企業(yè)信息安全落地實踐指南

定　價：￥109.00

作　者：	熊耀富等
出版社：	電子工業(yè)出版社
叢編項：
標(biāo)　簽：	暫缺

購買這本書可以去

當(dāng)當(dāng)網(wǎng) (￥81.70)

ISBN：	9787121460913	出版時間：	2023-08-01	包裝：	平塑
開本：		頁數(shù)：		字?jǐn)?shù)：

內(nèi)容簡介

　　本書聚焦企業(yè)信息安全領(lǐng)域，內(nèi)容涵蓋安全運營、應(yīng)用安全、數(shù)據(jù)隱私安全、業(yè)務(wù)安全、信息安全管理體系建設(shè)，較為全面地概括了企業(yè)信息安全工作的主要模塊，并詳細(xì)介紹了各模塊涉及的工作職責(zé)、工作思路及解決相關(guān)問題所運用的技術(shù)手段與工具。本書適合中小型互聯(lián)網(wǎng)企業(yè)信息安全主管、網(wǎng)絡(luò)安全從業(yè)人員閱讀。

作者簡介

　　熊耀富資深信息安全專家/知名CSO，十余年信息安全從業(yè)經(jīng)驗，參與過“粵省事”小程序、“平安一賬通”等重大安全項目建設(shè)，先后工作于安恒、深信服等知名安全企業(yè)及平安科技等世界500強金融公司。擔(dān)任過資深安全專家、安全運營負(fù)責(zé)人和信息安全總監(jiān)等職務(wù)，既負(fù)責(zé)過千人規(guī)模的互聯(lián)網(wǎng)金融公司出海走向國際化的整體安全建設(shè)工作，也參與過從0建設(shè)萬人規(guī)模的金融公司應(yīng)用安全體系任務(wù)。黃平資深信息安全專家，十余年信息安全從業(yè)經(jīng)驗，曾在深信服負(fù)責(zé)防火墻檢測能力建設(shè)和安全產(chǎn)品研發(fā)，也曾在小贏科技、巖心科技等知名互聯(lián)網(wǎng)金融公司承擔(dān)安全體系從0到1建設(shè)工作，擔(dān)任過安全運營負(fù)責(zé)人、業(yè)務(wù)安全負(fù)責(zé)人等。李錦輝資深信息安全專家，數(shù)年信息安全從業(yè)經(jīng)驗，先后在物流、金融等行業(yè)從事安全運營、數(shù)據(jù)安全等重要工作，曾在萬人規(guī)模的企業(yè)完成ISO 27001、ISO 27701國際安全和隱私合規(guī)體系認(rèn)證建設(shè)，牽頭主導(dǎo)數(shù)據(jù)安全產(chǎn)品的自主研發(fā)和推廣應(yīng)用。黃建斌資深應(yīng)用安全架構(gòu)師，曾工作于平安科技、AKULAKU等知名企業(yè)，有近十年應(yīng)用安全工作經(jīng)驗，擔(dān)任過安全架構(gòu)師、應(yīng)用安全負(fù)責(zé)人等職務(wù)，曾負(fù)責(zé)千萬級用戶項目的應(yīng)用安全從0建設(shè)工作。

圖書目錄

第1章　安全目標(biāo)與團隊建設(shè) 1
1.1　團隊建設(shè)階段 1
1.2　團隊組織建設(shè) 3
1.3　不同時期的重點工作 4
1.4　小結(jié) 9
第2章　安全運營落地實踐 11
2.1　資產(chǎn)自動化監(jiān)控 11
2.1.1　阿里云資產(chǎn)自動監(jiān)控 12
2.1.2　騰訊云資產(chǎn)自動監(jiān)控 17
2.1.3　AWS云資產(chǎn)自動監(jiān)控 21
2.1.4　DNS域名自動監(jiān)控 24
2.1.5　仿冒域名自動監(jiān)控 26
2.1.6　VPN賬號自動監(jiān)控 27
2.2　資產(chǎn)變動自動化掃描 30
2.2.1　Nessus漏洞掃描API 30
2.2.2　AWVS漏洞掃描API 32
2.2.3　端口目錄掃描API 35
2.2.4　微信告警API 38
2.2.5　新增IP地址自動掃描 39
2.2.6　新增DNS域名漏洞掃描 40
2.3　安全日志自動化采集 42
2.3.1　日志數(shù)據(jù)持久存儲 42
2.3.2　日志自動采集工具 51
2.4　日志的加工與清洗 70
2.4.1　Grok匹配 71
2.4.2　Mutate的使用 77
2.4.3　Process的使用 79
2.4.4　GeoIP 81
2.5　安全告警事件自動編排 83
2.5.1　n8n 83
2.5.2　Node-RED 94
2.6　安全運營平臺集成化管理 105
2.7　小結(jié) 109
第3章　數(shù)據(jù)與隱私安全落地實踐 110
3.1　企業(yè)數(shù)據(jù)安全建設(shè)挑戰(zhàn) 110
3.1.1　法規(guī)條例監(jiān)管要求 111
3.1.2　數(shù)據(jù)丟失泄露風(fēng)險 112
3.2　數(shù)據(jù)安全建設(shè)理論模型 114
3.2.1　安全能力成熟度模型 114
3.2.2　IPDRR能力框架模型 116
3.3　數(shù)據(jù)資產(chǎn)盤點三步曲 117
3.3.1　數(shù)據(jù)使用人員盤點 118
3.3.2　數(shù)據(jù)訪問方式盤點 119
3.3.3　數(shù)據(jù)自助分類分級 120
3.4　數(shù)據(jù)安全保護(hù)實踐歷程 122
3.4.1　數(shù)據(jù)分級保護(hù) 122
3.4.2　策略支撐平臺 125
3.4.3　數(shù)據(jù)安全態(tài)勢分析 159
3.4.4　隱私合規(guī)建設(shè) 162
3.5　小結(jié) 170
第4章　應(yīng)用安全落地實踐 171
4.1　應(yīng)用安全實踐方案 171
4.1.1　S-SDLC介紹 171
4.1.2　DevSecOps介紹 173
4.2　DEVSECOPS落地實踐 175
4.2.1　DevSecOps活動拆解 175
4.2.2　搭建安全工具鏈 178
4.2.3　安全測試自動化 196
4.2.4　應(yīng)用安全質(zhì)量管理 204
4.3　小結(jié) 209
第5章　業(yè)務(wù)安全落地實踐 210
5.1　業(yè)務(wù)安全概述 211
5.2　業(yè)務(wù)安全挑戰(zhàn) 211
5.2.1　業(yè)務(wù)安全風(fēng)險 212
5.2.2　黑產(chǎn)多樣化手法 216
5.3　業(yè)務(wù)安全對抗手段 222
5.3.1　反欺詐作弊 223
5.3.2　風(fēng)險團管控 225
5.3.3　名單管控 226
5.3.4　活動門檻 227
5.3.5　風(fēng)險評分卡 228
5.3.6　情報監(jiān)控 228
5.4　業(yè)務(wù)安全建設(shè)過程 230
5.4.1　雛形期業(yè)務(wù)安全建設(shè) 230
5.4.2　成長期業(yè)務(wù)安全建設(shè) 232
5.4.3　成熟期業(yè)務(wù)安全建設(shè) 237
5.5　業(yè)務(wù)安全對抗案例 238
5.5.1　識別惡意注冊行為 238
5.5.2　識別裂變拉新“薅羊毛”行為 242
5.5.3　識別團伙作弊行為 250
5.5.4　識別KYC欺詐行為 253
5.6　小結(jié) 254
第6章　紅藍(lán)對抗活動實踐 256
6.1　紅藍(lán)對抗簡介 256
6.2　常規(guī)紅藍(lán)對抗 257
6.2.1　社會工程學(xué) 257
6.2.2　郵件釣魚 258
6.2.3　互聯(lián)網(wǎng)水坑攻擊 275
6.2.4　近源攻擊 277
6.2.5　供應(yīng)鏈攻擊 283
6.3　業(yè)務(wù)紅藍(lán)對抗 287
6.3.1　人臉識別繞過測試 288
6.3.2　滑塊驗證碼繞過測試 292
6.3.3　設(shè)備指紋篡改測試 295
6.4　小結(jié) 299
第7章　信息安全管理體系落地實踐 300
7.1　安全體系建設(shè)流程與步驟 300
7.1.1　項目啟動 301
7.1.2　現(xiàn)狀評估 302
7.1.3　風(fēng)險評估 303
7.1.4　體系文件編寫 317
7.1.5　內(nèi)部審核 323
7.1.6　有效性測量 328
7.1.7　管理評審 332
7.1.8　認(rèn)證年審 334
7.1.9　安全培訓(xùn) 337
7.1.10　典型記錄文檔模板 339
7.2　企業(yè)信息安全文化建設(shè) 344
7.2.1　全員參與 345
7.2.2　賞罰分明 348
7.2.3　預(yù)知風(fēng)險 350
7.2.4　安全就是生產(chǎn)力 351
7.3　小結(jié) 353
附錄A　管理評審報告 354
參考文獻(xiàn) 357