前 言
全球网络使世界各地的信息系统之间的互连变得越来越广泛，顺畅的通信和计算解决方案因而也变得更加重要，但诸如恶意软件、钓鱼攻击以及各种犯罪攻击事件的频繁出现，说明当前的信息技术十分薄弱，需要加强对这些系统的安全保护。
为了保护已有的系统和网络，企业必须招收一定数量的信息安全专业人员。企业还期望具有丰富经验和技巧的下一代专业人士能开发出更加安全的计算环境，参与和管理肯定会出现的、复杂的信息安全问题。为此，技术类的学生需要在大学教师的指导下，学习更高深的内容以及相关的技术材料，认识已有系统中存在的漏洞和薄弱部分，学习设计并开发将来所需的安全系统。
本书是一本阐述信息安全原理的优秀教材。目前有许多面向从业人员的、关于信息安全的优秀出版物，但缺乏一本针对学生的、均衡地介绍安全管理和安全技术的教材。我们希望创作一本专门面向信息安全专业学生的教材来填补此空白。而且，显然本书需要包含犯罪立法、政治学、计算机科学、信息系统和其他相关学科的原则，以帮助读者更清晰地理解信息安全原则，并为系统漏洞形成跨学科的解决方案。本书的基本原则为：现代机构内的信息安全是一个需要管理层来解决的问题，而不是仅通过技术就可解决的问题。换言之，机构的信息安全具有重要的经济效益，管理层必须为之负责。
0.1 方法
本书全面介绍了信息安全的整个领域，其中包括许多相关元素的背景，以及理解该领域所需的足够细节。本书包含了该学科的术语、简史，并概述了信息安全计划的管理模式。
0.2 本书结构和章节内容简介
本书的结构遵循一种称为安全系统软件开发生命周期(或SecSDLC)的模式。这个结构化方法可用于在几乎没有正式信息安全措施的企业中实现信息安全，也可以帮助改进已有的信息安全计划。SecSDLC提供了坚实的基础架构，非常类似于在应用程序开发、软件工程、传统的系统分析与设计以及联网工程中使用的架构。本书使用这个结构化方法，提供了一条不超越主题的主线，此主线可指导教师和学生对信息安全领域的各个方面进行详细研究。为此，将本书分为6个部分，共12章。
第I部分—— 简介
第1章—— 信息安全简介
开篇章节讲述了理解信息安全各领域的基础内容。本部分定义关键术语，解释基本概念，并概述此领域的起源及其对理解信息安全的影响。
第II部分—— 安全调研阶段
第2章—— 安全需求
本章介绍商界对信息安全越来越感兴趣的原因。本章介绍了现代企业在信息安全领域的需求，强调并构建了第1章介绍的概念。一个原理性概念是：信息安全主要是一个管理问题，而不是技术问题。换言之，信息安全领域中的最佳实践过程是在考虑了商务需求后，才应用具体的技术。
本章还介绍了企业面临的各种威胁，并给出对这些威胁进行分级的过程，以便在企业开始进行安全计划时利用相应的优先级。本章继续讲解上述威胁可能导致的各种攻击，以及它们对机构的信息系统产生的影响。本章进一步讨论了信息安全的重要原理，其中一些在第1章已经介绍过，如机密性、完整性、可用性、身份验证和标识、授权、责任和私密性。
第3章—— 信息安全中的法律、道德以及专业人员问题
除了SecSDLC调研过程的基本部分之外，本章对国家和国际条款中的现有法律、规章和公共道德进行了详细介绍，深刻阐述了商业交往中所遵循的规范。本章介绍了信息安全领域的几个重要法律，并详细描述了实现安全的人员必须遵守的计算机道德。不懂法律不是借口，但忽视法律(懂法但不守法)更危险。本章也介绍了现今企业中经常出现的几个法律和道德问题，以及可提升道德和法律责任的正规专业机构。
第III部分—— 安全分析
第4章—— 安全规划
本章给出了许多被广泛接受的安全模型和基础框架，还介绍了最佳商务实践方案以及合理注意、谨慎处理的标准，并扼要介绍了安全策略的开发。本章详细描述了安全策略每一层次的主要组成内容、范围和目标对象，还解释了军队和私人的数据分类模式以及安全教育培训和意识(SETA)计划。本章论述了支持业务持续、灾难恢复和事故响应的规划过程，描述了在发生事故时机构的作用，以及机构需要外部法律执行部门的时机。
第5章—— 风险管理
在开始设计一个新的信息安全方案前，信息安全分析人员必须首先要理解企业的当前状况以及它和信息安全的关系。企业目前有正规的信息安全机制吗？它们的效率如何？企业给安全管理人员和终端用户发布了什么策略和过程？本章描述了标识威胁和资产，并评定其优先级的过程，以及标识当前可用于保护这些资产免受威胁的控制措施的过程，进而介绍了实施基本的信息安全评估的方式。本章还讨论了各种可利用的控制机制类型，并指明进行最初风险评估所涉及的步骤。本章把风险管理定义为识别、评估风险，并将其降低至可接受的程度、实现有效的控制措施以维持此风险级别的过程。最后讨论了风险分析和各种可行性分析。
第IV部分—— 设计
本部分的内容为信息系统专业的学生介绍信息安全领域中使用的技术控制。如果读者不熟悉联网技术和TCP/IP协议，可能会觉得第6、7、8和9章的内容比较难理解。如果读者不具备网络协议的基础知识，在学习本部分的内容之前，应先学习联网教材中有关TCP/IP协议的一两章内容。
第6章—— 安全技术：防火墙和VPN
本章详细论述了如何配置和使用把企业系统和不安全的互联网隔离开来的技术。本章包含防火墙技术的许多定义和分类，以及可以部署防火墙的体系结构。接着讨论了防火墙的正确配置和使用相关的规则。本章还阐述了远程拨号服务，以及为仍使用这种旧式技术的企业保护该访问点所必需的安全预防措施。之后介绍了过滤内容的能力和注意事项。最后讨论了通过虚拟专用网为授权用户提供远程访问权的技术。
第7章—— 安全技术：入侵检测防护系统和其他安全工具
本章继续讨论安全技术，介绍入侵的概念，防止、检测、响应入侵和恢复到入侵前的状态的技术。阐述了入侵检测和防护系统(IDPS)的特定类型：主机IDPS、网络IDPS和应用IDPS及相应的配置和用法。本章继续论述专门的检测技术，将攻击者诱入诱骗系统(因而远离重要的系统)，或简单地把攻击者的入口指向这些诱骗的区域，这些区域称为蜜罐、蜜网或填充单元系统。本章还介绍跟踪系统，跟踪被诱入诱骗系统的攻击者的真实地址。之后详细论述重要的安全工具，信息安全专家可以使用这些工具检查企业系统的当前状态，标识出系统中已有的潜在薄弱区域或企业的整体安全态势中存在的潜在薄弱区域。最后讨论现代操作系统中广泛部署的访问控制设备，以及生物测定学中的新技术，对已有的实现方案提供强有力的身份验证。
第8章—— 密码学
本章详细介绍了现代密码系统的基础知识、体系结构和实现方案。本章首先概述了现代密码系统的历史，在该历史中有重要作用的各种密码，还论述了组成密码系统的一些数学技术，包括散列函数。接着，比较传统的对称加密系统和现代的非对称加密系统，非对称系统是公共密钥加密系统的基础。然后，本章概述在安全通信中使用的、基于加密技术的协议，包括S-HTTP、S/MIME、SET和SSH。之后讨论隐写术，这是一个新兴的技术，是隐藏信息的一种有效方式。最后讨论信息安全中专门针对加密系统的攻击。
第9章—— 物理安全
物理安全是信息安全过程中的一个重要环节，关注的是物理设施的管理，物理访问控制的实现以及环境控制的监督。本章讲解了现代企业在面对各种物理安全威胁时应特别注意的事项：设计一个安全的数据中心，评估警卫和看门狗的相对价值，分析火灾抑制和电力调节的技术问题等。
第V部分—— 实现方案
第10章—— 实现信息安全
前面的章节介绍了企业设计信息安全计划的规则，本章介绍实现该设计所需的重要元素。本章主要实现了信息安全的靶心模型，讨论了企业是否应外包信息安全计划中的各种组件。此外，还讨论了变动的管理、程序的改进以及业务持续性工作的额外计划等内容。
第11章—— 安全和人员
实现阶段的下一领域解决的是人员问题。本章介绍了人员的两个方面：安全人员和人员的安全。具体内容有：人员问题、专业人员安全证书以及雇佣政策的实现和实践。本章还讨论了信息安全政策与顾问、临时工和外部商务伙伴之间影响和被影响的方式。
第VI部分—— 维护和改进
第12章—— 信息安全维护
最后也是最重要的一部分是对维护和改进的讨论。本章介绍了对信息安全计划的长期进行的技术性和管理性评估，企业必须执行该信息安全计划，才能维护其信息系统的安全。本章介绍了长期风险分析、风险评估和度量，这些都将保证风险管理计划的效率。然后探讨了现代企业中进行各种漏洞分析所需进行的特殊考虑(从互联网入侵测试到无线网络风险评估)。本章和本书最后介绍了数字取证这个主题。
0.3 特色
下面是本书研究信息安全的一些特点：
信息系统安全专业人员的公共知识体系—— 因为本书作者是经过认证的信息系统安全经理(CISM)和信息系统安全专业人员(CISSP)，CISSP的知识对本书的设计有一定的影响。虽然本书尽量避免成为一本认证学习指南类的书，但作者的背景导致了本书在介绍信息安全的知识时，在某种程度上结合了CISM和CISSP公共知识体系(CBK)。
每章场景—— 每章的开头和结尾都是一个小故事，讲述一个虚拟公司遇到某类现实世界常见的信息安全问题。每一章的最后都会提出一些问题，让学生和老师讨论故事内容所隐含的根本问题，并探讨这些问题的道德方面。
相关资料和技术细节部分—— 这部分内容穿插在整本书中，重点讲述一些有趣的主题和详细的技术问题，让学生更深入地了解各种信息安全主题。
强化学习—— 在每章结尾提供了该章的小结、复习题和练习。这些练习要求学生研究、分析和记录问题的答案，以巩固学习目标，并加深对本章内容的理解。这些内容便于学生在课堂外复习信息安全的内容。
0.4 本版中的改动内容
● 在每章末尾增添了一些讨论问题，以探讨该章内容的道德方面。
● 介绍了最新的法律和行业趋势。
● 关键术语框突出了行业中使用的术语。
● “更多信息”部分列出了一些网络地址，学生可在这些地方找到所介绍主题的更多信息。
● 增添了一些图片来介绍重要主题。
0.5 额外资源
在www.cengagebrain.com网站上可找到更多课程材料。查看本书封底的ISBN，然后在CengageBrain主页顶部的搜索框中输入本书的ISBN进行搜索即可。
0.6 教师资源
配套网站
为支持本书内容，我们准备了许多教学工具，它们在多方面增强了课堂教学内容。
教师手册 —— 教师手册包括使用本书的建议和策略，甚至还包括了讲座主题的提示。教师手册还包括每章结束处复习题的答案以及练习的建议方案。
答案——教师资源包含每章末尾所有材料的答案，包括复习题和练习题。
图形文件—— 图形文件允许教师利用本书的图形创建自己的演示文稿。
PowerPoint演示—— 本书的每一章都提供了相应的Microsoft PowerPoint幻灯片。它们可以用作课堂演示，让学生在网络上回顾每章的内容，或打印出来，分发给学生。教师还可以为在课堂上额外介绍的主题加入自己的幻灯片。
实验室手册 —— Cengage Learning出版了与本书和其他书配套的实验手册The Hands-On Information Security Lab Manual, Fourth Edition (ISBN 13:9781285167572)。该实验室手册提供了跟踪痕迹、枚举和防火墙配置等安全性强化练习，以及诸多作为实验室组件或课堂项目的练习和案例，作为本书的补充材料。要了解详细信息，请与Cengage Learning出版社的销售代理联系。
Cognero—— Cengage Learning Testing Powered by Cognero是一个灵活的线上系统，允许：
● 编写、编辑和管理多个Cengage Learning解决方案的测试题库内容。
● 快速创建多个测试版本。
● 从LMS、课堂或其他任意位置进行测试。
0.7 作者团队
本书由Michael Whitman和Herbert Mattord联合创作，结合了本研究领域内的理论知识以及商界的实际经验。
Michael Whitman博士，是经过认证的信息系统安全经理和信息系统安全专业人员，是乔治亚州肯尼索州立大学Michael J. Coles商学院信息系统系的信息安全教授，他还是该大学信息安全教育中心(infosec.kennesaw.edu)的主任。Whitman博士的主要研究领域有信息安全、公平可靠地使用策略、计算道德准则和课程编制方法等。目前他讲授信息安全和应急计划的大学课程和研究生课程。他还在其领域的顶级刊物“Information Systems Research”、“Communications of the ACM”、“Information and Management”、“Journal of International Business Studies”和“Journal of Computer Information Systems”等发表了一些文章。Whitman博士也是“Information Security Education Journal”的主编。他是信息系统安全学会、计算机学会和信息系统学会的成员， Whitman博士还与他人合著了Management of Information Security、Principles of Incident Response and Disaster Recovery、Readings and Cases in the Management of Information Security、The Guide to Firewalls and VPNs、The Guide to Network Security和The Hands-On Information Security Lab Manual，这些图书都由Cengage Learning出版社出版。在Whitman博士开始其学术生涯之前，他是一名美军的装甲骑兵队军官。
Herbert Mattord是Ph.D.、CISM和CISSP。他曾经做过应用程序开发人员、数据库管理员、项目经理和信息安全专业人员。他在结束了24年的IT职业生涯之后，于2002年进入肯尼索州立大学。Mattord教授是信息安全与保证学位管理学士协调员，以及KSU信息安全教育和意识中心(infosec.kennesaw.edu)的副主任。他也是“Information Security Education Journal”的副编辑。在IT从业期间，他已经是肯尼索州立大学、乔治亚州玛丽埃塔市南方理工州立大学、得克萨斯州奥斯汀市奥斯汀社区学院以及得克萨斯州立大学圣马科斯分校的副教授。目前他讲授信息安全、数据通信、局域网、数据库技术、项目管理、系统分析和设计以及信息资源管理与策略等大学课程。他曾是Georgia-Pacific公司的公司信息技术安全部门的经理。本书包含了他的诸多实践知识。Mattord教授还与其他人合著了Management of Information Security、Principles of Incident Response and Disaster Recovery、Readings and Cases in the Management of Information Security、The Guide to Firewalls and VPNs、The Guide to Network Security和The Hands-On Information Security Lab Manual，这些图书都由Cengage Learning出版社出版。
0.8 致谢
作者感谢他们的家人一直给予的支持与理解，作者在写作这本书期间投入了大量时间，甚至于错过了一些家庭活动。特别要感谢Carola Mattord博士。她对本书的草稿进行了审订，提出了一些建议，使作者将注意力集中在学生需要上，让最终成稿易于阅读。
贡献者
一些人士和组织为本书提供了材料，感谢他们的贡献。例如，本书中的许多引用、表格、图形和其他内容都来自美国国家标准与技术研究院(NIST)。
评审者
感谢以下人士对本书的最初提议、项目规划和逐章评审所给出的反馈：
● Paul Witman, 加利福尼亚路德大学
● Pam Schmelz, 印第安纳常春藤技术社区学院
● Donald McCracken, 弗吉尼亚ECPI大学
● Michelle Ramim, 佛罗里达诺娃东南大学
特别致谢
作者要感谢Cengage Learning的编辑和制作团队。他们勤奋而专业的工作大大提升了成稿的质量：
● Natalie Pashoukos, 高级内容开发编辑
● Dan Seiter, 开发编辑
● Nick Lombardi, 产品经理
● Brooke Baker, 高级内容项目经理
另外，一些专业组织、商业组织和个人为作者提供了信息和灵感，帮助了本书的创作。作者感谢他们的贡献：
● Charles Cresson Wood
● Donn Parker
● 我们在KSU信息系统系和Coles商学院的同事们
作者的承诺
作者承诺以本书选用者和读者的需求为己任。我们很乐意收到读者对本书及其辅助材料的反馈。
