《繫統安全保證(策略方法與實踐)/安全技術大繫》編著者System Assurance: Beyond Detecting Vulnerabilities。
　　本書*大的特點，正是將日常繁瑣紛亂的各類安全事務進行概括抽像，根據目的的不同分門別類，又以流程為線索串連起來，讓安全人員在跳入茫茫的具體而瑣屑的事務海洋之前，能夠理清頭緒，明確目的，時時刻刻都能回答這樣三個簡單而為難的問題：“我在做什麼”、“我要做什麼”以及“我需要做什麼”，而不至於在撲面而來的大小事務中迷失了自己，空耗了時間和精力。

《繫統安全保證(策略方法與實踐)/安全技術大繫》編著者System Assurance: Beyond Detecting Vulnerabilities。 《繫統安全保證：策略、方法與實踐》由國際對像管理組織（omg） kdm分析部門cto和ceo共同執筆，美國國土安全部、國家網絡安全部、全球 網絡安全管理組的軟件質量保證總監鼎力推薦。 全書用繫統化方式描述了軟件繫統的安全保證方法，充分利用了對像 管理組的軟件安全保證體繫標準，最終形成一個綜合繫統模型用於繫統的 分析和證據收集。主要內容包括：第一部分（第1～3章）介紹網絡安全基 礎知識，以及對像管理組的軟件安全保證體繫。第二部分（第4～7章）介 紹網絡安全知識的不同方面，以建立網絡安全論據，包括繫統知識、與安 全威脅和風險相關的知識、漏洞知識，還描述了網絡安全內容的新格式， 即機器可識別的漏洞模式。第三部分（第8～11章）介紹對像管理組的軟件 安全保證體繫的協議，包括通用事實模型、語義模型、業務詞彙和業務規 則語義標準，以及知識發現元模型。第四部分（第12章）通過一個端到端 的案例研究來闡釋繫統安全保證方法、綜合繫統模型和繫統安全保證案例 。 《繫統安全保證：策略、方法與實踐》內容廣泛，繫統性強，適合信 息安全領域的研究人員、技術開發人員、高校教師等參考。

譯者序
序言
前言
第1章 為什麼黑客*了解我們的繫統
1.1網絡操作的風險
1.2黑客屢次攻擊成功的原因
1.3網絡繫統防御的挑戰
1.3.1理解和評估安全風險的難點
1.3.2復雜的供應鏈
1.3.3復雜的繫統集成
1.3.4繫統評估方法的局限性
1.3.5白盒漏洞測試的限制
1.3.6黑盒漏洞測試的限制
1.4本書內容簡介
1.4.1成本範圍內的繫統化和可重復防御措施
1.4.2omg軟件安全保證體繫
1.4.3通用詞彙表管理語言模型
1.5本書目標讀者
參考文獻
第2章 受信產品
2.1如何確信漆黑房間不存在黑貓
2.2安全保證性質
2.2.1風險評估、安全工程和安全保證
2.2.2安全保證案例
2.3安全保證過程概述
2.3.1信任產生
2.3.2信任成本
參考文獻
第3章 如何建立信任
3.1繫統生命周期內的安全保證
3.2繫統安全保證過程中的活動
3.2.1項目定義
3.2.2項目準備
3.2.3安全保證論據開發
3.2.4安全架構分析
3.2.5證據分析
3.2.6安全保證案例交付
參考文獻
第4章 網絡安全論據元素——繫統知識
4.1什麼是繫統
4.2繫統邊界
4.3繫統描述解析
4.4繫統描述的概念承諾
4.5繫統架構
4.6框架架構例子
4.7繫統元素
4.8多視角看繫統知識
4.9運營概念
4.10網絡配置
4.11繫統生命周期和安全保證
4.11.1繫統生命周期階段
4.11.2可用繫統
4.11.3供應鏈
4.11.4繫統生命周期過程
4.11.5通用詞彙表和綜合繫統模型作用
參考文獻
第5章 網絡安全論據元素——安全威脅知識
5.1概述
5.2基本的網絡安全元素
5.2.1資產
5.2.2影響
5.2.3威脅
5.2.4防御措施
5.2.5漏洞
5.2.6風險
5.3威脅識別的通用詞彙表
5.3.1定義資產的可辨別詞彙表
5.3.2威脅和危害
5.3.3定義損害和影響的可辨別詞彙表
5.3.4定義威脅的可辨別詞彙表
5.3.5威脅場景和攻擊
5.3.6定義漏洞的可辨別詞彙表
5.3.7定義防御措施的可辨別詞彙表
5.3.8風險
5.4繫統性威脅識別
5.5安全保證策略
5.5.1損害論據
5.5.2入口點論據
5.5.3威脅論據
5.5.4漏洞論據
5.5.5安全需求論據
5.6威脅識別的安全保證
參考文獻
第6章 網絡安全論據元素——安全漏洞知識
6.1知識單元的安全漏洞
6.1.1漏洞的概念
6.1.2知識單元的安全漏洞簡史
6.1.3漏洞和繫統生命周期
6.1.4枚舉知識產品的漏洞
6.2漏洞數據庫
6.2.1uscert
6.2.2開源漏洞數據庫
6.3漏洞生命周期
6.4nist安全內容自動化協議（scap）體繫
6.4.1scap體繫概述
6.4.2scap體繫的信息交換
參考文獻
第7章 新的安全保證內容——漏洞模式
7.1當前scap體繫之外
7.2廠商無關的漏洞模式
7.3軟件故障模式
7.3.1防御措施集合和相應的sfp
7.3.2直接損害集合和相應的sfp
7.4軟件故障模式實例
參考文獻
第8章 omg軟件安全保證體繫
8.1概述
8.2omg軟件安全保證體繫：協助提升網絡安全
參考文獻
第9章 通用安全保證內容事實模型
9.1繫統安全保證內容
9.2目標
9.3設計信息交換協議的標準
9.4權衡與取舍
9.5信息交換協議
9.6事實模型的“螺母和螺栓”
9.6.1對像
9.6.2名詞概念
9.6.3關於對像存在的事實
9.6.4個體概念
9.6.5概念間關繫
9.6.6動詞概念
9.6.7特征
9.6.8條件概念
9.6.9視角和視圖
9.6.10信息交換和安全保證
9.6.11面向事實的整合
9.6.12事實的自動推導
9.7事實的表示
9.7.1用xml表示事實
9.7.2用prolog表示事實和模式
9.8通用模式
9.9繫統安全保證事實
參考文獻
**0章 語義模型
10.1事實模型和語義模型
10.2背景
10.3sbvr概述
10.4如何使用sbvr
10.4.1簡單詞彙
10.4.2詞彙項
10.4.3陳述
10.4.4用於新概念規範化定義的陳述
10.5描述元含義的sbvr詞彙表
10.6描述表示形式的sbvr詞彙表
10.7描述外延的sbvr詞彙表
10.8引用模式
10.9sbvr語義公式
參考文獻
**1章 繫統事實交換標準協議
11.1背景
11.2kdm詞彙表的組織
11.2.1基礎設施層
11.2.2程序元素層
11.2.3資源層
11.2.4抽像層
11.3發現繫統事實的過程
11.4發現基線繫統事實
11.4.1目錄視圖
11.4.2編譯視圖
11.4.3數據視圖
11.4.4ui視圖
11.4.5代碼視圖
11.4.6平臺視圖
11.4.7事件視圖
11.5執行架構分析
11.5.1結構視圖
11.5.2概念視圖
參考文獻
**2章 案例研究
12.1引言
12.2背景
12.3運營概念
12.3.1執行摘要
12.3.2目的
12.3.3位置
12.3.4運營授權
12.3.5繫統架構
12.3.6繫統假設
12.3.7外部依賴
12.3.8實現假設
12.3.9與其他繫統的接口
12.3.10安全假設
12.3.11外部安全注意事項
12.3.12內部安全注意事項
12.4sbvr中clicks2bricks的業務詞彙表和安全策略
12.5建立綜合繫統模型
12.5.1建立基線繫統模型
12.5.2使用繫統架構事實以提升基線模型
12.6將網絡安全事實映射到繫統事實
12.7安全保證案例
參考文獻