《信息安全原理与实践》具有完善的知识体系。知识的讲解细緻详尽，循序渐进，通俗易懂，易于入手，深入浅出的剖析，逐步提高读者的使用能力，巩固学习技能。

另外，《信息安全原理与实践》注重实践、强调实用。大量的练习，由简单到複杂，完全覆盖了网路信息安全套用各个方面涉及的知识内容。辅助功能讲解的练习（inPractice）以及课后练习中的大量选择题（测试读者对知识的理解程度）、练习题（围绕章节中出现的个别概念设计的简要、引导性的课程项目）、项目题（综合一章内若干知识点的较长、引导性的课程项目）和案例研究（运用该章中的知识点来解决问题的实际场景），可以在理论知识的学习基础上边学边练，通过实际操作理解各种功能的实际套用。针对各种练习，书中提供了详细的操作步骤，注意事项，初学者以及具有一定基础的中级读者，只要按照步骤一步步学习，都能完成实例练习，并通过技巧的提示达到举一反三的目的，在较短的时间内快速掌握知识套用的精髓。

1.1导言1

1.2增长的IT安全重要性与新的职业机会2

1.2.1政府和私营工商业的持续需求2

1.3成为信息安全专家3

1.3.1应运而生的教育机构5

1.3.2综合学科研究法6

1.4信息安全的环境7

1.4.1信息安全职业--业务安全的需要8

1.5本章小结9

1.6技能测试9

1.6.1多项选择题9

1.6.2练习题11

1.6.3项目题12

1.6.4案例研究12

第2章信息安全的成功原则15

2.1导言15

2.2原则1:没有绝对的安全16

2.3原则2:安全三目标--私密性、完整性和可用性17

2.3.1完整性模型17

2.3.2可用性模型18

2.4原则3:部署安全分层机制18

2.5原则4:人们容易自行做出最糟的安全决定19

2.6原则5:决定计算机安全的两项需求--功能性需求与保险性需求20

2.7原则6:模糊性不是安全的解决之道21

2.8原则7:安全=风险管理21

2.9原则8:安全控制的三种类型：预防型控制、探测型控制和回响型控制23

2.10原则9:複杂性是安全性的大敌23

2.11原则10:担忧、不确定性、疑惑对销售安全没用24

2.12原则11:必要的人、流程、技术是系统或设施安全的保障24

2.13原则12:公开已知的漏洞有助于安全25

2.14本章小结25

2.15技能测试26

2.15.1多项选择题26

2.15.2练习题27

2.15.3项目题28

2.15.4案例研究29

第3章认证计画与公共知识体系31

3.1导言31

3.2信息安全及其认证31

3.2.1国际信息系统安全认证联盟32

3.3信息安全的公共知识体系（CBK)33

3.3.1安全管理实务33

3.3.2安全体系结构和模型34

3.3.3业务持续性计画34

3.3.4法律、调查和道德35

3.3.5物理安全35

3.3.6操作安全35

3.3.7访问控制系统和方法36

3.3.8密码学36

3.3.9电信、网路和Internet安全36

3.3.10套用开发安全37

3.4其他安全认证项目37

3.4.1注册信息系统审计师（CISA)37

3.4.2注册信息安全员（CISM)38

3.4.3全球信息保证证书（GIAC)38

3.4.4CompTIASecurity+认证38

3.4.5针对供应商的认证38

3.5本章小结40

3.6技能测试40

3.6.1多项选择题40

3.6.2练习题42

3.6.3项目题43

3.6.4案例研究44

第4章安全管理45

4.1导言45

4.2安全策略是成功的基础46

4.34种策略类型47

4.3.1程式层次的策略48

4.3.2框架层次的策略49

4.3.3面向问题的策略49

4.3.4面向系统的策略51

4.4安全策略的开发与管理51

4.4.1安全目标51

4.4.2可操作的安全52

4.4.3策略执行52

4.5策略支持文档53

4.5.1规範53

4.5.2标準和基準54

4.5.3方针55

4.5.4程式55

4.6推荐的标準的分类方法55

4.6.1资产分类55

4.6.2权力分离56

4.6.3职前雇用实践57

4.6.4风险分析和管理57

4.6.5教育、培训与安全意识59

4.7谁为安全负责59

4.8本章小结60

4.9技能测试60

4.9.1多项选择题60

4.9.2练习题63

4.9.3项目题63

4.9.4案例研究64

第5章安全架构与模型65

5.1导言65

5.2可信计算基础的定义66

5.2.1信任环66

5.3可信计算基础中的保护机制68

5.4“系统安全保证”概念70

5.4.1安全测试的目标70

5.4.2规範的安全测试模型70

5.5可信计算机的安全评估準则（TCSEC)71

5.5.1等级D:最低保护72

5.5.2等级C:自定式保护72

5.5.3等级B:强制式保护72

5.5.4等级A:可验证式保护73

5.5.5TCSEC中可信网路的解释（TNI)74

5.6信息技术的安全评估準则74

5.6.1ITSEC与TCSEC的比较74

5.6.2ITSEC的保证等级75

5.7加拿大可信计算机产品的评估準则75

5.8美国联邦信息技术的安全準则76

5.9通用準则76

5.9.1保护配置档案的组织形式78

5.9.2功能性安全需求78

5.9.3评估保证等级80

5.9.4通用评估方法论81

5.10私密性与完整性模型82

5.10.1Bell-LaPadula模型82

5.10.2Bila完整性模型83

5.10.3高级模型83

5.11本章小结84

5.12技能测试84

5.12.1多项选择题84

5.12.2练习题86

5.12.3项目题86

5.12.4案例研究87

第6章业务持续计画和灾难恢复计画89

6.1导言89

6.2总览业务持续计画与灾难恢复计画90

6.2.1为什幺BCP如此重要？91

6.2.2中断事件的种类91

6.2.3BCP的定义範围92

6.2.4创建业务影响分析93

6.3灾难恢复计画93

6.3.1确定恢复策略94

6.3.2共享站点协定94

6.3.3备用站点94

6.3.4补充协定95

6.3.5测试灾难恢复计画95

6.3.6组织内与组织外96

6.4本章小结96

6.5技能测试97

6.5.1多项选择题97

6.5.2练习题99

6.5.3项目题100

6.5.4案例研究100

第7章法律、调查与道德规範103

7.1导言103

7.2计算机犯罪类型104

7.3如何实施网路犯罪105

7.4计算机及相关法律107

7.4.1司法体系中的立法部门107

7.4.2司法体系中的管理部门107

7.4.3司法体系中的判决部门107

7.5智慧财产权法108

7.5.1专利法108

7.5.2商标法109

7.5.3商业秘密法109

7.6隐私及相关法律110

7.6.1国际性的隐私问题110

7.6.2美国的隐私法111

7.7计算机取证112

7.8信息安全业的职业道德113

7.9其他道德规範114

7.9.1计算机伦理研究所114

7.9.2Internet活动委员会：道德和Internet114

7.9.3公平信息实践法规115

7.10本章小结115

7.11技能测试116

7.21.1多项选择题116

7.21.2练习题118

7.21.3项目题119

7.21.4案例研究120

第8章物理安全控制121

8.1导言121

8.2理解物理安全範畴122

8.3物理安全的威胁123

8.4提供物理安全123

8.4.1人事教育123

8.4.2行政式访问控制124

8.4.3物理安全控制125

8.4.4技术性控制127

8.4.5环境控制/生命安全控制130

8.5本章小结131

8.6技能测试132

8.6.1多项选择题132

8.6.2练习题134

8.6.3项目题135

8.6.4案例研究135

第9章操作安全137

9.1导言137

9.2操作安全的原则138

9.3安全操作过程控制139

9.4实施中的安全操作140

9.4.1软体支持141

9.4.2配置与变更管理141

9.4.3备份141

9.4.4媒体控制142

9.4.5文档143

9.4.6维护144

9.4.7相依性144

9.5本章小结145

9.6技能测试145

9.6.1多项选择题145

9.6.2练习题146

9.6.3项目题147

9.6.4案例研究148

第10章访问控制体系和方法论149

10.1概述149

10.2术语和概念150

10.2.1标识150

10.2.2认证150

10.2.3最低特权（须知）150

10.2.4信息所有者150

10.2.5自由访问控制151

10.2.6访问控制列表151

10.2.7强制访问控制151

10.2.8基于角色的访问控制152

10.3认证原则153

10.3.1密码问题153

10.3.2多要素认证154

10.4生理学155

10.5单点登录156

10.5.1Kerberos157

10.5.2联合标识157

10.6远程用户访问和认证160

10.6.1远程访问用户拨入服务160

10.6.2虚拟专用网161

10.7本章小结161

10.8技能测试161

10.8.1多项选择题161

10.8.2练习题163

10.8.3项目题164

10.8.4案例研究165

第11章密码学167

11.1导言167

11.2将密码学套用于信息系统168

11.3术语和概念169

11.4密码系统的强度170

11.4.1密码系统满足了当今电子商务的需要172

11.4.2密码系统中密钥的角色173

11.5综合套用174

11.5.1摘要数据175

11.5.2数字证书177

11.6调查数位化密码系统179

11.6.1散列函式179

11.6.2密文块179

11.6.3PPK密码系统的实现180

11.7本章小结183

11.8技能测试183

11.8.1多项选择题183

11.8.2练习题185

11.8.3项目题186

11.8.4案例研究187

第12章通信、网路和Internet安全189

12.1导言189

12.2网路和通信安全190

12.3网路安全背景190

12.4开放系统互联（OSI）参考模型191

12.4.1协定栈191

12.4.2OSI参考模型和TCP/IP193

12.4.3OSI模型和安全195

12.5数据网路类型196

12.5.1区域网路197

12.5.2广域网197

12.5.3Internet197

12.5.4企业内部网198

12.5.5企业外部网198

12.6保护TCP/IP网路198

12.7基本安全架构198

12.7.1路由器198

12.7.2数据包过滤199

12.7.3包过滤路由器的优点200

12.7.4包过滤路由器的局限200

12.8防火墙201

12.8.1套用级防火墙201

12.8.2堡垒主机202

12.8.3套用级网关的优点203

12.8.4套用级网关的局限203

12.8.5防火墙实例203

12.8.6明智选择207

12.9入侵检测系统207

12.9.1什幺样的入侵？207

12.9.2优秀入侵检测系统的特徵208

12.9.3假阳性、假阴性和颠覆攻击209

12.10虚拟专用网210

12.10.1IPSec210

12.10.2安全策略213

12.10.3IPSec密钥管理213

12.11本章小结213

12.12技能测试214

12.12.1多项选择题214

12.12.2练习题216

12.12.3项目题216

12.12.4案例研究217

第13章套用开发的安全性219

13.1导言219

13.2软体项目实践220

13.3软体开发生命周期221

13.4分散式系统223

13.4.1软体代理224

13.4.2Java224

13.4.3JavaApplets224

13.4.4ActiveX控制项224

13.4.5分散式对象225

13.4.6恶意软体226

13.5反病毒软体226

13.6通过SDLC提高安全性227

13.6.1教育组228

13.6.2软体过程组228

13.6.3补丁管理组229

13.6.4激励组229

13.7本章小结230

13.8技能测试230

13.8.1多项选择题230

13.8.2练习题232

13.8.3项目题233

13.8.4案例研究234

第14章未来的安全性的未来235

14.1导言235

14.2持续监控和时刻警戒235

14.3运转合格接收人237

14.4身份窃取和美国监管环境238

14.5不断增加的威胁238

14.5.1销售商试图使安全研究人员保持沉默239

14.5.2域欺骗增强了作为网路钓鱼攻击的补充239

14.6安全威胁的趋势240

14.7信息安全专家的美好未来240

14.7.1要求高于安全技能241

14.8本章小结241

14.9技能测试242

14.9.1多项选择题242

14.9.2练习题244

14.9.3项目题244

14.9.4案例研究245

附录A公共知识体系247

A.1安全管理实践247

A.1.1关键知识域247

A.2安全架构和模型249

A.2.1关键知识域249

A.3业务连续性计画（BCP）和灾难恢复计画（DRP)251

A.3.1关键知识域251

A.4法律、调查和道德规範254

A.4.1关键知识域254

A.5物理安全256

A.5.1关键知识域256

A.6运作安全258

A.6.1关键知识域258

A.7访问控制系统和方法学262

A.7.1关键知识域262

A.8密码学264

A.8.1关键知识域264

A.9电信和网路安全266

A.9.1关键知识域266

A.10套用和系统开发安全268

A.10.1关键知识域268

附录B安全策略和标準分类273

B.1安全管理策略273

B.1.1信息安全组织273

B.1.2训练和意识273

B.2风险管理策略274

B.2.1信息所有权274

B.2.2信息分类274

B.2.3风险评估274

B.3安全基準274

B.3.1防拷贝介质的安全性274

B.3.2电子介质的安全性275

B.4人事安全策略275

B.4.1僱佣前控制275

B.4.2责任分离275

B.4.3僱佣时控制275

B.4.4人事管理275

B.4.5转职/辞职/解僱控制276

B.5物理安全策略276

B.5.1设备的安全性276

B.5.2信息系统的安全性276

B.5.3火灾保护276

B.5.4水灾保护277

B.5.5环境控制277

B.6运作管理策略277

B.6.1运作管理和控制277

B.6.2恶意代码和病毒278

B.6.3备份和恢复278

B.6.4软体支持278

B.7安全监控和回响策略278

B.7.1行为监控（MonitoringActivities)278

B.7.2事件回响279

B.8通信管理策略279

B.8.1加密279

B.8.2信息交换279

B.8.3电子邮件、Internet和其他电子通信279

B.8.4语音/传真/影像通信280

B.8.5会议和谈话280

B.9访问控制策略280

B.9.1用户注册和授权280

B.9.2标识280

B.9.3认证280

B.9.4特权和特定账户的访问281

B.9.5远程访问281

B.10网路安全策略282

B.10.1网路访问282

B.10.2网路安全控制设备282

B.11第三方服务策略283

B.11.1第三方服务283

B.12套用开发策略283

B.12.1套用开发过程283

B.12.2商业系统需求283

B.12.3套用测试（ApplicationTesting)284

B.13恢复和业务连贯性区域284

B.13.1业务连贯性管理程式284

B.13.2恢复/业务连贯性计画测试需求284

B.13.3恢复网站284

B.13.4法定的、一致的和受控的需求284

B.13.5安全符合测试285

附录C策略样本287

C.1计算机可接受使用策略样本287

C.2邮件使用策略样本290

C.3密码策略样本292

C.4无线网路（Wi-Fi）使用策略样本295

附录D安全策略和标準管理系统内幕297

附录EHIPAA安全规则和标準305

E.1HIPAA安全标準305

E.2行政程式306

E.3物理保障措施306

E.4技术安全服务307

E.5技术安全机制307术语表309

……