译  者  序

本书译自William Stallings博士和Lawrie Brown博士所著的Computer Security Principles and Practice， Second Edition一书。
William Stallings博士在美国麻省理工学院获得计算机科学博士学位， 他是世界知名计算机学者和畅销教材作者， 已经撰写著作近20部， 加上这些著作的修订版， 总共出版了40多本书籍， 内容涉及计算机安全、计算机网络和计算机体系结构等方面， 他曾12次荣获美国“教材和学术专著作者协会（TAA）”颁发的“年度最佳计算机科学教材”奖。
Lawrie Brown博士是澳大利亚国防学院（UNSW@ADFA）信息技术与电气工程系的高级讲师。他的专业兴趣包括密码学、 通信和计算机系统安全。
该书涉及广泛的计算机安全技术， 包括算法、 协议和应用。全书按五个部分进行组织， 分为：计算机安全技术和原理、 软件安全和可信系统、 管理问题、 密码学算法和网络安全。书中讨论了加密、 鉴别、 访问控制、 数据库安全、 入侵检测、 恶意软件、 拒绝服务攻击、 防火墙和入侵防御、 缓冲区溢出、 软件安全、 操作系统安全、 可信计算与多级安全、 IT安全管理、 人为因素、 审计、 法律和伦理方面的问题， 以及无线安全的相关内容。本书覆盖了CISSP（国际注册信息系统安全专业人员）认证要求的所有学科领域。
William Stallings博士的所有教材都为学生和教师提供广泛支持， 包括为教师提供的项目手册、 PPT幻灯片、 解决方案手册和网上邮件列表等， 以及为学生提供的有用的链接和文档、 在线补充材料等， 此书也不例外。
该书获得2008年度TAA最佳计算机科学与工程教材。第二版在第一版的基础上， 进行了组织结构的修订， 并增加了一些新的内容。
本书适合作为计算机及相关专业的高年级本科生或研究生的教材， 也可作为计算机技术专业人士的参考书。
本书由王昭老师负责前言、 作者简介、 第0~5章、 第17~20章的翻译和统稿， 文伟平老师负责第6~16章的翻译和统稿， 王永刚博士负责第21~24章及附录的翻译和统稿。此外， 徐之刚参与了第17~19章的翻译工作， 任立峰参与了第24章的翻译工作， “北京大学软件与微电子学院软件安全研究小组”的张涛和孟正同学参与了第6~9章的翻译工作， 该小组的部分同学还参与了书稿的通读和校对。本书最后由北京大学信息科学技术学院陈钟教授审校。
翻译过程中， 借鉴和参考了第一版的译著， 得到了电子工业出版社的大力支持和帮助， 在此表示感谢。
限于时间和水平， 错误和不妥之处在所难免， 敬请读者批评指正。

译  者
2015年3月于北京大学

前    言
第二版中的新内容
自从本书的第一版出版以来， 计算机安全领域一直不断地创新和改进。在这个新版本中， 我们试图捕捉到这些变化， 同时保持对整个领域广泛而全面的覆盖。修订过程从对本书第一版的广泛审阅开始， 由一些从事该领域教学的教授或者在该领域工作的专业人士完成， 新版本中很多地方的叙述更加简洁清晰， 插图也得到了改进。
本书的一个明显变化是组织结构的修订， 修订之后可以更清晰地介绍相关主题。增加了新的两章“操作系统安全”及“无线网络安全”。第三部分的章节重新进行了安排， 使之更加系统化。
除了这些提高教学和用户友好性的改进， 还有一些贯穿全书的主要实质性变化， 重点包括以下内容。 
● 操作系统安全： 本章重点反映了NIST SP800123中的内容， 此外还介绍了虚拟机安全性的重要论题。
● 云安全： 一个新的小节， 覆盖了与令人兴奋的新领域云计算相关的安全问题。
● 基于应用程序的拒绝服务攻击： 一个有关拒绝服务攻击的普遍形式的新小节。
● 恶意软件： 本章与第一版相比有不同的重点。我们越来越多地看到通过社会工程学安装后门/rootkit类型的恶意软件， 而不是更经典的病毒/蠕虫直接感染。网络钓鱼甚至比以往任何时候都更加突出。这些趋势都在内容中予以体现。
● Internet安全协议及标准： 本章已扩展到包括另外两个重要的协议和服务——HTTPS和DKIM。
● 无线网络安全： 已经添加了新的一章“无线网络安全”。
● 计算机安全事件响应：  CSIR一节已更新和扩充。
● 学生学习辅助： 现在每章以一个学习目标的列表开始。
● 教学大纲样例： 教材包含的材料超过了一个学期可以讲授的内容。因此， 为教师提供了几个教学大纲示例以帮助大家在有限的时间内使用教材（例如， 16周或12周）。这些样例基于参与第一版编辑的教授的实际经验。
● 实践问题集： 一组家庭作业问题并附有答案， 提供学生使用。
● 试题库： 每章都设置了一组复习题， 包括判断对/错、 多项选择和填空。
背景
近几年来， 计算机安全及相关主题的教育兴趣呈现出戏剧性增长。若干因素导致了这一兴趣， 列举其中两个如下：  
1. 随着信息系统、 数据库和基于互联网的分布式系统和通信在商业界的普及， 再加上安全相关的攻击强度和复杂性的增加， 组织机构现在已经认识到需要一个全面的安全策略。该策略包括使用专门的硬件和软件与经过培训的人员以满足这种需求。
2． 计算机安全教育， 通常被称为信息安全教育或信息保障教育， 已成为美国及其他国家的国家目标， 包含国防及国土安全的含义。美国信息系统安全教育讨论会和国家安全局（NSA）的信息保障课件评估（IACE）计划等组织机构在发展计算机安全教育标准方面扮演着政府的带头角色。
因此， 大学、  社区学院以及其他机构的计算机安全及相关领域的课程数目也越来越多。
目标
本书的目的是提供一个计算机安全发展的最新调查。安全设计和安全管理员面临的核心问题包括确定计算机和网络系统的威胁， 评价这些威胁的相对风险和开发用户友好和经济有效的对策。
讨论内容涉及以下基本主题。 
● 原理： 虽然本书覆盖范围广泛， 但是一些基本原理在讨论主题中反复出现， 统一了全书内容。例如有关身份鉴别和访问控制的问题， 本书强调了这些基本原理， 并探讨了它们在计算机安全具体领域的应用。
● 设计方法： 该书探讨了符合特定计算机安全要求的不同方法。
● 标准： 标准在这一领域承担着越来越重要的实际上具有统治地位的角色。了解技术的现况及未来的发展方向要求对相关标准进行全面的讨论。
● 真实世界的例子： 一些章包括展示本章基本原理在真实世界环境中实际应用的小节。
读者对象 
本书适用于学术和专业读者。它可以作为一个或两个学期讲授的计算机科学、  计算机工程和电气工程专业的本科生教材。它涵盖了OS安全和保护的所有主题， 这是IEEE/ ACM计算机课程计划CC2008（CS2001的临时修订版本）的一个核心学科领域， 此外它还包括一些其他主题；本书涵盖了IEEE/ ACM 2008信息技术学士学位课程信息保障和安全（IAS）的课程纲要的核心内容， 且涵盖了IEEE/ACM 2004计算机工程专业CE-OPS6安全和保护的课程纲要。
这是一本对这个领域感兴趣的人的基本参考书， 适合自学。
教材的组织
本书分为五个部分（见第0章）： 
● 计算机安全技术与原理
● 软件安全与可信系统
● 管理问题
● 密码算法
● 网络安全
本书还附有一些网上附录， 提供更详细的专题。
本书包括一个广泛的词汇表、 常用首字母缩写词表和参考书目。每章包括家庭作业问题、 复习题、 关键词列表， 以及进一步的阅读建议和推荐网站。
对CISSP学科领域的覆盖面
本书覆盖了CISSP（国际注册信息系统安全专业人员）认证要求的所有学科领域。国际信息系统安全认证协会(ISC)2指定的CISSP通常被称为是信息安全认证的“黄金标准”。它是安全行业唯一公认的认证。许多组织， 包括美国国防部和许多金融机构， 现在都要求网络安全人员获得CISSP认证。2004年，  CISSP成为第一个获得国际标准ISO / IEC 17024（人员认证机构通用要求）认可的IT计划。
CISSP考试基于公共知识体系（CBK）， 是一个非营利性组织(ISC)2开发和维护的信息安全最佳实践纲要。CISSP认证要求的CBK由10个领域的知识组成， 本书所覆盖的CBK的详细信息请参阅第0章。
学生资源学习资源网站的一些资料可登录华信教育资源网(www.hxedu.com.cn)免费注册下载。
在这个新版本中， 大量的原始辅助材料通过两个Web站点在线提供给学生。一个是配套网站， 位于WilliamStallings.com/ComputerSecurity（点击Student Resources链接）， 包含由章组织的一系列相关链接和一份勘误表。
其中包括下列材料。 
● 网络章节： 为了降低书本的厚度和成本， 其中两章以PDF格式提供。书的目录中列出。
● 在线附录： 总共有9个附录， 包含大量支持教材中内容的有趣话题， 提供给感兴趣的学生。本书的目录中给出了附录列表。
● 作业问题和答案： 为了帮助学生理解材料， 有一组独立的家庭作业问题并附有答案。这使学生能够测试他们对教材的理解。
● 重要论文： 来自专业文献的几十个文件， 许多都很难找到， 可以提供进一步的阅读。
● 支持文件： 网上提供了许多教材中引用的其他有用文档。
教师支持材料相关的教辅申请方式请参见书末的“教学支持说明”
为教师提供的支持材料如下。
● 项目手册： 列于下一节的所有项目类别的项目资源， 包括文档和便携式的软件， 以及建议的项目分配。
● 解决方案手册： 每章末的复习题和问题答案。
● PowerPoint幻灯片： 一组可用于讲授的覆盖所有章节的幻灯片。
● PDF文件： 书中所有图表的副本。
● 试题库： 按章组织的问题集。
● 课程纲要样例： 教材内容超过了一个学期可以讲授的容量。因此， 为教师提供了几个示例的课程纲要， 以指导教师在有限的时间内使用教材。这些样例基于编辑第一版教材的教授的实践经验。
配套网站位于WilliamStallings.com/ComputerSecurity（点击Instructor Resources 链接）， 包括如下内容： 
● 指向其他使用该教材的课程网站的链接。
● 互联网邮件列表的登录信息， 方便使用本教材的教师之间以及与作者相互交换信息、 建议和问题。
项目及其他学生练习
对于许多教师， 计算机安全课程的一个重要组成部分是一个项目或一组项目， 可以让学生得到实际操作经验， 以强化从教材中获得的概念。本书对此提供了一个前所未有的支持， 包含一个课程项目的组成部分。教师的支持材料可以通过Prentice Hall出版社获得， 不只包括指导如何分配和安排项目， 还包括一组各种项目类型的用户手册， 加上具体的任务分配， 都是专门为本书设计的。教师可以安排以下几个类型的项目。 
● 黑客练习： 两个使学生获得入侵检测和预防问题理解的项目。
● 实验室练习： 一系列涉及本书概念的编程和实验。
● 研究项目： 一系列指导学生通过互联网对一个特定题目进行研究并撰写报告的研究任务。
● 编程项目： 一系列涵盖了广泛主题并可以在任意平台采用任何合适语言实现的编程项目。
● 安全评估实践： 一系列调查现在的基础设施和现有机构业务的练习。
● 防火墙项目： 提供了一个便携式网络防火墙可视化模拟器， 以及讲授防火墙基础的练习。
● 案例研究： 一系列真实世界案例研究， 包括： 学习目标、 案例描述和一系列案例讨论问题。
● 写作作业： 一系列促进学生学习材料的写作任务。
● 阅读/报告作业： 一个可以布置阅读和撰写读书报告的文章列表， 以及建议的作业用词。
这种多样化的项目和其他学生练习使教师能够根据丰富多样的学习经历使用本书， 并量身定制课程计划， 以满足教师和学生的特定需求。了解详细信息请参见本书附录A。
致谢 
这一新版本得到了很多人的审校， 是他们慷慨地付出了时间和精力。以下教授和教师审阅了全部或大部分手稿： Bob Brown（南方州立理工大学）， Leming Zhou（美国匹兹堡大学）， Yosef Sherif（Mihaylo经济及工商管理学院）， Nazrul Islam（法明代尔州立大学）， Qinghai Gao（法明代尔州立大学）， Wei Li（诺瓦东南大学）， Jeffrey Kane（诺瓦东南大学）， Philip John Lunsford II （东卡罗来纳州立大学）， Jeffrey H. Peden（朗沃德大学）， Ratan Guha（中佛罗里达大学）， Sven Dietrich（史蒂文斯理工学院）， David Liu（美国普度大学， Fort Wayne）。
这一新版本也得到了很多人对一章或多章详细的技术审查： Paymon Yamini Sharif, Umair Manzoor (UmZ), Adewumi Olatunji (FAGOSI系统, 尼日利亚), Rob Meijer, Robin Goodchil, Greg Barnes (Inviolate Security LLC), Arturo Busleiman (Buanzo Consulting), Ryan M. Speers (达特茅斯学院), Wynand van Staden (南非大学计算学院), Oh Sieng Chye, Michael Gromek, Samuel Weisberger, Brian Smithson (理光美洲公司, CISSP), Josef B. Weiss (CISSP), Robbert-Frank Ludwig (Veenendaal, ActStamp 信息安全公司), William Perry, Daniela Zamfiroiu (CISSP), Rodrigo Ristow Branco, George Chetcuti (技术编辑, TechGenix), Thomas Johnson (一家在芝加哥的银行控股公司的信息安全主管, CISSP), Robert Yanus (CISSP), Rajiv Dasmohapatra (Wipro Ltd), Dirk Kotze, Ya’akov Yehudi, Stanley Wine (客座讲师, 计算机信息系统部门, 席克林商学院, 巴鲁学院)。
Lawrie Brown博士首先要感谢William Stallings， 与他愉快的合作才有了这本教材。我还要感谢在澳大利亚国防学院新南威尔士大学信息技术与电气工程学院的同事们， 感谢他们的鼓励和支持。尤其感谢Ed Lewis和Don Munro有见地的意见和批评。在他们的帮助下， 文字更加准确和简洁。
最后， 我还要感谢负责出版这本书的很多人， 他们完成了其一贯出色的工作， 其中包括Prentice Hall出版社的工作人员， 特别是我们的编辑Tracy Dunkelberger， 她的助理Carole Snyder和产品经理Kayla SmithTarbox。我们还要感谢Shiny Rajesh和在Integra的产品人员的又好又快的工作。还要感谢Pearson的市场营销和销售人员， 如果没有他们的努力， 这本书不会在你的手中。