企業網絡安全建設最佳實踐

本書是“奇安信認證網絡安全工程師系列叢書”之一，全書採用項目式、場景式的知識梳理方式，在目前網絡安全背景下立足於企業用人需求，以辦公網安全、網站群安全、數據中心安全、安全合規及風險管理四大模塊構建完整的知識體系。 本書分為4篇。第1篇“辦公網安全”，內容包含初識辦公網、網絡連通性保障、防火牆和訪問控制技術、上網行為管理及規範、域控及域安全、惡意代碼及安全準入、遠程辦公安全、無線局域網安全及安全雲桌面等。第2篇“網站群安全”，內容包含網站和網站群架構、網站群面臨的安全威脅、網站系統的安全建設及安全事件應急響應等。第3篇“數據中心安全”，內容包含數據中心架構、數據中心面臨的威脅、數據中心規劃與建設、數據中心安全防護與運維，以及數據中心新技術等。第4篇“安全合規及風險管理”，內容包含思考案例、項目、風險評估、等級保護、安全運維、信息安全管理體系建設及法律法規等。

張敬： 濟南大學網絡空間安全專業特聘教授；奇安信集團網絡安全學院副院長；奇安信網絡安全認證QCCP體系架構師。
專注於城市網絡安全運營模式架構和網絡安全人才實訓基地運營。

李江濤：山東大學數學系碩士，奇安信認證實訓部技術經理。
擁有思科CCIE、VMware VCP、ISO 27001 LA、等級保護測評師、CISP、CISAW等相關認證證書；CNVD、CNNVD、CVE漏洞提交者；參與“電信行業網絡與信息安全職業能力等級評價標準”修訂，設計開發金融CFSP認證、教育ECSP認證。
擅長領域：雲安全服務、風險評估、等級保護、ISO27001體系設計、網絡規劃、滲透測試、應急響應、機器學習。

張振峰：奇安信認證開發部負責人。
主要從事網絡安全教育工作，目前為奇安信認證專家講師、教育系統網絡安全保障人員認證講師、51CTO官方高級講師。
擅長漏洞挖掘與代碼審計，曾擔任多個金融現金系統代碼安全負責人。

第1篇辦公網安全
第1章概述（3）

第2章初識辦公網（4）
2．1網絡及辦公網簡介（4）
2．1．1概述（4）
2．1．2網絡的類型（5）
2．1．3網絡傳輸模式（12）
2．1．4網絡通信的類型（13）
2．2 OSI七層模型（15）
2．2．1 OSI七層模型的介紹（16 ）
2．2．2數據封裝與解封（18）
2．3 TCP/IP參考模型（20）
2．3．1網絡接口層（21）
2．3．2網絡層（22）
2．3． 3傳輸層（31）
2．3．4應用層（35）
2．4主機與主機間的通信（38）
2．4．1二層通信過程（38）
2．4．2三層通信過程（ 41）
2．5習題（44）

第3章網絡連通性保障（45）
3．1靜態路由（45）
3．1．1路由介紹（45）
3．1．2路由實驗（49）
3．2交換網絡（50）
3．2．1交換網絡的介紹（50）
3．2．2 VLAN （50）
3．2．3交換機的接口模式（53）
3．2．4交換實驗（54）
3． 3網絡地址轉換（55）
3．3．1靜態轉換（55）
3．3．2動態轉換（56）
3．3．3端口多路復用（57）
3．4實驗（58）
3．5習題（60）

第4章防火牆和訪問控制技術（61）
4．1需求概述（61）
4．2訪問控制技術（62）
4．2．1 ACL介紹（62）
4．2．2標準訪問控制列表（63）
4．2 ．3擴展訪問控制列表（64）
4．2．4其他訪問控制列表（65）
4．2．5實驗（67）
4．3防火牆（68）
4．3．1防火牆介紹（68）
4．3 ．2防火牆的部署（70）
4．3．3防火牆的配置（73）
4．4習題（76）

第5章上網行為管理及規範（78）
5．1需求概述（78）
5．2上網行為管理的作用（79）
5．3上網行為管理的部署（79）
5．3．1串聯部署（79）
5．3．2旁路鏡像部署（80）
5．4實驗（81）
5．5習題（81）

第6章域控及域安全（82）
6．1概述（82）
6．1．1工作組和域（82）
6．1．2域管理的好處（83）
6．2活動目錄（84）
6．2．1命名空間（84）
6．2．2域和域控制器（85）
6．2．3域樹和域林（85）
6．3 Windows域的部署（87）
6．4域安全（94）
6．4．1域安全風險（94）
6．4．2域安全防護（100）
6．5習題（102）

第7章惡意代碼防護及安全準入（103）
7．1惡意代碼防護（104）
7．1．1惡意代碼概述（104）
7．1．2惡意代碼防範技術（106）
7．1．3惡意代碼防護部署（109）
7． 2安全准入（114）
7．2．1安全准入概述（114）
7．2．2安全准入技術（114）
7．2．3安全准入技術對比（119）
7．3習題（119 ）

第8章遠程辦公安全（120）
8．1 VPN概述（120）
8．2密碼學概述（121）
8．2．1密碼學的發展歷程（121）
8．2．2密碼學基礎（123 ）
8．3 VPN技術（126）
8．3．1 GRE （126）
8．3．2 IPSec VPN （127）
8．3．3 SSL VPN （135）
8．4習題（140）

第9章無線局域網安全（141）
9．1無線基礎（141）
9．1．1無線協議（141）
9．1．2無線認證與加密（146）
9．2企業辦公網無線網絡（151）
9．2．1部署方案（151）
9．2．2無線AP （153）
9．2．3 PoE設備（153）
9．2．4無線AC （155）
9．3無線的安全（155）
9 ．3．1無線面臨的威脅（155）
9．3．2無線破解（156）
9．3．3無線安全（158）
9．4習題（159）

第10章安全雲桌面（160）
10．1傳統桌面辦公面臨的挑戰（160）
10．2雲桌面部署模式（161）
10．2．1 VDI架構（161）
10．2．2 IDV架構（163）
10．2．3 SBC架構（164）
10 ．2．4 RDS架構（165）
10．2．5 VOI架構（166）
10．3雲桌面的安全風險（167）
10．4習題（168）

第2篇網站群安全
第11章網站和網站群架構（170）
11．1網站架構演化歷史（170）
11．2網站群架構演化歷史（177）
11．3 HTTP協議（178）
11．4網絡架構核心組成（181）
11．4．1操作系統（182）
11．4．2數據庫（214）
11．4．3中間件（230）
11．4 ．4 Web應用程序（235）
11．5網站搭建（238）
11．5．1 IIS安裝（238）
11．5．2 SQL Server安裝（240）
11．5．3網站源碼部署（244）
11． 6 OA辦公網站搭建（250）
11．6．1運行環境搭建（250）
11．6．2網站部署（251）
11．7習題（253）

第12章網站群面臨的安全威脅（254）
12． 1威脅介紹（254）
12．1．1竊取網站數據（254）
12．1．2網站掛馬（255）
12．1．3網站DDoS （255）
12．1．4網站釣魚（256）
12． 2威脅的攻擊流程（257）
12．2．1信息收集（257）
12．2．2漏洞掃描（259）
12．2．3漏洞利用（261）
12．2．4獲取服務器權限（267）
12 ．3其他漏洞利用手段（268）
12．3．1 SQL注入漏洞（269）
12．3．2 XSS（跨站腳本）攻擊漏洞（271）
12．3．3 CSRF（跨站請求偽造）漏洞（273）
12．3．4文件上傳漏洞（274）
12．3．5文件包含漏洞（276）
12．3．6命令執行漏洞（277）
12．3．7解析漏洞（278）
12．3．8目錄遍歷（278）
12．3．9框架漏洞（279）
12．3．10業務邏輯漏洞（283）
12．4網站安全威脅的技術手段（286）
12．4．1通過上傳木馬獲取服務器權限（286）
12．4．2通過命令執行獲取服務器權限（293）
12．4． 3通過Web後門獲取服務器管理權限（296）
12．4．4通過系統漏洞獲取系統最高權限（299）
12．4．5搭建DNS服務器（301）
12．5習題（311）

第13章網站系統的安全建設（312）
13．1 Web代碼安全建設（312）
13．1．1安全開發（312）
13．1．2代碼審計（313）
13．2 Web業務安全建設（322）
13．2．1業務安全介紹（322）
13．2．2業務安全測試理論（322）
13．2．3業務安全漏洞（326）
13．3 Web IT架構安全建設（332）
13．3．1 Web應用防火牆（332）
13．3．2網頁防篡改（335）
13．3．3抗DDoS （338）
13．3．4雲監測（346）
13．3．5雲防護（ 349）
13．3．6數據庫審計（351）
13．4習題（356）

第14章安全事件應急響應（357）
14．1應急響應介紹（357）
14．2信息安全事件處理流程（358）
14 ．3信息安全事件上報流程（361）
14．4網絡安全應急響應部署與策略（361）
14．4．1網絡安全應急響應的工作目標（361）
14．4．2建立網絡安全應急響應小組（ 362）
14．5網絡安全應急響應具體實施（363）
14．5．1準備階段（364）
14．5．2檢測階段（364）
14．5．3抑制階段（365）
14．5．4根除階段（366）
14．5．5恢復階段（367）
14．5．6跟踪階段（369）
14．5．7應急響應總結（369）
14．6 Web應急響應關鍵技術（370）
14．6． 1 Windows服務器下網站掛馬安全應急響應事件（370）
14．6．2 Linux服務器下網站篡改應急響應事件（372）
14．7習題（376）

第3篇數據中心安全
第15章數據中心架構（378）
15．1數據中心概念（378）
15．1．1為什麼要建設數據中心（378）
15．1．2不同等級的數據中心（378）
15．2數據中心發展歷程（379）
15．2．1數據中心產生（379）
15．2．2存儲數據中心（379）
15．2．3計算數據中心（380）
15．2．4服務數據中心（380）
15．2．5大集中式IDC （381）
15．2．6新型數據中心（381）
15．3數據中心組成（385）
15．3．1數據中心物理環境（385）
15． 3．2數據中心存儲（392）
15．3．3數據中心網絡（399）
15．3．4業務系統與數據（400）
15．4習題（403）

第16章數據中心面臨的威脅（404）
16．1可用性受到的威脅（405）
16．1．1自然災害（405）
16．1．2電力供應中斷（406）
16．1．3網絡中斷（406）
16．1．4業務系統中斷（ 406）
16．1．5病毒爆發（407）
16．1．6誤操作（407）
16．1．7盜竊（407）
16．1．8惡意報復（408）
16．1．9黑客入侵（408）
16．2機密性受到的威脅（408）
16．2．1竊聽（409）
16．2．2社會工程學手段（ 409）
16．2．3黑客入侵（410）
16．2．4非授權訪問（410）
16．2．5身份冒用（410）
16．2．6介質管理不當（410）
16．2．7惡意報復（411）
16．3完整性受到的威脅（411）
16．3．1病毒爆發（411）
16．3．2誤操作（411）
16．3．3黑客入侵（412）
16．4相關知識庫（412）
16．5習題（413）

第17章數據中心規劃與建設（414）
17．1數據中心規劃（414）
17．1．1數據中心需求分析（414）
17．1．2數據中心設計原則（415）
17．1．3網絡架構的規劃與設計（415）
17．2服務器虛擬化（420）
17．2．1為什麼使用服務器虛擬化（421）
17．2．2虛擬化和虛擬機（422）
17．2．3 VMware虛擬化技術（423）
17．2．4虛擬化安全（427）
17．3數據中心高可用性建設（429）
17．3．1基礎設施層面（429）
17．3．2網絡層面（431）
17．3．3容災備份層面（440）
17．4實驗課程（449）
17．5習題（455）

第18章數據中心安全防護與運維（457）
18．1安全防禦體系概述（457）
18．1．1邊界防禦體系（457）
18．1．2縱深防禦體系（457）
18．2安全管理與運維（457）
18．2．1安全管理（457）
18．2．2 IT運維管理（459）
18．2．3安全運維與運營（464）
18．3數據中心常用的安全產品（466 ）
18．3．1入侵防禦系統IPS （466）
18．3．2漏洞掃描系統（468）
18．3．3運維堡壘機（470）
18．3．4數據庫防火牆（471）
18．3． 5數據防洩密DLP （473）
18．3．6新一代威脅感知系統APT （477）
18．3．7態勢感知與安全運營平台NGSOC （481）
18．4習題（484）

第19章數據中心新技術（485）
19．1 SDN技術（485）
19．1．1 OpenFlow （485）
19．1．2 SDN三屬性（486）
19．1．3不同的SDN （486）
19．1．4理解SDN （487）
19．2 VXLAN技術（487）
19．2．1為什麼需要VXLAN （487）
19．2．2為什麼是VXLAN （488 ）
19．2．3 VXLAN的基本原理（488）
19．2．4 VXLAN IP網關（489）

第4篇安全合規及風險管理
第20章思考案例（492）
20．1案例介紹（492）
20 ．2思考問題（496）

第21章項目（497）
21．1項目定義（497）
21．2項目干係人（497）
21．3項目生命週期（499）
21．3．1售前階段（499 ）
21．3．2合同階段（500）
21．3．3啟動階段（506）
21．3．4實施階段（507）
21．3．5驗收階段（507）
21．3．6維保階段（ 507）
21．4相關知識庫（508）
21．4．1九大知識領域（508）
21．4．2五大過程組（518）
21．5習題（521）

第22章風險評估（522）
22 ．1概述（522）
22．1．1什麼是風險評估（522）
22．1．2為什麼要做風險評估（523）
22．1．3風險評估的主要工作內容（523）
22．1．4風險評估相關術語（524）
22．2風險評估實施（524）
22． 2．1信息系統調研（524）
22．2．2漏洞掃描（530）
22．2．3基線檢查（533）
22．2．4滲透測試（536）
22．2．5代碼審計（541）
22 ．3相關知識庫（543）
22．3．1風險評估其他相關術語（543）
22．3．2風險要素關係（544）
22．3．3風險評估準備（545）
22．3．4資產識別（546）
22．3．5威脅識別（549）
22．3．6脆弱性識別（551）
22．3．7已有安全措施確認（552）
22．3．8風險分析（552）
22．3 ．9風險評估文檔記錄（555）
22．4習題（556）

第23章等級保護（558）
23．1概述（558）
23．1．1什麼是信息安全等級保護（558）
23．1．2為什麼要實施等級保護（558）
23．1．3等級保護的地位和作用（559）
23．1．4等級保護各方職責（559）
23．1．5等級保護的發展歷程（560）
23．2等級保護實施（562）
23．3相關知識庫（564）
23．3．1定級（564）
23．3．2備案（565）
23．3．3建設整改（571）
23．3．4等級測評（573）
23．3．5等級保護新標準（等保2．0） （575）
23．4習題（580）

第24章安全運維（581）
24．1概述（581）
24．1．1安全運維介紹（581）
24．1．2安全運維對象（581）
24．1．3安全運維的工作內容（581）
24．2安全運維實施（582）
24．2．1日誌審計（582）
24．2．2安全加固（586）
24．3習題（589）

第25章信息安全管理體系建設（590）
25． 1概述（590）
25．1．1信息安全管理介紹（590）
25．1．2 PDCA過程（591）
25．2信息安全管理體系建設（592）
25．3信息安全管理體系審核（593）
25 ．3．1審核介紹（593）
25．3．2管理評審（593）
25．4相關知識庫（593）
25．4．1信息安全方針（594）
25．4．2信息安全組織（594）
25．4．3人力資源安全（595）
25．4．4資產管理（596）
25．4．5訪問控制（597）
25．4．6密碼學（ 597）
25．4．7物理與環境安全（598）
25．4．8操作安全（598）
25．4．9通信安全（599）
25．4．10信息系統獲取、開發和維護（599）
25 ．4．11供應關係（600）
25．4．12信息安全事件管理（600）
25．4．13業務連續性管理（601）
25．4．14符合性（601）
25．5習題（601）

第26章法律法規（603）
26．1違法案例（603）
26．2相關法律（606）
26．3習題（611）