本書是信息安全經典著作，共12章，系統描述了信息安全的各個方面，實現了計算機安全領域的完整、實時、全面的覆蓋，內容包括用戶、軟件、設備、操作系統、網絡等，反映了迅速變化的攻擊、防范和計算環境，介紹了*新的*佳實踐，用戶認證，防止惡意代碼的執行，加密技術的使用，隱私的保護，防火墻的實現和入侵檢測技術的實施等。第五版對當前信息安全領域的新課題都有涉及，加入了Web交互、云計算、大數據、物聯網和網絡戰等方面的安全技術，以及前沿課題的研究。
系統講述信息安全的各個方面；覆蓋計算機安全領域；提供先進的計算機安全技術
導讀
繼2004年、2007年分別翻譯了本書的第三版、第四版之后，我們再次翻譯了其第五版。原書得到美國著名信息安全專家WillisH.Ware教授（蘭德公司）的熱情推薦并暢銷美國，并成為美國各大學院校廣為使用的經典教材，更被業界視為計算機安全攻擊和對策的權威指南。本書經過十幾年的改編再版，內容始終保持經典、豐富和新穎，循序漸進，且案例翔實生動，深入淺出，有較大的深度和廣度。本書第五版緊跟技術潮流，隨著第三個合著者JonathanMargulies的加入，增加了三章新內容（第10章web和用戶、第1章云計算、第12章新興問題），并對每個章節進行了細微調整。本書第五版不僅在內容上得到了豐富，而且理論體系結構更趨合理，體現了本書作者深厚的技術沉淀。特別值得一提的是，本書大量篇幅側重討論和分析代碼，因為有相當多的危險或多或少都是由計算機上執行的程序代碼引起的。讀者可以隨意選取自己感興趣的主題閱讀，閱讀本書唯一需要的背景知識就是編程和計算機系統。本書適合信息安全或計算機專業本科生、研究生、廣大相關領域的研究人員和專業技術人員閱讀和參考。
本書還特別推出了添加中文評注的英文版。在中文評注的英文版中，每章章首新增了中文要點概述，并在章節中的重要術語、關鍵技術、新興概念等內容處添加了中文評注，特別是對一些容易引起讀者誤解的難點進行了評注，以便讀者更好地閱讀和理解。除此之外，我們結合在教學工作中的經驗和體會，對英文原版的章節順序略作了調整，刪減了原著的第11章法律與道德，同時各章習題略作了刪減。
英文版的第1章概論：介紹信息安全的主要術語和定義，給出一些詳細的實例來說明這些術語是如何使用的；第2章工具箱：鑒別、訪問控制與加密：圍繞身份識別和鑒別、訪問控制、加密技術三個基本概念進行展開，深入地分析了安全領域的主要技術；第3章程序與編程：介紹程序相關的內容，詳細分析一些個人編寫且僅供個人使用的程序，如病毒、蠕蟲、特洛伊木馬等；第4章操作系統：介紹操作系統的基礎特性，使讀者了解操作系統的設計特性、對象保護、內存保護機制，并深入分析作為用戶和攻擊者之間的一條強大防御線的安全性；第5章數據庫：介紹數據庫管理系統和大數據應用；第6章網絡：從用戶的個人電腦過渡到網絡，闡述了網絡中的各種脆弱點和保護機制；第7章安全管理和事件：分析計算機安全管理部分，探討管理是如何計劃和解決計算機的安全問題的；第8章密碼學精講：介紹密碼學，對密碼學、密碼分析的概念、對稱加密和非對稱加密、消息摘要、數字簽名以及量子密碼學等進行概述；第9章計算機中的隱私：對計算機中的隱私進行探討，討論信息隱私的意義，研究識別和鑒別與信息隱私的密切關系，以及隱私與因特網的關系；第10章Web和用戶：進一步介紹用戶所熟悉的應用程序——瀏覽器，通過豐富的案列分析各種針對瀏覽器、網站、敏感數據和電子郵件的攻擊技術；第11章云計算：探索云計算，對云服務的概念、風險和安全工具進行介紹；第12章新興問題：提出在計算機安全領域出現的一些新興話題，如物聯網、網絡安全經濟學、電子投票和網絡戰爭，引發讀者思考未來計算機安全領域的研究和發展主題。
本書英文版的中文評注工作由電子科技大學李毅超教授、西南石油大學梁宗文博士、電子科技大學李曉冬3位該書的譯者共同負責完成。
序??言
來源于作者：我們在第三版和第四版的《信息安全原理與應用》中提供了Willis Ware寫的前言。在他寫的前言中，囊括了計算機安全早期歲月的一些事情，描述了他們早些年在計算機領域關注的問題，這些問題時至今日仍然有效。
Willis不斷努力以求使其從事的工作更加完善。事實上，他全面的分析能力和令人信服的領導能力對這些工作的最終成功作出了巨大貢獻。現在很少有人知道Willis的名字，但歐盟數據保護指令卻被更多的人所熟知（歐盟數據保護指令是Willis提交給美國公共事業部門的報告[WAR73a]所直接產生的一個分支）。Willis這么做只是希望大家看重他的思想，而不是為了個人名聲。
不幸的是，Willis于2013年11月去世，享年93歲。考慮到他寫的前言對我們的讀者依然重要，因此出于尊敬和感激，我們在此再次發布他的文字。
20世紀50年代到60年代，著名的計算機聯合會議（Joint Computer Conferences，JCC），把計算機技術專業人員和用戶召集在了一起。JCC一年兩屆，最初被稱為東部和西部JCC，后來改名為春季和秋季JCC，再后來又更名為全國計算機年會AFIPS。在這個背景下，計算機安全（后來命名為信息系統安全，現在也稱為“國家信息基礎設施安全的保護”）不再是機要部門、防御部門關心的話題，它開始走向公眾。
其時，RAND（蘭德）公司的Robert L. Patrick，John P. Haverty和我本人都在談論著國家及其公共機構對計算機技術日益增長的依賴性。我們注意到，已安裝的系統無法保證自身及其數據不受入侵攻擊的破壞。我們認為，此時應該促使技術群體和用戶群體去關注計算機安全了。
美國國家安全局（National Security Agency，NSA）的遠程訪問分時系統的開發使這個設想成為現實。該分時系統具有一套完整的安全訪問控制機制，它運行在Univac 494機器上，為終端和用戶提供服務，不僅是馬里蘭州Fort George G. Meade總部內的，而是世界范圍內的終端和用戶。很幸運，我了解該系統的詳細情況。
我在RAND公司另兩位工作人員（Harold Peterson博士和Rein Turn博士）和NSA的Bernard Peters的幫助下，組織了一批論文并將它們提交給了SJCC（春季JCC）大會的管理方，并建議由我來主持該屆JCC的論文會議。大會方接受了這個提議［1］，會議于1967年在大西洋城（NJ）會議大廳舉行。
此后不久，一個國防承包商要求一臺運行在遠程訪問模式下的大型機能同時兼顧機密保護和商業應用。受這一要求的驅使，并通過美國高級研究計劃署（Advanced Research Projects Agency，ARPA）和后來的美國國防科學局（Defense Science Board，DSB）的立案，美國國防部組織了一個專門研究計算機系統安全控制問題的委員會，由我擔任主席。委員會的目的是制訂一個文檔，該文檔可以作為美國國防部（DoD）在這個問題上的政策立場的基礎。
委員會的報告最初是作為一個機密文件出版的，并于1970年1月正式提交給發起者（DSB）。此報告后來解密，并于1979年10月由RAND公司再版。這一報告得到了廣泛的傳播［2］，而且還得到了一個“警示報告”的綽號。如今，在RAND公司的網站上還可以找到這份報告和相關的歷史介紹［3］。
后來，美國空軍（USAF）資助了另一個由James P. Anderson擔任主席的委員會。它的報告于1972年出版［4］，推薦了一個6年研發安全計劃，總預算大約是800萬美元。美國空軍根據這個安全計劃投資了數個項目［5］，其中3個為特定的計算機設計，并且被用來實現一個帶有安全控制的操作系統。
最終，這些舉措促成了一個由NSA發起的“標準和評估”（Criteria and Evaluation）計劃。該計劃在1983年出版的“桔皮書”（Orange Book）［6］和隨后它所支持的綽號為“彩虹系列”的文件組中達到鼎盛。后來，在20世紀80年代直至20世紀90年代［7］，這個計劃成為了一個國際性主題，并且成為ISO標準［8］。
了解系統安全研究在近數十年中的發展是很重要的。長期以來，防御部門都是以文檔的形式來保護機密信息。而今，它已經演變為一個非常精細的方案，將各種需保護的信息劃分成組、子組和超級組，所有組都必須是得到許可的人才能訪問，而且有必要訪問才能訪問。它帶給我們的加密技術和在傳送過程中保護機密信息的經驗，足以影響一個世紀［9］。最后，它認識到安全中的人員問題以及在相關人員間建立可信度的必要性。它當然也認識到了物理安全的重要性。
因此，計算機安全問題，正如20世紀60年代及后來人們所理解的，就是：（1）如何在計算機系統中建立一組訪問控制，這些訪問控制實施或模仿的是以往紙介質環境中的處理流程；（2）一些相關問題，如保護軟件免受未授權的修改、破壞或非法使用，以及將系統安置在一個安全的物理環境中，該環境有著適當的管理監控和操作規程。我們對安全方面的認識還不夠深入，主要表現在軟件及其相關硬件方面，也就是說，還存在著使軟件的正常行為出錯和被破壞的風險。在通信、人員和物理安全方面，有關規定和經驗太多，但效果并不佳。把各個方面結合在一起，產生一個全面的、安全的系統和操作環境是很重要的。
如今，世界已經發生了根本性的改變。桌上型計算機和工作站已經出現并日益激增。因特網不斷繁榮，萬維網（World Wide Web）日益昌盛。網絡在“爆炸”，計算機系統之間進行通信已成為必然。很多商業交易都基于網絡；很多商業團體（特別是金融機構）都進入了網絡。確切地說，世界上的任何一個人都可能是計算機“用戶”。計算機聯網是普遍現象，目標就是要使信息系統不斷擴展和延伸。
隨著網絡的發展，基于計算機的信息系統（其硬件、軟件、數據庫和通信）都暴露在一個無法控制的環境中：終端用戶、網絡管理員、系統所有者甚至政府都無法控制。我們必須做的是，在社會可接受的法律框架下，提供適當的技術、規程、操作以及環境，來抵御各種可能出現的或潛在的威脅。
威脅來自個人和團體、國內和國外。惡意滲透系統或者編制惡意軟件的動機（通常伴有攻擊性或破壞性的結果）可能是滿足個人智力需求、間諜活動、經濟回報、報復、非暴力反抗（civil disobedience）或其他原因。信息系統的安全環境已發生了很大的變化：從在有限范圍內只與彼此了解且遵紀守法的用戶群體交互，到在全球范圍內與不了解且不可信的用戶進行交互。重要的是，現在的安全控制必須
收起全部↑
李毅超，電子科技大學數學科學學院教授，IEEE會士，四川省信息系統安全等級保護評審特聘專家，電子科技大學信息安全領域組專家。主要從事計算機網絡及應用技術、網絡與信息系統安全技術、網絡與嵌入式電子信息化技術等方面研究工作。目前逐步將研究領域拓展到航空航天電子信息技術。作為課題負責人或骨干研究人員已完成國家自然科學基金、國家863計劃等項目大小30余項。
Charles P. Pfleeger，計算機和通信安全領域的國際著名專家。他最初是美國田納西大學的教授，離開那里后加入了計算機安全研究和咨詢公司Trusted Information Systems和Arca Systems（后來去了Exodus Communications和Cable and Wireless）。在Trusted Information Systems時他任歐洲運營主管和高級顧問。在Cable and Wireless時任研究主管和首席安全官成員。他還是IEEE計算機協會安全和隱私技術委員會的主席。
Shari Lawrence Pfleeger，知名軟件工程師和計算機安全研究員，最近成為蘭德公司（RAND）的高級計算機科學家和信息基礎設施保護研究院的研究主管。她目前是IEEE Security & Privacy雜志的總編輯。 Jonathan Margulies Qmulos首席技術官，網絡安全咨詢專家。獲得美國康奈爾大學計算機科學碩士學位后，Margulies在桑迪亞國家實驗室(Sandia National Lab)工作了9年，研究和開發針對國家安全和關鍵基礎設施系統中高級持續性威脅的保護方案。后來他加入NIST國家網絡安全卓越中心，在那里，他與各種關鍵基礎設施公司一起搭建了工業標準安全架構。業余時間，他在IEEE Security & Privacy雜志負責“Building Security In”版塊的編輯工作。
Chapter 1 Introduction
概論001
1．1 What is Computer Security
什么是計算機安全？002
1．2 Threats
威脅006
1．3 Harm
危害021
1．4 Vulnerabilities
脆弱點028
1．5 Controls
控制028
1．6 Conclusion
總結031
1．7 What’s Next
下一步是什么？032
1．8 Exercises
習題034
Chapter 2 Toolbox： Authentication， Access Control， and Cryptography
工具箱：鑒別、訪問控制與加密036
2．1 Authentication
鑒別038
2．2 Access Control
訪問控制072
2．3 Cryptography
密碼編碼學086
2．4 Exercises
練習127
Chapter 3 Programs and Programming
程序和編程130
3．1 Unintentional (Nonmalicious) Programming Oversights
無意的（非惡意的）程序漏洞132
3．2 Malicious Code―Malware
惡意代碼――惡意軟件165
3．3 Countermeasures
對策195
3．4 Conclusion
總結228
3．5 Exercises
練習228
Chapter 4 Operating Systems
操作系統230
4．1 Security in Operating Systems
操作系統的安全性230
4．2 Security in the Design of Operating Systems
安全操作系統的設計258
4．3 Rootkit
Rootkit279
4．4 Conclusion
總結288
4．5 Exercises
習題289
Chapter 5 Databases
數據庫291
5．1 Introduction to Databases
數據庫簡介292
5．2 Security Requirements of Databases
數據庫的安全需求297
5．3 Reliability and Integrity
可靠性和完整性303
5．4 Database Disclosure
數據庫泄露308
5．5 Data Mining and Big Data
數據挖掘和大數據325
5．6 Conclusion
總結339
5．7 Exercises
習題339
Chapter 6 Networks
網絡341
6．1 Network Concepts
網絡的概念342
6．2 Threats to Network Communications
網絡通信的威脅354
6．3 Wireless Network Security
無線網絡安全374
6．4 Denial of Service
拒絕服務396
6．5 Distributed Denial-of-Service
分布式拒絕服務421
6．6 Cryptography in Network Security
網絡安全中的密碼學432
6．7 Firewalls
防火墻451
6．8 Intrusion Detection and Prevention Systems
入侵檢測和防御系統474
6．9 Network Management
網絡管理489
6．10 Conclusion
總結496
6．11 Exercises
習題496
Chapter 7 Management and Incidents
安全管理和事件501
7．1 Security Planning
安全計劃501
7．2 Business Continuity Planning
業務持續計劃512
7．3 Handling Incidents
事件處理516
7．4 Risk Analysis
風險分析522
7．5 Dealing with Disaster
處理災難540
7．6 Conclusion
總結553
7．7 Exercises
練習554
Chapter 8 Details of Cryptography
密碼學精講555
8．1 Cryptology
密碼學556
8．2 Symmetric Encryption Algorithms
對稱加密算法566
8．3 Asymmetric Encryption with RSA
RSA非對稱加密582
8．4 Message Digests
消息摘要586
8．5 Digital Signatures
數字簽名589
8．6 Quantum Cryptography
量子密碼學594
8．7 Conclusion
總結598
Chapter 9 Privacy
計算機中的隱私600
9．1 Privacy Concepts
隱私的概念601
9．2 Privacy Principles and Policies
隱私的原理和政策610
9．3 Authentication and Privacy
鑒別和隱私624
9．4 Data Mining
數據挖掘630
9．5 Privacy on the Web
網站上的隱私633
9．6 Email Security
電子郵件安全性646
9．7 Privacy Impacts of Emerging Technologies
對新技術的影響650
9．8 Where the Field is Headed
領域前沿658
9．9 Conclusion
總結659
9．10 Exercises
習題659
Chapter 10 The Web―User Side
Web和用戶661
10．1 Browser Attacks
針對瀏覽器的攻擊663
10．2 Web Attacks Targeting Users
針對用戶的Web攻擊674
10．3 Obtaining User or Website Data
獲取用戶或網站的數據689
10．4 Email Attacks
電子郵件攻擊696
10．5 Conclusion
總結706
10．6 Exercises
習題707
Chapter 11 Cloud Computing
云計算708
11．1 Cloud Computing Concepts
云計算的概念708
11．2 Moving to the Cloud
遷移到云端710
11．3 Cloud Security Tools and Techniques
云安全工具與技術717
11．4 Cloud Identity Management
云認證管理725
11．5 Securing IaaS
加固IaaS736
11．6 Conclusion
總結740
11．7 Exercises
習題741
Chapter 12 Emerging Topics
新興問題743
12．1 The Internet of Things
物聯網744
12．2 Economics
網絡安全經濟學751
12．3 Electronic Voting
電子投票764
12．4 Cyber Warfare
網絡戰爭771
12．5 Conclusion
總結780
Bibliography
參考文獻781
新書資訊