信息安全原理 第5版PDF电子书下载

第1章 信息安全简介 1

1.1 引言 2

1.2 信息安全发展史 3

1.2.1 20世纪60年代 3

1.2.2 20世纪70年代和80年代 4

1.2.3 20世纪90年代 8

1.2.4 2000年至今 8

1.3 安全的概念 9

1.3.1 重要的信息安全概念 10

1.3.2 信息的重要特性 12

1.4 CNSS安全模型 15

1.5 信息系统的组件 15

1.5.1 软件 16

1.5.2 硬件 16

1.5.3 数据 17

1.5.4 人员 17

1.5.5 过程 17

1.5.6 网络 17

1.6 平衡信息的安全和访问 18

1.7 实现信息安全的方法 18

1.8 系统生命周期的安全性 19

1.8.1 系统开发生命周期 20

1.8.2 安全系统开发生命周期 21

1.8.3 软件保证——SDLC中的安全性 23

1.8.4 软件设计原则 24

1.8.5 保护SDLC的NIST方法 25

1.9 安全专业人士和机构 27

1.9.1 高级管理者 27

1.9.2 信息安全项目小组 28

1.9.3 数据责任 28

1.10 利益团体 29

1.10.1 信息安全管理和专业人士 29

1.10.2 信息技术管理和专业人士 29

1.10.3 机构管理和专业人士 29

1.11 信息安全：艺术还是科学 29

1.11.1 作为艺术的安全 30

1.11.2 作为科学的安全 30

1.11.3 作为社会科学的安全 30

1.12 本章小结 30

1.13 复习题 31

1.14 练习 32

1.15 案例练习 32

1.16 尾注 32

第2章 安全需求 35

2.1 引言 36

2.2 威胁和攻击 37

2.2.1 25亿潜在黑客 38

2.2.2 关于威胁的其他研究 38

2.2.3 常见攻击模式枚举与分类（CAPEC） 40

2.2.4 12类威胁 40

2.3 知识产权的损害 41

2.3.1 软件盗版 41

2.3.2 版权保护和用户注册 42

2.4 服务质量差 43

2.4.1 互联网服务问题 43

2.4.2 通信及其他服务提供商的问题 44

2.4.3 电源不稳定 44

2.5 间谍或蓄意入侵 45

2.5.1 黑客 45

2.5.2 黑客的变体 50

2.5.3 密码攻击 50

2.6 自然灾害 52

2.6.1 火灾 52

2.6.2 水灾 52

2.6.3 地震 52

2.6.4 闪电 52

2.6.5 山崩或泥石流 53

2.6.6 龙卷风或风暴 53

2.6.7 飓风、台风或热带低气压 53

2.6.8 海啸 53

2.6.9 静电放电 53

2.6.10 灰尘污染 54

2.7 人为过失或失败 54

2.8 信息敲诈 58

2.9 蓄意破坏 59

2.10 软件攻击 61

2.10.1 恶意软件 61

2.10.2 后门 66

2.10.3 拒绝服务（DoS）及分布式拒绝服务（DDoS）攻击 67

2.10.4 电子邮件攻击 67

2.10.5 通信拦截攻击 68

2.11 技术硬件故障或错误 69

2.11.1 IntelPentiumCPU故障 69

2.11.2 平均故障间隔时间 70

2.12 技术软件故障或错误 70

2.12.1 OWASP十大风险列表 70

2.12.2 软件安全中的诸宗罪 71

2.13 技术淘汰 75

2.14 窃取 76

2.15 本章小结 77

2.16 复习题 77

2.17 练习 78

2.18 案例练习 78

2.19 尾注 79

第3章 信息安全中的法律、道德以及专业人员问题 83

3.1 引言 84

3.2 信息安全的法律及道德 84

3.2.1 机构的责任和忠告 84

3.2.2 政策与法律 84

3.2.3 法律的类型 85

3.3 美国相关法律 85

3.3.1 一般计算机犯罪法 85

3.3.2 出口及间谍法 93

3.3.3 美国版权法 94

3.3.4 财务报表 94

3.3.5 1966年信息自由法 95

3.3.6 支付卡行业数据安全标准（PCI DSS） 95

3.3.7 州和本地法规 96

3.4 国际法及法律主体 97

3.4.1 英国的计算机安全法 97

3.4.2 澳大利亚的计算机安全法 97

3.4.3 欧洲网络犯罪委员会条例 98

3.4.4 世界贸易组织和与贸易有关的知识产权协议 98

3.4.5 数字千年版权法 98

3.5 道德和信息安全 99

3.5.1 不同文化中的道德差异 99

3.5.2 道德和教育 103

3.5.3 不道德及违法行为的防范措施 104

3.6 专业机构的道德规范 104

3.7 美国主要联邦机构 106

3.7.1 本国安全部（DHS） 106

3.7.2 美国特勤局 109

3.7.3 联邦调查局（FBI） 110

3.7.4 国家安全局（NSA） 111

3.8 本章小结 112

3.9 复习题 113

3.10 练习 113

3.11 案例练习 113

3.12 尾注 114

第4章 安全规划 117

4.1 引言 117

4.2 信息安全规划和治理 118

4.2.1 规划级别 118

4.2.2 规划和CISO 118

4.2.3 信息安全治理 119

4.2.4 信息安全治理效果 120

4.3 信息安全政策、标准及实践 120

4.3.1 作为规划基础的政策 121

4.3.2 企业信息安全政策 123

4.3.3 特定问题的安全政策 124

4.3.4 特定系统的安全政策（SysSP） 127

4.3.5 政策管理 131

4.4 信息安全蓝图 132

4.4.1 ISO27000系列 133

4.4.2 NIST安全模式 136

4.4.3 安全框架的其他资源 141

4.4.4 安全体系的设计 142

4.5 安全教育、培训和认识计划 144

4.5.1 安全教育 145

4.5.2 安全培训 145

4.5.3 安全意识 146

4.6 持续性策略 146

4.6.1 CP政策 150

4.6.2 业务影响分析 150

4.6.3 事故响应规划 152

4.6.4 灾难恢复计划 162

4.6.5 业务持续性计划 163

4.6.6 危机管理 165

4.6.7 统一的应急计划 166

4.6.8 相关法律的实施 166

4.7 本章小结 166

4.8 复习题 167

4.9 练习 168

4.10 案例练习 168

4.11 尾注 169

第5章 风险管理 173

5.1 引言 174

5.2 风险管理概述 174

5.2.1 知己 176

5.2.2 知彼 176

5.2.3 利益团体的作用 176

5.2.4 风险胃纳和残余风险 177

5.3 风险识别 178

5.3.1 规划、组织过程 178

5.3.2 资产的识别、建立清单和分类 178

5.3.3 信息资产的分类、估价和分级 182

5.3.4 威胁的识别和分级 188

5.3.5 指定资产的漏洞 192

5.4 风险评估 194

5.4.1 风险评估的规划和组织 194

5.4.2 确定损失的频率 195

5.4.3 估计损失的量级 197

5.4.4 计算风险 197

5.4.5 评估风险的可接受程度 198

5.4.6 风险评估的FAIR方法 199

5.5 风险控制策略 203

5.5.1 选择控制策略 203

5.5.2 证实控制措施的有效性 206

5.5.3 风险控制的估计、评估及维护 209

5.6 定量和定性的风险管理实践 209

5.7 推荐的控制风险实践 215

5.7.1 验证结果 215

5.7.2 NIST风险管理框架 216

5.8 本章小结 217

5.9 复习题 218

5.10 练习 219

5.11 案例练习 220

5.12 尾注 221

第6章 安全技术：防火墙和VPN 223

6.1 引言 224

6.2 访问控制 224

6.2.1 访问控制机制 226

6.2.2 生物测定学 229

6.2.3 访问控制体系模型 231

6.3 防火墙 236

6.3.1 防火墙的处理模式 236

6.3.2 防火墙体系结构 244

6.3.3 选择正确的防火墙 248

6.3.4 配置和管理防火墙 248

6.3.5 内容过滤器 255

6.4 保护远程连接 256

6.4.1 远程访问 256

6.4.2 虚拟专用网络 259

6.5 本章小结 262

6.6 复习题 263

6.7 练习 263

6.8 案例练习 264

6.9 尾注 264

第7章 安全技术：入侵检测防护系统和其他安全工具 267

7.1 引言 268

7.2 入侵检测防护系统 268

7.2.1 IDPS术语 269

7.2.2 使用IDPS的原因 270

7.2.3 IDPS的类型 271

7.2.4 IDPS检测方法 278

7.2.5 IDPS响应行为 280

7.2.6 选择IDPS方法和产品 282

7.2.7 IDPS的优缺点 286

7.2.8 IDPS的部署和实现 286

7.2.9 评估IDPS的效果 292

7.3 蜜罐、蜜网和填充单元系统 294

7.3.1 诱捕和跟踪系统 295

7.3.2 积极阻止入侵 296

7.4 浏览和分析工具 296

7.4.1 端口扫描仪 299

7.4.2 防火墙分析工具 300

7.4.3 操作系统检测工具 301

7.4.4 漏洞扫描仪 301

7.4.5 包嗅探器 305

7.4.6 无线安全工具 306

7.5 本章小结 308

7.6 复习题 308

7.7 练习 309

7.8 案例练习 309

7.9 尾注 310

第8章 密码学 313

8.1 引言 314

8.2 密码简史 314

8.3 加密方法 317

8.3.1 置换加密 318

8.3.2 移项加密 321

8.3.3 异或 322

8.3.4 Vernam加密 323

8.3.5 基于书本的加密 324

8.3.6 散列函数 325

8.4 加密算法 326

8.4.1 对称加密 327

8.4.2 非对称加密 329

8.4.3 加密密钥的长度 331

8.5 加密工具 333

8.5.1 公钥基础结构 333

8.5.2 数字签名 334

8.5.3 数字证书 335

8.5.4 混合加密系统 337

8.5.5 密码术 338

8.6 安全通信协议 339

8.6.1 用S-HTTP和SSL保护Internet通信 339

8.6.2 使用S/MIME、PEM和PGP保护电子邮件 340

8.6.3 使用SET、SSL和S-HTTP保护Web事务 341

8.6.4 用WEP或WPA保护无线网络 342

8.6.5 用IPSec和PGP保护TCP／IP 344

8.7 本章小结 347

8.8 复习题 348

8.9 练习 348

8.10 案例分析 349

8.11 尾注 349

第9章 物理安全 351

9.1 引言 352

9.2 物理访问控制 353

9.3 防火安全 360

9.4 支持设备发生故障和建筑物倒塌 365

9.4.1 取暖、通风和空调 365

9.4.2 电力管理和调整 367

9.4.3 水问题 369

9.4.4 建筑物的倒塌 369

9.4.5 设施系统的维护 369

9.5 数据的侦听 370

9.6 可移动和便携系统的安全性 371

9.7 物理安全威胁的特殊考虑 373

9.8 本章小结 374

9.9 复习题 375

9.10 练习 375

9.11 案例练习 376

9.12 尾注 376

第10章 实现信息安全 379

10.1 引言 380

10.2 信息安全的项目管理 381

10.2.1 制定项目计划 381

10.2.2 项目计划的考虑 384

10.2.3 范围考虑 386

10.2.4 项目管理需求 387

10.2.5 安全项目管理证书 388

10.3 实现的技术主题 389

10.3.1 转换策略 389

10.3.2 靶心模型 391

10.3.3 外购还是自行开发 392

10.3.4 技术监督和改进控制 392

10.3.5 SANS的20个最重要的安全控制 393

10.4 实现的非技术方面 394

10.4.1 改进管理的文化氛围 394

10.4.2 机构改进的考虑 394

10.5 信息系统安全证书和鉴定 395

10.5.1 证书和鉴定书 395

10.5.2 NIST安全生命周期方法 396

10.5.3 NSTISS证书和鉴定书 401

10.5.4 ISO 27001/27002系统认证和鉴定 405

10.6 本章小结 407

10.7 复习题 408

10.8 练习 408

10.9 案例练习 409

10.10 尾注 410

第11章 安全和人员 411

11.1 引言 412

11.2 确定安全部门的人员配备 412

11.3 信息安全专业人员的认证 422

11.3.1 （ISC）2证书 422

11.3.2 ISACA认证 425

11.3.3 SANS认证 427

11.3.4 EC委员会认证 427

11.3.5 CompTIA认证 428

11.3.6 ISFCE认证 429

11.3.7 获得认证的费用 429

11.3.8 给信息安全专业人员的建议 430

11.4 招聘政策和实践 432

11.4.1 工作描述 432

11.4.2 面试 432

11.4.3 背景检查 433

11.4.4 聘用合同 433

11.4.5 新员工的定位 434

11.4.6 工作期间的安全培训 434

11.4.7 业绩评估 434

11.4.8 解聘 434

11.5 临时工、顾问和其他工作人员的安全考虑 436

11.5.1 临时工 436

11.5.2 合同工 437

11.5.3 顾问 437

11.5.4 业务伙伴 437

11.6 内部控制策略 437

11.7 人员数据的秘密性和安全 439

11.8 本章小结 439

11.9 复习题 440

11.10 练习 441

11.11 案例练习 441

11.12 尾注 442

第12章 信息安全维护 445

12.1 引言 446

12.2 安全管理维护模式 446

12.2.1 NIST SP 800-100，信息安全手册：经理的指南 447

12.2.2 安全维护模式 464

12.3 数字取证 484

12.3.1 数字取证组 485

12.3.2 宣誓书和搜索担保书 486

12.3.3 数字取证方法 486

12.3.4 举证过程 490

12.4 本章小结 491

12.5 复习题 492

12.6 练习 493

12.7 案例练习 493

12.8 尾注 494

术语表 497