[套装书]物联网安全（原书第2版）+物联网渗透测试（2册）

作者
[美] 布莱恩·罗素（Brian Russell） 德鲁·范·杜伦（Drew Van Duren） [美] 亚伦·古兹曼（Aaron Guzman）, 阿迪蒂亚·古普塔（Aditya Gupta）
丛书名
网络空间安全技术丛书
出版社
机械工业出版社
ISBN
9782004201528
简要
简介
内容简介书籍计算机书籍 ---------------------------物联网安全（原书第2版）--------------------------- 本书可以分为四部分，第一部分（第1章和第2章）主要介绍物联网基本概念、面对的威胁，以及主要分析方法；第二部分（第3~5章）分别从开发、设计、运维角度对如何保障物联网安全进行了介绍；第三部分（第6章和第7章）介绍应用密码学基础知识及其在物联网中的应用；第四部分（第8~11章）针对物联网特点，从隐私保护、合规性监管、云安全、安全事件响应与取证等人们较为关心的问题进行了专门的介绍。 ---------------------------物联网渗透测试--------------------------- 本书介绍物联网渗透测试的原理和实用技术。主要内容包括IOT威胁建模、固件分析及漏洞利用、嵌入式web应用漏洞、IOT移动应用漏洞、IOT设备攻击、无线电入侵、固件安全和移动安全最佳实践、硬件保护以及IOT高级漏洞的利用与安全自动化。
目录



---------------------------物联网安全（原书第2版）---------------------------


译者序
关于作者
关于审校人员
前言
第1章　勇敢的新世界 1
1.1　物联网的定义 2
1.2　网络安全与物联网安全 4
1.3　物联网的现状 5
1.3.1　基于物联网赋能的电网 6
1.3.2　交通运输系统的现代化 7
1.3.3　智能制造 8
1.3.4　遍布全球的智慧城市 8
1.3.5　跨行业协作的重要性 9
1.4　物联网生态系统 10
1.4.1　物理设备与控制器 11
1.4.2　互联互通 14
1.4.3　消息传输协议 17
1.4.4　数据汇聚 20
1.4.5　数据抽象 21
1.4.6　应用 21
1.4.7　协作与处理 23
1.5　物联网的未来 24
1.5.1　自治系统 24
1.5.2　认知系统 24
1.6　本章小结 25
第2章　漏洞、攻击及应对措施 26
2.1　威胁、漏洞和风险概述 26
2.1.1　信息保障的经典核心要求 26
2.1.2　威胁 28
2.1.3　漏洞 28
2.1.4　风险 29
2.2　攻击与应对措施概述 30
2.2.1　常见的物联网攻击类型 30
2.2.2　攻击树 32
2.2.3　故障树和信息物理系统 36
2.2.4　针对信息物理系统的攻击实例剖析 38
2.3　当前针对物联网的攻击手段 40
2.4　经验教训以及系统化方法的运用 44
2.5　本章小结 53
第3章　物联网设备的安全开发方法 54
3.1　安全开发生命周期 54
3.1.1　瀑布式开发 55
3.1.2　螺旋式开发 58
3.1.3　敏捷开发 60
3.1.4　DevOps 63
3.2　非功能性需求的处理 65
3.2.1　信息安全 66
3.2.2　功能安全 69
3.2.3　韧性 70
3.3　软件透明性需求 71
3.3.1　自动化的安全分析 71
3.3.2　研究团体的参与 72
3.4　本章小结 73
第4章　物联网设备的安全设计 74
4.1　物联网安全开发所面临的挑战 74
4.1.1　加快上市速度带来的影响 75
4.1.2　联网设备面临着纷至沓来的攻击 75
4.1.3　物联网设备给用户隐私带来了新的威胁 76
4.1.4　物联网产品与系统可能遭受物理入侵 76
4.1.5　经验丰富的安全工程师一将难求 77
4.2　安全设计的目标 77
4.2.1　设计能够抵御自动化攻击的物联网系统 78
4.2.2　设计能够保证连接点安全的物联网系统 78
4.2.3　设计能够保障机密性与完整性的物联网系统 80
4.2.4　设计功能安全的物联网系统 82
4.2.5　设计采用硬件保护措施的物联网系统 83
4.2.6　设计能够保证可用性的物联网系统 85
4.2.7　设计具备韧性的物联网系统 86
4.2.8　设计合规的物联网系统 90
4.3　本章小结 92
第5章　物联网安全运维生命周期 93
5.1　制定安全策略 94
5.2　定义系统角色 95
5.3　网关与网络的安全配置 96
5.3.1　确保WSN的安全 96
5.3.2　端口、协议与服务 97
5.3.3　网关 99
5.3.4　网络服务 100
5.3.5　网络分段与网络访问控制 100
5.4　设备引导与安全配置 100
5.5　威胁情报与漏洞跟踪体系的构建 102
5.5.1　漏洞跟踪 102
5.5.2　威胁情报 102
5.5.3　蜜罐 103
5.6　资产管理 103
5.7　密钥与证书的管理 104
5.8　账户、口令与授权的管理 105
5.9　固件管理与补丁更新 106
5.10　系统监控 106
5.11　相关人员的安全培训 108
5.11.1　面向员工的安全意识培训 108
5.11.2　针对物联网的安全管理培训 108
5.12　开展渗透测试 109
5.13　合规性管理 112
5.13.1　HIPAA 114
5.13.2　GDPR 114
5.13.3　合规性监控 114
5.14　安全事件管理 115
5.15　末期维护 116
5.16　本章小结 117
第6章　物联网安全工程中的密码学基础 118
6.1　密码学及其在保障物联网安全方面的作用 119
6.1.1　物联网中密码学基础算法的类型及用途 120
6.1.2　加密与解密算法 120
6.1.3　散列算法 124
6.1.4　数字签名算法 125
6.1.5　随机数生成算法 129
6.1.6　密码套件 130
6.2　密码模块原理 131
6.3　密钥管理基础 136
6.3.1　密钥生成 137
6.3.2　密钥建立 137
6.3.3　密钥导出 138
6.3.4　密钥存储 139
6.3.5　密钥托管 140
6.3.6　密钥生命周期 140
6.3.7　密钥清零 140
6.3.8　登记和管理 141
6.3.9　密钥管理相关建议总结 142
6.4　针对物联网协议加密控制措施的分析 143
6.4.1　物联网通信协议中的加密控制措施 143
6.4.2　物联网消息传输协议中的加密控制措施 146
6.5　物联网密码学的未来走向 147
6.5.1　加密的灵活性 148
6.5.2　后量子时代的加密技术 149
6.6　本章小结 149
第7章　物联网的身份标识与访问控制管理解决方案 150
7.1　物联网IAM介绍 150
7.2　身份标识生命周期 153
7.2.1　建立命名规则和唯一性要求 153
7.2.2　安全引导 155
7.2.3　认证信息和属性分发 157
7.2.4　账户监视和控制 158
7.2.5　账户更新 158
7.2.6　账户停用 158
7.2.7　账户或认证信息的撤销或删除 159
7.3　认证信息 159
7.3.1　口令 159
7.3.2　对称密钥 160
7.3.3　证书 160
7.3.4　生物特征 162
7.3.5　对物联网设备的授权 162
7.4　物联网IAM基础架构 163
7.4.1　802.1x 163
7.4.2　物联网PKI 163
7.5　授权和访问控制 168
7.5.1　OAuth 2.0 168
7.5.2　发布或订阅协议中的授权和访问控制 169
7.5.3　通信协议内的访问控制 170
7.5.4　基于区块链账本的去中心化信任 170
7.6　本章小结 172
第8章　物联网设备隐私泄露风险的缓解 173
8.1　物联网带来的隐私泄露挑战 174
8.1.1　复杂的共享环境 174
8.1.2　元数据中隐私信息的泄露 175
8.1.3　针对证书的新型隐私保护方法 176
8.1.4　隐私保护对物联网安全系统的影响 177
8.1.5　新型监控手段 177
8.2　物联网隐私影响评估指南 178
8.2.1　概述 178
8.2.2　政府部门 180
8.2.3　采集信息的刻画 180
8.2.4　采集信息的使用 182
8.2.5　安全 183
8.2.6　通知 184
8.2.7　数据驻留 184
8.2.8　信息共享 184
8.2.9　补救措施 185
8.2.10　审计和问责 185
8.3　隐私保护设计 186
8.4　隐私工程建议 188
8.4.1　机构中的隐私保护 188
8.4.2　隐私工程专家 189
8.4.3　隐私工程工作内容 189
8.4.4　隐私保护现状 190
8.5　本章小结 192
第9章　制定物联网合规性监管程序 193
9.1　物联网的合规性 194
9.1.1　以合规方式开展物联网系统的构建 195
9.1.2　物联网合规性监管程序实例 196
9.2　复杂合规环境 208
9.2.1　物联网合规面临的挑战 208
9.2.2　现有物联网合规性标准的分析 208
9.3　本章小结 211
第10章　物联网的云端安全 212
10.1　云在物联网系统中的作用 212
10.1.1　保障云端安全的理论方法 213
10.1.2　重回边缘 214
10.2　雾计算的概念 215
10.3　物联网云服务面临的威胁 216
10.4　物联网系统的云端安全服务 218
10.4.1　设备加载 218
10.4.2　密钥与证书管理 224
10.4.3　策略管理 225
10.4.4　持久化配置管理 227
10.4.5　网关安全 228
10.4.6　设备管理 229
10.4.7　合规监管 230
10.4.8　安全监控 230
10.5　本章小结 231
第11章　物联网安全事件响应与取证分析 232
11.1　功能安全和信息安全面临的威胁 233
11.2　物联网事件响应方案的制定、规划与实施 235
11.2.1　事件响应计划 235
11.2.2　云服务供应商所扮演的角色 238
11.2.3　物联网事件响应团队的构成 239
11.2.4　沟通计划 239
11.2.5　机构中事件响应计划的演练 240
11.3　检测与分析 240
11.3.1　对已遭受入侵系统的分析 242
11.3.2　涉及物联网设备的分析 243
11.3.3　响应等级提升与监控 243
11.3.4　抑制、消除与恢复 244
11.3.5　事后工作（恢复） 245
11.4　物联网取证 245
11.4.1　事后的设备取证 246
11.4.2　用于破案的新兴数据源 248
11.5　本章小结 249



---------------------------物联网渗透测试---------------------------


译者序
前言
致谢
作者简介
审稿者简介
第1章　IoT渗透测试1
1.1　简介1
1.2　定义IoT生态系统与渗透测试生命周期2
1.3　固件入门4
1.3.1　固件深度分析4
1.3.2　固件的开发供应链5
1.4　IoT中的Web应用6
1.5　IoT中的移动应用9
1.5.1　混合应用9
1.5.2　原生应用10
1.6　硬件设备基础11
1.7　IoT无线通信简介13
1.7.1　Wi-Fi13
1.7.2　ZigBee14
1.7.3　Z-Wave14
1.7.4　蓝牙15
1.8　IoT渗透测试环境的部署15
1.8.1　软件工具要求15
1.8.2　硬件分析工具需求17
1.8.3　无线电分析工具需求19
第2章　IoT威胁建模20
2.1　简介20
2.2　威胁建模概念简介21
2.2.1　准备工作24
2.2.2　测试流程24
2.3　IoT设备威胁建模剖析28
2.4　固件威胁建模35
2.4.1　准备工作35
2.4.2　测试流程36
2.5　IoT Web应用威胁建模39
2.6　IoT移动应用威胁建模42
2.7　IoT设备硬件威胁建模45
2.8　IoT无线电通信威胁建模47
第3章　固件分析与漏洞利用50
3.1　简介50
3.2　固件分析方法51
3.3　固件提取51
3.3.1　准备工作51
3.3.2　测试流程52
3.3.3　测试分析59
3.4　固件分析59
3.4.1　准备工作59
3.4.2　测试流程59
3.4.3　测试分析62
3.4.4　拓展学习63
3.4.5　延伸阅读64
3.5　文件系统分析64
3.5.1　准备工作64
3.5.2　测试流程64
3.5.3　测试分析67
3.5.4　拓展学习68
3.5.5　延伸阅读68
3.6　基于固件仿真的动态分析68
3.6.1　准备工作68
3.6.2　测试流程68
3.6.3　测试分析70
3.6.4　拓展学习71
3.7　ARM与MIPS架构下二进制文件的分析入门71
3.7.1　准备工作71
3.7.2　测试流程71
3.7.3　拓展学习74
3.8　MIPS架构下的漏洞利用74
3.8.1　准备工作74
3.8.2　测试流程74
3.8.3　测试分析82
3.8.4　拓展学习83
3.9　使用firmware-mod-kit（FMK）在固件中添加后门83
3.9.1　准备工作83
3.9.2　测试流程83
3.9.3　测试分析88
第4章　嵌入式Web应用漏洞利用89
4.1　简介89
4.2　Web应用的安全测试89
4.3　Burp Suite的用法92
4.3.1　准备工作92
4.3.2　测试流程92
4.3.3　测试分析98
4.3.4　拓展学习98
4.3.5　延伸阅读99
4.4　OWASP ZAP的用法99
4.4.1　准备工作99
4.4.2　测试流程99
4.4.3　拓展学习104
4.5　命令注入漏洞利用105
4.5.1　准备工作105
4.5.2　测试流程106
4.5.3　延伸阅读109
4.6　XSS漏洞利用109
4.6.1　准备工作110
4.6.2　测试流程110
4.6.3　拓展学习120
4.6.4　延伸阅读120
4.7　CSRF漏洞利用121
4.7.1　准备工作122
4.7.2　测试流程122
4.7.3　延伸阅读125
第5章　IoT移动应用漏洞利用126
5.1　简介126
5.2　获取IoT移动应用127
5.3　反编译Android应用129
5.3.1　准备工作129
5.3.2　测试流程130
5.3.3　延伸阅读132
5.4　解密iOS应用132
5.4.1　准备工作132
5.4.2　测试流程132
5.4.3　延伸阅读135
5.5　基于MobSF框架的静态分析135
5.5.1　准备工作135
5.5.2　测试流程136
5.5.3　拓展学习144
5.6　基于idb的iOS数据存储分析144
5.6.1　准备工作144
5.6.2　测试流程145
5.6.3　拓展学习149
5.6.4　延伸阅读150
5.7　Android数据存储分析150
5.7.1　准备工作150
5.7.2　测试流程150
5.7.3　延伸阅读153
5.8　动态分析测试153
5.8.1　准备工作153
5.8.2　测试流程153
5.8.3　延伸阅读162
第6章　IoT设备攻击技术163
6.1　简介163
6.2　硬件漏洞利用与软件漏洞利用164
6.3　硬件攻击方法164
6.3.1　信息搜集与分析164
6.3.2　设备的外部分析与内部分析165
6.3.3　通信接口识别165
6.3.4　采用硬件通信技术获取数据166
6.3.5　基于硬件漏洞利用方法的软件漏洞利用166
6.4　硬件分析技术166
6.4.1　打开设备166
6.4.2　芯片分析166
6.5　电子技术基础167
6.5.1　电阻167
6.5.2　电压168
6.5.3　电流168
6.5.4　电容169
6.5.5　晶体管169
6.5.6　存储器类型170
6.5.7　串行通信与并行通信170
6.5.8　拓展学习171
6.6　总线与接口识别171
6.6.1　测试流程171
6.6.2　拓展学习177
6.7　嵌入式设备的串行接口177
6.7.1　准备工作178
6.7.2　测试流程178
6.7.3　延伸阅读180
6.8　NAND噪声干扰180
6.8.1　准备工作181
6.8.2　测试流程181
6.8.3　延伸阅读183
6.9　JTAG接口的调试与漏洞利用183
6.9.1　准备工作183
6.9.2　测试流程183
6.9.3　延伸阅读185
第7章　无线电攻击技术187
7.1　简介187
7.2　SDR入门188
7.3　SDR工具189
7.3.1　准备工作189
7.3.2　测试流程189
7.3.3　拓展学习198
7.4　ZigBee漏洞利用198
7.4.1　准备工作198
7.4.2　测试流程198
7.4.3　拓展学习201
7.5　Z-Wave深入分析201
7.6　BLE分析及漏洞利用203
7.6.1　准备工作205
7.6.2　测试流程206
7.6.3　拓展学习209
第8章　固件安全最佳实践210
8.1　简介210
8.2　内存崩溃漏洞防护211
8.2.1　准备工作211
8.2.2　测试流程211
8.2.3　延伸阅读214
8.3　注入攻击防护214
8.3.1　测试流程215
8.3.2　延伸阅读216
8.4　固件更新保护216
8.5　敏感信息保护218
8.5.1　测试流程219
8.5.2　延伸阅读220
8.6　嵌入式框架加固220
8.6.1　准备工作221
8.6.2　测试流程221
8.7　第三方代码及组件的保护225
8.7.1　准备工作225
8.7.2　测试流程226
第9章　移动安全最佳实践230
9.1　简介230
9.2　数据存储安全231
9.2.1　准备工作231
9.2.2　测试流程231
9.2.3　延伸阅读233
9.3　认证控制措施的实现233
9.3.1　测试流程233
9.3.2　延伸阅读238
9.4　数据传输安全238
9.4.1　测试流程239
9.4.2　延伸阅读242
9.5　Android与iOS平台下组件的使用安全242
9.6　第三方代码与组件安全244
9.6.1　测试流程245
9.6.2　延伸阅读246
9.7　针对逆向分析的保护措施246
9.7.1　测试流程247
9.7.2　拓展学习248
9.7.3　延伸阅读248
第10章　硬件安全保障249
10.1　简介249
10.2　硬件最佳实践249
10.3　非通用的螺丝类型250
10.4　防篡改和硬件保护机制250
10.5　侧信道攻击保护252
10.6　暴露的接口253
10.7　通信数据加密与TPM253
第11章　IoT高级漏洞利用与自动化安全防护254
11.1　简介254
11.2　ROP gadget搜索254
11.2.1　准备工作255
11.2.2　测试流程255
11.2.3　延伸阅读267
11.3　Web安全漏洞的组合利用268
11.3.1　测试流程268
11.3.2　延伸阅读277
11.4　固件持续集成测试配置277
11.4.1　准备工作277
11.4.2　测试流程278
11.4.3　延伸阅读284
11.5　Web应用持续集成测试配置284
11.5.1　准备工作284
11.5.2　测试流程284
11.5.3　延伸阅读292
11.6　移动应用持续集成测试配置293
11.6.1　准备工作293
11.6.2　测试流程293
11.6.3　延伸阅读303



有问题微信扫码联系

推荐

Understand China
桂ICP备20004708号-4