信息安全原理(第5版)
前 言 全球网络使世界各地的信息系统之间的互连变得越来越广泛，顺畅的通信和计算解决方案因而也变得更加重要，但诸如恶意软件、钓鱼攻击以及各种犯罪攻击事件的频繁出现，说明当前的信息技术十分薄弱，需要加强对...
信息安全涉及的知识领域十分广泛，既有技术层面的，也有道德、法律层面的，同时对经验和实践能力的要求较高。本书多方位展示了信息安全的理论知识，每章都从一个小故事起步，逐步引出该章要讨论的安全主题，章末则再次回顾故障场景，总结安全知识的应用。
本书特色
● 由专家、教授执笔，系统阐述信息安全涉及的理论、技术和道德知识
● 每章由精心设计的小故事引出要讨论的安全话题，趣味性强
● 提供大量用于强化知识的自测题、总结、知识拓展等内容
● 体现了信息安全领域的理论及技术成果
导语_点评_推荐词
Michael E.Whitman拥有哲学博士学位，以及CISM和CISSP认证资格，是肯尼索州立大学CSIS系信息系统和安全专业的教授，同时担任信息安全教育KSU中心主任。Whitman教授目前为研究生和本科生讲授信息安全和数据通信的课程。他还是多家学术协会的活跃会员，包括计算机安全协会(CSI)、信息系统安全协会(ISSA)、乔治亚电子商务协会信息安全工作组、美国计算机协会(ACM)以及国际信息系统协会(AIS)。
Herbert J.Mattord拥有工商管理硕士学位，以及CISM和CISSP认证资格，拥有24年的IT行业经验，从事过应用开发、数据库管理、项目管理和信息安全，十多年前进入肯尼索州立大学执教。目前为本科生讲授信息安全、数据通信、局域网、数据库技术、项目管理、系统分析和设计课程。Mattord拥有丰富的IT从业经验，尤其是担任过某公司企业信息技术安全经理的经历，为本教材贡献了大量的实践性知识。
目 录
第1章 信息安全简介 1
1.1 引言 2
1.2 信息安全发展史 3
1.2.1 20世纪60年代 3
1.2.2 20世纪70年代和80年代 4
1.2.3 20世纪90年代 8
1.2.4 2000年至今 8
1.3 安全的概念 9
1.3.1 重要的信息安全概念 10
1.3.2 信息的重要特性 12
1.4 CNSS安全模型 15
1.5 信息系统的组件 15
1.5.1 软件 16
1.5.2 硬件 16
1.5.3 数据 17
1.5.4 人员 17
1.5.5 过程 17
1.5.6 网络 17
1.6 平衡信息的安全和访问 18
1.7 实现信息安全的方法 18
1.8 系统生命周期的安全性 19
1.8.1 系统开发生命周期 20
1.8.2 安全系统开发生命周期 21
1.8.3 软件保障――SDLC中的安全性 23
1.8.4 软件设计原则 24
1.8.5 保护SDLC的NIST方法 25
1.9 安全专业人士和机构 27
1.9.1 高级管理者 27
1.9.2 信息安全项目小组 28
1.9.3 数据责任 28
1.10 利益团体 29
1.10.1 信息安全管理和专业人士 29
1.10.2 信息技术管理和专业人士 29
1.10.3 机构管理和专业人士 29
1.11 信息安全：艺术还是科学 29
1.11.1 作为艺术的安全 30
1.11.2 作为科学的安全 30
1.11.3 作为社会科学的安全 30
1.12 本章小结 30
1.13 复习题 31
1.14 练习 32
1.15 案例练习 32
1.16 尾注 32
第2章 安全需求 35
2.1 引言 36
2.2 威胁和攻击 37
2.2.1 25亿潜在黑客 38
2.2.2 关于威胁的其他研究 38
2.2.3 常见攻击模式枚举与分类(CAPEC) 40
2.2.4 12类威胁 40
2.3 知识产权的损害 41
2.3.1 软件盗版 41
2.3.2 版权保护和用户注册 42
2.4 服务质量差 43
2.4.1 互联网服务问题 43
2.4.2 通信及其他服务提供商的问题 44
2.4.3 电源不稳定 44
2.5 间谍或蓄意入侵 45
2.5.1 黑客 45
2.5.2 黑客的变体 50
2.5.3 密码攻击 50
2.6 自然灾害 52
2.6.1 火灾 52
2.6.2 水灾 52
2.6.3 地震 52
2.6.4 闪电 52
2.6.5 山崩或泥石流 53
2.6.6 龙卷风或风暴 53
2.6.7 飓风、台风或热带低气压 53
2.6.8 海啸 53
2.6.9 静电放电 53
2.6.10 灰尘污染 54
2.7 人为过失或失败 54
2.8 信息敲诈 58
2.9 蓄意破坏 59
2.10 软件攻击 61
2.10.1 恶意软件 61
2.10.2 后门 66
2.10.3 拒绝服务(DoS)及分布式拒绝服务(DDoS)攻击 67
2.10.4 电子邮件攻击 67
2.10.5 通信拦截攻击 68
2.11 技术硬件故障或错误 69
2.11.1 Intel Pentium CPU故障 69
2.11.2 平均故障间隔时间 70
2.12 技术软件故障或错误 70
2.12.1 OWASP十大风险列表 70
2.12.2 软件安全中的诸宗罪 71
2.13 技术淘汰 75
2.14 窃取 76
2.15 本章小结 77
2.16 复习题 77
2.17 练习 78
2.18 案例练习 78
2.19 尾注 79
第3章 信息安全中的法律、道德以及专业人员问题 83
3.1 引言 84
3.2 信息安全的法律及道德 84
3.2.1 机构的责任和忠告 84
3.2.2 政策与法律 84
3.2.3 法律的类型 85
3.3 美国相关法律 85
3.3.1 一般计算机犯罪法 85
3.3.2 出口及间谍法 93
3.3.3 美国版权法 94
3.3.4 财务报表 94
3.3.5 1966年信息自由法 95
3.3.6 支付卡行业数据安全标准(PCI DSS) 95
3.3.7 州和本地法规 96
3.4 国际法及法律主体 97
3.4.1 英国的计算机安全法 97
3.4.2 澳大利亚的计算机安全法 97
3.4.3 欧洲网络犯罪委员会条例 98
3.4.4 世界贸易组织和与贸易有关的知识产权协议 98
3.4.5 数字千年版权法 98
3.5 道德和信息安全 99
3.5.1 不同文化中的道德差异 99
3.5.2 道德和教育 103
3.5.3 不道德及违法行为的防范措施 104
3.6 专业机构的道德规范 104
3.7 美国主要联邦机构 106
3.7.1 本国安全部(DHS) 106
3.7.2 美国特勤局 109
3.7.3 联邦调查局(FBI) 110
3.7.4 国家安全局(NSA) 111
3.8 本章小结 112
3.9 复习题 113
3.10 练习 113
3.11 案例练习 113
3.12 尾注 114
第4章 安全规划 117
4.1 引言 117
4.2 信息安全规划和治理 118
4.2.1 规划级别 118
4.2.2 规划和CISO 118
4.2.3 信息安全治理 119
4.2.4 信息安全治理效果 120
4.3 信息安全政策、标准及实践 120
4.3.1 作为规划基础的政策 121
4.3.2 企业信息安全政策 123
4.3.3 特定问题的安全政策 124
4.3.4 特定系统的安全政策(SysSP) 127
4.3.5 政策管理 131
4.4 信息安全蓝图 132
4.4.1 ISO27000系列 133
4.4.2 NIST安全模式 136
4.4.3 安全框架的其他资源 141
4.4.4 安全体系的设计 142
4.5 安全教育、培训和认识计划 144
4.5.1 安全教育 145
4.5.2 安全培训 145
4.5.3 安全意识 146
4.6 持续性策略 146
4.6.1 CP政策 150
4.6.2 业务影响分析 150
4.6.3 事故响应规划 152
4.6.4 灾难恢复计划 162
4.6.5 业务持续性计划 163
4.6.6 危机管理 165
4.6.7 统一的应急计划 166
4.6.8 相关法律的实施 166
4.7 本章小结 166
4.8 复习题 167
4.9 练习 168
4.10 案例练习 168
4.11 尾注 169
第5章 风险管理 173
5.1 引言 174
5.2 风险管理概述 174
5.2.1 知己 176
5.2.2 知彼 176
5.2.3 利益团体的作用 176
5.2.4 风险胃纳和残余风险 177
5.3 风险识别 178
5.3.1 规划、组织过程 178
5.3.2 资产的识别、建立清单和分类 178
5.3.3 信息资产的分类、估价和分级 182
5.3.4 威胁的识别和分级 188
5.3.5 指定资产的漏洞 192
5.4 风险评估 194
5.4.1 风险评估的规划和组织 194
5.4.2 确定损失的频率 195
5.4.3 估计损失的量级 197
5.4.4 计算风险 197
5.4.5 评估风险的可接受程度 198
5.4.6 风险评估的FAIR方法 199
5.5 风险控制策略 203
5.5.1 选择控制策略 203
5.5.2 证实控制措施的有效性 206
5.5.3 风险控制的估计、评估及维护 209
5.6 定量和定性的风险管理实践 209
5.7 推荐的控制风险实践 215
5.7.1 验证结果 215
5.7.2 NIST风险管理框架 216
5.8 本章小结 217
5.9 复习题 218
5.10 练习 219
5.11 案例练习 220
5.12 尾注 221
第6章 安全技术：防火墙和VPN 223
6.1 引言 224
6.2 访问控制 224
6.2.1 访问控制机制 226
6.2.2 生物测定学 229
6.2.3 访问控制体系模型 231
6.3 防火墙 236
6.3.1 防火墙的处理模式 236
6.3.2 防火墙体系结构 244
6.3.3 选择正确的防火墙 248
6.3.4 配置和管理防火墙 248
6.3.5 内容过滤器 255
6.4 保护远程连接 256
6.4.1 远程访问 256
6.4.2 虚拟专用网络 259
6.5 本章小结 262
6.6 复习题 263
6.7 练习 263
6.8 案例练习 264
6.9 尾注 264
第7章 安全技术：入侵检测防护系统和其他安全工具 267
7.1 引言 268
7.2 入侵检测防护系统 268
7.2.1 IDPS术语 269
7.2.2 使用IDPS的原因 270
7.2.3 IDPS的类型 271
7.2.4 IDPS检测方法 278
7.2.5 IDPS响应行为 280
7.2.6 选择IDPS方法和产品 282
7.2.7 IDPS的优缺点 286
7.2.8 IDPS的部署和实现 286
7.2.9 评估IDPS的效果 292
7.3 蜜罐、蜜网和填充单元系统 294
7.3.1 诱捕和跟踪系统 295
7.3.2 积极阻止入侵 296
7.4 浏览和分析工具 296
7.4.1 端口扫描仪 299
7.4.2 防火墙分析工具 300
7.4.3 操作系统检测工具 301
7.4.4 漏洞扫描仪 301
7.4.5 包嗅探器 305
7.4.6 无线安全工具 306
7.5 本章小结 308
7.6 复习题 308
7.7 练习 309
7.8 案例练习 309
7.9 尾注 310
第8章 密码学 313
8.1 引言 314
8.2 密码简史 314
8.3 加密方法 317
8.3.1 置换加密 318
8.3.2 移项加密 321
8.3.3 异或 322
8.3.4 Vernam加密 323
8.3.5 基于书本的加密 324
8.3.6 散列函数 325
8.4 加密算法 326
8.4.1 对称加密 327
8.4.2 非对称加密 329
8.4.3 加密密钥的长度 331
8.5 加密工具 333
8.5.1 公钥基础结构 333
8.5.2 数字签名 334
8.5.3 数字证书 335
8.5.4 混合加密系统 337
8.5.5 密码术 338
8.6 安全通信协议 339
8.6.1 用S-HTTP和SSL保护Internet通信 339
8.6.2 使用S/MIME、PEM和PGP保护电子邮件 340
8.6.3 使用SET、SSL和S-HTTP保护Web事务 341
8.6.4 用WEP或WPA保护无线网络 342
8.6.5 用IPSec和PGP保护TCP/IP 344
8.7 本章小结 347
8.8 复习题 348
8.9 练习 348
8.10 案例分析 349
8.11 尾注 349
第9章 物理安全 251
9.1 引言 352
9.2 物理访问控制 353
9.3 防火安全 360
9.4 支持设备发生故障和建筑物倒塌 365
9.4.1 取暖、通风和空调 365
9.4.2 电力管理和调整 367
9.4.3 水问题 369
9.4.4 建筑物的倒塌 369
9.4.5 设施系统的维护 369
9.5 数据的侦听 370
9.6 可移动和便携系统的安全性 371
9.7 物理安全威胁的特殊考虑 373
9.8 本章小结 374
9.9 复习题 375
9.10 练习 375
9.11 案例练习 376
9.12 尾注 376
第10章 实现信息安全 379
10.1 引言 380
10.2 信息安全的项目管理 381
10.2.1 制定项目计划 381
10.2.2 项目计划的考虑 384
10.2.3 范围考虑 386
10.2.4 项目管理需求 387
10.2.5 安全项目管理证书 388
10.3 实现的技术主题 389
10.3.1 转换策略 389
10.3.2 靶心模型 391
10.3.3 外购还是自行开发 392
10.3.4 技术监督和改进控制 392
10.3.5 SANS的20个最重要的安全控制 393
10.4 实现的非技术方面 394
10.4.1 改进管理的文化氛围 394
10.4.2 机构改进的考虑 394
10.5 信息系统安全证书和鉴定 395
10.5.1 证书和鉴定书 395
10.5.2 NIST安全生命周期方法 396
10.5.3 NSTISS证书和鉴定书 401
10.5.4 ISO 27001/27002系统认证和鉴定 405
10.6 本章小结 407
10.7 复习题 408
10.8 练习 408
10.9 案例练习 409
10.10 尾注 410
第11章 安全和人员 411
11.1 引言 412
11.2 确定安全部门的人员配备 412
11.3 信息安全专业人员的认证 422
11.3.1 (ISC)2证书 422
11.3.2 ISACA 认证 425
11.3.3 SANS认证 427
11.3.4 EC委员会认证 427
11.3.5 CompTIA认证 428
11.3.6 ISFCE 认证 429
11.3.7 获得认证的费用 429
11.3.8 给信息安全专业人员的建议 430
11.4 招聘政策和实践 432
11.4.1 工作描述 432
11.4.2 面试 432
11.4.3 背景检查 433
11.4.4 聘用合同 433
11.4.5 新员工的定位 434
11.4.6 工作期间的安全培训 434
11.4.7 业绩评估 434
11.4.8 解聘 434
11.5 临时工、顾问和其他工
好书
不错?
还可以啊
还没开始阅读，不过书的质量很好，一定程度上弥补了配送过慢造成的沮丧
还没看内容，外表完好
发书快 书也是正版
感觉还可以………
感觉还可以………
体验非常差，以后不在当当买书了，第一次也是最后一次
包装完好，物流很快！
