信息安全原理(第5版) @ 3dWoo大學簡體電腦書店

	-- 會員 / 註冊 --
帳號：　密碼：　 \| 註冊 \| 忘記密碼

3/26 新書到！ 3/19 新書到！ 3/14 新書到！ 12/12 新書到！
	購書流程‧Q & A‧站務留言版‧客服信箱

│ 3ds Max│ Maya│ Rhino│ After Effects│ SketchUp│ ZBrush│ Painter│ Unity│

│ PhotoShop│ AutoCad│ MasterCam│ SolidWorks│ Creo│ UG│ Revit│ Nuke│

│ C#│ C│ C++│ Java│ 遊戲程式│ Linux│ 嵌入式│ PLC│ FPGA│ Matlab│

│ 駭客│ 資料庫│ 搜索引擎│ 影像處理│ Fluent│ VR+AR│ ANSYS│ 深度學習│

│ 單晶片│ AVR│ OpenGL│ Arduino│ Raspberry Pi│ 電路設計│ Cadence│ Protel│

│ Hadoop│ Python│ Stm32│ Cortex│ Labview│ 手機程式│ Android│ iPhone│


可查書名,作者,ISBN,3dwoo書號		詳細書籍分類

信息安全原理(第5版)
( 簡體字)

作者：[美]Michael E. Whitman，Herbert J. Mattord 著類別：1. -> 安全 -> 網路安全 -> 駭客攻擊與入侵

譯者：王曉海譯

出版社：清華大學出版社 3dWoo書號： 43062
詢問書籍請說出此書號！
【缺書】
NT售價： 400 元

出版日：11/1/2015

頁數：523

光碟數：0

站長推薦：

印刷：黑白印刷語系： ( 簡體版 )

加入購物車 │加到我的最愛
(請先登入會員)

ISBN：9787302417033

作者序　|　譯者序　|　前言　|　內容簡介　|　目錄　|　序

(簡體書上所述之下載連結耗時費功, 恕不適用在台灣, 若讀者需要請自行嘗試, 恕不保證)

作者序：

譯者序：

前言：
全球網絡使世界各地的信息系統之間的互連變得越來越廣泛，順暢的通信和計算解決方案因而也變得更加重要，但諸如惡意軟件、釣魚攻擊以及各種犯罪攻擊事件的頻繁出現，說明當前的信息技術十分薄弱，需要加強對這些系統的安全保護。
為了保護已有的系統和網絡，企業必須招收一定數量的信息安全專業人員。企業還期望具有豐富經驗和技巧的下一代專業人士能開發出更加安全的計算環境，參與和管理肯定會出現的、復雜的信息安全問題。為此，技術類的學生需要在大學教師的指導下，學習更高深的內容以及相關的技術材料，認識已有系統中存在的漏洞和薄弱部分，學習設計并開發將來所需的安全系統。
本書是一本闡述信息安全原理的優秀教材。目前有許多面向從業人員的、關于信息安全的優秀出版物，但缺乏一本針對學生的、均衡地介紹安全管理和安全技術的教材。我們希望創作一本專門面向信息安全專業學生的教材來填補此空白。而且，顯然本書需要包含犯罪立法、政治學、計算機科學、信息系統和其他相關學科的原則，以幫助讀者更清晰地理解信息安全原則，并為系統漏洞形成跨學科的解決方案。本書的基本原則為：現代機構內的信息安全是一個需要管理層來解決的問題，而不是僅通過技術就可解決的問題。換言之，機構的信息安全具有重要的經濟效益，管理層必須為之負責。
0.1 方法
本書全面介紹了信息安全的整個領域，其中包括許多相關元素的背景，以及理解該領域所需的足夠細節。本書包含了該學科的術語、簡史，并概述了信息安全計劃的管理模式。
0.2 本書結構和章節內容簡介
本書的結構遵循一種稱為安全系統軟件開發生命周期(或SecSDLC)的模式。這個結構化方法可用于在幾乎沒有正式信息安全措施的企業中實現信息安全，也可以幫助改進已有的信息安全計劃。SecSDLC提供了堅實的基礎架構，非常類似于在應用程序開發、軟件工程、傳統的系統分析與設計以及聯網工程中使用的架構。本書使用這個結構化方法，提供了一條不超越主題的主線，此主線可指導教師和學生對信息安全領域的各個方面進行詳細研究。為此，將本書分為6個部分，共12章。
第I部分—— 簡介
第1章—— 信息安全簡介
開篇章節講述了理解信息安全各領域的基礎內容。本部分定義關鍵術語，解釋基本概念，并概述此領域的起源及其對理解信息安全的影響。
第II部分—— 安全調研階段
第2章—— 安全需求
本章介紹商界對信息安全越來越感興趣的原因。本章介紹了現代企業在信息安全領域的需求，強調并構建了第1章介紹的概念。一個原理性概念是：信息安全主要是一個管理問題，而不是技術問題。換言之，信息安全領域中的最佳實踐過程是在考慮了商務需求后，才應用具體的技術。
本章還介紹了企業面臨的各種威脅，并給出對這些威脅進行分級的過程，以便在企業開始進行安全計劃時利用相應的優先級。本章繼續講解上述威脅可能導致的各種攻擊，以及它們對機構的信息系統產生的影響。本章進一步討論了信息安全的重要原理，其中一些在第1章已經介紹過，如機密性、完整性、可用性、身份驗證和標識、授權、責任和私密性。
第3章—— 信息安全中的法律、道德以及專業人員問題
除了SecSDLC調研過程的基本部分之外，本章對國家和國際條款中的現有法律、規章和公共道德進行了詳細介紹，深刻闡述了商業交往中所遵循的規范。本章介紹了信息安全領域的幾個重要法律，并詳細描述了實現安全的人員必須遵守的計算機道德。不懂法律不是借口，但忽視法律(懂法但不守法)更危險。本章也介紹了現今企業中經常出現的幾個法律和道德問題，以及可提升道德和法律責任的正規專業機構。
第III部分—— 安全分析
第4章—— 安全規劃
本章給出了許多被廣泛接受的安全模型和基礎框架，還介紹了最佳商務實踐方案以及合理注意、謹慎處理的標準，并扼要介紹了安全策略的開發。本章詳細描述了安全策略每一層次的主要組成內容、范圍和目標對象，還解釋了軍隊和私人的數據分類模式以及安全教育培訓和意識(SETA)計劃。本章論述了支持業務持續、災難恢復和事故響應的規劃過程，描述了在發生事故時機構的作用，以及機構需要外部法律執行部門的時機。
第5章—— 風險管理
在開始設計一個新的信息安全方案前，信息安全分析人員必須首先要理解企業的當前狀況以及它和信息安全的關系。企業目前有正規的信息安全機制嗎？它們的效率如何？企業給安全管理人員和終端用戶發布了什么策略和過程？本章描述了標識威脅和資產，并評定其優先級的過程，以及標識當前可用于保護這些資產免受威脅的控制措施的過程，進而介紹了實施基本的信息安全評估的方式。本章還討論了各種可利用的控制機制類型，并指明進行最初風險評估所涉及的步驟。本章把風險管理定義為識別、評估風險，并將其降低至可接受的程度、實現有效的控制措施以維持此風險級別的過程。最后討論了風險分析和各種可行性分析。
第IV部分—— 設計
本部分的內容為信息系統專業的學生介紹信息安全領域中使用的技術控制。如果讀者不熟悉聯網技術和TCP/IP協議，可能會覺得第6、7、8和9章的內容比較難理解。如果讀者不具備網絡協議的基礎知識，在學習本部分的內容之前，應先學習聯網教材中有關TCP/IP協議的一兩章內容。
第6章—— 安全技術：防火墻和VPN
本章詳細論述了如何配置和使用把企業系統和不安全的互聯網隔離開來的技術。本章包含防火墻技術的許多定義和分類，以及可以部署防火墻的體系結構。接著討論了防火墻的正確配置和使用相關的規則。本章還闡述了遠程撥號服務，以及為仍使用這種舊式技術的企業保護該訪問點所必需的安全預防措施。之后介紹了過濾內容的能力和注意事項。最后討論了通過虛擬專用網為授權用戶提供遠程訪問權的技術。
第7章—— 安全技術：入侵檢測防護系統和其他安全工具
本章繼續討論安全技術，介紹入侵的概念，防止、檢測、響應入侵和恢復到入侵前的狀態的技術。闡述了入侵檢測和防護系統(IDPS)的特定類型：主機IDPS、網絡IDPS和應用IDPS及相應的配置和用法。本章繼續論述專門的檢測技術，將攻擊者誘入誘騙系統(因而遠離重要的系統)，或簡單地把攻擊者的入口指向這些誘騙的區域，這些區域稱為蜜罐、蜜網或填充單元系統。本章還介紹跟蹤系統，跟蹤被誘入誘騙系統的攻擊者的真實地址。之后詳細論述重要的安全工具，信息安全專家可以使用這些工具檢查企業系統的當前狀態，標識出系統中已有的潛在薄弱區域或企業的整體安全態勢中存在的潛在薄弱區域。最后討論現代操作系統中廣泛部署的訪問控制設備，以及生物測定學中的新技術，對已有的實現方案提供強有力的身份驗證。
第8章—— 密碼學
本章詳細介紹了現代密碼系統的基礎知識、體系結構和實現方案。本章首先概述了現代密碼系統的歷史，在該歷史中有重要作用的各種密碼，還論述了組成密碼系統的一些數學技術，包括散列函數。接著，比較傳統的對稱加密系統和現代的非對稱加密系統，非對稱系統是公共密鑰加密系統的基礎。然后，本章概述在安全通信中使用的、基于加密技術的協議，包括S-HTTP、S/MIME、SET和SSH。之后討論隱寫術，這是一個新興的技術，是隱藏信息的一種有效方式。最后討論信息安全中專門針對加密系統的攻擊。
第9章—— 物理安全
物理安全是信息安全過程中的一個重要環節，關注的是物理設施的管理，物理訪問控制的實現以及環境控制的監督。本章講解了現代企業在面對各種物理安全威脅時應特別注意的事項：設計一個安全的數據中心，評估警衛和看門狗的相對價值，分析火災抑制和電力調節的技術問題等。
第V部分—— 實現方案
第10章—— 實現信息安全
前面的章節介紹了企業設計信息安全計劃的規則，本章介紹實現該設計所需的重要元素。本章主要實現了信息安全的靶心模型，討論了企業是否應外包信息安全計劃中的各種組件。此外，還討論了變動的管理、程序的改進以及業務持續性工作的額外計劃等內容。
第11章—— 安全和人員
實現階段的下一領域解決的是人員問題。本章介紹了人員的兩個方面：安全人員和人員的安全。具體內容有：人員問題、專業人員安全證書以及雇傭政策的實現和實踐。本章還討論了信息安全政策與顧問、臨時工和外部商務伙伴之間影響和被影響的方式。
第VI部分—— 維護和改進
第12章—— 信息安全維護
最后也是最重要的一部分是對維護和改進的討論。本章介紹了對信息安全計劃的長期進行的技術性和管理性評估，企業必須執行該信息安全計劃，才能維護其信息系統的安全。本章介紹了長期風險分析、風險評估和度量，這些都將保證風險管理計劃的效率。然后探討了現代企業中進行各種漏洞分析所需進行的特殊考慮(從互聯網入侵測試到無線網絡風險評估)。本章和本書最后介紹了數字取證這個主題。
0.3 特色
下面是本書研究信息安全的一些特點：
信息系統安全專業人員的公共知識體系—— 因為本書作者是經過認證的信息系統安全經理(CISM)和信息系統安全專業人員(CISSP)，CISSP的知識對本書的設計有一定的影響。雖然本書盡量避免成為一本認證學習指南類的書，但作者的背景導致了本書在介紹信息安全的知識時，在某種程度上結合了CISM和CISSP公共知識體系(CBK)。
每章場景—— 每章的開頭和結尾都是一個小故事，講述一個虛擬公司遇到某類現實世界常見的信息安全問題。每一章的最后都會提出一些問題，讓學生和老師討論故事內容所隱含的根本問題，并探討這些問題的道德方面。
相關資料和技術細節部分—— 這部分內容穿插在整本書中，重點講述一些有趣的主題和詳細的技術問題，讓學生更深入地了解各種信息安全主題。
強化學習—— 在每章結尾提供了該章的小結、復習題和練習。這些練習要求學生研究、分析和記錄問題的答案，以鞏固學習目標，并加深對本章內容的理解。這些內容便于學生在課堂外復習信息安全的內容。
0.4 本版中的改動內容
● 在每章末尾增添了一些討論問題，以探討該章內容的道德方面。
● 介紹了最新的法律和行業趨勢。
● 關鍵術語框突出了行業中使用的術語。
● “更多信息”部分列出了一些網絡地址，學生可在這些地方找到所介紹主題的更多信息。
● 增添了一些圖片來介紹重要主題。
0.5 額外資源
在www.cengagebrain.com網站上可找到更多課程材料。查看本書封底的ISBN，然后在CengageBrain主頁頂部的搜索框中輸入本書的ISBN進行搜索即可。
0.6 教師資源
配套網站
為支持本書內容，我們準備了許多教學工具，它們在多方面增強了課堂教學內容。
教師手冊 —— 教師手冊包括使用本書的建議和策略，甚至還包括了講座主題的提示。教師手冊還包括每章結束處復習題的答案以及練習的建議方案。
答案——教師資源包含每章末尾所有材料的答案，包括復習題和練習題。
圖形文件—— 圖形文件允許教師利用本書的圖形創建自己的演示文稿。
PowerPoint演示—— 本書的每一章都提供了相應的Microsoft PowerPoint幻燈片。它們可以用作課堂演示，讓學生在網絡上回顧每章的內容，或打印出來，分發給學生。教師還可以為在課堂上額外介紹的主題加入自己的幻燈片。
實驗室手冊 —— Cengage Learning出版了與本書和其他書配套的實驗手冊The Hands-On Information Security Lab Manual, Fourth Edition (ISBN 13:9781285167572)。該實驗室手冊提供了跟蹤痕跡、枚舉和防火墻配置等安全性強化練習，以及諸多作為實驗室組件或課堂項目的練習和案例，作為本書的補充材料。要了解詳細信息，請與Cengage Learning出版社的銷售代理聯系。
Cognero—— Cengage Learning Testing Powered by Cognero是一個靈活的線上系統，允許：
● 編寫、編輯和管理多個Cengage Learning解決方案的測試題庫內容。
● 快速創建多個測試版本。
● 從LMS、課堂或其他任意位置進行測試。
0.7 作者團隊
本書由Michael Whitman和Herbert Mattord聯合創作，結合了本研究領域內的理論知識以及商界的實際經驗。
Michael Whitman博士，是經過認證的信息系統安全經理和信息系統安全專業人員，是喬治亞州肯尼索州立大學Michael J. Coles商學院信息系統系的信息安全教授，他還是該大學信息安全教育中心(infosec.kennesaw.edu)的主任。Whitman博士的主要研究領域有信息安全、公平可靠地使用策略、計算道德準則和課程編制方法等。目前他講授信息安全和應急計劃的大學課程和研究生課程。他還在其領域的頂級刊物“Information Systems Research”、“Communications of the ACM”、“Information and Management”、“Journal of International Business Studies”和“Journal of Computer Information Systems”等發表了一些文章。Whitman博士也是“Information Security Education Journal”的主編。他是信息系統安全學會、計算機學會和信息系統學會的成員， Whitman博士還與他人合著了Management of Information Security、Principles of Incident Response and Disaster Recovery、Readings and Cases in the Management of Information Security、The Guide to Firewalls and VPNs、The Guide to Network Security和The Hands-On Information Security Lab Manual，這些圖書都由Cengage Learning出版社出版。在Whitman博士開始其學術生涯之前，他是一名美軍的裝甲騎兵隊軍官。
Herbert Mattord是Ph.D.、CISM和CISSP。他曾經做過應用程序開發人員、數據庫管理員、項目經理和信息安全專業人員。他在結束了24年的IT職業生涯之后，于2002年進入肯尼索州立大學。Mattord教授是信息安全與保證學位管理學士協調員，以及KSU信息安全教育和意識中心(infosec.kennesaw.edu)的副主任。他也是“Information Security Education Journal”的副編輯。在IT從業期間，他已經是肯尼索州立大學、喬治亞州瑪麗埃塔市南方理工州立大學、得克薩斯州奧斯汀市奧斯汀社區學院以及得克薩斯州立大學圣馬科斯分校的副教授。目前他講授信息安全、數據通信、局域網、數據庫技術、項目管理、系統分析和設計以及信息資源管理與策略等大學課程。他曾是Georgia-Pacific公司的公司信息技術安全部門的經理。本書包含了他的諸多實踐知識。Mattord教授還與其他人合著了Management of Information Security、Principles of Incident Response and Disaster Recovery、Readings and Cases in the Management of Information Security、The Guide to Firewalls and VPNs、The Guide to Network Security和The Hands-On Information Security Lab Manual，這些圖書都由Cengage Learning出版社出版。
0.8 致謝
作者感謝他們的家人一直給予的支持與理解，作者在寫作這本書期間投入了大量時間，甚至于錯過了一些家庭活動。特別要感謝Carola Mattord博士。她對本書的草稿進行了審訂，提出了一些建議，使作者將注意力集中在學生需要上，讓最終成稿易于閱讀。
貢獻者
一些人士和組織為本書提供了材料，感謝他們的貢獻。例如，本書中的許多引用、表格、圖形和其他內容都來自美國國家標準與技術研究院(NIST)。
評審者
感謝以下人士對本書的最初提議、項目規劃和逐章評審所給出的反饋：
● Paul Witman, 加利福尼亞路德大學
● Pam Schmelz, 印第安納常春藤技術社區學院
● Donald McCracken, 弗吉尼亞ECPI大學
● Michelle Ramim, 佛羅里達諾娃東南大學
特別致謝
作者要感謝Cengage Learning的編輯和制作團隊。他們勤奮而專業的工作大大提升了成稿的質量：
● Natalie Pashoukos, 高級內容開發編輯
● Dan Seiter, 開發編輯
● Nick Lombardi, 產品經理
● Brooke Baker, 高級內容項目經理
另外，一些專業組織、商業組織和個人為作者提供了信息和靈感，幫助了本書的創作。作者感謝他們的貢獻：
● Charles Cresson Wood
● Donn Parker
● 我們在KSU信息系統系和Coles商學院的同事們
作者的承諾
作者承諾以本書選用者和讀者的需求為己任。我們很樂意收到讀者對本書及其輔助材料的反饋。讀者可通過Cengage Learning聯系作者，電子郵件地址為：mis@course.com。
0.9 序
信息安全更像是藝術而非科學。掌握如何保護信息安全，要求具備大量多學科知識，以及相關經驗和技能。本書作者將通過真實場景介紹每個主題，帶領讀者理解安全系統開發生命周期，所以通過學習本書，讀者可掌握大部分需要的知識。作者實際經驗豐富，并運用學院式方法，為讀者提供了豐富的學習體驗。讀者選擇這本書是正確的決定。
選擇閱讀本書，說明讀者很可能想要以信息安全作為職業，或者至少對信息安全有濃厚的興趣。有一點在心理上必須做好準備：幾乎每個人都討厭安全性給他們的工作帶來的約束。好人和壞人都是如此，不過惡意黑客是個例外，他們喜歡把我們安裝的安全措施視為要擊敗的挑戰。我們把注意力集中在阻止有意作惡的人們身上，因為此時采取的措施也會防止其他人在無意間做壞事。針對無意間犯錯的人們設計安全保護措施不足以防御有意作惡的人們。
工作40年的時間里，我使用計算機，與心懷惡意的人們斗智斗勇。這是一個令人興奮且回報頗豐的領域，讀者也會發現如此。安全控制和實踐包括登錄和注銷、使用密碼、加密和備份關鍵信息、鎖住門和抽屜、激勵利益關系人支持安全性，以及安裝防病毒軟件。只有在困境出現的少數時候，這些保護措施才會提供收益。沒有問題出現，良好的安全性就發揮了作用，但是當沒有問題出現時，誰又需要安全性？現如今，除了丟失記錄，我們仍然需要安全性，因為這是法律、規章和審核者的要求——當我們處理其他人的私人信息、電子貨幣、知識產權以及保持領先競爭對手時尤其如此。
知道雇主的信息和系統比較安全，并且自己得到了可觀的報酬，在發生緊急情況時成為焦點人物，把自己的才智用在對抗壞人上，這會帶來極大的滿足感。所以雖然安全工作存在缺點，這些滿足感足以補償。但是這份工作不適合完美主義者，因為我們幾乎從不會做到徹底成功，總是會存在我們不知道或者壞人們先于我們發現的漏洞。敵人們相比我們具有巨大優勢。他們只需要在已知位置(電子位置或物理位置)找到一個漏洞和一個目標，在他們選擇的時間進行攻擊，而我們則需要防御針對資產和漏洞可能發生的數百萬次攻擊，而這些攻擊已經不再發生在一間電腦室中，而是分布在整個世界中。就好像我們在打一個游戲，但是我們不知道對手是誰，在什么地方，在做什么，他們為什么這么做，并且他們在玩游戲的過程中總在悄悄地修改規則。我們必須遵守道德，保持警戒、秘密和謹慎。夸耀自己的安全措施多么出色可能會向敵人泄露信息。享受自己經歷的少量成功時刻，因為有一些成功你甚至不會知道。
有一個故事描述了我們所踏入的戰場。有一個小國家征召了一個年輕人入伍，但是軍隊裝備緊缺，沒有足夠的槍支，所以在培訓這個新兵時給了他一個掃把。在基本訓練中，年輕人問：“我拿這個掃把做什么？”
指導員把他帶到射擊場，告訴他假裝這個掃把是一把槍，然后瞄準目標說“砰，砰，砰” 。他照做了。然后指導員帶他進行刺刀練習。新兵問：“我拿這個掃把做什么？”
指導員說：“想象它是一把帶刺刀的槍，然后說，‘刺，刺，刺’。”
新兵仍然照做。后來戰爭爆發，軍隊仍然沒有足夠的槍支；新兵上了前線，敵軍朝著他沖過來。他只有一個掃把，所以能做的就是指導員在訓練中教導他的。他把掃把瞄準敵軍，說：“砰，砰，砰。”敵軍的一些士兵倒下，但是仍然有很多在繼續前進。一些士兵沖到了他身邊，他只能說：“刺，刺，刺。”更多的敵軍士兵倒下了。但是，仍然有一個頑固的敵軍士兵(這樣的故事中總會有這樣一個士兵)朝著他沖過來。新兵說：“砰，砰，砰”。但是沒用。敵人不斷接近，新兵說：“刺，刺，刺”，但是仍然沒有用。敵軍士兵把他撞倒在泥地上，折斷了他的掃把。在敵軍士兵沖過他身邊時，新兵聽到這個敵軍士兵在喃喃低語：“坦克，坦克，坦克”。
我在許多講解計算機犯罪和安全性的課程最后說過這個故事，目的是讓聽眾深刻認識到，如果我們要戰勝罪犯，就必須知道規則，而罪犯在進行犯罪行為時制定了他們自己的秘密規則。這讓我們戰勝他們變得十分困難。
我在里約熱內盧講課時，面對著幾百位帶有耳機的聽眾，一位年輕的女士負責同聲傳譯，把我講的內容翻譯成葡萄牙語。在這種情況中，我不知道我的聽眾聽到的是什么。我講了那個笑話，但是沒人發笑。他們只是坐在那里，一臉莫名其妙的樣子。課后，我問這位翻譯發生了什么情況。原來，她把“坦克、坦克、坦克”翻譯成了“水箱、水箱、水箱”。那一次，新兵和我都被欺騙了。
三周后，我在巴黎的喬治五世酒店給一群法國銀行家講課。我的一位精通雙語的朋友聽了我講課內容的翻譯。里約熱內盧的事件再次發生。沒人發笑。后來，我問我的朋友發生了什么。他說：“說出來你不信，那個翻譯把‘坦克、坦克、坦克’翻譯成了‘謝謝’。”就算是在講笑話時，我也和那個新兵一樣，不知道游戲的規則是什么。
記住，在安全行業工作，我們就像在一個虛擬的軍隊中，保護雇主和利益關系人不受敵人侵害。從我們的角度看，敵人在思考和行動時很可能沒有理性可言，但是從他們的角度看，他們是非常理性的，通過破壞我們的安全措施來解決嚴重的個人問題并獲得收益。我們不只是負責在系統和網絡上安裝技術控制的技術專家。我們的主要工作應該是幫助潛在受害者避免陷入信息困境，以及對抗狡猾但是常常無理性的敵人，盡管我們很少見到甚至辨別出他們。我在安全行業的職業生涯中，大部分時間用到了找出計算機罪犯并對他們和他們的受害者進行采訪，試圖得到一些深刻的認識，以更好地防御他們的攻擊。類似地，讀者應該利用每個機會來找出計算機罪犯并了解他們。這種經歷能使你作為一個真正的、獨特的專家收獲聲望，即便你只接觸到了很少的敵人。
在真正進行防御時，全面性是一個重要方面，因為敵人會找出最簡單的方式來攻擊我們尚未徹底保護或者甚至不知道存在的漏洞和資產。例如，危害資產是在威脅列表中很少看到的一個威脅，也就是讓信息資產存在風險。危害資產也是安全專業人員最常見的違反安全的行為；當他們透露關于自己的安全措施和滅失記錄的過多信息時，就會發生危害資產。
我們必須做到徹底而細心，記錄所有相關信息，這是薩班斯-奧克斯利法案的要求，同時在有人質疑我們的能力時使我們能夠提供反駁的證據。把文檔記錄鎖好。文檔很重要，這樣當敵人進行攻擊而我們輸掉戰斗時，我們就有證據說明盡管發生了損失，但是我們已經盡力。否則，我們的職業生涯可能受到沖擊，至少我們的效率會降低。例如，如果發生損失的原因是管理層沒能為我們知道需要的安全性提供足夠的預算和支持，那么在損失發生前，我們應該已經記錄下這種問題。不要吹噓我們的安全措施多好，因為再好的安全措施都可能被擊敗。用一個清單記錄下所有事情，并不斷補充這個清單。清單中記錄的內容包括威脅、漏洞、資產、關鍵的潛在受害者、惡行嫌疑人、安全支持者和不支持者、攻擊、敵人、司法正義資源、審核者、監管者和法律顧問。為了幫助利益關系人(他們是自己的信息和系統的第一線防御者)，必須確定他們必須保護什么，以及他們的安全性到底如何。確保高層管理者和你的主管理解你的工作的本質和局限。
我們自己應該使用最佳安全實踐來建立一個好的示范。在完成工作時，我們會知道大量敏感的密碼。把它們寫下來，然后把這個單子安全地放到錢包中，和信用卡放一起。盡可能深入地了解組織的系統和網絡，并知道如何聯系其他問題的專家。與本地和國家司法正義官員、組織的律師、保險風險經理、人力資源、設施經理和審核員建立良好關系。審核是組織具備的最強大的控制方法之一。記住，人們討厭安全措施，必須通過懲罰和獎勵措施來恰當地激勵他們實施安全。尋找一些方式來讓安全性對利益關系人透明，同時仍然使之有效。不要推薦或者安裝利益關系人不會支持的控制或實踐，因為他們會表現得好像控制措施生效，但其實并非如此，這種情況要比沒有安全性更加危險。
這份工作最令人激動的地方之一是我們能夠深入理解組織的內部機制和秘密，以及組織的業務和文化。作為一名信息安全顧問，我有幸了解到250多家全球性的大公司的文化和秘密。同樣幸運的是，我有機會采訪權力極大的公司執行官們，并為他們提供建議，盡管他們的時間十分寶貴，這個過程可能只用了幾分鐘。我們總是應該準備好一個“銀彈”，以便在與公司高層交流的短暫時間中，為公司安全性帶來最大收益。認真了解管理層對安全需求的限制。了解業務的本質，知道這是一個政府部門還是一個競爭激烈的公司。有一次，我參與了一個會議，與某公司的董事會成員激烈討論如何保護他們最大的商業秘密—— 新的一次性尿布的制造過程。
最后一點重要的建議。一定要信任同行，與他們建立互信的關系。我們最重要的目標不只是降低風險，增加安全性，還包括努力避免疏忽和危害，遵守所有法律和標準，并且當安全成為一個競爭或者預算問題時使其可以實施。為了實現這些目標，我們必須與同行以彼此信任的方式交換最敏感的安全信息，這樣就能夠知道自己的組織相對于其他企業處在一個什么樣的位置上。但是與此同時，一定要保持謹慎小心。我們需要知道普遍接受的最新的安全解決方案。如果交換的信息被公開，就可能會危害自己和他人的職業生涯，并且為自己的組織帶來災難。我們的個人和道德表現必須無懈可擊，并且我們必須竭盡全力來保護自己的聲譽。要特別關注本書介紹道德的部分。我建議讀者加入信息系統安全協會，并成為其中活躍的一員，當自己合格后進行專業認證。我最喜歡的認證是國際信息系統安全認證協會的信息系統安全專業人員認證(CISSP)。
Donn B. Parker, CISSP
加利福尼亞洛斯阿爾托斯

內容簡介：
信息安全涉及的知識領域十分廣泛，既有技術層面的，也有道德、法律層面的，同時對經驗和實踐能力的要求較高。本書全方位展示了信息安全的理論知識，每章都從一個小故事起步，逐步引出該章要討論的安全主題，章末則再次回顧故障場景，總結安全知識的應用。
本書特色
● 由權威專家、教授執筆，系統闡述信息安全涉及的理論、技術和道德知識
● 每章由精心設計的小故事引出要討論的安全話題，趣味性強
● 提供大量用于強化知識的自測題、總結、知識拓展等內容
● 體現了信息安全領域的最新理論及技術成果

目錄：
第1章信息安全簡介 1
1.1引言 2
1.2信息安全發展史 3
1.2.120世紀60年代 3
1.2.220世紀70年代和80年代 4
1.2.320世紀90年代 8
1.2.42000年至今 8
1.3安全的概念 9
1.3.1重要的信息安全概念 10
1.3.2信息的重要特性 12
1.4CNSS安全模型 15
1.5信息系統的組件 15
1.5.1軟件 16
1.5.2硬件 16
1.5.3數據 17
1.5.4人員 17
1.5.5過程 17
1.5.6網絡 17
1.6平衡信息的安全和訪問 18
1.7實現信息安全的方法 18
1.8系統生命周期的安全性 19
1.8.1系統開發生命周期 20
1.8.2安全系統開發生命周期 21
1.8.3軟件保證——SDLC中的安全性 23
1.8.4軟件設計原則 24
1.8.5保護SDLC的NIST方法 25
1.9安全專業人士和機構 27
1.9.1高級管理者 27
1.9.2信息安全項目小組 28
1.9.3數據責任 28
1.10利益團體 29
1.10.1信息安全管理和專業人士 29
1.10.2信息技術管理和專業人士 29
1.10.3機構管理和專業人士 29
1.11信息安全：藝術還是科學 29
1.11.1作為藝術的安全 30
1.11.2作為科學的安全 30
1.11.3作為社會科學的安全 30
1.12本章小結 30
1.13復習題 31
1.14練習 32
1.15案例練習 32
1.16尾注 32
第2章安全需求 35
2.1引言 36
2.2威脅和攻擊 37
2.2.125億潛在黑客 38
2.2.2關于威脅的其他研究 38
2.2.3常見攻擊模式枚舉與分類(CAPEC) 40
2.2.412類威脅 40
2.3知識產權的損害 41
2.3.1軟件盜版 41
2.3.2版權保護和用戶注冊 42
2.4服務質量差 43
2.4.1互聯網服務問題 43
2.4.2通信及其他服務提供商的問題 44
2.4.3電源不穩定 44
2.5間諜或蓄意入侵 45
2.5.1黑客 45
2.5.2黑客的變體 50
2.5.3密碼攻擊 50
2.6自然災害 52
2.6.1火災 52
2.6.2水災 52
2.6.3地震 52
2.6.4閃電 52
2.6.5山崩或泥石流 53
2.6.6龍卷風或風暴 53
2.6.7颶風、臺風或熱帶低氣壓 53
2.6.8海嘯 53
2.6.9靜電放電 53
2.6.10灰塵污染 54
2.7人為過失或失敗 54
2.8信息敲詐 58
2.9蓄意破壞 59
2.10軟件攻擊 61
2.10.1惡意軟件 61
2.10.2后門 66
2.10.3拒絕服務(DoS)及分布式拒絕服務(DDoS)攻擊 67
2.10.4電子郵件攻擊 67
2.10.5通信攔截攻擊 68
2.11技術硬件故障或錯誤 69
2.11.1IntelPentiumCPU故障 69
2.11.2平均故障間隔時間 70
2.12技術軟件故障或錯誤 70
2.12.1OWASP十大風險列表 70
2.12.2軟件安全中的諸宗罪 71
2.13技術淘汰 75
2.14竊取 76
2.15本章小結 77
2.16復習題 77
2.17練習 78
2.18案例練習 78
2.19尾注 79
第3章信息安全中的法律、道德以及專業人員問題 83
3.1引言 84
3.2信息安全的法律及道德 84
3.2.1機構的責任和忠告 84
3.2.2政策與法律 84
3.2.3法律的類型 85
3.3美國相關法律 85
3.3.1一般計算機犯罪法 85
3.3.2出口及間諜法 93
3.3.3美國版權法 94
3.3.4財務報表 94
3.3.51966年信息自由法 95
3.3.6支付卡行業數據安全標準(PCIDSS) 95
3.3.7州和本地法規 96
3.4國際法及法律主體 97
3.4.1英國的計算機安全法 97
3.4.2澳大利亞的計算機安全法 97
3.4.3歐洲網絡犯罪委員會條例 98
3.4.4世界貿易組織和與貿易有關的知識產權協議 98
3.4.5數字千年版權法 98
3.5道德和信息安全 99
3.5.1不同文化中的道德差異 99
3.5.2道德和教育 103
3.5.3不道德及違法行為的防范措施 104
3.6專業機構的道德規范 104
3.7美國主要聯邦機構 106
3.7.1本國安全部(DHS) 106
3.7.2美國特勤局 109
3.7.3聯邦調查局(FBI) 110
3.7.4國家安全局(NSA) 111
3.8本章小結 112
3.9復習題 113
3.10練習 113
3.11案例練習 113
3.12尾注 114
第4章安全規劃 117
4.1引言 117
4.2信息安全規劃和治理 118
4.2.1規劃級別 118
4.2.2規劃和CISO 118
4.2.3信息安全治理 119
4.2.4信息安全治理效果 120
4.3信息安全政策、標準及實踐 120
4.3.1作為規劃基礎的政策 121
4.3.2企業信息安全政策 123
4.3.3特定問題的安全政策 124
4.3.4特定系統的安全政策(SysSP) 127
4.3.5政策管理 131
4.4信息安全藍圖 132
4.4.1ISO27000系列 133
4.4.2NIST安全模式 136
4.4.3安全框架的其他資源 141
4.4.4安全體系的設計 142
4.5安全教育、培訓和認識計劃 144
4.5.1安全教育 145
4.5.2安全培訓 145
4.5.3安全意識 146
4.6持續性策略 146
4.6.1CP政策 150
4.6.2業務影響分析 150
4.6.3事故響應規劃 152
4.6.4災難恢復計劃 162
4.6.5業務持續性計劃 163
4.6.6危機管理 165
4.6.7統一的應急計劃 166
4.6.8相關法律的實施 166
4.7本章小結 166
4.8復習題 167
4.9練習 168
4.10案例練習 168
4.11尾注 169
第5章風險管理 173
5.1引言 174
5.2風險管理概述 174
5.2.1知己 176
5.2.2知彼 176
5.2.3利益團體的作用 176
5.2.4風險胃納和殘余風險 177
5.3風險識別 178
5.3.1規劃、組織過程 178
5.3.2資產的識別、建立清單和分類 178
5.3.3信息資產的分類、估價和分級 182
5.3.4威脅的識別和分級 188
5.3.5指定資產的漏洞 192
5.4風險評估 194
5.4.1風險評估的規劃和組織 194
5.4.2確定損失的頻率 195
5.4.3估計損失的量級 197
5.4.4計算風險 197
5.4.5評估風險的可接受程度 198
5.4.6風險評估的FAIR方法 199
5.5風險控制策略 203
5.5.1選擇控制策略 203
5.5.2證實控制措施的有效性 206
5.5.3風險控制的估計、評估及維護 209
5.6定量和定性的風險管理實踐 209
5.7推薦的控制風險實踐 215
5.7.1驗證結果 215
5.7.2NIST風險管理框架 216
5.8本章小結 217
5.9復習題 218
5.10練習 219
5.11案例練習 220
5.12尾注 221
第6章安全技術：防火墻和VPN 223
6.1引言 224
6.2訪問控制 224
6.2.1訪問控制機制 226
6.2.2生物測定學 229
6.2.3訪問控制體系模型 231
6.3防火墻 236
6.3.1防火墻的處理模式 236
6.3.2防火墻體系結構 244
6.3.3選擇正確的防火墻 248
6.3.4配置和管理防火墻 248
6.3.5內容過濾器 255
6.4保護遠程連接 256
6.4.1遠程訪問 256
6.4.2虛擬專用網絡 259
6.5本章小結 262
6.6復習題 263
6.7練習 263
6.8案例練習 264
6.9尾注 264
第7章安全技術：入侵檢測防護系統和其他安全工具 267
7.1引言 268
7.2入侵檢測防護系統 268
7.2.1IDPS術語 269
7.2.2使用IDPS的原因 270
7.2.3IDPS的類型 271
7.2.4IDPS檢測方法 278
7.2.5IDPS響應行為 280
7.2.6選擇IDPS方法和產品 282
7.2.7IDPS的優缺點 286
7.2.8IDPS的部署和實現 286
7.2.9評估IDPS的效果 292
7.3蜜罐、蜜網和填充單元系統 294
7.3.1誘捕和跟蹤系統 295
7.3.2積極阻止入侵 296
7.4瀏覽和分析工具 296
7.4.1端口掃描儀 299
7.4.2防火墻分析工具 300
7.4.3操作系統檢測工具 301
7.4.4漏洞掃描儀 301
7.4.5包嗅探器 305
7.4.6無線安全工具 306
7.5本章小結 308
7.6復習題 308
7.7練習 309
7.8案例練習 309
7.9尾注 310
第8章密碼學 313
8.1引言 314
8.2密碼簡史 314
8.3加密方法 317
8.3.1置換加密 318
8.3.2移項加密 321
8.3.3異或 322
8.3.4Vernam加密 323
8.3.5基于書本的加密 324
8.3.6散列函數 325
8.4加密算法 326
8.4.1對稱加密 327
8.4.2非對稱加密 329
8.4.3加密密鑰的長度 331
8.5加密工具 333
8.5.1公鑰基礎結構 333
8.5.2數字簽名 334
8.5.3數字證書 335
8.5.4混合加密系統 337
8.5.5密碼術 338
8.6安全通信協議 339
8.6.1用S-HTTP和SSL保護Internet通信 339
8.6.2使用S/MIME、PEM和PGP保護電子郵件 340
8.6.3使用SET、SSL和S-HTTP保護Web事務 341
8.6.4用WEP或WPA保護無線網絡 342
8.6.5用IPSec和PGP保護TCP/IP 344
8.7本章小結 347
8.8復習題 348
8.9練習 348
8.10案例分析 349
8.11尾注 349
第9章物理安全 251
9.1引言 352
9.2物理訪問控制 353
9.3防火安全 360
9.4支持設備發生故障和建筑物倒塌 365
9.4.1取暖、通風和空調 365
9.4.2電力管理和調整 367
9.4.3水問題 369
9.4.4建筑物的倒塌 369
9.4.5設施系統的維護 369
9.5數據的偵聽 370
9.6可移動和便攜系統的安全性 371
9.7物理安全威脅的特殊考慮 373
9.8本章小結 374
9.9復習題 375
9.10練習 375
9.11案例練習 376
9.12尾注 376
第10章實現信息安全 379
10.1引言 380
10.2信息安全的項目管理 381
10.2.1制定項目計劃 381
10.2.2項目計劃的考慮 384
10.2.3范圍考慮 386
10.2.4項目管理需求 387
10.2.5安全項目管理證書 388
10.3實現的技術主題 389
10.3.1轉換策略 389
10.3.2靶心模型 391
10.3.3外購還是自行開發 392
10.3.4技術監督和改進控制 392
10.3.5SANS的20個最重要的安全控制 393
10.4實現的非技術方面 394
10.4.1改進管理的文化氛圍 394
10.4.2機構改進的考慮 394
10.5信息系統安全證書和鑒定 395
10.5.1證書和鑒定書 395
10.5.2NIST安全生命周期方法 396
10.5.3NSTISS證書和鑒定書 401
10.5.4ISO27001/27002系統認證和鑒定 405
10.6本章小結 407
10.7復習題 408
10.8練習 408
10.9案例練習 409
10.10尾注 410
第11章安全和人員 411
11.1引言 412
11.2確定安全部門的人員配備 412
11.3信息安全專業人員的認證 422
11.3.1(ISC)2證書 422
11.3.2ISACA認證 425
11.3.3SANS認證 427
11.3.4EC委員會認證 427
11.3.5CompTIA認證 428
11.3.6ISFCE認證 429
11.3.7獲得認證的費用 429
11.3.8給信息安全專業人員的建議 430
11.4招聘政策和實踐 432
11.4.1工作描述 432
11.4.2面試 432
11.4.3背景檢查 433
11.4.4聘用合同 433
11.4.5新員工的定位 434
11.4.6工作期間的安全培訓 434
11.4.7業績評估 434
11.4.8解聘 434
11.5臨時工、顧問和其他工作人員的安全考慮 436
11.5.1臨時工 436
11.5.2合同工 437
11.5.3顧問 437
11.5.4業務伙伴 437
11.6內部控制策略 437
11.7人員數據的秘密性和安全 439
11.8本章小結 439
11.9復習題 440
11.10練習 441
11.11案例練習 441
11.12尾注 442
第12章信息安全維護 445
12.1引言 446
12.2安全管理維護模式 446
12.2.1NISTSP800-100，信息安全手冊：經理的指南 447
12.2.2安全維護模式 464
12.3數字取證 484
12.3.1數字取證組 485
12.3.2宣誓書和搜索擔保書 486
12.3.3數字取證方法 486
12.3.4舉證過程 490
12.4本章小結 491
12.5復習題 492
12.6練習 493
12.7案例練習 493
12.8尾注 494
術語表 497

序：