随着社会信息化水平的提高，信息安全与我们的 工作、生活和学习密切相关，全社会都应该加强信息 安全知识的学习。“信息安全导论”是计算机信息安 全专业的必修课，也是其他专业学习信息安全知识的 入门课程。朱建明、王秀利编著的《信息安全导论》 共分13章，从计算机基本原理和计算机网络的基础知 识开始，系统介绍了信息安全的基本知识、网络及其 应用安全的基本技术、信息安全的新技术与新应用。
　　本书突出案例和应用，深入浅出地介绍了信息安全的 理论与技术，重点介绍信息安全基本概念与原理、密 码学、操作系统安全、物理安全、网络安全、Web安 全、软件安全与计算机病毒、信息内容安全、数据安 全、信息安全管理与审计，以及信息安全的新技术与 应用。通过本书的学习，不仅能够全面掌握信息安全 的基础知识，而且能够增强信息安全意识，提高在日 常生活、工作和学习中保障信息安全的能力。

　　党的十六届四中全会首次将信息安全列为国家四大安全之一。2014年4月15日，中央网络安全和信息化领导小组宣告成立，习近平总书记在国家安全委员会第一次会议上首次提出包括信息安全在内的“11种安全”所构成的“总体国家安全观”，再次将信息安全上升到国家安全的高度。要把我国建设成为网络强国，必须有一支高素质的信息安全人才队伍。本书正是在这种背景下，结合编者多年教学积累的经验编写而成。
　　本书从技术与管理相结合的角度介绍信息安全，其特色主要表现在以下3个方面。
　　（1） 在学习信息安全之前，讲述计算机的硬件组成及工作过程，让学生明白计算机的工作原理，为信息安全的学习打下坚实基础。
　　（2） 突出案例教学。以某市中小企业服务平台为例，围绕其安全需求，逐步展开，贯穿全书，并给出一个完整的信息安全解决方案。在学习信息安全概念、理论、技术与管理方案的同时，通过具体典型案例的分析，使学生加深对信息安全理论与技术的理解。
　　（3） 讲述信息安全最新进展，包括信息安全新技术和新应用，如量子密码、大数据安全与隐私保护、可信计算和互联网金融安全。
　　本书是中央财经大学信息安全本科专业建设成果。全书共分为13章。计划总学时为36学时，其中理论部分为30学时，实验部分为6学时。每章的内容及建议学时如下。
　　第1章，计算机组成原理，主要介绍计算机的硬件组成和基本工作过程（2学时）。
　　第2章，计算机网络概述，讲述网络组成和体系结构（2学时）。
　　第3章，信息安全基本概念与原理，包括信息安全的基本概念、基本目标，信息安全威胁和信息安全体系结构（2学时）。
　　第4章，密码学，主要介绍密码体制的基本组成、分类、设计原则和攻击形式，介绍对称密码体制、非对称密码体制、Hash函数与消息认证、数字签名技术、密钥管理技术（6学时）。
　　第5章，操作系统安全，包括安全策略与安全模型、访问控制、安全操作系统评测（2学时）。
　　第6章，物理安全，包括物理访问控制、生物识别、检测和监控、物理隔离等物理安全技术和环境、设备、数据、人员等物理安全管理（2学时）。
　　第7章，网络安全，主要讲述网络安全威胁与控制、防火墙、入侵检测系统、虚拟专有网VPN、无线网络安全（6学时）。
　　第8章，Web安全，包括服务器安全、信息探测与漏洞扫描、XSS跨站脚本漏洞、浏览器安全（4学时）。
　　第9章，软件安全与恶意代码，包括软件缺陷和漏洞、安全软件开发生命周期、恶意代码分析、软件安全测试（2学时）。
　　第10章，信息内容安全，包括信息内容安全威胁来源、体系结构，信息内容获取技术、分析与识别、控制和管理，信息内容安全应用（2学时）。
　　第11章，数据安全，包括数据备份与恢复、云数据存储管理、云数据安全（2学时）。
　　第12章，信息安全管理与审计，包括信息安全管理体系与标准、风险评估、信息安全审计（2学时）。
　　第13章，信息安全技术的新技术与应用，包括量子密码、大数据安全与隐私保护、可信计算技术、互联网金融安全（2学时）。
　　此外，每章均包括学习要点、本章小结和思考题，以最大限度地满足教与学的需要。
　　本书以编者丰富的学习、工作经历，以及长期在信息安全领域从事科研与教学取得的成果为基础编写而成。第1章由王茂光编写；第2、8、9章由李洋编写；第3章由朱建明、贾恒越编写；第4章和第13章的量子密码由贾恒越编写；第5章由王秀利编写；第6章和第13章的可信计算技术由段美姣编写；第7章由王秀利、段美姣编写；第10章、第11章和第13章的大数据安全与隐私保护由高胜编写；第12章由朱建明、高胜编写。全书由朱建明、王秀利统筹全稿。
　　编者在完成本书的过程中参阅了大量的文献，其中包括专业书籍、学术论文、学位论文、国际标准、国内标准和技术报告等，书中有部分引用已经很难查证原始出处，编者注明的参考文献仅仅是获得相关资料的文献，没有一一列举出所有的参考文献，在此表示歉意和谢意。
　　感谢北京市教委共建项目的支持。
　　由于编者水平有限，本书不足与疏漏之处在所难免，敬请广大读者批评指正。

编者
2015年8月

第1章计算机组成原理/1
1.1计算机的发展和硬件组成1
1.1.1计算机的发展1
1.1.2冯·诺依曼体系结构2
1.1.3存储器3
1.1.4中央处理器5
1.1.5总线10
1.2计算机的基本工作过程11
1.2.1指令格式11
1.2.2指令寻址方式12
1.2.3指令执行过程12
1.3计算机系统13
1.3.1硬件和软件13
1.3.2应用模式15
1.4本章小结17
参考文献17
思考题17
第2章计算机网络概述/18
2.1互联网的发展18
2.1.1互联网概述18
2.1.2互联网的组成22
2.1.3计算机网络在我国的发展29
2.2计算机网络的类别30
2.3计算机网络体系结构31
2.4本章小结41
参考文献41
思考题42
第3章信息安全基本概念与原理/43
3.1信息安全概述43〖1〗信息安全导论目录[3]〖3〗3.1.1信息安全的概念43
3.1.2信息安全现状分析47
3.2信息安全的威胁49
3.2.1信息安全的主要威胁49
3.2.2攻击者实施攻击的主要对象50
3.2.3社会工程学攻击52
3.3信息安全体系结构54
3.3.1面向目标的信息安全体系结构54
3.3.2面向过程的信息安全保障体系结构55
3.3.3面向应用的层次信息安全体系结构57
3.3.4面向网络的OSI信息安全体系结构58
3.4本章小结61
参考文献61
思考题61
第4章密码学/62
4.1密码学概述62
4.1.1密码学发展简史62
4.1.2密码体制的基本组成及分类64
4.1.3密码体制的设计原则66
4.1.4密码体制的常见攻击形式67
4.2对称密码体制69
4.2.1分组密码69
4.2.2序列密码79
4.3非对称密码体制83
4.3.1基本原理和特点84
4.3.2RSA公钥密码算法85
4.4Hash函数与消息认证87
4.4.1Hash函数的基本概念和原理88
4.4.2典型的Hash算法89
4.4.3消息认证技术91
4.5数字签名技术93
4.5.1数字签名的特点和功能93
4.5.2数字签名的原理94
4.5.3典型的数字签名体制96
4.6密钥管理技术97
4.6.1密钥管理的层次结构98
4.6.2对称密码体制的密钥管理99
4.6.3非对称密码体制的密钥管理101
4.6.4公钥基础设施技术103
4.7本章小结106
参考文献106
思考题107
第5章操作系统安全/108
5.1安全操作系统概述108
5.2安全策略与安全模型110
5.2.1安全策略110
5.2.2安全模型113
5.3访问控制118
5.3.1自主访问控制118
5.3.2强制访问控制121
5.3.3基于角色的访问控制124
5.4安全操作系统评测127
5.4.1操作系统的典型缺陷127
5.4.2评测方法与评估准则128
5.5本章小结134
参考文献134
思考题135
第6章物理安全/136
6.1物理安全概述136
6.2物理安全技术138
6.2.1物理访问控制138
6.2.2生物识别技术139
6.2.3检测和监控技术143
6.2.4物理隔离技术144
6.2.5防信息泄露技术147
6.3物理安全管理148
6.3.1环境安全管理148
6.3.2设备安全管理149
6.3.3数据安全管理150
6.3.4人员安全管理150
6.4本章小结151
参考文献151
思考题151
第7章网络安全/152
7.1网络安全威胁与控制152
7.1.1网络安全威胁152
7.1.2网络安全控制171
7.2防火墙185
7.2.1防火墙概述185
7.2.2防火墙的类型186
7.2.3防火墙体系结构191
7.2.4防火墙配置举例193
7.3入侵检测系统195
7.3.1IDS概述195
7.3.2IDS的类型196
7.4虚拟专用网199
7.4.1VPN概述199
7.4.2VPN的类型201
7.4.3VPN协议203
7.5无线网络安全209
7.5.1无线网络安全概述209
7.5.2移动通信网络安全210
7.5.3无线局域网安全213
7.6本章小结215
参考文献216
思考题216
第8章Web安全/217
8.1前端基础217
8.1.1URL217
8.1.2HTTP协议218
8.1.3JavaScript220
8.2SQL注入漏洞221
8.2.1SQL注入原理221
8.2.2注入漏洞分类223
8.2.3SQL Server数据库注入225
8.2.4防止SQL注入228
8.3XSS跨站脚本漏洞230
8.3.1XSS原理解析231
8.3.2XSS类型232
8.3.3XSS会话劫持235
8.3.4修复XSS跨站漏洞238
8.4本章小结239
参考文献239
思考题240
第9章软件安全与恶意代码/241
9.1软件安全概述241
9.2软件体系安全分析243
9.2.1基于标准的风险分析243
9.2.2STRIDE威胁建模244
9.3安全软件开发生命周期247
9.3.1传统软件开发生命周期247
9.3.2安全软件开发生命周期249
9.3.3其他安全软件开发生命周期模型251
9.4恶意代码分析254
9.4.1恶意软件的分类与区别254
9.4.2病毒的机理与防治255
9.4.3蠕虫的机理与防治262
9.4.4木马的机理与防治266
9.5本章小结269
参考文献270
思考题270
第10章信息内容安全/271
10.1信息内容安全概述271
10.1.1信息内容安全的概念271
10.1.2信息内容安全威胁272
10.1.3信息内容安全体系架构273
10.2信息内容获取技术274
10.2.1信息内容主动获取技术274
10.2.2信息内容被动获取技术278
10.3信息内容识别与分析284
10.3.1文本内容识别与分析284
10.3.2图像内容识别与分析289
10.4信息内容控制和管理293
10.4.1信息过滤技术293
10.4.2信息隐藏技术298
10.4.3数字水印与版权保护303
10.5信息内容安全应用307
10.5.1垃圾电子邮件过滤系统308
10.5.2网络舆情监控与管理系统313
10.6本章小结317
参考文献317
思考题319
第11章数据安全/321
11.1数据安全概述321
11.2数据备份与恢复321
11.2.1数据备份需求322
11.2.2数据备份类型323
11.2.3数据容灾技术326
11.3云计算技术327
11.3.1云计算概述328
11.3.2云计算体系架构330
11.3.3云数据存储技术330
11.3.4云数据管理技术332
11.4云计算安全333
11.4.1云计算安全需求333
11.4.2云计算安全威胁334
11.4.3云计算安全技术336
11.5本章小结338
参考文献338
思考题339
第12章信息安全管理与审计/340
12.1信息安全管理体系340
12.1.1信息安全管理体系概念340
12.1.2信息安全管理体系过程方法341
12.1.3信息安全管理体系构建流程342
12.1.4信息安全管理标准343
12.2信息安全风险评估347
12.2.1信息安全风险评估概念347
12.2.2信息安全风险评估组成要素347
12.2.3信息安全风险评估流程350
12.2.4信息安全风险评估方法与工具352
12.3信息安全审计355
12.3.1信息安全审计概述355
12.3.2信息安全审计的作用与内容356
12.3.3信息系统安全审计的发展357
12.4本章小结359
参考文献359
思考题359
第13章信息安全技术的新技术与应用/361
13.1量子密码361
13.1.1量子密码技术361
13.1.2量子通信技术363
13.2大数据安全与隐私保护367
13.2.1大数据面临的安全威胁367
13.2.2大数据安全与隐私保护技术371
13.3可信计算技术376
13.3.1可信计算平台体系结构378
13.3.2可信网络连接381
13.4本章小结382
参考文献383
思考题383
附录案例: H市中小企业服务平台建设方案/384
A.1系统概述384
A.2系统建设原则384
A.2.1总体规划、分步实施原则384
A.2.2安全可靠原则384
A.2.3先进性原则385
A.2.4实用原则385
A.2.5实时性原则386
A.2.6可扩展性原则386
A.2.7可维护性原则386
A.3系统总体建设386
A.3.1基本功能架构386
A.3.2主要建设内容386
A.3.3基本网络架构387
A.4系统详细设计387
A.4.1公文管理387
A.4.2协同工作387
A.4.3请示报告389
A.4.4信息报送389
A.4.5办公桌面389
A.4.6互动交流389
A.4.7移动政务应用389
A.4.8文件资料管理390
A.5系统的安全需求390