《信息安全原理（第2版）》是清华大学出版社出版的一本图书，作者是齐立博。
基本介绍
- 书名：信息安全原理（第2版）
- 作者：齐立博
- ISBN：9787302124931
- 定价：49.90
- 出版社：清华大学出版社
- 出版时间：2006-03-01
内容简介
该教材书清华大学出版社印发、介绍了信息安全领域的各方面内容、本书从管理和技术两方面介绍了这一学科，并注重讲述了CISSP(认证信息系统安全专家)认证所需掌握的知识。其他主题包括信息安全中的法律和道德问题、网路和系统安全、密码学、信息安全维护等。
本书详细介绍了信息安全领域的各方面内容，为每一位有志于成为商务决策人员的读者提供了全面的指导。作者藉此次再版的机会，在真实的企业环境下讨论信息安全，包括目前专业人员面临的许多问题，还在每一章的“相关资料”中介绍了有趣的故事。本书从管理和技术两方面介绍了这一学科，并注重讲述了CISSP(认证信息系统安全专家)认证所需掌握的知识。其他主题包括信息安全中的法律和道德问题、网路和系统安全、密码学、信息安全维护等。
图书目录
第1章信息安全简介 1
1.1引言 2
1.2信息安全发展史 2
1.2.120世纪60年代 3
1.2.220世纪70年代和80年代 4
1.2.320世纪90年代 6
1.2.4现在 6
1.3安全的概念 6
1.4信息的重要特性 7
1.4.1可用性 7
1.4.2精确性 8
1.4.3真实性 8
1.4.4机密性 8
1.4.5完整性 9
1.4.6效用性 10
1.4.7所有性 10
1.5NSTISSC安全模型 10
1.6信息系统的组件 11
1.6.1软体 11
1.6.2硬体 11
1.6.3数据 12
1.6.4人员 12
1.6.5过程 12
1.6.6网路 12
1.7保护IS组件的安全 13
1.8平衡信息的安全和访问权 13
1.9实现信息安全的方法 14
1.10系统开发生命周期 15
1.10.1方法学 15
1.10.2阶段 15
1.10.3调研 16
1.10.4分析 16
1.10.5逻辑设计 16
1.10.6物理设计 16
1.10.7实现 17
1.10.8维护和修改 17
1.11安全系统开发生命周期 17
1.11.1调研 17
1.11.2分析 17
1.11.3逻辑设计 17
1.11.4物理设计 18
1.11.5实现 18
1.11.6维护和修改 18
1.12安全专业人士和机构 19
1.12.1高级管理者 20
1.12.2信息安全项目小组 20
1.12.3数据所有人 20
1.13利益团体 21
1.13.1信息安全管理和专业人士 21
1.13.2信息技术管理和专业人士 21
1.13.3机构管理和专业人士 21
1.14信息安全：是一门艺术
还是一门科学 21
1.14.1作为艺术的安全 22
1.14.2作为科学的安全 22
1.14.3作为社会科学的安全 22
1.15信息安全的术语 22
1.16本章小结 24
1.17複习题 24
1.18练习 25
1.19案例练习 25
第2章安全需求 27
2.1引言 28
2.2业务需求在前，技术在后 28
2.2.1保护机构运转的能力 28
2.2.2实现应用程式的安全操作 28
2.2.3保护机构收集和使用的数据 29
2.2.4保护机构的技术资产 29
2.3威胁 29
2.3.1人为过失或失败的行为 30
2.3.2智慧财产权的损害 31
2.3.3间谍或者蓄意入侵行为 32
2.3.4信息敲诈蓄意行为 37
2.3.5蓄意破坏行为 37
2.3.6蓄意窃取行为 39
2.3.7蓄意软体攻击 39
2.3.8自然灾害 43
2.3.9服务质量差 44
2.3.10技术硬体故障或者错误 45
2.3.11技术软体故障或者错误 46
2.3.12技术淘汰 46
2.4攻击 46
2.4.1恶意代码 47
2.4.2恶作剧 47
2.4.3后门 47
2.4.4密码破解 48
2.4.5暴力 48
2.4.6词典方式 48
2.4.7拒绝服务(DoS)及分散式
拒绝服务(DDoS) 48
2.4.8欺骗 49
2.4.9中间人 50
2.4.10垃圾邮件 50
2.4.11邮件炸弹 50
2.4.12嗅探器 51
2.4.13社会工程 51
2.4.14缓冲区溢出 52
2.4.15定时攻击 52
2.5本章小结 52
2.6複习题 54
2.7练习 54
2.8案例练习 55
第3章信息安全中的法律、道德
以及专业人员问题 59
3.1引言 59
3.2信息安全的法律及道德 60
3.3法律的类型 60
3.4美国相关法律 60
3.4.1一般计算机犯罪法 61
3.4.2隐私 61
3.4.3出口及间谍法 64
3.4.4美国着作权法 65
3.4.5财务报表 65
3.4.61966年的信息自由法(FOIA) 65
3.4.7州和本地法规 65
3.5国际法及法律主体 66
3.5.1欧洲计算机犯罪委员会条例 67
3.5.2数字时代着作权法 68
3.5.3联合国宪章 68
3.6政策与法律 69
3.7道德和信息安全 69
3.7.1不同文化中的道德差异 70
3.7.2软体许可侵犯 70
3.7.3违法使用 71
3.7.4公司资源的滥用 71
3.7.5道德和教育 74
3.7.6不道德及违法行为的防範措施 74
3.8道德规範和专业机构 75
3.8.1IT的主要专业机构 76
3.8.2其他安全机构 76
3.8.3美国主要联邦机构 77
3.9机构的责任和忠告 80
3.10本章小结 80
3.11複习题 81
3.12练习 81
3.13案例练习 82
第4章风险管理 84
4.1引言 85
4.2风险管理概述 86
4.2.1知己 86
4.2.2知彼 86
4.2.3利益团体的作用 86
4.3风险识别 87
4.3.1资产识别和评估 87
4.3.2自动化风险管理工具 91
4.3.3信息资产分类 91
4.3.4信息资产评估 91
4.3.5按照重要性列出资产 93
4.3.6数据的分类及管理 93
4.3.7安全调查 95
4.3.8分类数据的管理 95
4.3.9威胁识别 95
4.3.10识别威胁及威胁代理，并区
分其优先次序 96
4.3.11漏洞识别 99
4.4风险评估 100
4.4.1风险评估概述 100
4.4.2可能性 101
4.4.3信息资产评估 101
4.4.4风险的确定 102
4.4.5识别可能的控制 102
4.4.6访问控制 103
4.4.7记录风险评估的结果 103
4.5风险控制策略 105
4.5.1避免 105
4.5.2实现避免 106
4.5.3转移 107
4.5.4缓解 108
4.5.5灾难恢复计画 108
4.5.6接受 109
4.6选择风险控制策略 110
4.6.1风险控制的估计、评估及维护 111
4.6.2控制的种类 111
4.6.3可行性研究 113
4.6.4其他可行性研究 121
4.7风险管理的讨论要点 122
4.7.1风险的可接受程度 122
4.7.2残留风险 123
4.8验证结果 123
4.9推荐的控制风险实践 124
4.9.1定量评估 125
4.9.2Delphi技术 125
4.10本章小结 125
4.11複习题 126
4.12练习 126
4.13案例练习 128
第5章安全规划 130
5.1引言 130
5.2信息安全政策、标準及实践 131
5.2.1定义 132
5.2.2企业信息安全政策 133
5.2.3特定问题安全政策 133
5.2.4特定系统政策(SysSP) 136
5.2.5政策管理 139
5.2.6信息的分类 140
5.3信息安全蓝本 141
5.3.1ISO17799/BS7799 141
5.3.2NIST安全模式 143
5.3.3IETF安全结构 148
5.3.4VISA国际安全模式 148
5.3.5基线和最佳业务实践 149
5.3.6信息安全系统蓝本的混合结构 149
5.3.7安全体系的设计 152
5.4安全教育、培训和认识计画 155
5.4.1安全教育 156
5.4.2安全培训 156
5.4.3安全意识 156
5.5持续性策略 157
5.5.1业务影响分析 159
5.5.2事故回响计画 161
5.5.3灾难恢复计画 171
5.5.4业务持续性计画 173
5.5.5统一的应急计画模型 175
5.5.6相关法律的实施 176
5.6本章小结 178
5.7複习题 178
5.8练习 179
5.9案例练习 180
第6章安全技术：防火墙和VPN 182
6.1引言 182
6.2物理设计 183
6.3防火墙 183
6.3.1防火墙的分类方法 183
6.3.2防火墙体系结构 193
6.3.3选择正确的防火墙 196
6.3.4配置和管理防火墙 197
6.3.5内容过滤器 203
6.4保护远程连线 204
6.4.1拨号 204
6.4.2虚拟专用网路 207
6.5本章小结 210
6.6複习题 210
6.7练习 211
6.8案例练习 211
第7章安全技术：入侵检测、访问
控制和其他安全工具 213
7.1引言 214
7.2入侵检测系统(IDS) 215
7.2.1IDS术语 215
7.2.2使用IDS的原因 216
7.2.3IDS的类型和检测方法 217
7.2.4IDS回响行为 224
7.2.5选择IDS方法和产品 227
7.2.6IDS的优缺点 230
7.2.7IDS的部署和实现 231
7.2.8评估IDS的效果 236
7.3蜜罐、蜜网和填充单元系统 237
7.3.1诱捕和跟蹤系统 238
7.3.2积极阻止入侵 239
7.4浏览和分析工具 239
7.4.1连线埠扫瞄仪 241
7.4.2防火墙分析工具 242
7.4.3作业系统检测工具 243
7.4.4漏洞扫瞄仪 243
7.4.5包嗅探器 247
7.4.6无线安全工具 248
7.5访问控制设备 249
7.5.1身份验证 250
7.5.2生物测定学的有效性 252
7.5.3生物测定学的可接受性 252
7.6本章小结 253
7.7複习题 253
7.8练习 254
7.9案例练习 254
第8章密码学 257
8.1引言 258
8.2密码简史 258
8.3密码系统的原则 260
8.3.1基本的加密定义 260
8.3.2加密方法 261
8.3.3加密系统的元素 261
8.3.4加密密钥的长度 275
8.3.5密码原则的总结 277
8.4加密工具 277
8.4.1公钥基础结构 277
8.4.2数字签名 278
8.4.3数字证书 279
8.4.4混合加密系统 281
8.4.5密码术 281
8.5安全通信协定 282
8.5.1用S-HTTP和SSL保护
Internet通信 283
8.5.2使用S/MIME、PEM和PGP
保护电子邮件 283
8.5.3使用SET、SSL和S-HTTP
保护Web事务 284
8.5.4用IPSec和PGP保护TCP/IP 285
8.6密码系统的攻击 287
8.6.1中间人攻击 288
8.6.2相关性攻击 288
8.6.3字典式攻击 288
8.6.4定时攻击 288
8.6.5防御攻击 289
8.7本章小结 289
8.8複习题 290
8.9练习 290
8.10案例分析 291
第9章物理安全 293
9.1引言 294
9.2物理访问控制 295
9.3防火安全 301
9.4支持设备发生故障和建筑物倒塌 307
9.4.1取暖、通风和空调 307
9.4.2电力管理和调整 309
9.4.3水问题 312
9.4.4建筑物的倒塌 312
9.4.5设施系统的维护 312
9.5数据的侦听 312
9.6可移动和便携系统 313
9.7物理安全威胁的特殊考虑 316
9.8本章小结 316
9.9複习题 317
9.10练习 318
9.11案例练习 319
第10章实现信息安全 321
10.1引言 322
10.2信息安全的项目管理 323
10.2.1制定项目计画 323
10.2.2项目计画的考虑 327
10.2.3範围考虑 329
10.2.4项目管理需求 330
10.3实现的技术主题 331
10.3.1转换策略 331
10.3.2信息安全项目计画的
靶心模型 332
10.3.3外购还是自行开发 333
10.3.4技术监督和改进控制 334
10.4实现的非技术方面 334
10.4.1改进管理的文化氛围 334
10.4.2机构改进的考虑 334
10.5本章小结 335
10.6複习题 336
10.7练习 337
10.8案例练习 338
第11章安全和人员 339
11.1引言 340
11.2确定安全部门的人员配备 340
11.3信息安全专业人员的认证 346
11.3.1认证信息系统安全专业
人员(CISSP)和系统安全认证
从业者(SSCP) 347
11.3.2认证信息系统审计员
(CISA)和认证信息系统
经理(CISM) 348
11.3.3全球信息保险认证(GIAC) 349
11.3.4安全认证专业人员(SCP) 350
11.3.5TruSecureICSA认证
安全联合(TICSA) 350
11.3.6Security+ 351
11.3.7认证信息系统辩论调查员 351
11.3.8相关认证 352
11.3.9获得认证的费用 352
11.3.10给信息安全专业人员
的建议 353
11.4招聘政策和实践 354
11.4.1工作描述 355
11.4.2面试 355
11.4.3背景检查 355
11.4.4聘用契约 356
11.4.5新员工的定位 356
11.4.6工作期间的安全培训 356
11.4.7业绩评估 357
11.4.8解聘 357
11.5非员工的安全考虑 359
11.5.1临时工 359
11.5.2契约工 359
11.5.3顾问 359
11.5.4业务伙伴 360
11.6责任的分离和共谋 360
11.7人员数据的秘密性和安全 361
11.8本章小结 362
11.9複习题 363
11.10练习 364
11.11案例练习 364
第12章信息安全维护 366
12.1引言 367
12.2安全管理模式 368
12.3维护模式 374
12.3.1监控外部环境 375
12.3.2监控内部环境 378
12.3.3规划与风险评估 381
12.3.4漏洞评估和补救 386
12.3.5备用状态与审查 392
12.4本章小节 393
12.5複习题 394
12.6练习 394
12.7案例练习 395
术语表 397
