55915X FM.qxd 3/22/04 5:50 PM Page xiii
Contents
xiii
Information Security Models . . . . . . . . . . . . . . . . . . . . . . . . . . 285
Access Control Models . . . . . . . . . . . . . . . . . . . . . . . . . . 286
Integrity Models . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 290
Information Flow Models . . . . . . . . . . . . . . . . . . . . . . . . . 292
Assessment Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 294
Chapter 6: Operations Security . . . . . . . . . . . . . . . . . . . . . . 301
Domain Definition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 301
Triples . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 302
C.I.A. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 302
Controls and Protections . . . . . . . . . . . . . . . . . . . . . . . . . . . . 302
Categories of Controls . . . . . . . . . . . . . . . . . . . . . . . . . . . 303
Orange Book Controls . . . . . . . . . . . . . . . . . . . . . . . . . . . 304
Operations Controls . . . . . . . . . . . . . . . . . . . . . . . . . . . . 319
Monitoring and Auditing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 326
Monitoring . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 326
Auditing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 329
Threats and Vulnerabilities . . . . . . . . . . . . . . . . . . . . . . . . . . . 333
Threats . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 333
Vulnerabilities and Attacks . . . . . . . . . . . . . . . . . . . . . . . . 334
Assessment Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 336
Chapter 7: Applications and Systems Development . . . . . . . . . 343
Systems Engineering . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 343
The System Life Cycle or System Development Life Cycle (SDLC) . . . . . 344
The Software Life Cycle Development Process . . . . . . . . . . . . . . . . 345
The Waterfall Model . . . . . . . . . . . . . . . . . . . . . . . . . . . . 346
The Spiral Model . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 348
Cost Estimation Models . . . . . . . . . . . . . . . . . . . . . . . . . . 351
Information Security and the Life Cycle Model . . . . . . . . . . . . . 352
Testing Issues . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 353
The Software Maintenance Phase and the Change Control Process. . . 353
Configuration Management . . . . . . . . . . . . . . . . . . . . . . . . 354
The Software Capability Maturity Model (CMM) . . . . . . . . . . . . . . . 355
Object-Oriented Systems . . . . . . . . . . . . . . . . . . . . . . . . . . . . 357
Artificial Intelligence Systems . . . . . . . . . . . . . . . . . . . . . . . . . . 361
Expert Systems . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 361
Neural Networks . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 363
Genetic Algorithms . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 364
Database Systems . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 364
Database Security Issues . . . . . . . . . . . . . . . . . . . . . . . . . 365
Data Warehouse and Data Mining . . . . . . . . . . . . . . . . . . . . 365
Data Dictionaries . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 366
Application Controls . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 366
Distributed Systems . . . . . . . . . . . . . . . . . . . . . . . . . . . . 368
Centralized Architecture . . . . . . . . . . . . . . . . . . . . . . . . . 369
Real-Time Systems . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 369
Assessment Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 370