正版 计算机安全:原理与实践:principles and practice

出版者的话
译者序
前言
作者简介
符号
第1章　概述1
1.1计算机安全的概念1
1.1.1计算机安全的定义1
1.1.2实例2
1.1.3计算机安全面临的挑战3
1.1.4一个计算机安全模型4
1.2威胁、攻击和资产6
1.2.1威胁与攻击6
1.2.2威胁与资产7
1.3安全功能要求10
1.4基本安全设计原则11
1.5攻击面和攻击树14
1.5.1攻击面14
1.5.2攻击树14
1.6计算机安全策略16
1.6.1安全策略16
1.6.2安全实施17
1.6.3保证和评估17
1.7标准18
1.8关键术语、复习题和习题18
第一部分　计算机安全技术与原理
第2章　密码编码工具22
2.1用对称加密实现机密性22
2.1.1对称加密22
2.1.2对称分组加密算法23
2.1.3流密码25
2.2消息认证和散列函数26
2.2.1利用对称加密实现认证27
2.2.2无须加密的消息认证27
2.2.3安全散列函数30
2.2.4散列函数的其他应用31
2.3公钥加密32
2.3.1公钥加密的结构32
2.3.2公钥密码体制的应用34
2.3.3对公钥密码的要求34
2.3.4非对称加密算法34
2.4数字签名和密钥管理35
2.4.1数字签名35
2.4.2公钥证书37
2.4.3利用公钥加密实现对称密钥交换38
2.4.4数字信封38
2.5随机数和伪随机数39
2.5.1随机数的使用39
2.5.2随机与伪随机40
2.6实际应用：存储数据的加密40
2.7关键术语、复习题和习题41
第3章　用户认证46
3.1数字用户认证方法46
3.1.1数字用户认证模型47
3.1.2认证方法48
3.1.3用户认证的风险评估48
3.2基于口令的认证50
3.2.1口令的脆弱性50
3.2.2散列口令的使用52
3.2.3破解“用户选择”口令53
3.2.4口令文件访问控制55
3.2.5口令选择策略56
3.3基于令牌的认证59
3.3.1存储卡59
3.3.2智能卡59
3.3.3电子身份证60
3.4生物特征认证62
3.4.1用于生物特征认证应用的身体特征63
3.4.2生物特征认证系统的运行63
3.4.3生物特征认证的准确度64
3.5远程用户认证66
3.5.1口令协议66
3.5.2令牌协议66
3.5.3静态生物特征认证协议67
3.5.4动态生物特征认证协议68
3.6用户认证中的安全问题68
3.7实际应用：虹膜生物特征认证系统69
3.8案例学习：ATM系统的安全问题71
3.9关键术语、复习题和习题72
第4章　访问控制75
4.1访问控制原理76
4.1.1访问控制语境76
4.1.2访问控制策略77
4.2主体、客体和访问权77
4.3自主访问控制78
4.3.1一个访问控制模型80
4.3.2保护域82
4.4实例：UNIX文件访问控制83
4.4.1传统的UNIX文件访问控制83
4.4.2UNIX中的访问控制列表85
4.5基于角色的访问控制85
4.6基于属性的访问控制88
4.6.1属性89
4.6.2ABAC逻辑架构89
4.6.3ABAC策略90
4.7身份、凭证和访问管理93
4.7.1身份管理93
4.7.2凭证管理94
4.7.3访问管理94
4.7.4身份联合94
4.8信任框架95
4.8.1传统的身份交换方法95
4.8.2开放的身份信任框架96
4.9案例学习：银行的RBAC系统97
4.10关键术语、复习题和习题99
第5章　数据库与云安全102
5.1数据库安全需求102
5.2数据库管理系统103
5.3关系数据库104
5.3.1关系数据库系统要素104
5.3.2结构化查询语言105
5.4SQL注入攻击107
5.4.1一种典型的SQLi攻击107
5.4.2注入技术108
5.4.3SQLi攻击途径和类型109
5.4.4SQLi应对措施110
5.5数据库访问控制111
5.5.1基于SQL的访问定义111
5.5.2级联授权112
5.5.3基于角色的访问控制113
5.6推理114
5.7数据库加密116
5.8　数据中心安全119
5.8.1　数据中心要素119
5.8.2　数据中心安全注意事项119
5.8.3　TIA-942121
5.9关键术语、复习题和习题123
第6章　恶意软件127
6.1恶意软件的类型127
6.1.1恶意软件的粗略分类128
6.1.2攻击工具包129
6.1.3攻击源129
6.2持续性威胁129
6.3传播-感染内容-病毒130
6.3.1病毒的性质130
6.3.2　宏病毒和脚本病毒131
6.3.3病毒的分类132
6.4传播-漏洞利用-蠕虫134
6.4.1发现目标134
6.4.2蠕虫传播模型135
6.4.3Morris蠕虫136
6.4.4蠕虫攻击简史136
6.4.5蠕虫技术的现状138
6.4.6移动代码139
6.4.7手机蠕虫139
6.4.8客户端漏洞和路过式139
6.4.9点击劫持140
6.5传播-社会工程学-垃圾电子邮件、木马140
6.5.1垃圾（大量不请自来的）电子邮件140
6.5.2特洛伊木马141
6.5.3手机木马142
6.6载荷-系统损坏142
6.6.1数据损坏和勒索软件142
6.6.2物理损害143
6.6.3逻辑炸弹143
6.7载荷-攻击代理- zombie、bot144
6.7.1bot的用途144
6.7.2远程控制功能145
6.8载荷-信息窃取-键盘记录器、网络钓鱼、间谍软件145
6.8.1凭证盗窃、键盘记录器和间谍软件145
6.8.2网络钓鱼和身份盗窃146
6.8.3侦察、间谍和数据渗漏146
6.9　载荷-隐蔽-后门、rootkit147
6.9.1后门147
6.9.2rootkit147
6.9.3内核模式下的rootkit148
6.9.4虚拟机和其他外部rootkit149
6.10对抗手段150
6.10.1针对恶意软件的对抗措施150
6.10.2基于主机的扫描器和基于签名的反病毒软件151
6.10.3边界扫描处理153
6.10.4分布式情报收集处理154
6.11关键术语、复习题和习题154
第7章　拒绝服务攻击157
7.1　拒绝服务攻击157
7.1.1　拒绝服务攻击的本质158
7.1.2　经典的拒绝服务攻击1

威廉？斯托林斯（William Stallings）博士，已撰写著作18部，再加上这些著作的修订版，共出版70多本计算机方面的书籍。他的作品出现在很多ACM和IEEE的系列出版物中，包括《IEEE会议论文集》（Proceedings of the IEEE）和《ACM计算评论》（ACM Computing Reviews）。他曾11次获得“教材和学术专著作者协会”（Text and Academic Authors Association）颁发的“年度佳计算机科学教材”奖。

在计算机领域的30多年中，威廉？斯托林斯博士曾经做过技术员、技术经理和几家高科技公司的主管。他曾为多种计算机和操作系统设计并实现了基于TCP/IP和基于OSI的协议组，从微型计算机到大型机都有涉及。目前，他是一名独立技术顾问，其客户包括计算机与网络设备制造商和用户、软件开发公司和政府的前沿领域研究机构等。

威廉？斯托林斯博士创建并维护着计算机科学学生资源网站ComputerScienceStudent.com。这个网站为学习计算机科学的学生（和专业技术人员）提供了各种主题的相关文档和链接。威廉？斯托林斯博士是学术期刊《Cryptologia》的编委会成员之一，该期刊涉及密码学的各个方面。

本书是计算机安全领域的经典教材，系统介绍了计算机安全的方方面面。全书包括5个部分，第部分介绍计算机安全技术和原理，涵盖了支持有效安全策略所的所有技术领域；第二部分介绍软件安全和可信系统，主要涉及软件开发和运行带来的安全问题及相应的对策；第三部分介绍管理问题，主要讨论信息安全与计算机安全在管理方面的问题，以及与计算机安全相关的法律与道德方面的问题；第四部分为密码编码算法，包括各种类型的加密算法和其他类型的密码算法；第五部分介绍网络安全，关注的是为在Internet上进行通信提供安全保障的协议和标准及无线网络安全等问题。