網(wǎng)絡安全體系結構

第一部分 網(wǎng)絡安全基礎
第1章 網(wǎng)絡安全格言 
　1.1 網(wǎng)絡安全是一個系統(tǒng) 
　1.2 必須首先考慮商業(yè)的優(yōu)先級 
　1.3 網(wǎng)絡安全有助于良好的網(wǎng)絡設計 
　1.4 每樣東西都是目標 
　1.5 每樣東西都是武器 
　1.6 爭取操作簡單 
　1.7 良好的網(wǎng)絡安全要有預見性 
　1.8 通過隱匿避免安全風險 
　1.9 機密性不等同于安全 
　1.10 總結 
　1.11 參考資料 
　1.12 應用知識問題
第2章 安全策略與運行生命周期 
　2.1 網(wǎng)絡安全千金難買
　2.2 什么是安全策略 
　2.3 安全系統(tǒng)的開發(fā)與運行概述
　　2.3.1 安全系統(tǒng)的開發(fā) 
　　2.3.2 安全系統(tǒng)運行的生命周期
　2.4 總結 
　2.5 參考資料 
　2.6 應用知識問題 
第3章 安全聯(lián)網(wǎng)的威脅 
　3.1 攻擊過程
　3.2 攻擊者類型 
　　3.2.1 腳本小子 
　　3.2.2 解密者
　　3.2.3 精英
　3.3 弱點類型 
　　3.3.1 軟件弱點
　　3.3.2 硬件弱點 
　　3.3.3 配置弱點 
　　3.3.4 策略弱點 
　　3.3.5 使用弱點 
　3.4 攻擊結果 
　　3.4.1 信息泄密 
　　3.4.2 信息損壞 
　　3.4.3 拒絕服務 
　　3.4.4 服務被盜
　　3.4.5 訪問權增大 
　3.5 攻擊分類 
　　3.5.1 讀取攻擊 
　　3.5.2 操縱攻擊 
　　3.5.3 欺騙攻擊 
　　3.5.4 泛洪 
　　3.5.5 重定向 
　　3.5.6 混合型攻擊 
　3.6 總結 
　3.7 參考資料 
　3.8 應用知識問題 
第4章 網(wǎng)絡安全技術 
　4.1 安全聯(lián)網(wǎng)的難點
　4.2 安全技術 
　　4.2.1 身份識別技術 
　　4.2.2 主機和應用安全 
　　4.2.3 網(wǎng)絡防火墻 
　　4.2.4 內(nèi)容過濾 
　　4.2.5 網(wǎng)絡入侵檢測系統(tǒng) 
　　4.2.6 加密技術 
　4.3 新興安全技術 
　　4.3.1 混合主機解決方案 
　　4.3.2 在線（Inline）NIDS
　　4.3.3 應用防火墻 
　4.4 總結 
　4.5 參考資料 
　4.6 應用知識問題 
第二部分 設計安全網(wǎng)絡
第5章 設備安全強化 
　5.1 安全強化戰(zhàn)略的組成 
　　5.1.1 安全策略 
　　5.1.2 設備位置 
　　5.1.3 威脅配置文件 
　　5.1.4 功能需求 
　　5.1.5 管理需求 
　5.2 網(wǎng)絡設備 
　　5.2.1 路由器 
　　5.2.2 交換機 
　　5.2.3 防火墻 
　　5.2.4 NIDS 
　5.3 主機操作系統(tǒng) 
　　5.3.1 分區(qū)磁盤空間 
　　5.3.2 關閉不需要的服務 
　　5.3.3 為需要的服務打補丁 
　　5.3.4 記錄關鍵事件 
　5.4 應用程序 
　5.5 基于設備的網(wǎng)絡服務 
　5.6 無賴設備檢測 
　5.7 總結
　5.8 參考資料 
　5.9 應用知識問題 
第6章 常規(guī)設計考慮 
　6.1 物理安全問題 
　　6.1.1 控制對設施的物理訪問 
　　6.1.2 控制對數(shù)據(jù)中心的物理訪問
　　6.1.3 用于非安全位置的隔離身份識別機制 
　　6.1.4 防止非安全位置的密碼恢復機制 　
　　6.1.5 清楚線纜線路問題 
　　6.1.6 清楚電磁輻射問題 
　　6.1.7 清楚物理PC安全威脅 
　6.2 第2層安全考慮 
　　6.2.1 L2控制協(xié)議
　　6.2.2 MAC泛洪考慮 
　　6.2.3 VLAN跳轉考慮 
　　6.2.4 ARP考慮 
　　6.2.5 DHCP考慮 
　　6.2.6 專用VLAN 
　　6.2.7 L2最佳實踐推薦 
　6.3 IP尋址設計考慮 
　　6.3.1 通用最佳實踐和路由匯總 
　　6.3.2 入口/出口過濾 
　　6.3.3 NAT 
　　6.3.4 ICMP設計考慮 
　　6.3.5 ICMP消息類型過濾 
　6.4 路由選擇考慮 
　　6.4.1 路由選擇協(xié)議安全 
　　6.4.2 非對稱路由選擇和狀態(tài)敏感的安全技術 
　6.5 傳輸協(xié)議設計考慮 
　　6.6 DoS設計考慮 
　　6.6.1 網(wǎng)絡泛洪設計考慮 
　　6.6.2 TCP SYN泛洪設計考慮 
　　6.6.3 ICMP不可達DoS考慮 
　6.7 總結 
　6.8 參考資料 
　6.9 應用知識問題 
第7章 網(wǎng)絡安全平臺選項和最佳部署實踐 
　7.1 網(wǎng)絡安全平臺選項 
　　7.1.1 通用操作系統(tǒng)安全設備 
　　7.1.2 基于設備的安全設備 
　　7.1.3 網(wǎng)絡集成安全功能 
　　7.1.4 網(wǎng)絡安全平臺選項建議 
　7.2 網(wǎng)絡安全設備最佳實踐 
　　7.2.1 防火墻 
　　7.2.2 代理服務器/內(nèi)容過濾 
　7.2.3 NIDS 
　7.3 總結 
　7.4 參考資料 
　7.5 應用知識問題 
第8章 常用應用設計考慮 
　8.1 電子郵件 
　　8.1.1 基本的兩層（Two-Tier）電子郵件設計 
　　8.1.2 分布式兩層電子郵件設計 
　　8.1.3 訪問控制實例 
　　8.1.4 郵件應用設計推薦 
　8.2 DNS 
　　8.2.1 不要將你的DNS服務器放在同一處 
　　8.2.2 擁有多于一臺權威DNS服務器 
　　8.2.3 讓你的外部DNS服務器僅僅是非遞歸響應者 
　　8.2.4 提供受保護的內(nèi)部DNS服務器 
　　8.2.5 分隔外部和內(nèi)部DNS服務器提供的信息 
　　8.2.6 限制權威服務器的區(qū)域傳輸 
　　　8.2.7 DNS過濾案例學習 
　8.3 HTTP/HTTPS 
　　8.3.1 簡單Web設計 
　　8.3.2 兩層Web設計 
　　8.3.3 三層Web設計 
　8.4 FTP 
　　8.4.1 主動模式 
　　8.4.2 被動模式 
　8.5 即時消息 
　8.6 應用評估 
　8.7 總結 
　8.8 參考資料 
　8.9 應用知識問題 
第9章 身份識別設計考慮 
　9.1 基本身份識別概念 
　　9.1.1 設備身份識別與用戶身份識別 
　　9.1.2 網(wǎng)絡身份識別與應用身份識別 
　　9.1.3 你信任誰？ 
　　9.1.4 身份識別與認證、授權及記賬 
　　9.1.5 共享的身份識別 
　　9.1.6 加密身份識別考慮 　　
　9.2 身份識別類型 
　　9.2.1 物理訪問 
　　9.2.2 MAC地址 
　　9.2.3 IP地址 
　　9.2.4 第4層信息 
　　9.2.5 數(shù)字證書 
　　9.2.6 生物特征識別 
　　9.2.7 身份識別要素 
　9.3 身份識別在安全聯(lián)網(wǎng)中的角色 　
　9.4 身份識別技術指導方針 
　　9.4.1 AAA服務器設計指導方針 
　　9.4.2 802.1x/EAP身份識別設計指導方針 
　　9.4.3 基于網(wǎng)關的網(wǎng)絡認證 
　　9.4.4 PKI使用基礎 
　9.5 身份識別部署推薦 
　　9.5.1 設備到網(wǎng)絡 
　　9.5.2 用戶到網(wǎng)絡 
　　9.5.3 用戶到應用 
　9.6 總結 
　9.7 參考資料 
　9.8 應用知識問題 
第10章 IPsec VPN設計考慮 
　10.1 VPN基礎 
　10.2 IPsec VPN類型 
　　10.2.1 站點到站點VPN 
　　10.2.2 遠程用戶VPN 
　10.3 IPsec運行模式與安全選項 
　　10.3.1 IPsec的三個要素 
　　10.3.2 傳輸模式和隧道模式 
　　10.3.3 IPsec SA建立 
　　10.3.4 其他安全選項 
　10.4 拓撲考慮 
　　10.4.1 分割隧道 
　　10.4.2 拓撲選擇 
　　10.4.3 中心-分支型 
　10.5 設計考慮 
　　10.5.1 平臺選項 
　　10.5.2 身份識別和IPsec訪問控制 
　　10.5.3 第3層IPsec考慮 
　　10.5.4 分片和路徑最大傳輸單元發(fā)現(xiàn) 
　　10.5.5 VPN的防火墻和NIDS放置 
　　10.5.6 高可用性 
　　10.5.7 QoS 
　　10.5.8 IPsec廠商互操作性 
　10.6 站點到站點部署實例 
　　10.6.1 基本IPsec 
　　10.6.2 GRE + IPsec 
　　10.6.3 動態(tài)多點VPN 
　10.7 IPsec外包 
　　10.7.1 基于網(wǎng)絡管理的IPsec 
　　10.7.2 CPE管理的IPsec 
　10.8 總結 
　10.9 參考資料 
　10.10 應用知識問題 
第11章 支持技術設計考慮 
　11.1 內(nèi)容 
　　11.1.1 緩存 
　　11.1.2 內(nèi)容傳播與路由選擇 
　11.2 負載均衡 
　　　11.2.1 安全考慮 
　11.2. 服務器負載均衡 
　　　11.2.3 安全設備負載均衡 
　11.3 無線局域網(wǎng) 
　　11.3.1 一般考慮 
　　11.3.2 技術選項 
　　11.3.3 獨特的部署選項 
　　11.3.4 WLAN結論 
　11.4 IP電話 
　　11.4.1 安全考慮 
　　11.4.2 部署選項 
　　11.4.3 IP電話推薦 
　11.5 總結 
　11.6 參考資料 
　11.7 應用知識問題 
第12章 設計安全系統(tǒng) 
　12.1 網(wǎng)絡設計進階 
　　12.1.1 核心、分布、接入/邊界 
　　12.1.2 管理 
　12.2 安全系統(tǒng)概念 
　　12.2.1 信任域 
　　12.2.2 安全控制點 
　　12.2.3 安全角色：接入/邊界、分布、核心 
　12.3 網(wǎng)絡安全對整個設計的影響 
　　12.3.1 路由選擇與IP尋址 
　　12.3.2 易管理性 
　　12.3.3 擴展性和性能 
　12.4 設計安全系統(tǒng)的10個步驟 
　　12.4.1 第1步：回顧已完成的安全策略文檔 
　　12.4.2 第2步：對照安全策略分析當前網(wǎng)絡 
　　12.4.3 第3步：選擇技術并評估產(chǎn)品能力 
　　12.4.4 第4步：設計一個安全系統(tǒng)的理想草案 
　　12.4.5 第5步：在實驗中測試關鍵組件 
　　12.4.6 第6步：評估并修正設計/策略 
　　12.4.7 第7步：設計定案 
　　12.4.8 第8步：在一個關鍵區(qū)域實現(xiàn)安全系統(tǒng) 
　　12.4.9 第9步：推廣到其他區(qū)域 
　　12.4.10 第10步：驗證設計/策略 
　　12.4.11 兩步驟評估清單 
　12.5 總結 
　12.6 應用知識問題 
第三部分 安全網(wǎng)絡設計
第13章 邊界安全設計 
　13.1 什么是邊界 
　13.2 預計威脅 
　13.3 威脅緩解 
　13.4 身份識別考慮 
　13.5 網(wǎng)絡設計考慮 
　　13.5.1 ISP路由器 
　　13.5.2 公共服務器數(shù)量 
　　13.5.3 分支與總部設計考慮 
　　13.5.4 遠程訪問替代 
　13.6 小型網(wǎng)絡邊界安全設計 
　　13.6.1 設計需求 
　　13.6.2 設計概述 
　　13.6.3 邊界設備和安全角色 
　　13.6.4 VPN 
　　13.6.5 設計評估 
　　13.6.6 設計替代 
　13.7 中型網(wǎng)絡邊界安全設計 
　　13.7.1 設計需求 
　　13.7.2 設計概述 
　　13.7.3 Internet邊界 
　　13.7.4 遠程訪問邊界 
　　13.7.5 設計評估 
　　13.7.6 設計替代 
　13.8 高端彈性邊界安全設計 
　　13.8.1 設計需求 
　　13.8.2 設計概述 
　　13.8.3 Internet邊界 
　　13.8.4 遠程訪問邊界 
　　13.8.5 設計評估 
　　13.8.6 設計替代 
　13.9 電子商務和外部網(wǎng)設計防護措施 
　　13.9.1 電子商務
　　13.9.2 外部網(wǎng) 
　13.10 總結 
　13.11 參考資料
　13.12 應用知識問題 
第14章 園區(qū)網(wǎng)絡安全設計 
　14.1 什么是園區(qū) 
　14.2 園區(qū)信任模型 
　14.3 預計威脅 
　14.4 威脅緩解 
　14.5 身份識別考慮 
　14.6 網(wǎng)絡設計考慮 
　　14.6.1 第2層考慮 
　　14.6.2 狀態(tài)與無狀態(tài)ACL對比和L3與L4過濾對比 
　　14.6.3 入侵檢測系統(tǒng) 
　　14.6.4 WLAN考慮 
　　14.6.5 網(wǎng)絡管理 
　　14.6.6 無賴設備 
　14.7 小型網(wǎng)絡園區(qū)安全設計 
　　14.7.1 設計需求
　　14.7.2 設計概述 
　　14.7.3 園區(qū)設備和安全角色 
　　14.7.4 設計評估 
　　14.7.5 設計替代
　　14.7.6 增加安全的替代
　　14.7.7 降低安全的替代 
　14.8 中型網(wǎng)絡園區(qū)安全設計 
　　14.8.1 設計需求 
　　14.8.2 設計概述
　　14.8.3 園區(qū)設備和安全角色 
　　14.8.4 設計評估 
　　14.8.5 設計替代 
　　14.8.6 增加安全的替代 
　　14.8.7 降低安全的替代 
　14.9 高端彈性園區(qū)安全設計
　　14.9.1 設計需求 
　　14.9.2 設計概述
　　14.9.3 園區(qū)設備與安全角色 
　　14.9.4 設計評估 
　　14.9.5 設計替代 
　14.10 總結 　
　14.11 參考資料 
　14.12 應用知識問題 
第15章 遠程工作者安全設計 
　15.1 定義遠程工作者環(huán)境 
　15.2 預計威脅
　15.3 威脅緩解 
　15.4 身份考慮 
　15.5 網(wǎng)絡設計考慮 
　　15.5.1 主機保護 
　　15.5.2 網(wǎng)絡傳輸保護 
　15.6 基于軟件的遠程工作者設計 
　　15.6.1 設計需求 
　　15.6.2 設計概述 
　15.7 基于硬件的遠程工作者設計 
　　15.7.1 設計要求
　　15.7.2 設計概述 
　　15.7.3 物理安全考慮 
　15.8 設計評估 
　15.9 總結 
　15.10 參考資料 
　15.11 應用知識問題
第四部分 網(wǎng)絡管理、案例分析和結束語
第16章 安全網(wǎng)絡管理和網(wǎng)絡安全管理 
　16.1 烏托邦管理目標 
　16.2 組織現(xiàn)實
　16.3 協(xié)議能力 
　　16.3.1 Telnet/安全Shell 
　　16.3.2 HTTP/HTTPS 
　　16.3.3 簡單網(wǎng)絡管理協(xié)議 
　　16.3.4 TFTP/FTP/SFTP/SCP 
　　16.3.5 Syslog 
　　16.3.6 NetFlow 
　　16.3.7 其他 4
　16.4 工具能力 
　　16.4.1 網(wǎng)絡安全管理工具
　　16.4.2 安全網(wǎng)絡管理工具 
　16.5 安全管理設計選項 
　　16.5.1 帶內(nèi)明文 
　　16.5.2 帶內(nèi)加密保護（會話和應用層） 
　　16.5.3 帶內(nèi)加密保護（網(wǎng)絡層） 
　　16.5.4 帶外（OOB） 
　　16.5.5 混合管理設計 
　　16.5.6 安全網(wǎng)絡管理可選構件
　16.6 網(wǎng)絡安全管理最佳實踐 
　　16.6.1 24×7×365監(jiān)控關鍵安全事件 
　　16.6.2 從關鍵通知中分離歷史事件數(shù)據(jù) 
　　16.6.3 選擇敏感日志級別 
　　16.6.4 分離網(wǎng)絡管理和網(wǎng)絡安全管理 
　　16.6.5 關注操作需求 
　　16.6.6 考慮外包 
　16.7 總結
　16.8 參考資料 
　16.9 應用知識問題 
第17章 案例研究 
　17.1 引言
　17.2 現(xiàn)實世界適應性 
　17.3 組織
　　17.3.1 組織概況 
　　17.3.2 當前設計 
　　17.3.3 安全需求 
　　17.3.4 設計選擇 
　　17.3.5 移植戰(zhàn)略 
　　17.3.6 攻擊例子 
　17.4 NetGamesRUs.com 
　　17.4.1 組織概況 
　　17.4.2 當前設計 
　　17.4.3 安全需求 
　　17.4.4 設計選擇 
　　17.4.5 移植戰(zhàn)略 
　　17.4.6 攻擊例子 
　17.5 不安全大學 
　　17.5.1 組織概況 
　　17.5.2 當前設計 
　　17.5.3 安全需求 
　　17.5.4 設計選擇 
　　17.5.5 移植戰(zhàn)略 
　　17.5.6 攻擊例子
　17.6 黑色直升機研究有限公司 
　　17.6.1 組織概況 
　　17.6.2 當前設計 
　　17.6.3 安全需求 
　　17.6.4 設計選擇 
　　17.6.5 移植戰(zhàn)略 
　　17.6.6 攻擊例子 
　17.7 總結 
　17.8 參考資料
　17.9 應用知識問題
第18章 結束語 
　18.1 引言 
　18.2 管理問題仍將繼續(xù) 
　18.3 安全計算開銷將降低 
　18.4 同構和異構網(wǎng)絡 
　18.5 應嚴肅考慮立法 
　18.6 IPv6改變規(guī)則 
　18.7 網(wǎng)絡安全是體系 
　18.8 總結 
　18.9 參考資料 
附錄A 術語表 
附錄B
第1章 
第2章 
第3章 
第4章 
第5章 
第6章 
第7章 
第8章 
第9章 
第10章 
第11章 
第12章 
第13章 
第14章 
第15章 
第16章
附錄C 安全策略示例