種實(shí)用程序；附錄D用于幫助對(duì)Linux類系統(tǒng)使用經(jīng)驗(yàn)較少的讀者。
第1章 安全原則
1.1 目標(biāo)
1.2 問(wèn)題情境
1.3 原則
1.3.1 簡(jiǎn)單性
1.3.2 開放式設(shè)計(jì)
1.3.3 分隔
1.3.4 最小泄露量
1 3.5 最小權(quán)限
1.3.6 最小信任和最大可信性
1.3.7 安全與安全默認(rèn)值
1.3.8 完全仲裁
1.3.9 無(wú)單點(diǎn)故障
1.3.10 可追蹤性
1.3.11 生成秘密
1.3.12 可用性
1.4 討論
1.5 作業(yè)
1.6 練習(xí)
第2章 虛擬環(huán)境
2.1 目標(biāo)
2.2 VirtualBox
2.2.1 安裝新的虛擬機(jī)
2.2.2 網(wǎng)絡(luò)
2.3 實(shí)驗(yàn)室環(huán)境
2.4 安裝虛擬機(jī)
2.4.1 安裝主機(jī)alice
2.4.2 安裝主機(jī)bob
2.4.3 安裝主機(jī)mallet
第3章 網(wǎng)絡(luò)服務(wù)
3.1 目標(biāo)
3.2 網(wǎng)絡(luò)背景知識(shí)
3.2.1 網(wǎng)絡(luò)層
3.2.2 傳輸層
3.3 攻擊者的視角
3.3.1 信息收集
3.3.2 查找潛在漏洞
3.3.3 利用漏洞
3.3.4 易受攻擊的配置
3.4 管理員的視角
3.5 應(yīng)采取的行動(dòng)
3.5.1 禁用服務(wù)
3.5.2 限制服務(wù)
3.6 練習(xí)
第4章 身份認(rèn)證與訪問(wèn)控制
4.1 目標(biāo)
4.2 身份認(rèn)證
4.2.1 Telnet和遠(yuǎn)程Shell
4.2.2 安全Shell
4.3 用戶ID和權(quán)限
4.3.1 文件訪問(wèn)權(quán)限
4.3.2 Setuid和Setgid
4.4 shell腳本安全
4.4.1 符號(hào)鏈接
4.4.2 臨時(shí)文件
4.4.3 環(huán)境
4.4.4 數(shù)據(jù)驗(yàn)證
4.5 配額
4.6 改變根
4.7 練習(xí)
第5章 日志和日志分析
5.1 目標(biāo)
5.2 登錄機(jī)制和日志文件
5.2.1 遠(yuǎn)程登錄
5.3 登錄的問(wèn)題
5.3.1 篡改和真實(shí)性
5.3.2 防干擾登錄
5.3.3 輸入驗(yàn)證
5.3.4 循環(huán)
5.4 入侵檢測(cè)
5.4.1 日志分析
5.4.2 可疑文件和rootkits
5.4.3 完整性檢查
5.5 練習(xí)
第6章 網(wǎng)絡(luò)應(yīng)用安全
6.1 目標(biāo)
6.2 準(zhǔn)備工作
6.3 黑盒審計(jì)，
6.4 攻擊網(wǎng)絡(luò)應(yīng)用
6.4.1 Joomla！的遠(yuǎn)程文件上傳漏洞
6.4.2 遠(yuǎn)程命令執(zhí)行
6.4.3 SQL注入
6.4.4 特權(quán)提升
6.5 用戶身份驗(yàn)證和會(huì)話管理
6.5.1 基于PHP的認(rèn)證機(jī)制
6.5.2 HTTP基本認(rèn)證
6.5.3 基于cookie的會(huì)話管理
6.6 跨站腳本攻擊（XSS）
6.6.1 持久性跨站腳本攻擊
6.6.2 反射式跨站腳本攻擊
6.6.3 基于DOM的跨站腳本攻擊
6.7 SQL注入的再探討
6.8 安全套接層
6.9 拓展閱讀
6.10 練習(xí)
第7章 證書和公鑰口令學(xué)
7.1 目標(biāo)
7.2 公鑰口令學(xué)基礎(chǔ)
7.3 公鑰分發(fā)和證書
7.4 創(chuàng)建口令和證書
7.5 管理一個(gè)認(rèn)證中心
7.6 基于證書的客戶端身份認(rèn)證
7.7 練習(xí)
第8章 風(fēng)險(xiǎn)管理
8.1 目標(biāo)
8.2 風(fēng)險(xiǎn)和風(fēng)險(xiǎn)管理
8.3 風(fēng)險(xiǎn)分析的核心元素
8.4 風(fēng)險(xiǎn)分析：一種實(shí)現(xiàn)
8.4.1 系統(tǒng)描述
8.4.2 利益相關(guān)者
8.4.3 資產(chǎn)和脆弱性
8.4.4 脆弱性
8.4.5 威脅源
8.4.6 風(fēng)險(xiǎn)和對(duì)策
8.4.7 總結(jié)
附錄A 如何在實(shí)驗(yàn)課中使用本書
A.1 課程結(jié)構(gòu)
A.2 項(xiàng)目
附錄B 報(bào)告模板
B.1 系統(tǒng)特點(diǎn)
B.1.1 系統(tǒng)概述
B.1.2 系統(tǒng)功能
B.1.3 組件和子系統(tǒng)
B.1.4 界面
B.1.5 后門程序
B.1.6 其他材料
B.2 風(fēng)險(xiǎn)分析和安全措施
B.2.1 信息資產(chǎn)
B.2.2 威脅源
B.2.3 風(fēng)險(xiǎn)和對(duì)策
B.3 外部系統(tǒng)概述
B.3.1 背景
B.3.2 功能完備性
B.3.3 架構(gòu)和安全概念
B.3.4 實(shí)現(xiàn)
B.3.5 后門程序
B.3.6 對(duì)比
附錄C L,inux基礎(chǔ)知識(shí)和工具
C.1 系統(tǒng)文件
C.2 工具
C.2.1 變量
C.2.2 引號(hào)和通配符
C.2.3 流水線和反引號(hào)
C.2.4 ls，find和locate
C.2.5 wc，sort，uniq，head和tail
C.2.6 ps，pgrep，kill和killall
C.2.7 grep
C.2.8 awk和sed
C.2.9 Tcpdump
附錄D 問(wèn)題答案
參考文獻(xiàn)
索引
書單推薦
