信息安全导论（第2版）

通过对本书的学习，不仅能够全面掌握信息安全的基础知识，而且能够增强信息安全意识，提高在日常生活、工作和学习中保障信息安全的能力。
本书不仅可以作为信息安全、网络空间安全、计算机等相关专业的入门教材，也可以作为其他专业学习信息安全知识的教学用书。

网络安全是事关国家安全的重大战略问题，没有网络安全就没有国家安全。党的二十大报告着眼信息革命的发展大势和时代潮流，对网络强国建设做出一系列新论断、新部署、新要求。2023年5月召开的二十届中央国家安全委员会第一次会议强调要加快推进国家安全体系和能力现代化，以新安全格局保障新发展格局。本书正是在这种背景下，在第1版的基础上进行了教学内容的补充和调整。全书共分11章，深入浅出地介绍了信息安全基本概念与原理、密码学基础、物理安全、操作系统安全、网络安全、软件安全、Web安全、信息内容安全、数据与云计算安全、信息安全管理与审计和人工智能安全。通过对本书的学习，不仅能够全面掌握信息安全的基础知识，而且能够增强信息安全意识，提高在日常生活、工作和学习中保障信息安全的能力。
本书不仅可以作为信息安全、网络空间安全、计算机等相关专业的入门教材，也可以作为其他专业学习信息安全知识的教学用书。

第1章绪论/1
1.1信息安全概述1
1.1.1信息与信息安全2
1.1.2信息安全的基本目标3
1.1.3信息安全现状分析3
1.2信息安全的威胁4
1.2.1信息安全威胁存在的原因5
1.2.2信息安全威胁的主要形式6
1.3信息安全体系结构13
1.3.1面向目标的信息安全知识体系结构14
1.3.2面向过程的信息安全保障体系结构14
1.3.3面向应用的层次信息安全体系结构16
1.3.4面向网络的OSI信息安全体系结构17
1.4本章小结20
思考题20
第2章密码学基础/21
2.1密码学概述21
2.1.1密码体制基本概念21
2.1.2密码学的发展历史23
2.1.3密码体制的安全性26
2.2对称密码27
2.2.1分组密码27
2.2.2序列密码39
2.3公钥密码43
2.3.1公钥密码概述44
2.3.2典型公钥密码算法45
2.4Hash函数47
2.4.1Hash函数概述47
2.4.2典型Hash函数算法48
2.4.3Hash函数应用512.5数字签名53
2.5.1数字签名概述53
2.5.2典型数字签名算法55
2.6密钥管理技术58
2.6.1密钥管理概述58
2.6.2密钥建立技术59
2.6.3公钥基础设施61
2.7本章小结66
思考题66
〖1〗信息安全导论（第2版）目录〖3〗〖3〗第3章物理安全/67
3.1物理安全概述67
3.2物理安全技术69
3.2.1物理访问控制69
3.2.2生物识别技术70
3.2.3检测和监控技术74
3.2.4物理隔离技术76
3.2.5防信息泄露技术79
3.3物理安全管理80
3.3.1环境安全管理80
3.3.2设备安全管理81
3.3.3数据安全管理82
3.3.4人员安全管理82
3.4本章小结83
思考题83
第4章操作系统安全/84
4.1操作系统安全概述86
4.1.1操作系统基础86
4.1.2操作系统面临的威胁87
4.2操作系统内核安全89
4.2.1Windows系统内核安全89
4.2.2Linux系统内核安全91
4.3操作系统安全机制96
4.3.1访问控制96
4.3.2其他安全机制99
4.4操作系统安全模型102
4.4.1安全模型的概念102
4.4.2常见的安全模型介绍102
4.5攻击和安全技术演示106
4.5.1冰河木马远程控制实验106
4.5.2Windows操作系统的安全配置108
4.5.3Linux访问控制列表115
4.6本章小结117
思考题117
第5章网络安全/118
5.1网络安全威胁与控制118
5.1.1网络安全威胁118
5.1.2网络安全控制136
5.2防火墙147
5.2.1防火墙概述147
5.2.2防火墙的类型149
5.2.3防火墙体系结构153
5.2.4防火墙部署与配置案例155
5.3入侵检测系统159
5.3.1IDS概述159
5.3.2IDS的类型160
5.3.3IDS配置案例162
5.4虚拟专用网络164
5.4.1VPN概述164
5.4.2VPN的类型166
5.4.3VPN协议168
5.4.4VPN配置案例173
5.5无线网络安全174
5.5.1无线网络安全概述174
5.5.2移动通信网络安全175
5.5.3无线局域网安全181
5.6本章小结183
思考题183
第6章软件安全/184
6.1软件安全概述184
6.1.1软件安全的概念184
6.1.2软件缺陷和漏洞185
6.1.3恶意软件威胁186
6.1.4软件侵权188
6.2软件安全开发188
6.2.1传统软件开发中的安全局限性189
6.2.2安全软件开发生命周期189
6.2.3其他安全软件开发生命周期模型191
6.2.4安全编码策略和原则195
6.3恶意代码分析196
6.3.1恶意代码分类及其区别196
6.3.2恶意代码基本原理202
6.3.3恶意代码分析技术206
6.4软件安全测试207
6.4.1软件测试方法分类208
6.4.2白盒、黑盒、灰盒测试210
6.4.3模糊测试212
6.4.4渗透测试213
6.4.5软件安全测试工具214
6.5软件知识产权保护220
6.5.1软件知识产权220
6.5.2软件知识产权法律保护220
6.5.3软件版权技术保护222
6.6本章小结224
思考题224
第7章Web安全/225
7.1Web安全概述226
7.1.1Web基础知识226
7.1.2服务器与浏览器安全227
7.2HTTP协议分析与安全228
7.2.1HTTP请求流程228
7.2.2跨站请求伪造231
7.2.3HTTPS协议简介233
7.3信息探测与漏洞扫描234
7.3.1漏洞扫描234
7.3.2SQL注入漏洞238
7.3.3上传漏洞247
7.4浏览器安全254
7.4.1逻辑错误漏洞254
7.4.2恶意链接与网站钓鱼255
7.4.3XSS跨站脚本漏洞256
7.5本章小结266
思考题266
第8章信息内容安全/268
8.1信息内容安全概述268
8.1.1信息内容安全的概念268
8.1.2信息内容安全威胁269
8.1.3信息内容安全体系架构270
8.2信息内容获取技术271
8.2.1信息内容主动获取技术271
8.2.2信息内容被动获取技术274
8.3信息内容识别与分析280
8.3.1文本内容识别与分析280
8.3.2图像内容识别与分析285
8.4信息内容控制和管理289
8.4.1信息过滤技术289
8.4.2信息隐藏技术293
8.4.3数字水印与版权保护298
8.5信息内容安全应用303
8.5.1垃圾电子邮件过滤系统303
8.5.2网络舆情监控与管理系统309
8.6本章小结313
思考题313
第9章数据与云计算安全/314
9.1数据安全概述314
9.2数据备份与恢复314
9.2.1数据备份需求315
9.2.2数据备份类型316
9.2.3数据容灾技术318
9.3云计算技术320
9.3.1云计算概述320
9.3.2云计算体系架构322
9.3.3云数据存储技术322
9.3.4云数据管理技术325
9.4云计算安全325
9.4.1云计算安全需求326
9.4.2云计算安全威胁326
9.4.3云计算安全技术328
9.5本章小结331
思考题331
第10章信息安全管理与审计/332
10.1信息安全管理体系332
10.1.1信息安全管理体系概念332
10.1.2信息安全管理体系构建方法333
10.1.3信息安全管理体系构建流程334
10.1.4信息安全管理标准335
10.2信息安全风险评估338
10.2.1信息安全风险评估概念338
10.2.2信息安全风险评估组成要素339
10.2.3信息安全风险评估流程341
10.2.4信息安全风险评估方法与工具343
10.3信息安全审计345
10.3.1信息安全审计概述346
10.3.2信息安全审计的作用347
10.3.3信息安全审计的分类347
10.3.4信息安全审计的过程347
10.3.5信息系统安全审计的发展348
10.4本章小结349
思考题350
第11章人工智能安全/351
11.1人工智能及其安全问题351
11.1.1人工智能简述351
11.1.2人工智能面临的安全问题354
11.2人工智能安全框架356
11.2.1基础层356
11.2.2能力层358
11.2.3目标层359
11.3人工智能安全测评359
11.3.1测评依据359
11.3.2测评对象及内容360
11.3.3测评实施361
11.4技术标准与法律法规362
11.4.1技术标准362
11.4.2法律法规363
11.5ChatGPT的安全与隐私364
11.6本章小结365
思考题366
参考文献/367

网络安全是事关国家安全的重大战略问题，没有网络安全就没有国家安全。2021年12月，国务院印发《“十四五”数字经济发展规划》，提出要着力强化数字经济安全体系，包括增强网络安全防护能力、提升数据安全保障水平、切实有效防范各类风险。2022年10月，党的二十大报告着眼信息革命的发展大势和时代潮流，对网络强国建设做出一系列新论断、新部署、新要求。确保网络空间安全是建设网络强国的基础，要把我国建设成为网络强国，必须有一支高素质的信息安全人才队伍。2023年5月召开的二十届中央国家安全委员会第一次会议强调要加快推进国家安全体系和能力现代化，以新安全格局保障新发展格局。本书正是在这种背景下，结合编者多年教学经验编写而成的。
本书在第1版的基础上进行了教学内容的补充和调整，其特色主要表现在以下3方面。
(1) 重点介绍信息安全的基础知识和核心技术。本书可以作为信息安全相关专业的入门课程，也可以作为其他专业学习信息安全技术的专业课程。
(2) 突出案例教学。本书在介绍信息安全概念、理论、技术与管理方案的同时，通过对具体典型案例的分析，使学生加深对信息安全理论与技术的理解。
(3) 展示信息安全研究最新进展。本书包括信息安全新技术和新应用(如人工智能安全)等。
本书由中央财经大学朱建明教授、西安电子科技大学杨力教授和中央财经大学高胜教授主编，中央财经大学贾恒越副教授、段美姣副教授，山西财经大学付永贵教授，江苏大学宋香梅副教授等参加编写。全书共分为11章，计划总学时为36学时，其中理论部分为30学时，实验部分为6学时。每章的内容及建议学时如下。
第1章绪论，包括信息安全的基本概念、基本目标、现状分析，信息安全的威胁和信息安全体系结构等。2学时。
第2章密码学基础，包括密码体制的基本组成、分类、设计原则和攻击形式，介绍对称密码、公钥密码、Hash函数、数字签名、密钥管理技术等。6学时。
第3章物理安全，包括物理安全概述、物理访问控制、生物识别技术、检测和监控技术、物理隔离技术、防信息泄露技术等物理安全技术和环境、设备、数据、人员等物理安全管理等。2学时。
第4章操作系统安全，包括操作系统安全概述，操作系统的内核安全、安全机制、安全模型，以及攻击与安全技术演示等。4学时。
第5章网络安全，包括网络安全威胁与控制、防火墙、入侵检测系统、虚拟专用网络、无线网络安全等。6学时。第6章软件安全，包括软件安全概述、软件安全开发、恶意代码分析、软件安全测试、软件知识产权保护等。4学时。
第7章Web安全，包括Web安全概述、HTTP协议分析与安全、信息探测与漏洞扫描、浏览器安全等。4学时。
第8章信息内容安全，包括信息内容安全概述，信息内容的获取技术、识别与分析、控制和管理，以及信息内容安全应用等。2学时。
第9章数据与云计算安全，包括数据安全概述、数据备份与恢复、云计算技术、云计算安全等。2学时。
第10章信息安全管理与审计，包括信息安全管理体系、信息安全风险评估、信息安全审计等。2学时。
第11章人工智能安全，包括人工智能及其安全问题、人工智能安全框架、人工智能安全测评、技术标准与法律法规、ChatGPT的安全与隐私等。2学时。
此外，每章均包括学习要点、小结和思考题，以最大限度地满足教与学的需要。
本书以编者丰富的学习、工作经历，以及长期在信息安全领域从事科研与教学取得的成果为基础编写而成。第1章由朱建明编写；第2章由贾恒越编写；第3章和第5章由段美姣编写；第4章和第7章由杨力编写；第6章由宋香梅编写；第8章和第9章由高胜、杨力编写；第10章由高胜、付永贵编写；第11章由付永贵编写。中央财经大学研究生明盛智参加了第1 章的编写，贾恒越、付永贵参与了部分内容的整理；朱建明、杨力、高胜统筹全稿。
本书在第1版的基础上进行了改编，感谢第1版的作者中央财经大学王秀利教授和李洋副教授所做的工作。
编者在完成本书的过程中参阅了大量的文献，其中包括专业书籍、学术论文、学位论文、国际标准、国内标准和技术报告等，书中有部分引用已经很难查证原始出处，所列参考文献仅仅是获得相关资料的文献，没有一一列举出所有的参考文献，在此表示歉意和谢意。
由于编者水平有限，本书错误与疏漏之处在所难免，敬请广大读者批评指正。

编者
2024年1月