信息安全工程
《信息安全工程》是2003年机械工业出版社出版的图书，作者是[英]RossJ.Anderson。
-
选择特殊符号
选择搜索类型
请输入搜索
《信息安全工程》是2003年机械工业出版社出版的图书，作者是[英]RossJ.Anderson。
本书是当今世界安全工程领域的权威RossJ.Anderson的呕心之作，内容涵盖安全工程的方方面面。具体内容包括:基本安全工程概念描述，协议、加密、访问控制以及分布式系统的安全细节，生物测量学、安全印章、版权等诸多安全保护机制。本书提供的许多内容均是第一次以书籍形式出版;剖析了各种不同系统可能遭受的形式各异的攻击，从银行、医疗系统到报警系统、智能卡、移动通信以及电子商务，同时还提供了相应防护措施;本书还包括如何正确处理计算机安全与法律和社会文化相互影响的管理和策略问题。
第一部分
第1章 什么是安全工程
1.1 例一:银行
1.2 例二:空军基地
1.3 例三:医院
1.4 例四:家庭
1.5 定义
1.6 小结
第2章 协议
2.1 偷听口令的风险
2.2 谁去那里?简单的认证
2.2.1 质询和响应
2.2.2 米格战斗机中间人攻击
2.2.3 反射攻击
2.3 伪造消息
2.4 环境变更
2.5 选择协议攻击
2.6 管理密钥
2.6.1 基本密钥管理
.2.6.2 needham-schoeder协议
2.6.3 kerberos
2，7 走向形式化
2.7.1 一个典型的银行智能卡协议
2.7.2 ban逻辑
2.7.3 认证付费协议
2.7.4 形式化认证的局限性
2.8 小结
研究问题
参考资料
第3章 口令
3.1 基础
3.2 实用心理问题
3.2.1 社会工程
3.2.2 可靠口令输入的困难
3.2.3 记住口令的困难
3.3 系统问题
3.3.1 保护自己还是保护他人
3.3.2 入侵检测问题
3.3.3 可以培训用户吗
3.3.4 日益缺乏数据安全
3.4 口令的技术保护
3.4.1 口令输入攻击
3.4.2 口令存储攻击
3.4.3 绝对限制
3.5 小结
研究问题
参考资料
第4章 访问控制
4.1 引言
4.2 操作系统访问控制
4.2.1 组和角色
4.2.2 访问控制列表
4.2.3 unix操作系统安全
4.2.4 windows nt
4.2.5 权能
4.2.6 windows2000增加的新特性
4.2.7 粒度
4.2.8 沙盒和携带证据代码
4.2.9 对象请求代理
4.3 硬件保护
4.3.1 intel 80x86/penfium处理器
4.3.2 arm处理器
4.3.3 安全处理器
4.3.4 其他处理器
4.4 哪里出了问题
4.4.1 击毁堆栈
4.4.2 其他攻击技术
4.4.3 用户界面失败
4.4.4 为何这么多地方出现错误
4.4.5 补救措施
4.4.6 环境蠕变
4.5 小结
研究问题
参考资料
第5章 密码学
5.1 引言
5.2 历史背景
5.2.1 早期序列密码:vigenere表
5.2.2 一次一密法
5.2.3 早期的分组密码:playfair方法
5.2.4 单向函数
5.2.5 非对称基本加密方法
5.3 随机预言模型
5.3.1 随机函数:哈希函数
5.3.2 随机序列生成器:序列密码
5.3.3 随机置换:分组密码
5.3.4 公钥加密和陷门单向置换
5.3.5 数字签名
5.4 对称加密方法
5.4.1 sp网络
5.4.2 高级加密标准
5.4.3 feistel加密
5.5 操作模式
5.5.1 电子密码本模式
5.5.2 分组密码链接
5.5.3 输出反馈
5.5.4 计数器加密模式
5.5.5 密码反馈模式
5.5.6 消息验证码模式
5.6 哈希函数
5.6.1 基础加密的额外要求
5.6.2 常用哈希函数及其应用
5.7 非对称加密方法
5.7.1 基于因数分解的加密
5.7.2 基于离散对数的加密
5.7.3 特殊目的的签名方法
5.7.4 认证
5.7.5 非对称加密方法的强度
5.8 小结
研究问题
参考资料
第6章 分布式系统
6.1 并行
6.1.1 使用陈旧的数据与呈扩散状态的花费
6.1.2 通过锁定防止不一致的更新
6.1. 3 更新的顺序
6.1.4 死锁
6.1.5 不收敛的状态
6.1.6 安全时间
6.2 容错和故障恢复
6.2.1 故障模型
6.2.2 恢复什么
6.2.3 冗余在什么层
6.2.4 拒绝服务攻击
6.3 命名
6.3.1 分布式系统的命名观点
6.3.2 哪里出了问题
6.3.3 名字的类型
6.4 小结
研究问题
参考资料
第二部分
第7章 多级安全
7.1 引言
7.2 什么是安全策略模型
7.3 bell-lapadula安全策略模型
7.3.1 密级和许可
7.3.2 信息流控制
7.3.3 bell-lapadula模型的标准批判
7.3.4 可选模式
7.3.5 biba模型
7.4 多级安全系统的几个例子
7.4.1 scomp
7.4.2 blacker
7.4.3 mis unix、cmw和trusted win-dowing
7.4.4 nrl泵
7.4.5 后勤系统
7.4.6 紫色的penelope
7.4.7 未来的mls系统
7.5 哪里出了问题
7.5.1 组合系统
7.5.2 串联问题
7.5.3 隐蔽通道
7.5.4 病毒威胁
7.5.5 polyinstantiation
7.5.6 其他一些实际问题
7.6 mls更广泛的含义
7.7 小结
研究问题
参考资料
第8章 多边安全
8.1 引言
8.2 分割、长城和bma模型
8.2.1 分割和网格模型
8.2.2 长城模型
8.2.3 bma模型
8.2.4 比较分析
8.3 推理控制
8.3.1 在医学推理控制中的基本问题
8.3.2 推理控制的其他应用程序
8.3.3 推理控制理论
8.3.4 一般方法的局限性
8.3.5 缺陷保护的代价
8.4 剩余问题
8.5 小结
研究问题
参考资料
第9章 银行业和簿记系统
9.1 引言
9.1.1 簿记的起源
9.1.2 复式簿记
9.2 银行电脑系统如何工作
9.2.1 clark-wilson安全策略模型
9.2.2 责任的分离
9.2.3 哪里出了问题
9.3 大规模支付系统
9.3.1 全世界银行间金融电信协会(swift)
9.3.2 哪里出了问题
9.4 自动柜员机
9.4.1 atm的基础
9.4.2 哪里出了问题
9.4.3 实际应用
9.5 小结
研究问题
参考资料
第10章 监控系统
10.1 引言
10.2 报警器
10.2.1 威胁模式
10.2.2 为什么不能保护一幅画
10.2.3 传感器失灵
10.2.4 特征交互
10.2.5 攻击通信系统
10.2.6 经验教训
10.3 预付费仪表
10.3.1 需给电表
10.3.2 系统如何工作
10.3.3 什么地方会出错
10.4 计程器、转速表以及卡车速度限制器
10.4.1 哪里出了问题
10.4.2 对策
10.5 小结
研究问题
参考资料
第11章 核武器的指挥与控制
11.1 引言
11.2 肯尼迪备忘录
11.3 无条件安全认证码
11.4 共享控制系统
11.5 防篡改与指定行动链接
11.6 条约验证
11.7 哪里出了问题
11.8 保密还是公开
11.9 小结
研究问题
参考资料
第12章 安全印刷和印章
12.1 引言
12.2 历史
12.3 安全印刷
12.3.1 威胁模型
12.3.2 安全印刷技术
12.4 包装和印章
12.4.1 基片特性
12.4.2 粘贴问题
12.5 系统脆弱性
12.5.1 威胁模型的特性
12. 5.2 员工的细心
12.5.3 随机失败的效果
12.5.4 材料控制
12.5.5 不保护正确的事物
12.5.6 检查的成本和性质
12.6 评估方法论
12.7 小结
研究问题
参考资料
第13章 生物测量学
13.1 引言
13.2 手写签名
13.3 面部识别
13.4 指纹
13.5 虹膜编码
13.6 声音识别
13.7 其他系统
13.8 哪里出了问题
13.9 小结
研究问题
参考资料
第14章 物理防篡改
14.1 引言
14.2 历史
14.3 高端物理安全处理器
14.4 评估
14.5 中级--安全处理器
14.5.1 ibutton
14.5.2 dallas 5002
14.5.3 capstone/clipper芯片
14.6 智能卡和微控制器
14.6.1 体系结构
14.6.2 安全的演化
14.6.3 技术现状
14.7 哪里出了问题
14.7.1 体系结构错误
14.7.2 模糊性和评估错误
14.7.3 协议失败
14.7.4 功能蠕变
14.8 什么应该受到保护
14.9小结
研究问题
参考资料
第15章 发射安全
15.1 引言
15.2 历史
15.3 技术监视和对策
15.4 被动攻击
15.4.1 通过电源和信号电缆的泄露
15.4.2 通过射频信号的泄露
15.5 主动攻击
15.5.1 风暴型病毒
15.5.2 nonstop
15.5.3 假信号脉冲
15.5.4 差异故障分析
15.5.5 联合攻击
15.5.6 商业利用
15.5.7 防御
15.6 发射安全攻击有多严重
15.6.1 政府
15.6.2 商业
15.7 小结
研究问题
参考资料
第16章 电子战与信息战
16.1 引言
16.2 基础
16.3 通信系统
16.3.1 信号侦察技术
16.3.2 通信攻击
16.3.3 保护技术
16.3.4 民用与军用的交互
16.4 监视与目标探测
16.4.1 雷达类型
16.4.2 干扰技术
16.4.3 高级雷达与反测量措施
16.4.4 其他传感器与多传感器问题
16.5 敌我识别系统(iff)
16.6 定向能量武器
16.7 信息战
16.7.1 定义
16.7.2 学说
16.7.3 电子战中潜在的教训
16.7.4 电子战与信息战的区别
16.8 小结
研究问题
参考资料
第17章 电信系统的安全
17.1 引言
17.2 电话盗打
17.2.1 对仪表的攻击
17.2.2 信号攻击
17.2.3 攻击交换机与配置
17.2.4 不安全的终端系统
17.2.5 特征干扰
17.3 移动电话
17.3.1 移动电话复制
17.3.2 gsm系统结构
17.3.3 通信安全机制
17.3.4 下一代产品:3gpp
17.3.5 gsm安全:成功或失败
17.4 群体欺诈
17.5 小结
研究问题
参考资料
第18章 网络攻击与防御
18.1 引言
18.1.1 最普通的攻击手段
18.1.2 技术问题:脚本小子和打包防御
18.2 网络协议攻击
18.2.1 局域网攻击
18.2.2 使用因特网协议和机制的攻击
18.3 防御网络攻击
18.3.1 配置管理
18.3.2 防火墙
18.3.3 防火墙的作用和局限性
18.3.4 加密技术
18.4 特洛伊、病毒和蠕虫
18.4.1 早期的恶意代码
18.4.2 因特网蠕虫
18.4.3 病毒和蠕虫如何工作
18.4.4 竞争
18.4.5 近期历史
18.4.6 防病毒措施
18.5 入侵检测
18.5.1 入侵检测类型
18.5.2 入侵检测的普遍局限性
18.5.3 检测网络攻击的特殊问题
18.6 小结
研究问题
参考资料
第19章 保护电子商务系统
19.1 引言
19.2 电子商务的电报史
19.3 信用卡介绍
19.3.1 欺骗行为
19.3.2 伪造
19.3.3 自动欺骗检测
19.3.4 经济学
19.4 在线信用卡欺骗:大肆宣传以及现实情况
19.5 密码保护机制
19.5.1 安全套接层
19.5.2 安全电子事务(set)
19.5.3 公共密钥基础设施(pkl)
19.5.4 电子数据交换(edl)和b2b系统
19.5.5 电子钱包和微支付
19.6 网络经济
19.7 具有竞争力的应用和公司间的冲突
19.8 还有什么其他容易出现的问题
19.9 商家能做些什么
19.10 小结
研究问题
参考资料
第20章 版权和隐私保护
20.1 引言
20.2 版权
20.2.1 软件
20.2.2 书刊
20.2.3 音频
20.2.4 视频和付费电视
20.2.5 dvd
20.3 信息隐藏
20.3.1 dvd标记概念
20.3.2 常规信息隐藏技术
20.3.3 对版权标记的攻击
20.3.4 版权标记方案的应用
20.4 隐私机制
20.4.1 内容隐藏:pgp
20.4.2 内容否认--隐写术
20.4.3 联合隐藏--remailer和译解密码者
20.4.4 联合拒绝--数字货币
20.4.5 其他应用和问题
20.5 小结
研究问题
参考资料
第三部分
第21章 电子策略
21.1 引言
21.2 密码技术策略
21.2.1 警方窃听的历史
21.2.2 流量分析的历史
21.2.3 对外国目标的通信情报
21.2.4 密码策略的历史
21.2.5 讨论
21.3 版权
21.3.1 数字千年版权法案
21.3.2 即将出现的欧洲法令和ucita
21.4 数据保护
21.4.1 欧洲数据保护的历史
21.4.2 欧洲和美国间的差异
21.4.3 目前的趋势
21.5 证据的问题
21.5.1 证据的有效性
21.5.2 证据的可靠性
21.5.3 电子签名
21.5.4 证据的负担
21.6 其他公共部门的问题
21.6.1 服务交付
21.6.2 社会排挤和歧视
21.6.3 税收保护
21.6.4 选举
21.7 小结
研究问题
参考资料
第22章 管理问题
22.1 引言
22.2 管理安全项目
22.2.1 三家超市的故事
22.2.2 平衡风险和报酬
22.2.3 组织问题
22.3 方法论
22.3.1 自顶向下设计
22.3.2 反复设计
22.3.3 来自安全关键型系统的教训
22.4 安全需求工程
22.4.1 管理需求的发展
22.4.2 管理项目需求
22.4.3 并行处理
22.5 风险管理
22.6 经济问题
x.7 小结
研究问题
参考资料
第23章 系统评估与保证
23.1 引言
23.2 保证
23.2.1 不正当的经济动机
23.2.2 项目保证
23.2.3 处理保证
23.2.4 保证增长
23.2.5 进化和安全保证
23.3 评估
23.3.1 信赖方的评估
23.3.2 通用准则
23.3.3 什么容易出现问题
23.4 前面的路
23.4.1 半开放设计
23.4.2 开放源代码
23.4.3 penetrate-and-patch、cert和bugtraq
23.4.4 教育
23.5 小结
研究问题
参考资料
结束语
参考文献
丛书名: 计算机科学丛书
开本:16开
页码:485
学院面向信息安全的国家需求，创建了一系列高水平学术科研基地，支撑信息安全人才的培养和实践。●信息内容分析技术国家工程实验室●网络信息安全管理与服务教育部工程研究中心●教育部中国大学生应急响应服务支持中...
网络信息安全工程师是指遵照信息安全管理体系和标准工作，防范黑客入侵并进行分析和防范，通过运用各种安全产品和技术，设置防火墙、防病毒、IDS、PKI、攻防技术等。进行安全制度建设与安全技术规划、日常维护...
现在正备考信息安全工程师，基础不是很好，该如何复习通过考试？
根据考试大纲，系统的学习和掌握每个章节的知识点，在看完了《信息安全工程师教程》之后，如有不懂的知识点，可以适当的学习和参考其他的书籍（《信息安全工程师教程》、《信息安全工程师考试全程指导》），以便牢固...
用信息安全工程理论规范信息安全建设
用信息安全工程理论规范信息安全建设
在较短的时间之内,计算机和信息革命已经在我国社会各个层面中发展起来,引起经济运作方式的逐渐转变,也对国家安全的保障方式进行了相应的改变。人们日常生活方式也逐渐的转变,本文主要针对了信息安全工程理论的规范以及对信息安全的建设进行了深入的分析和探讨,并且根据实际的情况以及发生的问题,提出了相应的措施以及合理的建议,仅供参考。
信息保障体系和信息安全工程建设
信息保障体系和信息安全工程建设
近年来,随着网络技术在我国的迅速发展,信息技术开始在我国的各行各业之中广泛使用,其便捷性和操作性极大提高了我国生产的效率,提高了我国经济发展的速度,更是催生了互联网行业这一新兴的经济产业.为了更好的适应信息化时代的进程,我国的政府和许多企业都开始在日常的工作之中引入网络技术来对经营和管理之中的信息进行存储.但是,在我国当前的网络发展之中,网络信息安全始终是发展中的一大阻力,企业和政府信息资料通过网络被窃取的事故频发,严重阻碍了网络技术在我国的发展.本文从网络信息安全管理的角度分析了在我国当前的网络使用过程中的安全问题,并就存在的问题提出了一些解决的措施,希望可以在我国未来的网络发展之中作为参考.
一、适用范围
本意见所指信息化工程项目，是指以计算机、通信和其它现代信息技术为主要手段，新建、升级、续建的计算机信息网络、信息应用系统、信息资源开发利用等工程。
本市行政区域内的信息安全工程项目、全部或者部分使用财政、国有资金投资的信息化工程项目、国家融资的信息化工程项目、使用国际组织或者外国政府贷款、援助资金的信息化工程项目、关系社会公共利益、公众安全的信息化工程项目，均适用本通知。但隶属中央、省和军事系统的信息化工程除外。
二、项目建设（技术）方案审核
需要立项的信息化工程项目，建设单位在立项前，必须按行政许可程序填写《信息安全工程和用财政性资金建设的信息工程项目审核申请表》后并同项目可行性研究报告、建设(技术)方案报信息化主管部门进行审核。符合本级信息化有关规划和信息安全管理要求的，信息化主管部门予以批复，审核通过后，建设单位方可按照程序办理立项的下一步手续，《信息安全工程和用财政性资金建设的信息工程项目审核申请表》和批复文件作为项目立项和政府采购的主要依据之一。否则立项和政府采购管理部门将不予办理相关手续。其中涉及电子政务统一平台项目的规划和建设（技术）方案，报上一级信息化主管部门进行审核。
预算金额20万元以上的信息化工程，进入政府采购或招投标程序前，建设单位须按行政许可程序将技术需求方案报同级信息化主管部门进行审核，填写《信息安全工程和用财政性资金建设的信息工程项目审核申请表》。技术需求方案须有详细的功能要求、技术参数要求、数量及品牌范围、售后服务要求、投资估算等。信息化主管部门牵头组织财政局相关部门、项目审批部门、信息化专家对技术需求方案、投标人需要的相应资质条件进行审查论证。论证通过后的技术需求方案即可作为招标文件的相应组成部分。
三、项目招投标
信息工程建设依法实行项目法人负责制、工程监理制、招标投标制和质量负责制。
达到规定限额的信息化工程项目，必须实行公开招投标。涉及国家安全、国家秘密等特殊情况，不适宜进行招标的信息化工程项目，按照国家有关规定执行。
承建信息化工程项目的施工单位，必须具有信息产业、公安、国安、保密等主管部门认可的相应资质等级证书，建设单位在招标书中须予以明确。凡不具备相应资质的，一律不得参与工程招投标。
信息化工程评标委员会中经济、技术等方面专家不得少于成员总数的三分之二，其中信息技术专家不得少于成员总数的二分之一。
信息化主管部门依法对信息化工程建设项目招投标活动进行行政监督检查。
四、项目监理
适应本意见范围的信息化工程项目，应同时实行信息工程监理制度。监理费用纳入工程预算。从事信息工程监理活动的单位要具有信息产业部门信息系统工程监理的相应资质，同一工程的建设和监理要由相互独立的机构分别承担。监理单位要先于承建单位介入，没有确立监理单位的信息工程，建设单位不得开工建设，市政府采购办不予办理相关手续。
五、项目验收
合同资金不少于30万元或财政安排资金不少于10万元的所有信息化工程项目，项目完成后，建设单位应向信息化主管部门提交验收申请，由信息化主管部门牵头，会同项目审批部门、财政局相关部门进行验收。
申请时应提交以下材料：填写《常宁市信息化工程竣工验收申请表》、批准建设文件、可行性研究报告、实施方案、竣工报告、监理报告、系统试运行报告、用户意见、具有相应资质的第三方测评报告和软件测评报告，以及其它需要提交的材料。
对验收合格的信息化建设项目，由信息化主管部门核发竣工验收合格通知书，涉及财政性资金的，合格通知书作为拨付项目建设资金的依据之一；对不符合竣工验收要求的建设项目，建设单位不得投入使用，不能接入政府网络、公共网络、公益性网络以及其他涉及公众利益的网络，由信息化主管部门提出整改要求，限期整改，直至验收合格。
六、其它
参与项目评审、验收的专家，要求是信息化咨询委员会成员或评标专家库专家。
对违反本通知要求的项目建设单位及相关部门，由信息化主管部门、项目审批部门、财政部门根据国家、省、市相关法律法规和政策，向市信息化领导小组及纪检监察部门提出处理意见，追究单位负责人和有关人员的行政责任，构成犯罪的，依法追究刑事责任。政府目标管理考核的相应工作中予以扣分。纪检监察部门对各责任部门及项目建设进行监督。
在整个信息安全审计师的知识体系结构中，共包括信息安全保障、信息安全标准与法律法规、信息安全技术、信息安全管理、信息安全工程、信息安全审计概述、信息安全审计组织和实施、信息安全控制措施审计实务这八个知识类，每个知识类根据其逻辑划分为多个知识体，每个知识体包含多个知识域，每个知识域由一个或多个知识子域组成。
信息安全审计师知识体系的八个知识类分别为：
信息安全保障：主要包括信息安全保障的框架、基本原理和实践。
信息安全标准与法律法规：主要包括信息安全相关的标准、法律法规和道德规范。
信息安全技术：主要包括密码学基础与应用、网络安全、操作系统安全和应用安全等内容。
信息安全管理：主要包括信息安全管理基本概念、信息安全风险管理、信息安全管理体系建设及信息安全等级保护管理机制等内容。
信息安全工程：主要包括同信息安全相关的工程知识和实践。
信息安全审计概述：主要包括审计的背景、审计的分类和对象、审计相关术语和定义、信息系统/信息安全审计的提出和发展、内容以及审计相关法律法规与准则等内容。
信息安全审计的组织与实施：主要包括信息安全审计方法、信息安全审计计划、信息安全审计证据、信息安全审计工作底稿、信息安全审计报告、信息安全审计案例及练习活动（审计风险判断、编制审计计划、编制审计检查表、判断问题事项及安全风险等）等内容。
信息安全控制措施审计实务：主要包括信息安全管理控制审计实务、信息安全工程控制审计实务、信息安全技术控制审计实务以及信息安全审计上机实验和信息安全审计工具测试案例介绍。
常宁市人民政府办公室转发市信息办等单位《关于规范我市信息化工程项目建设管理的意见》详细内容