Web commerce security:design and development

第Ⅰ部分商务概览
第1章Internet时代：电子商务
1.1商务的演变
1.2支付
1.2.1货币
1.2.2金融网络
1.3分布式计算：在商务前添加“电子”
1.3.1客户机／服务器
1.3.2网格计算
1.3.3云计算
1.3.4云安全
1.4小结
第2章移动商务
2.1消费者电子设备
2.2移动电话和移动商务
2.2.1概述
2.2.2移动商务与电子商务
2.2.3移动状态
2.3移动技术
2.3.1Carrier网络
2.3.2栈
2.4小结
第3章Web商务安全中的几个重要特性
3.1机密性、完整性和可用性
3.1.1机密性
3.1.2完整性
3.1.3可用性
3.2可伸展性
3.2.1黑盒可伸展性
3.2.2白盒可伸展性（开放盒）
3.2.3白盒可伸展性（玻璃盒）
3.2.4灰盒可伸展性
3.3故障耐受性
3.3.1高可用性
3.3.2电信网络故障耐受性
3.4互操作性
3.4.1其他互操作性标准
3.4.2互操作性测试
3.5可维护性
3.6可管理性
3.7模块性
3.8可监测性
3.8.1入侵检测
3.8.2渗透测试
3.8.3危害分析
3.9可操作性
3.9.1保护资源和特权实体
3.9.2Web商务可操作性控制的分类
3.10可移植性
3.11可预测性
3.12可靠性
3.13普遍性
3.14可用性
3.15可扩展性
3.16问责性
3.17可审计性
3.18溯源性
3.19小结
第Ⅱ部分电子商务安全
第4章电子商务基础
4.1为什么电子商务安全很重要
4.2什么使系统更安全
4.3风险驱动安全
4.4安全和可用性
4.4.1密码的可用性
4.4.2实用笔记
4.5可扩展的安全
4.6确保交易安全
4.7小结
第5章构件
5.1密码
5.1.1密码的作用
5.1.2对称加密系统
5.1.3非对称加密系统
5.1.4数字签名
5.1.5随机数生成
5.1.6公共密钥证书系统——数字证书
5.1.7数据保护
5.2访问控制
5.2.1控制
5.2.2访问控制模型
5.3系统硬化
5.3.1服务级安全
5.3.2主机级安全
5.3.3网络安全
5.4小结
第6章系统组件
6.1身份认证
6.1.1用户身份认证
6.1.2网络认证
6.1.3设备认证
6.1.4API认证
6.1.5过程验证
6.2授权
6.3不可否认性
6.4隐私权
6.4.1隐私权政策
6.4.2与隐私权有关的法律和指导原则
6.4.3欧盟原则
6.4.4卫生保健领域的隐私权问题
6.4.5隐私权偏好平台
6.4.6电子监控
6.5信息安全
6.6数据和信息分级
6.6.1信息分级的好处
6.6.2信息分级概念
6.6.3数据分类
6.6.4Bell-LaPadula模型
6.7系统和数据审计
6.7.1Syslog
6.7.2SIEM
6.8纵深防御
6.9最小特权原则
6.10信任
6.11隔离
6.11.1虚拟化
6.11.2沙箱
6.11.3IPSec域隔离
6.12安全政策
6.12.1高级管理政策声明
6.12.2NIST政策归类
6.13通信安全
6.14小结
第7章安全检查
7.1验证安全的工具
7.1.1脆弱性评估和威胁分析
7.1.2使用Snort进行入侵检测和预防
7.1.3使用Nmap进行网络扫描
7.1.4Web应用程序调查
7.1.5漏洞扫描
7.1.6渗透测试
7.1.7无线侦察
7.2小结
第8章威胁和攻击
8.1基本定义
8.1.1目标
8.1.2威胁
8.1.3攻击
8.1.4控制
8.1.5同源策略
8.2常见的Web商务攻击
8.2.1遭破坏的验证和会话管理攻击
8.2.2跨站点请求伪造攻击
8.2.3跨站点脚本攻击
8.2.4DNS劫持攻击
8.2.5不限制URL访问攻击
8.2.6注入漏洞
8.2.7不充分的传输层保护攻击
8.2.8不安全的密码存储攻击
8.2.9不安全的直接对象引用攻击
8.2.10钓鱼和垃圾邮件攻击
8.2.11Rootkit及其相关攻击
8.2.12安全配置错误攻击
8.2.13未经验证的重定向和引导攻击
8.3小结
第9章认证
9.1认证与鉴定
9.2标准和相关指南
9.2.1可信计算机系统评价标准
9.2.2通用标准ISO／IEC15408
9.2.3防御信息保证认证和鉴定流程
9.2.4管理和预算办公室A-130通报
9.2.5国家信息保证认证和鉴定流程（NIACAP）
9.2.6联邦信息安全管理法案（FISMA）
9.2.7联邦信息技术安全评估框架
9.2.8FIPS199
9.2.9FIPS200
9.2.10补充指南
9.3相关标准机构和组织
9.3.1耶利哥城论坛
9.3.2分布式管理任务组
9.3.3国际标准化组织／国际电工委员会
9.3.4欧洲电信标准协会
9.3.5全球网络存储工业协会
9.3.6开放Web应用程序安全项目
9.3.7NISTSP800-30
9.4认证实验室
9.4.1软件工程中心软件保证实验室
9.4.2SAIC
9.4.3国际计算机安全协会实验室
9.5系统安全工程能力成熟度模型
9.6验证的价值
9.6.1何时重要
9.6.2何时不重要
9.7证书类型
9.7.1通用标准
9.7.2万事达信用卡合规和安全测试
9.7.3EMV
9.7.4其他评价标准
9.7.5NSA
9.7.6FIPS140认证和NIST
9.8小结
附录A计算基础
附录B标准化和管理机构
附录C术语表
附录D参考文献