本書主要圍繞構(gòu)成當(dāng)前信息安全體系的基礎(chǔ)理論、核心技術(shù)、風(fēng)險管理和法律法規(guī)等各個要素展開,內(nèi)容包括信息安全概述、信息安全數(shù)學(xué)基礎(chǔ)、密碼學(xué)基礎(chǔ)、身份認證技術(shù)、公鑰密碼基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全、軟件安全與病毒防護、數(shù)據(jù)安全、信息安全風(fēng)險管理和信息安全法律法規(guī)等,涵蓋了從基礎(chǔ)理論到上層協(xié)議、從硬件設(shè)施到軟件體系、從主機到網(wǎng)絡(luò)等不同方面的信息安全問題及其目前的解決手段,并重點探討了信息系統(tǒng)中的認證與授權(quán)、網(wǎng)絡(luò)中不同安全協(xié)議的漏洞及其安全措施等信息安全核心環(huán)節(jié)。本書側(cè)重對基礎(chǔ)理論和技術(shù)的分層次構(gòu)建,將信息安全的人員、技術(shù)和管理等要素所體現(xiàn)的整體作用作為本書構(gòu)建信息安全體系的最終落腳點。
本書可作為高等學(xué)校網(wǎng)絡(luò)空間安全、計算機專業(yè)或相關(guān)專業(yè)的教材或參考書,也可作為信息安全技術(shù)和管理人員的參考書。
本書適合作為本科階段網(wǎng)絡(luò)空間安全及計算機相關(guān)專業(yè)教材。
信息和信息系統(tǒng)與人們的工作、生活息息相關(guān),信息化的發(fā)展使其應(yīng)用的范圍進一步擴大。同時,近年來頻繁發(fā)生的各類網(wǎng)絡(luò)安全事件如DDOS攻擊、APT攻擊、各類病毒和軟件漏洞,對信息系統(tǒng)和網(wǎng)絡(luò)造成的威脅與破壞也越來越大,掣肘國家信息化建設(shè)。目前,信息安全已成為關(guān)乎國家安全、社會穩(wěn)定和個人安全的重要因素。
2016年6月,經(jīng)中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組同意,中央網(wǎng)信辦、教育部等六部委聯(lián)合印發(fā)了《關(guān)于加強網(wǎng)絡(luò)安全學(xué)科建設(shè)和人才培養(yǎng)的意見》(中網(wǎng)辦發(fā)文〔2016〕4號),對網(wǎng)絡(luò)安全教材提出具體要求:內(nèi)容要體現(xiàn)黨和國家的意志,體現(xiàn)網(wǎng)絡(luò)強國戰(zhàn)略思想,體現(xiàn)中國特色網(wǎng)絡(luò)安全制度建設(shè)思路,適應(yīng)我國網(wǎng)絡(luò)空間安全發(fā)展需要。
我國高校開設(shè)信息安全專業(yè)已有二十多年的歷史,已經(jīng)形成了比較成熟的課程體系。 信息安全導(dǎo)論課程作為信息安全、網(wǎng)絡(luò)空間安全專業(yè)核心主干課程的地位作用已經(jīng)形成共識。為貫徹落實中央關(guān)于信息安全人才培養(yǎng)及其教材體系建設(shè)的精神,適應(yīng)最新的信息安全教學(xué)和實踐要求,我們根據(jù)信息安全教學(xué)實際情況,總結(jié)多年的教學(xué)經(jīng)驗編寫了本書,并從全新的角度對書中的內(nèi)容進行了設(shè)計,突出了以下三個方面的內(nèi)容:
第一,在指導(dǎo)思想上,貫徹“總體國家安全觀”和“網(wǎng)絡(luò)強國”的戰(zhàn)略思想,突出信息安全、網(wǎng)絡(luò)安全對于國家安全的作用,充分體現(xiàn)國家對網(wǎng)絡(luò)空間信息安全治理的原則、主張和工作部署。大國之間網(wǎng)絡(luò)空間安全的博弈,不僅僅是信息安全技術(shù)的博弈,還是理念、策略和話語權(quán)的博弈。本書不盲從西方的信息安全價值觀,堅持自主可控、自主創(chuàng)新的理念,充分展示我國在信息安全領(lǐng)域的主要成就,增強信息安全專業(yè)從業(yè)人員對我國信息安全、網(wǎng)絡(luò)空間安全發(fā)展戰(zhàn)略的了解和自信。
第二,在內(nèi)容編寫上,根據(jù)新技術(shù)的發(fā)展和新應(yīng)用環(huán)境的變化,及時增補、更新了信息安全技術(shù)的理念、架構(gòu)和技術(shù),對一些陳舊材料進行了更新。信息安全技術(shù)的發(fā)展日新月異,新威脅、新挑戰(zhàn)層出不窮,技術(shù)理念和實踐方法的更迭呈現(xiàn)加速的趨勢,因此,保持教材的更新是對信息安全教材的基本要求。只有不斷創(chuàng)新教材的知識結(jié)構(gòu)和內(nèi)容,才能培養(yǎng)學(xué)生的創(chuàng)新思維和整體的信息安全觀。
第三,在難易程度上,突出了入門理論和技術(shù)的系統(tǒng)性與通俗性,擴充了本書的專業(yè)知識應(yīng)用面,F(xiàn)有的信息安全教材內(nèi)容偏多,部分內(nèi)容難度較大,且部分內(nèi)容的知識覆蓋與其他信息安全專業(yè)課有所重復(fù)。因此,我們在編寫本書時,將本書定位于網(wǎng)絡(luò)空間安全或信息安全類專業(yè)的專業(yè)基礎(chǔ)教材,同時也可作為其他計算機專業(yè)學(xué)生通識教育類的信息安全素養(yǎng)培養(yǎng)教材。在風(fēng)格上,我們力求做到通俗、精練、系統(tǒng),注重幫助學(xué)生建立系統(tǒng)、感性的信息安全觀,并進一步培養(yǎng)讀者信息安全學(xué)習(xí)的興趣。
本書可作為信息安全、網(wǎng)絡(luò)空間安全本科專業(yè)信息安全導(dǎo)論、網(wǎng)絡(luò)空間安全導(dǎo)論等課程的基礎(chǔ)教材,也可作為其他相關(guān)專業(yè)的選修教材或信息安全參考書。全書共10章內(nèi)容。第1章從經(jīng)典的信息和信息安全的內(nèi)涵、概念出發(fā),介紹了信息安全的體系、要素和內(nèi)涵,并結(jié)合實例介紹了當(dāng)前信息系統(tǒng)面臨的主要威脅和攻擊。第2章、第3章分別從數(shù)學(xué)和密碼學(xué)的角度闡述了信息安全所依賴的理論基礎(chǔ)和技術(shù)基礎(chǔ),可以作為選學(xué)或了解的內(nèi)容。從第4章開始介紹信息安全各個構(gòu)成要素的安全問題及其解決方案。第4章介紹了身份認證的概念、一般實現(xiàn)方法和最新技術(shù)。第5章介紹了公鑰基礎(chǔ)設(shè)施、數(shù)字證書技術(shù)和CA認證中心的結(jié)構(gòu)和功能,并擴展了多個商業(yè)CA的實例,是對身份認證技術(shù)的延續(xù)。第6章重點介紹了網(wǎng)絡(luò)安全知識,側(cè)重介紹主流網(wǎng)絡(luò)協(xié)議及其安全擴展協(xié)議,同時簡要介紹了防火墻、入侵檢測系統(tǒng)等其他網(wǎng)絡(luò)安全設(shè)備和技術(shù)。第7章圍繞軟件安全,介紹了計算機病毒、木馬和惡意程序的原理、現(xiàn)狀、危害及其防治技術(shù)。第8章介紹了保護數(shù)據(jù)安全的理論和技術(shù),圍繞數(shù)據(jù)存儲技術(shù)、數(shù)據(jù)備份技術(shù)、災(zāi)難恢復(fù)技術(shù),介紹了數(shù)據(jù)保護的原理、策略和最新技術(shù)手段。第9章簡要介紹了信息安全的風(fēng)險管理,針對信息系統(tǒng)安全風(fēng)險的識別、評估和控制,分析了相應(yīng)的管理策略。第10章介紹了信息安全違法犯罪行為和我國信息安全法律法規(guī)制定情況。本書力求在體系、難度、覆蓋面等方面做到適當(dāng)均衡,以適應(yīng)信息安全類專業(yè)的基礎(chǔ)教學(xué)。
本書是信息安全教學(xué)團隊多年教學(xué)實踐的總結(jié),初稿源于2003年韓益亮等老師為武警工程大學(xué)信息安全專業(yè)編寫的講義,多年來在信息安全類專業(yè)不同層次的教學(xué)班中進行了試用。從2018年起,根據(jù)學(xué)科建設(shè)發(fā)展的實際和多年試用反饋的問題,我們組織教學(xué)團隊對原稿進行了比較全面的完善,對部分章節(jié)進行了重新編寫,并計劃付梓出版。此次編寫工作中,韓益亮老師負責(zé)第1章的編寫和第5章、第7章、第8章初稿的編寫,并負責(zé)全書的統(tǒng)稿;張薇老師負責(zé)第2章、第3章的編寫;吳旭光老師負責(zé)第4章的編寫;朱率率老師負責(zé)第6章、第9章、第10章的編寫和第5章、第8章的內(nèi)容更新;周潭平老師負責(zé)第2章、第3章部分內(nèi)容的編寫和校對;劉文超老師負責(zé)第7章的編寫和校對。張敏情、潘曉中、蘇旸、魏立線、鐘衛(wèi)東等教授為本書的修改完善提出了寶貴的意見和建議,在此對他們表示衷心的感謝!西安電子科技大學(xué)出版社的相關(guān)人員為本書出版付出了許多辛勤的勞動,在此一并深表謝意!
當(dāng)前,信息安全和網(wǎng)絡(luò)空間安全不論從概念內(nèi)涵還是從技術(shù)體系上,都正處于高速發(fā)展和日臻完善的階段,盡管我們力求完美,但本書的內(nèi)容仍不免掛一漏萬,請同行專家不吝批評指正。
武警工程大學(xué)信息安全教學(xué)團隊
2021年7月
第1章 信息安全概述 1
1.1 信息安全的基本概念 1
1.1.1 信息、信息技術(shù)與信息系統(tǒng) 1
1.1.2 信息系統(tǒng)安全概述 2
1.2 信息安全的內(nèi)涵 3
1.2.1 信息安全的要素 3
1.2.2 安全體系結(jié)構(gòu) 3
1.3 信息系統(tǒng)的安全問題 8
1.3.1 常見的信息安全威脅類型 8
1.3.2 信息系統(tǒng)安全漏洞及其
防范措施 15
1.3.3 信息安全問題的根源 17
思考題 19
第2章 信息安全數(shù)學(xué)基礎(chǔ) 20
2.1 數(shù)論基礎(chǔ) 20
2.1.1 整除 20
2.1.2 同余 21
2.1.3 歐幾里得算法 22
2.1.4 費馬小定理與歐拉定理 24
2.1.5 中國剩余定理 25
2.1.6 素性檢測 26
2.2 近世代數(shù)基礎(chǔ) 28
2.2.1 群 28
2.2.2 環(huán)與域 30
2.3 計算復(fù)雜性理論簡介 30
思考題 33
第3章 密碼學(xué)基礎(chǔ) 34
3.1 密碼體制概述 34
3.2 對稱密碼 34
3.2.1 序列密碼 35
3.2.2 分組密碼 38
3.3 公鑰密碼 51
3.3.1 公鑰密碼的原理 51
3.3.2 Diffie-Hellman密鑰交換 52
3.3.3 RSA密碼 53
3.3.4 數(shù)字簽名 53
思考題 54
第4章 身份認證技術(shù) 56
4.1 身份認證 56
4.2 基于口令的身份認證技術(shù) 56
4.2.1 基本口令認證協(xié)議 57
4.2.2 改進的口令認證 58
4.2.3 一次性口令認證 61
4.2.4 S/Key認證系統(tǒng) 63
4.2.5 挑戰(zhàn)應(yīng)答認證 63
4.3 基于智能卡的身份認證技術(shù) 64
4.4 基于生物特征的身份認證技術(shù) 65
思考題 66
第5章 公鑰密碼基礎(chǔ)設(shè)施 67
5.1 PKI 概述 67
5.1.1 PKI的基本概念 67
5.1.2 PKI的作用與意義 69
5.1.3 PKI的發(fā)展 71
5.2 PKI的組成與功能 72
5.2.1 PKI的體系結(jié)構(gòu)和組成模塊 72
5.2.2 數(shù)字證書 75
5.2.3 數(shù)字證書的管理 77
5.3 PKI的信任模型 79
5.4 PKI的有關(guān)協(xié)議標準 84
5.5 PMI 簡介 85
5.5.1 PMI概述 85
5.5.2 PMI結(jié)構(gòu)模型 86
5.5.3 屬性證書AC 86
5.6 商業(yè)CA 87
5.6.1 中國金融認證中心(CFCA) 87
5.6.2 上海市商業(yè)數(shù)字證書認證
中心(上海CA) 90
思考題 92
第6章 網(wǎng)絡(luò)安全 93
6.1 網(wǎng)絡(luò)協(xié)議簡介 93
6.1.1 IP報頭結(jié)構(gòu) 93
6.1.2 IP地址及其功能 97
6.1.3 TCP協(xié)議介紹 103
6.1.4 TCP報頭結(jié)構(gòu) 105
6.1.5 UDP協(xié)議分析 106
6.2 網(wǎng)絡(luò)應(yīng)用服務(wù)安全 108
6.2.1 FTP 108
6.2.2 Telnet 109
6.2.3 SMTP和POP3 110
6.2.4 HTTP 113
6.3 網(wǎng)絡(luò)攻擊 116
6.3.1 IP欺騙 116
6.3.2 泛洪攻擊 117
6.4 網(wǎng)絡(luò)安全組件 121
6.4.1 防火墻 121
6.4.2 入侵檢測系統(tǒng) 123
6.4.3 其他網(wǎng)絡(luò)安全設(shè)備 125
思考題 127
第7章 軟件安全與病毒防護 128
7.1 計算機病毒概述 128
7.1.1 計算機病毒的歷史 128
7.1.2 計算機病毒的發(fā)展 130
7.1.3 計算機病毒的定義與特征 133
7.2 計算機病毒的類型 135
7.2.1 計算機病毒的常見分類 136
7.2.2 引導(dǎo)型病毒 139
7.2.3 文件型病毒 140
7.2.4 蠕蟲病毒 143
7.2.5 木馬病毒 148
7.2.6 勒索病毒 151
7.3 計算機病毒的防范 155
7.3.1 計算機病毒的防范措施 155
7.3.2 病毒破壞后的修復(fù) 156
7.3.3 防病毒產(chǎn)品 160
思考題 163
第8章 數(shù)據(jù)安全 164
8.1 數(shù)據(jù)存儲技術(shù) 164
8.1.1 數(shù)據(jù)存儲的作用和意義 164
8.1.2 SAN 165
8.1.3 存儲保護管理設(shè)計 166
8.2 數(shù)據(jù)備份技術(shù) 170
8.2.1 數(shù)據(jù)備份的定義 170
8.2.2 數(shù)據(jù)備份技術(shù)的作用和意義 171
8.2.3 數(shù)據(jù)備份的類型 172
8.2.4 數(shù)據(jù)備份的體系結(jié)構(gòu)和
基本策略 173
8.3 數(shù)據(jù)備份策略 174
8.3.1 備份策略的定義 174
8.3.2 備份策略的類型 174
8.3.3 備份策略的規(guī)劃 175
8.4 災(zāi)難恢復(fù)技術(shù) 177
8.4.1 災(zāi)難恢復(fù)的定義 177
8.4.2 災(zāi)難恢復(fù)技術(shù)現(xiàn)狀及行業(yè)標準 177
8.4.3 災(zāi)難恢復(fù)的策略 178
8.4.4 災(zāi)難恢復(fù)計劃 178
8.5 數(shù)據(jù)備份產(chǎn)品阿里云簡介 179
8.5.1 基于混合云的備份服務(wù)簡介 180
8.5.2 基于混合云備份服務(wù)的
備份實施 180
思考題 186
第9章 信息安全風(fēng)險管理 187
9.1 安全威脅 187
9.2 風(fēng)險識別 189
9.2.1 資產(chǎn)識別和評估 190
9.2.2 自動化風(fēng)險管理工具 192
9.2.3 風(fēng)險分類 192
9.2.4 威脅識別 193
9.2.5 漏洞識別 194
9.3 風(fēng)險評估 195
9.3.1 風(fēng)險評估分析策略 196
9.3.2 風(fēng)險評估分析方法 198
9.3.3 風(fēng)險管理框架 200
9.3.4 實施安全計劃 203
9.4 風(fēng)險控制策略 204
9.4.1 避免 204
9.4.2 轉(zhuǎn)移 205
9.4.3 緩解 205
9.4.4 承認 206
9.4.5 風(fēng)險緩解策略選擇 207
9.4.6 控制的實現(xiàn) 208
9.5 風(fēng)險管理的特殊考慮 209
9.5.1 風(fēng)險可接受性 209
9.5.2 殘留風(fēng)險 210
9.5.3 實施風(fēng)險管理的建議 210
思考題 211
第10章 信息安全法律法規(guī) 212
10.1 信息安全保護法律框架 212
10.1.1 信息安全法律法規(guī)的發(fā)展 212
10.1.2 我國信息安全法律發(fā)展脈絡(luò) 214
10.1.3 我國信息安全法律體系 216
10.2 信息安全違法犯罪行為 218
10.2.1 相關(guān)概念 218
10.2.2 利用計算機實施危害國家
安全的犯罪 220
10.2.3 利用計算機實施危害公共
安全的犯罪 221
10.2.4 利用計算機破壞市場經(jīng)濟
秩序的犯罪 222
10.2.5 非法獲取個人信息 223
思考題 223
參考文獻 224