具体描述
内容简介
本书是信息安全经典著作，共13章，系统描述了信息安全的各个方面，实现了计算机安全领域的完整、实时、全面的覆盖，内容包括用户、软件、设备、操作系统、网络、法律与道德等，反映了迅速变化的攻击、防范和计算环境，介绍了*新的*佳实践，用户认证，防止恶意代码的执行，加密技术的使用，隐私的保护，防火墙的实现和入侵检测技术的实施等。第五版对当前信息安全领域的新课题都有涉及，加入了Web交互、云计算、大数据、物联网和网络战等方面的安全技术，以及前沿课题的研究。
作者简介
李毅超 电子科技大学数学科学学院教授，IEEE会士，四川省信息系统安全等级保护评审特聘专家，电子科技大学信息安全领域组专家。主要从事计算机网络及应用技术、网络与信息系统安全技术、网络与嵌入式电子信息化技术等方面研究工作。目前逐步将研究领域拓展到航空航天电子信息技术。作为课题负责人或骨干研究人员已完成国家自然科学基金、国家863计划等项目大小30余项。 Charles P. Pfleeger 计算机和通信安全领域国际著名专家。他曾任美国田纳西大学的教授，之后加入了计算机安全研究和咨询公司Trusted Information Systems，任欧洲运营主管和高级顾问，后来在Cable and Wireless任研究主管和首席安全官成员。他还是IEEE计算机协会安全和隐私技术委员会的主席。 Shari Lawrence Pfleeger 知名软件工程师和计算机安全研究员，兰德公司（RAND）高级计算机科学家和信息基础设施保护研究院的研究主管。她还是IEEE Security & Privacy杂志的总编辑。 Jonathan Margulies Qmulos首席技术官，网络安全咨询专家。获得美国康奈尔大学计算机科学硕士学位后，Margulies在桑迪亚国家实验室(Sandia National Lab)工作了9年，研究和开发针对国家安全和关键基础设施系统中高级持续性威胁的保护方案。后来他加入NIST国家网络安全卓越中心，在那里，他与各种关键基础设施公司一起搭建了工业标准安全架构。业余时间，他在IEEE Security & Privacy杂志负责“Building Security In”版块的编辑工作。
目录
第1章 介绍
1．1 什么是计算机安全
1．1．1 资源的价值
1．1．2 脆弱点―威胁―控制的范式
1．2 威胁
1．2．1 机密性
1．2．2 完整性
1．2．3 可用性
1．2．4 威胁的类型
1．2．5 攻击者类型
1．3 危害
1．3．1 风险及常识
1．3．2 方法―时机―动机
1．4 脆弱点
1．5 控制
1．6 总结
1．7 下一步是什么
1．8 习题
第2章 工具箱： 鉴别、 访问控制与加密
2．1 身份鉴别
2．1．1 识别与身份鉴别
2．1．2 基于短语和事实的鉴别： 用户已知的事情
2．1．3 基于生物特征鉴别技术的鉴别： 用户的一些特征
2．1．4 基于令牌的身份鉴别： 你拥有的东西
2．1．5 联合身份管理机制
2．1．6 多因素鉴别
2．1．7 安全鉴别
2．2 访问控制
2．2．1 访问策略
2．2．2 实施访问控制
2．2．3 面向程序的访问控制
2．2．4 基于角色的访问控制
2．3 密码编码学
2．3．1 加密技术解决的问题
2．3．2 术语
2．3．3 DES： 数据加密标准
2．3．4 高级加密标准
2．3．5 公开密钥密码体制
2．3．6 从公钥加密到密钥分配
2．3．7 检错码（error detecting codes）
2．3．8 信任度
2．3．9 证书： 可信的身份信息与公钥
2．3．10 数字签名： 整合
2．4 习题
第3章 程序和编程
3．1 无意的（非恶意的）程序漏洞
3．1．1 缓冲区溢出
3．1．2 不完全验证
3．1．3 检查时刻到使用时刻的错误
3．1．4 未公开的访问点
3．1．5 大小差一错误
3．1．6 整型溢出
3．1．7 未以空终止符结尾的字符串
3．1．8 参数长度、 类型和数值
3．1．9 不安全的通用程序
3．1．10 竞态条件
3．2 恶意的代码： 恶意软件
3．2．1 恶意软件： 病毒、 木马和蠕虫
3．2．2 技术细节： 恶意代码
3．3 对策
3．3．1 用户的对策
3．3．2 开发者的对策
3．3．3 专门的安全对策
3．3．4 无效的对策
3．4 小结
3．5 习题
第4章 Web和用户
4．1 针对浏览器的攻击
4．1．1 针对浏览器的攻击类型
4．1．2 浏览器攻击如何成功： 识别失败与鉴别失败
4．2 针对用户的Web攻击
4．2．1 虚假或误导的内容
4．2．2 恶意的网页内容
4．2．3 防止恶意网页
4．3 获取用户或网站的数据
4．3．1 有数据的代码
4．3．2 网站数据： 用户的问题
4．3．3 挫败数据攻击
4．4 电子邮件攻击
4．4．1 虚假电子邮件
4．4．2 作为垃圾邮件的虚假电子邮件
4．4．3 假(错误的)电子邮件头数据
4．4．4 网络钓鱼
4．4．5 防止电子邮件攻击
4．5 小结
4．6 习题
第5章 操作系统
5．1 操作系统的安全性
5．1．1 背景： 操作系统结构
5．1．2 普通操作系统的安全特性
5．1．3 历史回顾
5．1．4 受保护对象
5．1．5 实现安全功能的操作系统工具
5．2 安全操作系统的设计
5．2．1 简约设计
5．2．2 分层设计
5．2．3 内核化设计
5．2．4 引用监视器
5．2．5 正确性和完整性
5．2．6 安全设计原则
5．2．7 可信系统
5．2．8 可信系统的功能
5．2．9 可信系统的研究成果
5．3 rootkit
5．3．1 手机rootkit
5．3．2 rootkit躲避检测
5．3．3 rootkit未经检查的操作
5．3．4 索尼公司的XCP rootrootkit
5．3．5 TDSS rootkits
5．3．6 其他rootkits
5．4 小结
5．5 习题
第6章 网络
6．1 网络的概念
6．1．1 背景： 网络传输介质
6．1．2 背景： 协议层
6．1．3 背景： 寻址和路由选择
6．2 网络通信的威胁
6．2．1 截取： 偷听与窃听
6．2．2 篡改、 伪造： 数据损坏
6．2．3 中断： 服务失效
6．2．4 端口扫描
6．2．5 脆弱点总结
6．3 无线网络安全
6．3．1 WiFi场景
6．3．2 无线网络中的脆弱点
6．3．3 故障的对策： WEP（等效于有线加密）
6．3．4 更强的协议族： WPA（WiFi保护访问）
6．4 拒绝服务
6．4．1 例子： 爱沙尼亚海量网络故障
6．4．2 服务是怎么被拒绝访问的
6．4．3 洪泛（flooding）攻击的细节
6．4．4 恶意代码导致的网络洪泛
6．4．5 资源消耗的网络洪泛
6．4．6 地址错误造成的拒绝服务
6．4．7 流量重定向
6．4．8 DNS攻击
6．4．9 利用已知的脆弱点
6．4．10 物理隔离
6．5 分布式拒绝服务
6．5．1 脚本拒绝服务攻击
6．5．2 Bots
6．5．3 僵尸网络
6．5．4 恶意自主的移动代理
6．5．5 自主移动防护代理
6．6 网络安全中的密码学
6．6．1 网络加密
6．6．2 浏览器加密
6．6．3 洋葱路由
6．6．4 IP安全协议套件（IPsec）
6．6．5 虚拟专用网络
6．6．6 系统架构
6．7 防火墙
6．7．1 什么是防火墙
6．7．2 防火墙设计
6．7．3 防火墙的类型
6．7．4 个人防火墙
6．7．5 几种类型防火墙的比较
6．7．6 防火墙配置举例
6．7．7 网络地址转换（NAT）
6．7．8 数据丢失防护（Date Loss Prevention）
6．8 入侵检测和防御系统
6．8．1 IDS的种类
6．8．2 其他入侵检测技术
6．8．3 入侵防御系统
6．8．4 入侵响应
6．6．5 入侵检测系统的目标
6．8．6 IDS的能力和局限
6．9 网络管理
6．9．1 服务保障管理
6．9．2 安全信息和事件管理（SIEM）
6．10 小结
6．11 习题
第7章 数据库
7．1 数据库简介
7．1．1 数据库的概念
7．1．2 数据库的组成
7．1．3 数据库的优点
7．2 数据库的安全需求
7．2．1 数据库的完整性
7．2．2 元素的完整性
7．2．3 可审计性
7．2．4 访问控制
7．2．5 用户鉴别
7．2．6 可用性
7．2．7 完整性、 机密性和可用性
7．3 可靠性和完整性
7．3．1 操作系统提供的保护特性
7．3．2 两阶段更新
7．3．3 冗余/内在一致性
7．3．4 恢复
7．3．5 并发性/一致性
7．4 数据库泄露
7．4．1 敏感数据
7．4．2 泄露类型
7．4．3 防止泄露： 数据禁止和修改
7．4．4 安全性与精确度
7．5 数据挖掘和大数据
7．5．1 数据挖掘
7．5．2 大数据
7．6 小结
7．7 习题
第8章 云计算
8．1 云计算概念
8．1．1 服务模式
8．1．2 部署模式
8．2 迁移到云端
8．2．1 风险分析
8．2．2 评估云服务提供商
8．2．3 更换云服务提供商
8．2．4 作为安全控制的云
8．3 云安全工具与技术
8．3．1 云环境下的数据保护
8．3．2 云应用安全
8．3．3 日志与事件响应
8．4 云认证管理
8．4．1 安全断言标记语言
8．4．2 OAuth协议
8．4．3 OAuth用于认证
8．5 加固IaaS
8．5．1 公有IaaS与私有网络的安全性对比
8．6 小结
8．6．1 本领域的发展方向
8．6．2 更多参考
8．7 习题
第9章 计算机中的隐私
9．1 隐私的概念
9．1．1 信息隐私的各方面
9．1．2 与计算机相关的隐私问题
9．2 隐私的原理和政策
9．2．1 公平信息策略
9．2．2 美国的隐私法律
9．2．3 美国政府网站的控制
9．2．4 商业网站的控制
9．2．5 非美国的隐私原则
9．2．6 保护隐私的个人行为
9．2．7 政府和隐私
9．2．8 身份窃取
9．3 鉴别和隐私
9．3．1 鉴别意味着什么
9．3．2 结论
9．4 数据挖掘
9．4．1 政府数据挖掘
9．4．2 隐私保持的数据挖掘
9．5 网站上的隐私
9．5．1 了解在线环境
9．5．2 网上付款
9．5．3 门户网站注册
9．5．4 这是谁的网页
9．5．5 冲浪要留心
9．5．6 间谍软件
9．5．7 网上购物
9．6 电子邮件安全性
9．6．1 电子邮件将发往何处， 谁能够访问它
9．6．2 电子邮件的拦截
9．6．3 监控电子邮件
9．6．4 匿名、 假名、 消失的电子邮件
9．6．5 欺骗和垃圾邮件
9．6．6 小结
9．7 对新技术的影响
9．7．1 RFID
9．7．2 电子投票选举
9．7．3 VoIP与Skype
9．7．4 云端的隐私
9．7．5 有关新技术的结论
9．8 领域前沿
9．9 小结
9．10 习题
第10章 安全管理和事件
10．1 安全计划
10．1．1 组织和安全计划
10．1．2 安全计划的内容
10．1．3 安全计划编制组成员
10．1．4 安全计划的承诺
10．2 业务持续计划
10．2．1 评估业务影响
10．2．2 发展战略
10．2．3 开发计划
10．3 事件处理
10．3．1 事故响应计划
10．3．2 应急小组
10．4 风险分析
10．4．1 风险的性质
10．4．2 风险分析的步骤
10．4．3 赞成和反对风险分析的理由
10．5 处理灾难
10．5．1 自然灾难
10．5．2 停电
10．5．3 人为破坏
10．5．4 敏感信息截取
10．5．5 意外事故处理计划
10．5．6 物理安全的回顾
10．6 小结
10．7 习题
第11章 法律和道德问题
11．1 程序和数据的保护
11．1．1 版权
11．1．2 专利
11．1．3 商业秘密
11．1．4 特殊情况
11．2 信息和法律
11．2．1 作为对象的信息
11．2．2 与信息相关的法律问题
11．2．3 法律制度
11．2．4 计算机产品保护的小结
11．3 雇员和雇主权利
11．3．1 产品所有权
11．3．2 雇佣合同
11．4 软件故障的补救
11．4．1 销售正确的软件
11．4．2 报告软件错误
11．5 计算机犯罪
11．5．1 为什么要有计算机犯罪的单独类型
11．5．2 为什么计算机犯罪很难定义
11．5．3 为什么对计算机犯罪难以起诉
11．5．4 法令实例
11．5．5 国际范围
11．5．6 为什么破获计算机犯罪困难重重
11．5．7 什么样的计算机犯罪没有讨论
11．5．8 计算机安全法律问题的小结
11．6 计算机安全中的道德问题
11．6．1 法律与道德之间的区别
11．6．2 对道德的研究
11．6．3 道德推理法
11．7 道德的案例分析
11．7．1 案例1： 计算机服务的使用
11．7．2 案例2： 隐私权
11．7．3 案例3： 拒绝服务
11．7．4 案例4： 程序的所有权
11．7．5 案例5： 专有资源
11．7．6 案例6： 欺诈
11．7．7 案例7： 信息的准确性
11．7．8 案例8： 黑客和快客的道德
11．7．9 案例9： 真实再现
11．7．10 对计算机道德的小结
11．8 小结
11．9 习题
第12章 密码学精讲
12．1 密码学
12．1．1 密码分析
12．1．2 密码学基础
12．1．3 一次一密密码本（One?Time Pads）
12．1．4 统计分析
12．1．5 “安全的”加密算法由什么构成
12．2 对称加密算法
12．2．1 DES
12．2．2 AES
12．2．3 RC2、 RC4、 RC5和RC6
12．3 RSA非对称加密
12．3．1 RSA算法
12．3．2 RSA算法的健壮性
12．4 消息摘要
12．4．1 哈希函数
12．4．2 单向哈希函数
12．4．3 消息摘要算法
12．5 数字签名
12．5．1 椭圆曲线加密体制
12．5．2 El Gamal与数字签名算法
12．5．3 2012年国家安全局(NSA)密码学争论
12．6 量子密码学
12．6．1 量子物理学
12．6．2 光子接收
12．6．3 光子密码学
12．6．4 实现
12．7 小结
第13章 新兴问题
13．1 物联网
13．1．1 医疗设备
13．1．2 移动电话
13．1．3 物联网安全
13．2 网络安全经济学
13．2．1 制定一个商业方案
13．2．2 定量的安全性
13．2．3 近期的研究和未来的趋势
13．3 电子投票
13．3．1 什么是电子投票
13．3．2 什么才是公平公正的选举
13．3．3 有哪些关键因素
13．4 网络战争
13．4．1 什么是网络战争
13．4．2 可能出现的网络战争案例
13．4．3 致命的问题
13．5 小结
参考文献
前言/序言
译 者 序
继2004年、 2007年先后出版了原书的第三版、 第四版翻译版之后， 我们再次翻译了第五版。原书得到美国著名信息安全专家Willis H.Ware教授（兰德公司）的热情推荐， 畅销美国， 并成为美国各大学院校广为使用的经典教材， 更被业界视为计算机安全攻击和对策的权威指南。本书经过十几年的改编再版， 内容始终保持经典、 丰富和新颖， 循序渐进， 并且案例翔实生动， 深入浅出， 有较大的深度和广度。第五版紧跟技术潮流， 随着第三个合著人Jonathan Margulies的加入， 新增了3章新内容（第4章Web和用户、 第8章云计算、 第13章新兴问题）， 并对每个章节进行了细微调整。第五版不仅在内容上得到了丰富， 而且理论体系结构更趋合理， 体现了本书作者深厚的技术沉淀。特别值得一提的是， 本书花了大量篇幅侧重讨论和分析代码， 因为有相当多的危险或多或少都是由计算机上执行的程序代码引起的。读者可以随意选取自己感兴趣的主题阅读， 阅读本书唯一需要的背景知识就是了解编程和计算机系统。本书适合于信息安全或计算机专业本科生、 研究生、 广大相关领域的研究人员和专业技术人员阅读和参考。
本书由电子科技大学李毅超教授、 西南石油大学梁宗文博士、 电子科技大学李晓冬共同负责翻译。
在此还要感谢杨华聪、 刘治宇、 邱捷、 雷鑫、 胡小勇、 卜义云、 李军辉、 余倩等研究生， 他们也为本书做出了贡献。
由于译者水平有限， 翻译不妥或错误之处在所难免， 敬请广大读者批评指正。
译 者
序 言
来源于作者： 我们在第三版和第四版的《信息安全原理与应用》中提供了Willis H.Ware写的前言。在他写的前言中， 囊括了计算机安全早期岁月的一些事情， 描述了他们早些年在计算机领域关注的问题， 这些问题时至今日仍然有效。
Willis不断努力以求使其从事的工作更加完善。事实上， 他全面的分析能力和令人信服的领导能力对这些工作的最终成功做出了巨大贡献。现在很少有人知道Willis的名字， 但欧盟数据保护指令却被更多的人所熟知（欧盟数据保护指令是Willis提交给美国公共事业部门的报告[WAR73a]所直接产生的一个分支）。Willis这么做只是希望大家看重他的思想， 而不是为了个人名声。
不幸的是， Willis于2013年11月去世， 享年93岁。考虑到他写的前言对我们的读者依然重要， 因此出于尊敬和感激， 我们在此再次发布他的文字。
在20世纪50年代到60年代， 著名的计算机联合会议JCC（Joint Computer Conferences）把计算机技术专业人员和用户召集在了一起。JCC一年两届， 最初被称为东部和西部JCC， 后来改名为春季和秋季JCC， 再后来又更名为全国计算机年会AFIPS。在这个背景下， 计算机安全（后来命名为信息系统安全， 现在也称为“国家信息基础设施安全的保护”）不再是机要部门、 防御部门关心的话题， 它开始走向公众。
其时， RAND(兰德)公司（正如它的名字一样那么有名）的Robert L.Patrick， John P.Haverty和我本人都在谈论着国家及其公共机构对计算机技术日益增长的依赖性。我们注意到， 已安装的系统无法保证自身及其数据不受入侵攻击的破坏。我们认为， 此时应该促使技术群体和用户群体去关注计算机安全了。
(美国)国家安全局NSA（National Security Agency）的远程访问分时系统的开发使这个设想成为现实。该分时系统具有一套完整的安全访问控制机制， 它运行在Univac 494机器上， 为终端和用户提供服务——不仅是马里兰州Fort George G.Meade总部内的终端和用户， 而且是世界范围内的。很幸运， 我了解该系统的详细情况。
我在RAND公司另两位工作人员（Harold Peterson博士和Rein Turn博士）和NSA的Bernard Peters的帮助下， 组织了一批论文并将它们提交给了SJCC（春季JCC）大会的管理方， 建议由我来主持该届JCC的论文会议。大会方接受了这个提议［1］， 会议于1967年在大西洋城（NJ）会议大厅举行。
此后不久， 一个国防承包商要求一台运行在远程访问模式下的大型机能同时兼顾机密保护和商业应用。受这一要求的驱使， 并通过(美国)高级研究计划署ARPA（Advanced Research Projects Agency）和后来的(美国)国防科学局DSB（Defense Science Board）的立案， (美国)国防部组织了一个专门研究计算机系统安全控制问题的委员会， 由我担任主席。委员会的目的是制订一个文档， 该文档可以作为(美国)国防部（DoD）在这个问题上的政策立场的基础。
委员会的报告最初是作为一个机密文件出版的， 并于1970年1月正式提交给发起者（DSB）。此报告后来解密， 并于1979年10月由RAND公司再版。这一报告得到了广泛的传播［2］， 而且还得到了一个“警示报告”的绰号。如今， 在RAND公司的网站上还可以找到这份报告和相关的历史介绍［3］。
后来， 美国空军(USAF)资助了另一个由James P.Anderson担任主席的委员会。它的报告于1972年出版［4］， 推荐了一个6年研发安全计划， 总预算大约是800万美元。美国空军根据这个安全计划投资了数个项目［5］， 其中的3个为特定的计算机设计， 并且被用来实现一个带有安全控制的操作系统。
最终， 这些举措促成了一个由NSA发起的“标准和评估”（Criteria and Evaluation）计划。该计划在1983年出版的“桔皮书”（Orange Book）［6］和随后它所支持的绰号为“彩虹系列”的文件组中达到鼎盛。后来， 在20世纪80年代直至20世纪90年代期间［7］， 这个计划成为一个国际性主题， 并且成为ISO标准［8］。
了解系统安全研究在近数十年中的发展是很重要的。长期以来， 防御部门都是以文档的形式来保护机密信息的。而今， 它已经演变为一个非常精细的方案， 将各种需保护的信息划分成组、 子组和超级组， 所有组都必须是得到许可的人才能访问， 而且有必要访问才能访问。它带给我们的加密技术和在传送过程中保护机密信息的经验， 足以影响一个世纪［9］。最后， 它认识到安全中的人员问题及在相关人员间建立可信度的必要性。它当然也认识到了物理安全的重要性。
因此， “这个”计算机安全问题， 正如20世纪60年代及后来人们所理解的， 就是： (1）如何在计算机系统中建立一组访问控制， 这些访问控制实施或模仿的是以往纸介质环境中的处理流程； (2）一些相关问题， 如保护软件免受未授权的修改、 破坏或非法使用， 以及将系统安置在一个安全的物理环境中， 该环境有着适当的管理监控和操作规程。我们对安全方面的认识还不够深入， 主要表现在软件及其相关硬件方面， 也就是说， 还存在使软件的正常行为出错和被破坏的风险。在通信、 人员和物理安全方面， 有关规定和经验太多， 但效果并不佳。把各个方面结合在一起， 产生一个全面的、 安全的系统和操作环境是很重要的。
如今， 世界已经发生了根本性的改变。桌上型计算机和工作站已经出现并日益激增。因特网不断繁荣， 万维网(World Wide Web)日益昌盛。网络在“爆炸”， 计算机系统之间进行通信已成为必然。很多商业交易都基于网络； 很多商业团体(特别是金融机构)都进入了网络。确切地说， 世界上的任何一个人都可能是计算机“用户”。计算机联网是普遍现象， 目标就是要使信息系统不断扩展和延伸。
随着网络的发展， 基于计算机的信息系统(其硬件、 软件、 数据库和通信)都暴露在一个无法控制的环境中——终端用户、 网络管理员、 系统所有者甚至政府都无法控制。我们必须做的是， 在社会可接受的法律框架下， 提供适当的技术、 规程、 操作及环境， 来抵御各种可能出现的或潜在的威胁。
威胁来自个人和团体、 国内和国外。恶意渗透系统或编制恶意软件的动机(通常伴有攻击性或破坏性的结果)可能是满足个人智力需求、 间谍活动、 经济回报、 报复、 非暴力反抗(civil disobedience)或其他原因。信息系统的安全环境已发生了很大的变化： 从在有限范围内只与彼此了解且遵纪守法的用户群体交互， 到在全球范围内与不了解且不可信的用户进行交互。重要的是， 现在的安全控制必须能够处理没有控制的情形及如何避免控制带来的负面影响。计算机安全和责任保险有许多相似之处： 它们可能都会处于一个易被了解、 易被攻击的受威胁的环境； 当然， 攻击的细节、 时间或其必然性是不同的， 只有当事件发生时才清楚。
另一方面， 信息及其交流不断繁荣； 如今的世界、 社会和机构， 离开基于计算机通信的信息系统， 就无法正常工作。因此， 系统应得到全方位的保护——技术的、 规程的、 操作的及环境的。不管是所有者还是职员， 都有责任对系统信息资产进行保护。
但是， 计算机安全的发展很缓慢， 主要原因是威胁的真实性和破坏性还没有得到充分认识； 另外， 全面实现信息系统安全的成本太高， 超过了不采取措施可能面临的损失。增强资金决策层对安全控制的信心是一个长期的过程。
本书致力于以下问题： 威胁和系统漏洞的本质（第1章）； 密码学（第2章和第12章）； 软件漏洞（第3章）； 通用标准（第5章）； 万维网和因特网（第4章和第6章）； 风险管理（第10章）； 法律、 道德和隐私问题（第11章）。本书也描述了目前可用的安全控制， 如加密协议、 软件开发实践、 防火墙及入侵检测系统。从总体上说， 本书将为那些负责筹划和/或组织和/或管理和/或实现一个全面的信息系统安全计划的专家， 提供一个广泛而正确的基础。
信息安全还有很多技术方面的问题亟待解决， 如硬件、 软件、 系统
用户评价
说实话，选择这本书很大程度上是受到了身边同事的推荐。他们都表示这本书是信息安全领域的经典之作，覆盖面广，内容翔实。拿到手里，果不其然，厚厚的一叠，沉甸甸的，让我对接下来的学习充满了期待。我尤其关注书中关于信息安全体系建设的部分。在实际工作中，我们经常会遇到各种安全需求，但如何将这些需求转化为可执行的安全策略和技术方案，往往是一个挑战。这本书在这方面提供了系统的指导，它从宏观层面讲解了信息安全管理的原则和框架，比如ISO 27001等国际标准的应用。通过阅读，我理解了风险评估、安全策略制定、人员安全意识培训等关键环节的重要性。书中关于风险管理的章节，详细阐述了风险识别、分析、评估和应对的整个流程，这对于我理解公司内部的风险管理工作非常有帮助。此外，书中对物理安全和环境安全也有涉及，这往往是容易被忽略但却至关重要的方面。我一直认为，一个信息安全体系，不仅仅是技术层面的防护，更需要从物理环境、人员素质等各个维度进行考量。这本书恰恰弥补了我在这方面的知识盲区。总而言之，这本书给我的感觉是“面面俱到”，它能够帮助读者建立起一个全面、立体的安全防护意识，而不是仅仅停留在某个单一的技术点上。
评分我购买《信息安全原理与技术（第五版）》的主要目的是想系统地了解信息安全领域的前沿技术和发展趋势。这本书在这方面做得非常出色。它不仅涵盖了信息安全的基础理论，还对一些新兴的技术领域进行了深入的探讨，比如云计算安全、物联网安全、移动安全等。我尤其对书中关于云计算安全的章节很感兴趣。随着云计算的普及，如何保障云环境中数据的安全性和隐私性变得越来越重要。这本书详细介绍了云计算的安全挑战，以及各种安全解决方案，比如虚拟化安全、容器安全、身份和访问管理等。这让我对如何在云环境中构建安全可靠的系统有了更清晰的认识。同时，书中对物联网安全和移动安全的论述也让我大开眼界。这些领域虽然发展迅速，但安全问题也层出不穷。这本书分析了这些领域的安全威胁，并给出了一些应对策略，这对于我了解这些新兴技术的发展方向非常有价值。我一直认为，作为一名技术从业者，保持对新技术的好奇心和学习能力至关重要。这本书为我提供了一个了解信息安全领域最新动态的窗口，让我能够紧跟技术发展的步伐，不断提升自己的专业能力。
评分这本书的封面设计就有一种沉甸甸的学术感，厚实的纸张，经典的蓝白配色，让人一看就知道是本正经的“大部头”。拿到手里，份量十足，翻开扉页，作者的名字一个个映入眼帘，都是业界鼎鼎有名的大咖，这让我对内容充满期待。我最开始被吸引的是这本书的“第五版”这个标签，这意味着它经过了多次的修订和更新，理论上来说，应该能够涵盖最新、最前沿的信息安全领域的发展。我的工作恰好涉及到一些安全合规的方面，虽然不是技术一线，但了解核心原理对于与技术团队沟通，理解潜在风险至关重要。我尤其关注其中关于密码学的部分，一直觉得这块是最神秘也最迷人的领域，了解其底层逻辑，对于理解数据传输的安全性、数字签名等概念，都有着不可替代的作用。虽然这本书并非纯粹的密码学教材，但它系统地介绍了各类加密算法、哈希函数以及它们在实际应用中的作用，这对于我这种非科班出身的读者来说，无疑是搭建了一个扎实的知识框架。同时，这本书对于网络安全攻防技术也进行了详尽的阐述，从常见的网络攻击手段，到相应的防御策略，都有深入的分析。我曾遇到过一些因安全漏洞导致的问题，阅读这些章节时，我仿佛找到了问题的根源，并且能够更好地理解技术人员的解决方案。书中的案例分析也很丰富，这些鲜活的例子让我更能将抽象的概念与实际场景联系起来，避免了枯燥的理论堆砌。总的来说，这本书给我的第一印象是严谨、系统，且具有很高的参考价值，即便只是粗略翻阅，也能感受到其背后强大的知识体系和丰富的实践经验。
评分说实话，这本书的厚度一开始让我有些望而却步，但当我真正开始阅读后，就被它所展现出的严谨和系统性深深吸引。我尤其关注书中关于信息安全管理和风险评估的部分。在我的工作经验中，技术上的安全防护固然重要，但更关键的是如何建立一套行之有效的安全管理体系。这本书恰好提供了一个全面的框架。它详细阐述了风险评估的流程，包括风险识别、风险分析、风险评估以及风险应对等环节。我从中学会了如何系统地识别潜在的安全威胁，如何量化风险，以及如何根据风险等级制定相应的防护策略。书中关于安全策略制定的章节，让我对如何将企业的业务需求转化为可执行的安全策略有了更深的理解。它不仅强调了技术层面的防护，还包括了人员管理、流程规范等方面的内容。我曾经在工作中遇到过一些由于缺乏明确安全策略而导致的混乱局面，通过阅读这本书，我找到了解决问题的思路。此外，书中对安全审计和应急响应的讲解也让我受益匪浅。了解如何进行有效的安全审计，以及在发生安全事件时如何快速有效地进行响应，对于降低损失、恢复业务至关重要。总而言之，这本书不仅仅是一本技术手册，更是一本关于如何构建和维护安全体系的“管理指南”，让我从一个技术“执行者”转变为一个更具战略眼光的“管理者”。
评分我购买《信息安全原理与技术（第五版）》的初衷，是希望能够系统地学习信息安全的基础知识，为我未来的职业发展打下坚实的基础。这本书在内容组织上非常合理，它从最基础的概念讲起，逐步深入到复杂的理论和技术。我尤其喜欢书中关于信息安全保障体系构建的部分。它详细介绍了信息安全的基本要素，比如保密性、完整性、可用性，并在此基础上讲解了如何通过技术和管理手段来保障这些要素。我从中学习到了如何进行风险评估，如何制定安全策略，如何进行安全审计等。这些知识对我理解企业的信息安全工作至关重要。书中对各种安全技术，比如加密技术、身份认证技术、访问控制技术等，都进行了详细的阐述，并且结合了大量的实际应用案例。这让我对这些技术有了更直观的认识，也能够更好地理解它们在实际工作中的作用。我曾经在工作中遇到过一些与安全相关的技术难题，在阅读这些章节时，很多困惑都得到了解答。这本书就像一位循循善诱的老师，它用清晰的语言和生动的例子，帮助我一步步构建起对信息安全知识体系的理解。它不仅让我学到了“是什么”，更让我明白了“为什么”和“怎么做”，这对于我未来的学习和工作都具有深远的意义。
评分拿到《信息安全原理与技术（第五版）》这本书，第一感觉就是“扎实”。封面虽然低调，但翻开后的内容却让我惊喜连连。我一直以来都在信息安全领域进行学习和实践，深知理论与实践相结合的重要性。这本书在这方面做得尤为出色。它不仅提供了坚实的理论基础，还结合了大量的实际案例和技术细节，让抽象的概念变得生动易懂。我尤其喜欢书中关于网络安全攻防的章节。它详细介绍了各种常见的网络攻击手段，比如SQL注入、XSS攻击、DDoS攻击等，并且深入剖析了这些攻击的原理和利用方式。更重要的是，它还给出了相应的防御措施和缓解策略，这对于我理解如何构建更安全的网络环境非常有启发。我曾遇到过一些与网络安全相关的问题，在阅读这些章节时，仿佛找到了问题的根源，也学到了如何从防御者的角度去思考问题。此外，书中对加密技术和身份认证的介绍也让我受益匪浅。我一直对密码学的魅力感到着迷，这本书系统地介绍了各种加密算法，以及它们在实际应用中的作用，比如SSL/TLS协议的原理，数字签名和证书的应用等。这些知识不仅帮助我更好地理解了数据的安全性，也让我对互联网的信任体系有了更深入的认识。总的来说，这本书就像一位经验丰富的导师，循循善诱地引导我深入了解信息安全的世界，让我从一个“看客”变成了一个更具洞察力的“实践者”。
评分这本书让我印象最深刻的是它在信息安全技术细节上的深度。我从事的是与软件开发相关的行业，工作中经常会接触到各种安全需求，但对于底层安全机制的理解一直有所欠缺。这本书恰好弥补了我的这一短板。书中对于操作系统安全、应用程序安全、数据库安全等方面的阐述，都非常具体和深入。例如，在操作系统安全部分，它详细介绍了进程隔离、内存管理、权限控制等机制，以及这些机制如何防止恶意程序对系统造成破坏。这让我对操作系统的安全性有了更深层次的理解。在应用程序安全方面，它不仅列举了常见的安全漏洞，比如缓冲区溢出、跨站脚本攻击等，还给出了详细的检测和修复方法。这对我日常的编码工作提供了宝贵的参考。我曾经遇到过一些与应用程序安全相关的问题，在阅读这些章节时，很多困惑都得到了解答，甚至能提前预见到一些潜在的风险。书中对数据库安全方面的讲解也同样细致，包括SQL注入的原理、防范措施，以及如何对数据库进行访问控制和审计。这些内容对于保护企业核心数据至关重要。这本书就像一本“安全工程师的宝典”，它提供了解决实际问题的思路和方法，让我能够更自信地应对工作中的安全挑战。
评分我一直对信息安全这个领域抱有浓厚的兴趣，因为它既是技术的前沿，又关乎到我们每个人的数字生活。我购买《信息安全原理与技术（第五版）》的初衷，是希望能够系统地学习信息安全的基本概念和关键技术。这本书在理论深度和广度上都做得相当出色，它不仅仅是罗列技术名词，更是深入浅出地解释了这些技术背后的原理。例如，在讲解访问控制模型时，它不仅介绍了RBAC（基于角色的访问控制）、DAC（自主访问控制）等经典模型，还分析了它们的优缺点以及适用场景，这让我对如何设计一个安全可靠的系统有了更清晰的认识。书中关于数据加密和完整性保护的部分，更是我学习的重点。我花了大量时间去理解对称加密和非对称加密的原理，以及它们在实际应用中的差异。尤其是公钥基础设施（PKI）的介绍，让我对数字证书、CA（证书颁发机构）的角色有了全新的理解，也明白了为什么我们在浏览网页时会看到“HTTPS”的标识。此外，书中对安全审计和监控的论述也让我受益匪浅。了解如何收集和分析安全日志，如何检测异常行为，对于构建一个主动防御的安全体系至关重要。我经常在思考，如何在实际工作中应用这些知识，比如如何更好地保护公司的敏感数据，如何防止内部人员的泄密等。这本书提供了一些指导性的思路和方法，让我不再感到迷茫。它也让我意识到，信息安全并非一蹴而就，而是一个持续学习和改进的过程。
评分这本书的另一大亮点在于它对信息安全法律法规和伦理道德的探讨。我一直认为，信息安全不仅仅是技术问题，还涉及到法律、道德和社会责任等多个层面。这本书在这方面的内容给了我很大的启发。它详细介绍了与信息安全相关的法律法规，比如数据保护法、网络安全法等，以及这些法律法规对企业和个人提出的要求。这让我对如何在合规的前提下开展信息安全工作有了更清晰的认识。我曾经在工作中遇到过一些因不了解法律法规而产生的困境，通过阅读这本书，我学到了如何在工作中规避这些风险。同时，书中对信息安全伦理的讨论也让我深思。如何平衡信息安全与个人隐私，如何负责任地使用信息技术，这些都是我们在信息时代必须面对的问题。这本书通过一些经典的案例和讨论，引发了我对这些问题的深入思考。它强调了信息安全从业者应该具备的职业道德和责任感，以及如何做出符合伦理的选择。这让我认识到，一名优秀的信息安全从业者，不仅要有精湛的技术，更要有高尚的道德操守。总的来说，这本书为我提供了一个更广阔的视角，让我认识到信息安全不仅仅是冰冷的技术，更关乎着社会公平、个人权利和人类的未来。
评分我一直对信息安全中的“攻防对抗”这个话题充满兴趣，而《信息安全原理与技术（第五版）》在这方面的内容可以说是非常充实。这本书并没有回避那些“黑暗角落”，而是直面各种攻击手段，并深入剖析其原理。我花了很多时间去理解书中关于恶意软件分析的部分。从病毒、蠕虫、特洛伊木马到勒索软件，这本书都进行了详细的介绍，包括它们的传播方式、感染机制以及对系统的破坏。更重要的是，它还介绍了如何对这些恶意软件进行静态和动态分析，以及如何提取它们的行为特征，这对于我理解如何发现和清除潜在威胁非常有帮助。同时，书中关于网络渗透测试的章节也让我大开眼界。它详细介绍了各种渗透测试工具和技术，以及如何模拟黑客的攻击过程来发现系统的脆弱性。我从中学习到了如何从攻击者的视角去看待安全问题，从而更好地加固自己的防线。书中对Web应用程序安全攻防的讲解也特别到位，SQL注入、XSS漏洞、CSRF攻击等，这些在实际工作中都非常常见，这本书不仅揭示了它们的危害，还给出了详细的防御方法。这让我能够更有效地指导开发团队进行安全编码，减少潜在的风险。这本书就像一本“黑客实战指南”，但它并非教唆犯罪，而是通过揭示攻击者的手法，帮助我们更好地理解和应对网络安全威胁。
相关图书
![无机材料物理性能（第2版）/普通高等教育“十一五”国家级规划教材·材料科学与流工程系列 [Physical Properties of Inorganic Materials（Second Edition）] pdf epub mobi 电子书 下载](https://pic.qciss.net/12185682/591aa397N6c4efc9e.jpg)
本站所有内容均为互联网搜索引擎提供的公开搜索信息，本站不存储任何数据与内容，任何内容与数据均与本站无关，如有需要请联系相关搜索引擎包括但不限于百度，google,bing,sogou 等
© 2025 book.cndgn.com All Rights Reserved. 新城书站 版权所有