首页 > 教育 > 本科研究生 > 计算机类

信息安全原理与技术（第五版）（英文版. 中文评注）

作译者：李毅超

出版时间：2016-08 千字数：1500 版次：01-01 页数：824

开本：16开装帧： I S B N ：9787121288593

换版：

纸质书定价：￥99.0

库存:有

分享到：

共有图书评论0条【查看评论摘要】

看了又看

{{data.bookName}}

￥{{data.price}}

内容简介

前言

上架建议

作者简介

编辑推荐

音视频专区

CONTENTS
目??录
Chapter 1?Introduction
???? ?概论	001
1.1?What is Computer Security?
?????什么是计算机安全？	002
1.2?Threats
?????威胁	006
1.3?Harm
?????危害	021
1.4?Vulnerabilities
?????脆弱点	028
1.5?Controls
?????控制	028
1.6?Conclusion
?????总结	031
1.7?What’s Next?
?????下一步是什么？	032
1.8?Exercises
?????习题	034

Chapter 2?Toolbox: Authentication, Access Control, and Cryptography
???? ?工具箱：鉴别、访问控制与加密	036
2.1?Authentication
?????鉴别	038
2.2?Access Control
?????访问控制	072
2.3?Cryptography
?????密码编码学	086
2.4?Exercises
?????练习	127

Chapter 3?Programs and Programming
??? ??程序和编程	130
3.1?Unintentional (Nonmalicious) Programming Oversights
?????无意的（非恶意的）程序漏洞	132
3.2?Malicious Code—Malware
?????恶意代码——恶意软件	165
3.3?Countermeasures
?????对策	195
3.4?Conclusion
?????总结	228
3.5?Exercises
?????练习	228

Chapter 4?Operating Systems
?? ???操作系统	230
4.1?Security in Operating Systems
?????操作系统的安全性	230
4.2?Security in the Design of Operating Systems
?????安全操作系统的设计	258
4.3?Rootkit
?????Rootkit	279
4.4?Conclusion
?????总结	288
4.5?Exercises
?????习题	289

Chapter 5?Databases
???? ?数据库	291
5.1?Introduction to Databases
?????数据库简介	292
5.2?Security Requirements of Databases
?????数据库的安全需求	297
5.3?Reliability and Integrity
?????可靠性和完整性	303
5.4?Database Disclosure
?????数据库泄露	308
5.5?Data Mining and Big Data
?????数据挖掘和大数据	325
5.6?Conclusion
?????总结	339
5.7?Exercises
?????习题	339

Chapter 6?Networks
??? ??网络	341
6.1?Network Concepts
?????网络的概念	342
6.2?Threats to Network Communications
?????网络通信的威胁	354
6.3?Wireless Network Security
?????无线网络安全	374
6.4?Denial of Service
?????拒绝服务	396
6.5?Distributed Denial-of-Service
?????分布式拒绝服务	421
6.6?Cryptography in Network Security
?????网络安全中的密码学	432
6.7?Firewalls
?????防火墙	451
6.8?Intrusion Detection and Prevention Systems  
?????入侵检测和防御系统	474
6.9?Network Management
?????网络管理	489
6.10?Conclusion
?????总结	496
6.11?Exercises
?????习题	496

Chapter 7?Management and Incidents
???? ?安全管理和事件	501
7.1?Security Planning
?????安全计划	501
7.2?Business Continuity Planning
?????业务持续计划	512
7.3?Handling Incidents
?????事件处理	516
7.4?Risk Analysis
?????风险分析	522
7.5?Dealing with Disaster
?????处理灾难	540
7.6?Conclusion
?????总结	553
7.7?Exercises
?????练习	554

Chapter 8?Details of Cryptography 
??? ??密码学精讲	555
8.1?Cryptology
?????密码学	556
8.2?Symmetric Encryption Algorithms
?????对称加密算法	566
8.3?Asymmetric Encryption with RSA?
?????RSA非对称加密	582
8.4?Message Digests
?????消息摘要	586
8.5?Digital Signatures
?????数字签名	589
8.6?Quantum Cryptography
?????量子密码学	594
8.7?Conclusion
?????总结	598
Chapter 9?Privacy
??? ??计算机中的隐私	600
9.1?Privacy Concepts
?????隐私的概念	601
9.2?Privacy Principles and Policies
?????隐私的原理和政策	610
9.3?Authentication and Privacy
?????鉴别和隐私	624
9.4?Data Mining
?????数据挖掘	630
9.5?Privacy on the Web
?????网站上的隐私	633
9.6?Email Security
?????电子邮件安全性	646
9.7?Privacy Impacts of Emerging Technologies
?????对新技术的影响	650
9.8?Where the Field is Headed
?????领域前沿	658
9.9?Conclusion
?????总结	659
9.10?Exercises
?????习题	659

Chapter 10?The Web—User Side
?? ???Web和用户	661
10.1?Browser Attacks
?????针对浏览器的攻击	663
10.2?Web Attacks Targeting Users
?????针对用户的Web攻击	674
10.3?Obtaining User or Website Data
?????获取用户或网站的数据	689
10.4?Email Attacks
?????电子邮件攻击	696
10.5?Conclusion
?????总结	706
10.6?Exercises
?????  习题	707

Chapter 11?Cloud Computing
???? ?云计算	708
11.1?Cloud Computing Concepts
?????  云计算的概念	708
11.2?Moving to the Cloud
?????  迁移到云端	710
11.3?Cloud Security Tools and Techniques
?????  云安全工具与技术	717
11.4?Cloud Identity Management
?????  云认证管理	725
11.5?Securing IaaS
?????  加固IaaS	736
11.6?Conclusion
?????  总结	740
11.7?Exercises
?????  习题	741

Chapter 12?Emerging Topics
??? ??新兴问题	743
12.1?The Internet of Things
?????  物联网	744
12.2?Economics
?????  网络安全经济学	751
12.3?Electronic Voting
?????  电子投票	764
12.4?Cyber Warfare
?????  网络战争	771
12.5?Conclusion
?????  总结	780

Bibliography
参考文献	781

导??读
继2004年、2007年分别翻译了本书的第三版、第四版之后，我们再次翻译了其第五版。原书得到美国著名信息安全专家WillisH.Ware教授（兰德公司）的热情推荐并畅销美国，并成为美国各大学院校广为使用的经典教材，更被业界视为计算机安全攻击和对策的权威指南。本书经过十几年的改编再版，内容始终保持经典、丰富和新颖，循序渐进，且案例翔实生动，深入浅出，有较大的深度和广度。本书第五版紧跟技术潮流，随着第三个合著者JonathanMargulies的加入，增加了三章新内容（第10章web和用户、第1章云计算、第12章新兴问题），并对每个章节进行了细微调整。本书第五版不仅在内容上得到了丰富，而且理论体系结构更趋合理，体现了本书作者深厚的技术沉淀。特别值得一提的是，本书大量篇幅侧重讨论和分析代码，因为有相当多的危险或多或少都是由计算机上执行的程序代码引起的。读者可以随意选取自己感兴趣的主题阅读，阅读本书唯一需要的背景知识就是编程和计算机系统。本书适合信息安全或计算机专业本科生、研究生、广大相关领域的研究人员和专业技术人员阅读和参考。
本书还特别推出了添加中文评注的英文版。在中文评注的英文版中，每章章首新增了中文要点概述，并在章节中的重要术语、关键技术、新兴概念等内容处添加了中文评注，特别是对一些容易引起读者误解的难点进行了评注，以便读者更好地阅读和理解。除此之外，我们结合在教学工作中的经验和体会，对英文原版的章节顺序略作了调整，删减了原著的第11章法律与道德，同时各章习题略作了删减。
英文版的第1章概论：介绍信息安全的主要术语和定义，给出一些详细的实例来说明这些术语是如何使用的；第2章工具箱：鉴别、访问控制与加密：围绕身份识别和鉴别、访问控制、加密技术三个基本概念进行展开，深入地分析了安全领域的主要技术；第3章程序与编程：介绍程序相关的内容，详细分析一些个人编写且仅供个人使用的程序，如病毒、蠕虫、特洛伊木马等；第4章操作系统：介绍操作系统的基础特性，使读者了解操作系统的设计特性、对象保护、内存保护机制，并深入分析作为用户和攻击者之间的一条强大防御线的安全性；第5章数据库：介绍数据库管理系统和大数据应用；第6章网络：从用户的个人电脑过渡到网络，阐述了网络中的各种脆弱点和保护机制；第7章安全管理和事件：分析计算机安全管理部分，探讨管理是如何计划和解决计算机的安全问题的；第8章密码学精讲：介绍密码学，对密码学、密码分析的概念、对称加密和非对称加密、消息摘要、数字签名以及量子密码学等进行概述；第9章计算机中的隐私：对计算机中的隐私进行探讨，讨论信息隐私的意义，研究识别和鉴别与信息隐私的密切关系，以及隐私与因特网的关系；第10章Web和用户：进一步介绍用户所熟悉的应用程序——浏览器，通过丰富的案列分析各种针对浏览器、网站、敏感数据和电子邮件的攻击技术；第11章云计算：探索云计算，对云服务的概念、风险和安全工具进行介绍；第12章新兴问题：提出在计算机安全领域出现的一些新兴话题，如物联网、网络安全经济学、电子投票和网络战争，引发读者思考未来计算机安全领域的研究和发展主题。
本书英文版的中文评注工作由电子科技大学李毅超教授、西南石油大学梁宗文博士、电子科技大学李晓冬3位该书的译者共同负责完成。

 


序??言
来源于作者：我们在第三版和第四版的《信息安全原理与应用》中提供了Willis Ware写的前言。在他写的前言中，囊括了计算机安全早期岁月的一些事情，描述了他们早些年在计算机领域关注的问题，这些问题时至今日仍然有效。
Willis不断努力以求使其从事的工作更加完善。事实上，他全面的分析能力和令人信服的领导能力对这些工作的最终成功作出了巨大贡献。现在很少有人知道Willis的名字，但欧盟数据保护指令却被更多的人所熟知（欧盟数据保护指令是Willis提交给美国公共事业部门的报告[WAR73a]所直接产生的一个分支）。Willis这么做只是希望大家看重他的思想，而不是为了个人名声。
不幸的是，Willis于2013年11月去世，享年93岁。考虑到他写的前言对我们的读者依然重要，因此出于尊敬和感激，我们在此再次发布他的文字。

20世纪50年代到60年代，著名的计算机联合会议（Joint Computer Conferences，JCC），把计算机技术专业人员和用户召集在了一起。JCC一年两届，最初被称为东部和西部JCC，后来改名为春季和秋季JCC，再后来又更名为全国计算机年会AFIPS。在这个背景下，计算机安全（后来命名为信息系统安全，现在也称为“国家信息基础设施安全的保护”）不再是机要部门、防御部门关心的话题，它开始走向公众。
其时，RAND（兰德）公司的Robert L. Patrick，John P. Haverty和我本人都在谈论着国家及其公共机构对计算机技术日益增长的依赖性。我们注意到，已安装的系统无法保证自身及其数据不受入侵攻击的破坏。我们认为，此时应该促使技术群体和用户群体去关注计算机安全了。
美国国家安全局（National Security Agency，NSA）的远程访问分时系统的开发使这个设想成为现实。该分时系统具有一套完整的安全访问控制机制，它运行在Univac 494机器上，为终端和用户提供服务，不仅是马里兰州Fort George G. Meade总部内的，而是世界范围内的终端和用户。很幸运，我了解该系统的详细情况。
我在RAND公司另两位工作人员（Harold Peterson博士和Rein Turn博士）和NSA的Bernard Peters的帮助下，组织了一批论文并将它们提交给了SJCC（春季JCC）大会的管理方，并建议由我来主持该届JCC的论文会议。大会方接受了这个提议［1］，会议于1967年在大西洋城（NJ）会议大厅举行。
此后不久，一个国防承包商要求一台运行在远程访问模式下的大型机能同时兼顾机密保护和商业应用。受这一要求的驱使，并通过美国高级研究计划署（Advanced Research Projects Agency，ARPA）和后来的美国国防科学局（Defense Science Board，DSB）的立案，美国国防部组织了一个专门研究计算机系统安全控制问题的委员会，由我担任主席。委员会的目的是制订一个文档，该文档可以作为美国国防部（DoD）在这个问题上的政策立场的基础。
委员会的报告最初是作为一个机密文件出版的，并于1970年1月正式提交给发起者（DSB）。此报告后来解密，并于1979年10月由RAND公司再版。这一报告得到了广泛的传播［2］，而且还得到了一个“警示报告”的绰号。如今，在RAND公司的网站上还可以找到这份报告和相关的历史介绍［3］。
后来，美国空军（USAF）资助了另一个由James P. Anderson担任主席的委员会。它的报告于1972年出版［4］，推荐了一个6年研发安全计划，总预算大约是800万美元。美国空军根据这个安全计划投资了数个项目［5］，其中3个为特定的计算机设计，并且被用来实现一个带有安全控制的操作系统。
最终，这些举措促成了一个由NSA发起的“标准和评估”（Criteria and Evaluation）计划。该计划在1983年出版的“桔皮书”（Orange Book）［6］和随后它所支持的绰号为“彩虹系列”的文件组中达到鼎盛。后来，在20世纪80年代直至20世纪90年代［7］，这个计划成为了一个国际性主题，并且成为ISO标准［8］。
了解系统安全研究在近数十年中的发展是很重要的。长期以来，防御部门都是以文档的形式来保护机密信息。而今，它已经演变为一个非常精细的方案，将各种需保护的信息划分成组、子组和超级组，所有组都必须是得到许可的人才能访问，而且有必要访问才能访问。它带给我们的加密技术和在传送过程中保护机密信息的经验，足以影响一个世纪［9］。最后，它认识到安全中的人员问题以及在相关人员间建立可信度的必要性。它当然也认识到了物理安全的重要性。
因此，计算机安全问题，正如20世纪60年代及后来人们所理解的，就是：（1）如何在计算机系统中建立一组访问控制，这些访问控制实施或模仿的是以往纸介质环境中的处理流程；（2）一些相关问题，如保护软件免受未授权的修改、破坏或非法使用，以及将系统安置在一个安全的物理环境中，该环境有着适当的管理监控和操作规程。我们对安全方面的认识还不够深入，主要表现在软件及其相关硬件方面，也就是说，还存在着使软件的正常行为出错和被破坏的风险。在通信、人员和物理安全方面，有关规定和经验太多，但效果并不佳。把各个方面结合在一起，产生一个全面的、安全的系统和操作环境是很重要的。
如今，世界已经发生了根本性的改变。桌上型计算机和工作站已经出现并日益激增。因特网不断繁荣，万维网（World Wide Web）日益昌盛。网络在“爆炸”，计算机系统之间进行通信已成为必然。很多商业交易都基于网络；很多商业团体（特别是金融机构）都进入了网络。确切地说，世界上的任何一个人都可能是计算机“用户”。计算机联网是普遍现象，目标就是要使信息系统不断扩展和延伸。
随着网络的发展，基于计算机的信息系统（其硬件、软件、数据库和通信）都暴露在一个无法控制的环境中：终端用户、网络管理员、系统所有者甚至政府都无法控制。我们必须做的是，在社会可接受的法律框架下，提供适当的技术、规程、操作以及环境，来抵御各种可能出现的或潜在的威胁。
威胁来自个人和团体、国内和国外。恶意渗透系统或者编制恶意软件的动机（通常伴有攻击性或破坏性的结果）可能是满足个人智力需求、间谍活动、经济回报、报复、非暴力反抗（civil disobedience）或其他原因。信息系统的安全环境已发生了很大的变化：从在有限范围内只与彼此了解且遵纪守法的用户群体交互，到在全球范围内与不了解且不可信的用户进行交互。重要的是，现在的安全控制必须能够处理没有控制的情形及如何避免控制带来的负面影响。计算机安全和责任保险有许多相似之处：它们可能都会处于一个易被了解、易被攻击的受威胁的环境；当然，攻击的细节、时间或其必然性是不同的，只有当事件发生时才清楚。
另一方面，信息及其交流不断繁荣；如今的世界、社会和机构，离开基于计算机通信的信息系统，就无法正常工作。因而，系统应得到全方位的保护——技术的、规程的、操作的及环境的。不管是所有者还是职员，都有责任对系统信息资产进行保护。
但是，计算机安全的发展很缓慢，主要原因是威胁的真实性和破坏性还没有得到充分认识；另外，全面实现信息系统安全的成本太高，超过了不采取措施可能面临的损失。增强资金决策层对安全控制的信心是一个长期的过程。
本书致力于以下问题：威胁和系统漏洞的本质（第1章）；密码学（第2章和第8章）；软件漏洞（第3章）；通用标准（第4章）；万维网和因特网（第6章和第10章）；风险管理（第7章）。本书也描述了目前可用的安全控制，如加密协议、软件开发实践、防火墙以及入侵检测系统。从总体上说，本书将为那些负责筹划、组织、管理、实现一个全面的信息系统安全计划的专家，提供一个广泛而正确的基础。
信息安全还有很多技术方面的问题亟待解决，如硬件、软件、系统和体系结构的研发，以及相应的产品方面。但是，技术本身不是信息安全发展过程中的支柱，而组织和管理者们完成安全工作的动机及承诺才是。今天，国家乃至世界的公共信息基础设施正在沿着“不断学习”这样的曲线缓慢上升；每一次恶作剧或者恶意的攻击事件都在推动它的进步。当今的恐怖主义事件也起了推动作用。但是在系统安全和威胁之间，这个上升曲线是否已经达到某一个恰当的平衡点呢？答案是“不，还没有；我们还有很长的路要走”［10］。

——Willis H.Ware
RAND
Santa Monica, California

参考文献
1. “Security and Privacy in Computer Systems,” Willis H. Ware; RAND, Santa Monica, CA; P-3544, April 1967. Also published in Proceedings of the 1967 Spring Joint Computer Conference (later renamed to AFIPS Conference Proceedings), pp 279 seq,Vol. 30, 1967.
“Security Considerations in a Multi-Programmed Computer System,” Bernard Peters;Proceedings of the 1967 Spring Joint Computer Conference (later renamed to AFIPS Conference Proceedings), pp 283 seq, vol 30, 1967.
“Practical Solutions to the Privacy Problem,” Willis H. Ware; RAND, Santa Monica, CA;P-3544, April 1967. Also published in Proceedings of the 1967 Spring Joint ComputerConference (later renamed to AFIPS Conference Proceedings), pp 301 seq, Vol. 30, 1967.
“System Implications of Information Privacy,” Harold E. Peterson and Rein Turn;RAND, Santa Monica, CA; P-3504, April 1967. Also published in Proceedings of the 1967 Spring Joint Computer Conference (later renamed to AFIPS Conference Proceedings), pp 305 seq, vol. 30, 1967.
2. “Security Controls for Computer Systems,” (Report of the Defense Science Board Task Force on Computer Security), RAND, R-609-1-PR. Initially published in January 1970 as a classified document. Subsequently, declassified and republished October 1979.
3. http://rand.org/publications/R/R609.1/R609.1.html, “Security Controls for Computer Systems”; R-609.1, RAND, 1979 http://rand.org/publications/R/R609.1/intro.html,Historical setting for R-609.1
4. “Computer Security Technology Planning Study,” James P. Anderson; ESD-TR-73-51, ESD/AFSC, Hanscom AFB, Bedford, MA; October 1972.
5. All of these documents are cited in the bibliography of this book. For images of these historical papers on a CDROM, see the “History of Computer Security Project, Early Papers Part 1,” Professor Matt Bishop; Department of Computer Science, University of California at Davis. http://seclab.cs.ucdavis.edu/projects/history
6. “DoD Trusted Computer System Evaluation Criteria,”DoD Computer Security Center, National Security Agency, Ft George G. Meade, Maryland; CSC-STD-001-83;Aug 15, 1983.
7. So named because the cover of each document in the series had a unique and distinctively colored cover page. For example, the “Red Book” is “Trusted Network Interpretation,” National Computer Security Center, National Security Agency, Ft. George G. Meade,Maryland; NCSC-TG-005, July 31, 1987. USGPO Stock number 008-000-00486-2.
8. “A Retrospective on the Criteria Movement,” Willis H. Ware; RAND, Santa Monica, CA; P-7949, 1995. http://rand.org/pubs/papers/P7949/
9. This scheme is nowhere, to my knowledge, documented explicitly. However, its complexity can be inferred by a study of Appendices A and B of R-609.1 (item [2] above).
10. “The Cyberposture of the National Information Infrastructure,” Willis H. Ware; RAND, Santa Monica, CA; MR-976-OSTP, 1998. Available online at: http://www.rand.org/ publications/MR/MR976/mr976.html.
 


前??言
平板电脑、智能手机、电视机顶盒、GPS导航设备、运动监测器、家庭安全站、甚至联网的洗衣机和烘干机，对于这些设备的数据从哪里来和要到哪里去，用户很少能够看到并控制。与此同时，泄露客户数据的零售商越来越多，包括Home Depot、Target、T. J. Maxx、P. F. Chang’s、Sally Beauty。一方面人们希望享受连通性所带来的便利和效益，另一方面却担心因为发生事故而产生严重危害。计算机安全将这两种情况结合起来，成为一个推动智能产品发展的竞赛，使那些忽略基本控制的设计者能预防或限制灾难。
从某种程度上来讲，人们总认为简单产品出现安全性故障是令人意外的，而复杂系统出现安全性问题却合情合理。但实情是，这种状况并非一定。计算机专家们明白产生这些问题的原因，同时知道怎样去应对。自1960年计算机安全成为一个特定的研究领域以来，这几十年来产生了许多优秀的研究成果，并且已经对威胁及其控制方法有了很好的理解。
使许多人望而却步的一个因素就是语言——复杂的术语，比如多形病毒、高级持续性威胁、分布式拒绝服务攻击、推理和聚合、多重身份验证、密钥交换协议和入侵检测系统。其他术语听起来有趣但是难以理解，比如蠕虫、僵尸网络、木马、中间人、蜜罐、沙盒和脚本小子。高等数学和微生物学语言仍然容易混淆，医学和法律中的拉丁术语更难区分，关键看你是否认识它。事实上，计算机安全相关的术语和概念清晰明了，并且易于学习和使用。

脆弱点：薄弱点
威胁：实施脆弱点的条件
事故：脆弱点+威胁
控制：减少脆弱点或威胁

计算机安全的前提很简单：脆弱点就是产品、系统、协议、算法、程序、接口和设计中的薄弱点。威胁就是能够实施脆弱点的条件。当威胁利用脆弱点时，事故就发生了，继而造成危害。最后，人们通过增加控制或对应措施来预防、转移、减少、检测、诊断以及应对威胁。所有的计算机安全都是从简单框架构建起来的。本书介绍了计算机上可能发生的灾难事件以及保护计算机安全的方法。

为什么要读这本书？
计算对数据或计算机操作的隐私和完整性造成了严重威胁。而危险是生活的一部分：过马路是危险的，或许在某个地方比其他地方更危险，但是你还是要过去。小时候，你学会了在过马路前要停下来，并左右看看。等长大之后，你学会了估计来往车辆的速度并决定是否有时间通过。某种情况下你形成了一种感觉：来往的车辆是否会慢下来或者避让。但有时候，你必须判断突然横穿马路而不左右看看是不是最佳躲避危险的方法，希望你永远不必实践这些。关键是所有这些都取决于你的知识和经验。我们希望本书能帮助你形成应对计算机安全风险的知识和经验。
从个人设备到复杂的商业系统，计算机安全的共同点是：首先从一些基本的术语、原则和概念开始。然后通过观察这些基础知识在许多情境下出现的情况来学习这一学科，这些环境包括程序、操作系统、网络和云计算。你学习一些基本工具，比如身份认证、访问控制和加密，并理解它们在防御策略中如何应用。然后你会开始思考如何去做一名攻击者，预测那些可能会被利用的薄弱点，并改变防御手段来应对攻击。同时扮演攻击者和防守者使得计算机安全成为一种有创造性和挑战性的活动。

本书的使用者及用途
本书适用于想要学习计算机安全的读者，包括：高校学生、计算机专业人员、管理人员等各种使用计算机系统的用户。很多人都想了解怎样控制计算机所面临的安全威胁。但对于特定主题，不同的人想要了解的程度有所不同：有些人想要广泛浏览，有些人则想要集中地研究某个特定主题，例如网络或程序开发。
本书能够提供大多数读者想要的广度和深度。本书按计算的一般领域进行组织，因而，有特殊兴趣的读者能够很容易地找到想要的信息。

本书的组织
本书的章节按照一定的顺序进行展开，从一般的安全考虑到专门应用的特定需求，最后到管理和法律方面的问题。因此，本书覆盖了6个关键领域：
1.?简介：威胁、脆弱点以及控制。
2.?安全工作者的“工具箱”：身份识别和鉴别、访问控制以及加密。
3.?计算机安全实践的应用领域：程序、用户——因特网的交互作用、操作系统、网络、数据和数据库、云计算。
4.?交叉学科：隐私、管理、法律和伦理学。
5.?密码学的详细介绍。
6.?新兴应用领域。
第1章如一场博览会：奠定本书的基础，介绍术语和定义，并给出一些实例以说明这些术语是如何使用的。第2章通过3个概念深入地学习安全领域，即身份识别和鉴别、访问控制、加密技术，它们构成了计算机安全中大多数的基本防御技术。我们用多种方式来说明如何运用这些技术，并阐述它们的优势和弱点，还介绍了一些相关的前沿技术。
然后我们从个人用户以外的角度，更进一步去理解计算机领域。第3章从个人程序开始介绍，即介绍那些个人编写以及仅供个人使用的程序。这两种类型的程序都是会受到潜在攻击的主体，我们需要检查攻击的性质以及知道预防的方法。第4章学习操作系统，它是用户和攻击者之间一条强大的防御线。同时，我们也会思考破坏操作系统能力的方法。数据是第5章的主题，这是用户收集并保护的内容，我们还会了解数据库管理系统和大数据应用。第6章讲述网络，主要着眼于体系结构和技术，包括只发生在网络上的拒绝服务攻击等。第7章把我们带到计算机安全管理的部分：探讨管理是如何计划和解决计算机安全问题的。
在第2章中我们介绍了密码学。但是密码学领域涉及整本书、课程、学术会议、学术期刊、研究生课程的学习。另外除了密码学，本书还需要覆盖许多重要主题。因此，我们做出两个关键的决定：首先，我们把密码学当作一种工具，而不是要学习的领域。一个汽车修理工并不会去学习汽车的设计，也不会去衡量空气动力学、耗油量、内部约定和防撞这些因素；一个汽车修理工做的仅仅是接收一辆车，寻找和修理发动机或其他机械零件上的故障。类似地，我们希望读者能够利用密码学快速解决安全问题；因此仅在第2章简略介绍了密码学中普遍使用的知识。我们的第二个关键决定是在后面的章节中稍微拓展一些密码学知识，即第8章。但正如我们所指出的那样，完整地介绍密码学通常需要写一整本书，所以在第8章，我们只给出了关于密码学技术细节上的概述，以便感兴趣的读者可以在别处获取。
第9章我们探讨隐私，这是从程序到云这六大领域中最为接近与相似的主题。第10章我们继续进一步了解许多用户如今都非常熟悉的程序：浏览器，即因特网的大门。如今主流的攻击都是远程的，即通过网络（通常是因特网），攻击者在远处发起攻击。因此，我们有理由学习因特网上的恶意代码。但这章的焦点是如何实施远程攻击，而不是阐述网络基础设施是怎样运作的。
第11章将探索云计算，这是计算机领域近期才提出的技术，但它也带来了其特有的漏洞和保护措施。
最后一章，我们又回到有重大计算机安全隐患的四个部分，这也是正在快速发展的主题，该主题的计算机安全问题仍在不断发展。第12章介绍物联网，即把许多设备连接到因特网，这产生了许多可被利用的潜在安全威胁。经济学支配了许多安全决策，所以安全专家需要理解经济学和安全如何关联。为了方便，人们更愿意使用计算机来选举。在该过程中，收集投票总数之类的简单流程由许多司法部门来做，但是组织网上公平报名和投票选举的困难环节只能由少部分的示范性选举公司来完成。另外计算机在战争中的作用也越来越有威胁。此外，少部分在计算机设备上的中等规模攻击表明了此类行为的可行性，但是安全专家和普通市民需要了解（无论好坏）这种攻击类型的可能性。

如何阅读本书
阅读本书需要哪些背景知识呢？唯一的要求就是要了解编程和计算机系统。计算机专业的在校大学生和大学毕业生必然拥有这些背景知识，专业设计人员和计算机系统的开发人员也一样。想了解更多关于程序工作方式的用户也可以从这本书中学到知识。另外，有时我们也会在解决相关安全问题之前，提供与操作系统或网络概念相关的必要背景知识。
本书可作为计算机安全的教材，供一个或两个学期的教学使用。本书同样也可以作为计算机专业人员的参考书，或者大强度培训教程的补充。目录和广泛的参考书目使本书可作为一本手册，该手册对文献中关键文章的重要主题和知识点进行了解释。本书可在全世界范围内的课堂上使用；教师可设置一个学期的课程，集中讲解学生们特别感兴趣的主题，或者与其他课程紧密相关的主题。

本书有什么新内容
这是本书的第五版，第一版出版于1989年。从那时到现在，尽管许多基本概念都没有改变，但特定的威胁、脆弱点以及控制都发生了变化，因为许多计算机安全所适用的基础技术都发生了变化。然而，许多基本概念仍然一样。
对早期版本熟悉的读者来说，本书最明显的变化就是添加了一些新的章节。特别是，用户和web的交互、云计算、新兴问题这三章中所提到的主题。另外，在第2章中把三种基本控制放在一起。这些都是比较大的变化。另外，每个章节也都有许多小的变化，因为我们介绍了一些新型的攻击和详细叙述那些已经变得更为重要的知识点。
有人可能会注意到另外一个特点就是第三个合著人的加入。Jonathan Margulies成为本书第五版创作团队中的重要成员。他目前是Qmulos的安全实践（这是一种新推出的安全咨询业务）主管。他的加入带来了其在Sandia国家实验室和国家标准与技术研究所任职中的多年经验。他所专注的领域能够与我们已有的技术很好地互补，从而扩展了本书。

致谢
要在这里感谢所有对本书做出贡献的人已越来越困难了。因为，同事和朋友们常常在他们不知不觉的情况下就贡献了他们的学识和视野。通过讨论一个要点或者分享一个概念的解释，同事和朋友让我们对自己所知的事物提出质疑或重新思考。
至少要通过两个方面感谢我们的同行们。首先，我们尽量引用他们能对本书产生影响的工作成果。正文参考文献引用了有独特想法或概念的论文，但参考文献同样也包含了更广泛的工作成果，它们在生成安全方案中发挥了更为微妙的作用。因此，对于所有被引用的作者（其中有许多是我们的朋友和同事），我们衷心地感谢他们对本书作出的积极贡献。
我们要感谢一些组织。我们在这些组织中接触到的人都十分具有创新性、促进性和挑战性，使我们从中学到了很多东西。这些组织包括Trusted Information Systems, the Contel Technology Center, the Centre for Software Reliability of the City University of London, Arca Systems, Exodus Communications, The RAND Corporation, Sandia National Lab, Cable ＆ Wireless, the National Institute of Standards and Technology, the Institute for Information Infrastructure Protection, Qmulos, and the Editorial Board of IEEE Security ＆ Privacy。如果你在其中任意一个组织工作，就很有可能在本书中找到你的痕迹。另外我们很感激所有的对话、讨论、争论和领悟。

查看更多 > 图书评论

暂无评论

发表图书评论

评论标题：
评论内容：
验证码：: 看不清楚
点击刷新
: 您还没有登录，请登录后再评论。
点击“登录”

购买过本书的顾客还买过

{{data.bookName}}

￥{{data.price}}