《信息安全概論》介紹了主要的信息安全技術，包括密碼技術、身份認證、授權與訪問控制技術、信息隱藏技術、操作系統和數據庫安全、網絡與系統攻擊技術、網絡與系統安全防護及應急響應技術、安全審計與責任認定技術，Internet 安全、無線網絡安全、惡意代碼、內容安全技術，所介紹的內容涉及這些信息安全技術的基本概念、發展歷史與趨勢、面對的威脅與安全需求、采取的基本安全模型與策略、典型的安全體系結構和安全機制以及基本實現方法和對策等方面。此外，《信息安全概論》還同時推出配套的PPT 等文件信息下載(請訪問網址，選擇“網上書店”，檢索圖書書名，在圖書詳情頁面“資源下載”欄目中獲取)，以供讀者參考。
目錄
前言
第1章緒論1
1.1信息安全的概念1
1.2信息安全發展歷程2
1.3信息安全技術體系3
1.4信息安全模型7
1.5信息安全保障技術框架8
1.5.1IATF概述8
1.5.2IATF與信息安全的關系9
1.5.3IATF對檔案信息安全的啟示10
思考題12
第2章密碼技術13
2.1基本概念13
2.2對稱密碼15
2.2.1古典密碼15
2.2.2分組密碼18
2.2.3序列密碼25
2.3公鑰密碼26
2.3.1公鑰密碼體制原理26
2.3.2RSA算法27
2.4散列函數和消息認證碼29
2.4.1散列函數29
2.4.2消息鑒別碼32
2.5數字簽名36
2.5.1數字簽名簡介36
2.5.2基于公鑰密碼的數字簽名原理37
2.5.3數字簽名算法38
2.6密鑰管理40
2.6.1公鑰分配41
2.6.2對稱密碼體制的密鑰分配44
2.6.3公鑰密碼用于對稱密碼體制的密鑰分配45
2.6.4Diffe-Hellman密鑰交換47
思考題50
第3章身份認證51
3.1用戶認證51
3.1.1基于口令的認證51
3.1.2基于智能卡的認證53
3.1.3基于生物特征的認證54
3.2認證協議55
3.2.1單向認證55
3.2.2雙向認證56
3.3Kebores58
3.3.1Kerberos版本4.59
3.3.2Kerberos版本5.63
3.4PKI技術67
3.4.1PKI體系結構67
3.4.2X.509數字證書68
3.4.3認證機構69
3.4.4PKIX相關協議70
3.4.5PKI信任模型71
思考題74
第4章授權與訪問控制技術75
4.1授權和訪問控制策略的概念75
4.2自主訪問控制.76
4.2.1基本概念76
4.2.2授權管理78
4.2.3不足之處79
4.2.4完善自主訪問控制機制80
4.3強制訪問控制.80
4.3.1基本概念81
4.3.2授權管理82
4.3.3不足之處82
4.4基于角色的訪問控制82
4.4.1基本概念83
4.4.2授權管理87
4.4.3RBAC的優勢88
4.5基于屬性的訪問控制89
4.5.1ABAC模型89
4.5.2ABE基本概念91
4.6PMI技術92
4.6.1PMI基礎92
4.6.2PKI和PMI的關系93
4.6.3PMI授權管理模式、體系及模型94
4.6.4PMI基礎設施的結構和應用模型96
4.6.5屬性權威與屬性證書97
思考題100
第5章信息隱藏技術101
5.1信息隱藏的概念101
5.2隱藏信息的基本方法103
5.2.1空域算法103
5.2.2變換域算法103
5.2.3壓縮域算法104
5.2.4NEC算法104
5.2.5生理模型算法104
5.3數字水印104
5.3.1數字水印的技術模型104
5.3.2數字水印的分類與應用105
5.3.3空域水印106
5.3.4DCT域水印107
5.4數字隱寫108
5.4.1隱寫的技術模型108
5.4.2典型數字圖像隱寫算法108
5.5數字指紋111
5.5.1基本概念和模型111
5.5.2數字指紋編碼112
5.5.3數字指紋協議113
思考題113
第6章主機系統安全技術114
6.1操作系統安全技術114
6.1.1基本概念114
6.1.2可信計算機評價標準(TCSEC)114
6.1.3操作系統安全的基本原理117
6.1.4操作系統安全機制121
6.1.5Linux的安全機制124
6.2數據庫安全技術127
6.2.1傳統數據庫安全技術127
6.2.2外包數據庫安全129
6.2.3云數據庫/云存儲安全135
6.3可信計算技術136
6.3.1概念和基本思想136
6.3.2TCG可信計算系統137
思考題138
第7章網絡與系統攻擊技術139
7.1網絡攻擊概述139
7.1.1網絡攻擊的概念139
7.1.2網絡攻擊的一般流程139
7.2網絡探測140
7.2.1網絡踩點140
7.2.2網絡掃描140
7.2.3常見的掃描工具142
7.3緩沖區溢出攻擊144
7.3.1緩沖區溢出的基本原理144
7.3.2緩沖區溢出的防范145
7.4拒絕服務攻擊145
7.4.1常見的拒絕服務攻擊145
7.4.2分布式拒絕服務攻擊147
7.4.3拒絕服務攻擊的防范148
7.5僵尸網絡149
思考題151
第8章網絡與系統安全防護152
8.1防火墻技術152
8.1.1防火墻的概念152
8.1.2防火墻的特性152
8.1.3防火墻的技術154
8.1.4自適應代理技術161
8.1.5防火墻的體系結構161
8.1.6防火墻的應用與發展164
8.2入侵檢測技術166
8.2.1入侵檢測概述166
8.2.2入侵檢測系統分類168
8.2.3分布式入侵檢測174
8.2.4入侵檢測技術發展趨勢175
8.3“蜜罐”技術176
8.3.1蜜罐的概念176
8.3.2蜜罐技術的分類177
8.3.3蜜罐技術關鍵機制178
8.3.4蜜罐部署結構180
8.4應急響應技術181
8.4.1應急響應的概念181
8.4.2應急響應策略184
8.4.3應急事件處理流程184
8.4.4應急響應技術及工具186
思考題186
第9章安全審計與責任認定技術187
9.1安全審計187
9.1.1安全審計概念187
9.1.2審計系統的結構188
9.1.3審計的數據來源190
9.2數字取證193
9.2.1數字取證概述193
9.2.2電子證據的特點和取證基本原則194
9.2.3數字取證的過程195
9.3數字取證關鍵技術和工具198
9.3.1證據信息類別198
9.3.2來自文件的數據198
9.3.3來自操作系統的數據201
9.3.4來自網絡的數據202
9.3.5來自應用軟件的數據204
思考題205
第10章Internet安全206
10.1OSI安全體系結構206
10.1.1安全攻擊206
10.1.2安全服務209
10.1.3安全機制211
10.2IPSec協議213
10.3SSL/TLS協議223
10.4安全電子交易232
10.4.1SET的需求232
10.4.2SET系統構成233
10.4.3雙向簽名235
10.4.4支付處理236
10.5安全電子郵件240
思考題249
第11章無線網絡安全250
11.1IEEE802.11無線網絡安全250
11.1.1IEEE802.11無線網絡背景250
11.1.2WEP251
11.1.3802.11i255
11.2移動通信系統的安全266
11.2.1GSM的安全266
11.2.2GPRS的安全.271
11.2.3第三代移動通信系統(3G)的安全275
思考題277
第12章惡意代碼檢測與防范技術278
12.1惡意代碼概述278
12.1.1惡意代碼研究背景278
12.1.2惡意代碼種類279
12.1.3惡意代碼攻擊流程280
12.1.4惡意代碼攻擊技術280
12.1.5惡意代碼生存技術281
12.2常見惡意代碼282
12.2.1計算機病毒282
12.2.2木馬285
12.2.3蠕蟲288
12.3惡意代碼檢測與分析技術289
12.3.1惡意代碼靜態分析方法290
12.3.2惡意代碼動態分析方法291
12.3.3惡意代碼分類方法292
思考題294
第13章內容安全技術295
13.1內容安全的概念295
13.2文本過濾297
13.2.1不良文本過濾主要方法297
13.2.2中文分詞300
13.3話題發現和跟蹤301
13.4內容安全分級監管303
13.5多媒體內容安全技術簡介304
思考題305
參考文獻306
查看全部↓
第1章 緒論
21 世紀是信息的時代，信息已成為一種重要的戰略資源。由計算機技術與通信技術相結合而誕生的計算機互聯網絡迅速發展和廣泛應用，以此為平臺的信息傳遞打破了傳統的時間和空間的局限性，極大地改變了人們的工作方式和生活方式。信息日益成為一種戰略資源，信息的應用涵蓋國防、政治、經濟、科技、文化等各個領域，在社會生產和生活中的作用越來越顯著，信息產業成為新的經濟增長點。
另一方面，隨著信息化技術的發展，越來越多的業務依賴于信息系統處理，安全問題日益凸顯。信息安全問題已經威脅到國家的政治、經濟和國防等多個關鍵領域，必須采取措施確保我國的信息安全。信息安全事關國家安全、社會穩定，已成為當今信息化建設的核心問題之一。
1.1 信息安全的概念
信息安全指信息系統的軟件、硬件以及系統中存儲和傳輸的數據受到保護，不因偶然的或者惡意的原因而遭到破壞、更改、泄露，信息系統連續、可靠、正常地運行，信息服務不中斷。
信息安全問題在人類發展歷史過程中始終存在，其內涵也在不斷發展豐富。目前，在信息安全領域得到廣泛認可的信息安全屬性包括以下幾種。
(1)機密性(secrecy)：能夠確保敏感數據或機密數據在存儲和傳輸過程中不被非授權的實體瀏覽，甚至可以保證不暴露保密通信的事實。
(2)完整性(integrality)：能夠保障被傳輸、接收、存儲的數據是完整和未被非法修改的，在被非法修改的情況下能夠發現被非法修改的事實和位置。
(3)真實性(authenticity)：可以保證參與通信或操作的實體(用戶、進程、系統等)身份的真實以及信息來源的真實。
(4)不可否認性(non-repudiation)：能夠保證信息系統的操作者和信息的處理者不能夠否認其操作行為和處理結果，防止參與操作或通信的某一方事后否認該操作和通信行為的發生。
(5)可靠性(dependability)：信息系統運行的過程和結果是可以被信賴的。
(6)可用性(usability)：當突發事件(故障、攻擊等)發生時，用戶依然能夠得到或使用信息系統的數據，信息系統的服務亦能維持運行。
(7)可控性(controllability)：能夠掌握和控制信息及信息系統的情況，對信息和信息系統的使用進行可靠的授權、審計、責任認定、傳播源與傳播路徑的跟蹤和監管等。
當前，在信息技術迅猛發展和廣泛應用的大背景下，信息安全可被理解為信息系統抵御信息安全威脅，保證信息系統處理維護的數據以及提供的服務的機密性、完整性、真實性、不可否認性、可靠性、可用性、可控性等安全屬性的能力。
所謂信息安全威脅，就是對信息資源或信息系統的安全使用可能造成的危害，主要包括意外事件和惡意攻擊兩大類。具體地，信息安全威脅大致上包括以下方面。
(1) 信息泄露：保護的信息被泄露或透露給某個非授權的實體。典型攻擊手段是竊聽和通信業務流分析。竊聽是指用各種可能的合法或非法的手段竊取系統中的信息資源和敏感信息，例如對通信線路中傳輸的信號搭線監聽；通信業務流分析則通過對系統進行長期監聽，利用統計分析方法對諸如通信頻度、通信的信息流向、通信總量的變化等參數進行研究，從中發現有價值的信息和規律。
(2) 非授權的篡改：信息的內容被非授權地進行增刪、修改或破壞而受到損失。
(3) 拒絕服務：信息使用者對信息或其他資源的合法訪問被無條件地阻止。
(4)非法使用(非授權訪問)：某一資源被某個非授權的人或系統使用，或以非授權的方式使用(越權使用)。
(5)假冒：一個非法用戶或信息系統通過冒充成為另一個合法用戶或合法系統，或者特權小的用戶/系統冒充成為特權大的用戶/系統。
(6) 抵賴：一種來自用戶的攻擊，涵蓋范圍比較廣泛，比如，否認自己曾經發布過的某條消息，否認曾經處理過某些信息等。
(7) 網絡與系統攻擊：利用網絡系統和協議的缺陷和漏洞，進行惡意的侵入和破壞。
(8) 惡意代碼：開發、傳播意在破壞計算機系統、竊取機密或遠程控制的程序，主要包括計算機病毒、蠕蟲、木馬、僵尸網絡等。
(9) 自然災害：如火災、水災等意外事件，損毀、破壞信息系統的硬件設備，從而使得信息和信息系統不可用。
(10) 人為失誤和故意破壞：惡意的人故意破壞，或者授權用戶的操作失誤，使得信息或信息系統遭到損壞。
以上安全威脅分別破壞不同的信息安全屬性。比如，信息泄露危及機密性，非授權篡改破壞完整性，假冒威脅真實性，自然災害和操作失誤破壞可用性等。當然，信息安全的威脅來自方方面面，很難一一羅列，以上只是列出了現實中的主要威脅種類。
1.2 信息安全發展歷程
信息是從人類社會誕生就隨之出現的，信息安全技術自人類社會誕生就受到了關注，其發展歷史由來已久。事實上，很久以前人們便想嘗試通過秘密的文字來傳遞信息，最早的安全事件可以追溯到凱撒時期(約為公元前1世紀)，凱撒大帝為了軍隊保密通信的需要而設計了自己的加密方法。但是，在悠長的人類歷史上，信息安全的發展較為緩慢，直到計算機和網絡的出現。
計算機的出現，尤其是網絡出現以后，各種信息電子化，信息能夠更加方便地獲取、攜帶與傳輸。相對于傳統的信息安全保障，電子信息需要更加有力的技術保障，而不單單是對接觸信息的人和信息本身進行管理。區別于傳統意義上的信息介質安全，現代信息安全是專指電子信息的安全。
大體上，信息安全發展經歷了4個時期。
第一個時期是通信安全時期，其主要標志是1949年香農發表的《保密通信的信息理論》。在這個時期通信技術還不發達，電腦只是零散地位于不同的地點，信息系統的安全僅限于保證電腦的物理安全以及通過密碼(主要是序列密碼)解決通信安全的保密問題。把電腦安置在相對安全的地點，不容許非授權用戶接近，就基本可以保證數據的安全性了。這個時期的安全性是指信息的保密性，對安全理論和技術的研究也僅限于密碼學。這一階段的信息安全可以簡稱為通信安全，關注如何保證數據在從一地傳送到另一地時的安全性。
第二個時期為計算機安全時期，以20世紀70～80年代推出的《可信計算機評估準則》(Trusted Computer System Evaluation Criteria，俗稱橘皮書，1985年再版)為標志。在20世紀60年代后，半導體和集成電路技術的飛速發展推動了計算機軟硬件的發展，計算機和網絡技術的應用進入了實用化和規模化階段，數據的傳輸已經可以通過電腦網絡來完成。這時候的信息已經分成靜態信息和動態信息。人們對安全的關注已經逐漸擴展為以保密性、完整性和可用性為目標的信息安全階段，主要保證動態信息在傳輸過程中不被竊取，即使竊取了也不能讀出正確的信息；還要保證數據在傳輸過程中不被篡改，讓讀取信息的人能夠看到正確無誤的信息。
1977年美國國家標準局(NBS)公布的國家數據加密標準(DES)和1983年美國國防部公布的可信計算機系統評估準則標志著解決計算機信息系統保密性問題的研究和應用邁上了歷史的新臺階。
第三個時期是在20世紀90年代興起的網絡安全時代。從20世紀90年代開始，由于互聯網技術的飛速發展，信息無論是企業內部還是外部都得到了極大的開放，而由此產生的信息安全問題跨越了時間和空間，信息安全的焦點已經從傳統的保密性、完整性和可用性三個原則衍生為可控性、抗抵賴性、真實性等其他的原則和目標。
第四個時期是進入21世紀的信息安全保障時代，其主要標志是《信息保障技術框架》(IATF)。如果說對信息的保護，主要還是處于從傳統安全理念到信息化安全理念的轉變過程中，那么面向業務的安全保障，就完全是從信息化的角度來考慮信息的安全了。體系性的安全保障理念，不僅是關注系統的漏洞，而且是從業務的生命周期著手，對業務流程進行分析，找出流程中的關鍵控制點，從安全事件出現的前、中、后三個階段進行安全保障。面向業務的安全保障不是只建立防護屏障，而是建立一個“深度防御體系”，通過更多的技術手段把安全管理與技術防護聯系起來，不再是被動地保護自己，而是主動地防御攻擊。也就是說，面向業務的安全防護已經從被動走向主動，安全保障理念從風險承受模式走向安全保障模式。信息安全階段也轉化為從整體角度考慮其體系建設的信息安全保障時代。
1.3 信息安全技術體系
從當前人們對信息安全技術的認知程度來看，可將現有的主要信息安全技術歸納為以下5類(圖1-1)：核心基礎安全技術(包括密碼技術、信息隱藏技術等)，安全基礎設施技術(包括標識與認證技術、授權與訪問控制技術等)，基礎設施安全技術(包括主機系統安全技術、網絡系統安全技術等)，應用安全技術(包括網絡與系統攻擊技術、網絡與系統安全防護與應急響應技術、安全審計與責任認定技術、惡意代碼檢測與防范技術、內容安全技術等) ，支撐安全技術(包括信息安全保障技術框架、信息安全測評與管理技術等)。
圖1-1信息安全技術體系框圖
本書將在后面的章節中逐一介紹這些技術，這里先概述一下其基本內容。
1) 信息安全保障技術框架
信息安全保障技術框架(IATF)定義了對一個系統進行信息安全保障的過程，以及該系統中硬件和軟件部件的安全要求，遵循這些要求可以對信息基礎設施進行深度防御。其基本內容是深度防御策略、信息保障框架域和信息系統安全。深度防御策略的出現使人們清晰地意識到，實施信息安全保障的難度之所以在持續不斷地增大，既源于技術革新帶來的挑戰，又源于操作和管理方式的調整需求，同時也時刻接受處于不間斷增強過程中人類智力的挑戰，必須全面考慮人、技術和操作(與管理)這三個要素。相對于信息安全保障的豐富內涵而言，深度防御策略只是一個思路，由保護網絡與基礎設施、保護區域邊界和外部連接、保護計算環境及支持性基礎設施這四個框架域所共同組成的技術細節和滲透其中的眾多操作與管理規則才是信息安全保障得以有效實施的基石。信息系統安全工程集中體現了信息安全保障的過程化需求，使信息安全保障呈現一個多維的、多角度的操作場景，將其視為信息安全保障可以遵循的基礎方法論。
2) 密碼技術
密碼技術主要包括密碼算法和密碼協議的設計與分析技術。密碼算法包括分組密碼、序列密碼、公鑰密碼、雜湊函數、數字簽名等，它們在不同的場合分別用于提供機密性、完整性、真實性、可控性和不可否認性，是構建安全信息系統的基本要素。密碼協議是在消息處理環節采用了密碼算法的協議，它們運行在計算機系統、網絡或分布式系統中，為安全需求方提供安全的交互操作。密碼分析技術指在獲得一些技術或資源的條件下破解密碼算法或密碼協議的技術。其中，資源條件主要指分析者可能截獲了密文、掌握了明文或能夠控制和欺騙合法的用戶等。密碼分析可被密碼設計者用于提高密碼算法和協議的安全性，也可被惡意的攻擊者利用。
3) 標識與認證技術
在信息系統中出現的主體包括人、進程或系統等實體。從信息安全的角度看，需要對實體進行標識和身份鑒別，這類技術稱為標識與認證技術。所謂標識(identity)是指實體的表示，信息系統通過標識可以對應到一個實體。標識的例子在計算機系統中比比皆是，如用戶名、用戶組名、進程名、主機名等，沒有標識就難以對系統進行安全管理。認證技術就是鑒別實體身份的技術，主要包括口令技術、公鑰認證技術、在線認證服務技術、生物認證技術與公鑰基礎設施(public key infrastructure，PKI)技術等，還包括對數據起源的驗證。隨著電子商務和電子政務等分布式安全系統的出現，公鑰認證及基于它的PKI技術在經濟和社會生活中的作用越來越大。
4) 授權與訪問控制技術
為了使得合法用戶正常使用信息系統，需要給已通過認證的用戶授予相應的操作權限，這個過程被稱為授權。在信息系統中，可授予的權限包括讀/寫文件、運行程序和網絡訪問等，實施和管理這些權限的技術稱為授權技術。訪問控制技術和授權管理基礎設施(privilegemanagementinfrastructure，PMI)技術是兩種常用的
查看全部↓
新書資訊