William Stallings，拥有美国麻省理工学院计算机科学博士学位，现任教于澳大利亚新南威尔士大学国防学院(堪培拉)信息技术与电子工程系。他是世界知名计算机学者和畅销教材作者，已经撰写了17部著作，出版了40多本书籍，内容涉及计算机安全、计算机网络和计算机体系结构等方面，堪称计算机界的全才。他曾九次荣获美国“教材和学术专著作者协会”颁发的“年度*计算机科学教材”奖。
【目录】
Chapter 0 Reader's and Instructor's Guide
0.1 Outline of This Book
0.2 A Roadmap for Readers and Instructors
0.3 Support for CISSP Certification
0.4 Internet and Web Resources
0.5 Standards
Chapter 1 Overview
1.1 Computer Security Concepts
1.2 Threats， Attacks， and Assets
1.3 Security Functional Requirements
1.4 A Security Architecture for Open Systems
1.5 Computer Security Trends
1.6 Computer Security Strategy
1.7 Recommended Reading and Web Sites
1.8 Key Terms， Review Questions， and Problems
PART ONE： COMPUTER SECURITY TECHNOLOGY AND PRINCIPLES
Chapter 2 Cryptographic Tools
2.1 Confidentiality with Symmetric Encryption
2.2 Message Authentication and Hash Functions
2.3 Public-Key Encryption
2.4 Digital Signatures and Key Management
2.5 Random and Pseudorandom Numbers
2.6 Practical Application： Encryption of Stored Data
2.7 Recommended Reading and Web Sites
2.8 Key Terms， Review Questions， and Problems
Chapter 3 User Authentication
3.1 Means of Authentication
3.2 Password-Based Authentication
3.3 Token-Based Authentication
3.4 Biometric Authentication
3.5 Remote User Authentication
3.6 Security Issues for User Authentication
3.7 Practical Application： An Iris Biometric System
3.8 Case Study： Security Problems for ATM Systems
3.9 Recommended Reading and Web Sites
3.10 Key Terms， Review Questions， and Problems
Chapter 4 Access Control
4.1 Access Control Principles
4.2 Subjects， Objects， and Access Rights
4.3 Discretionary Access Control
4.4 Example： UNIX File Access Control
4.5 Role-Based Access Control
4.6 Case Study： RBAC System for a Bank
4.7 Recommended Reading and Web Site
4.8 Key Terms， Review Questions， and Problems
Chapter 5 Database Security
5.1 The Need for Database Security
5.2 Database Management Systems
5.3 Relational Databases
5.4 Database Access Control
5.5 Inference
5.6 Statistical Databases
5.7 Database Encryption
5.8 Cloud Security
5.9 Recommended Reading and Web Site
5.10 Key Terms， Review Questions， and Problems
Chapter 6 Malicious Software
6.1 Types of Malicious Software （Malware）
6.2 Propagation-Infected Content-Viruses
6.3 Propagation-Vulnerability Exploit-Worms
6.4 Propagation-Social Engineering-SPAM E-mail， Trojans
6.5 Payload-System Corruption
6.6 Payload-Attack Agent-Zombie， Bots
6.7 Payload-Information Theft-Keyloggers， Phishing， Spyware
6.8 Payload-Stealthing-Backdoors， Rootkits
6.9 Countermeasures
6.10 Recommended Reading and Web Sites
6.11 Key Terms， Review Questions， and Problems
Chapter 7 Denial-of-Service Attacks
7.1 Denial-of-Service Attacks
7.2 Flooding Attacks
7.3 Distributed Denial-of-Service Attacks
7.4 Application-Based Bandwidth Attacks
7.5 Reflector and Amplifier Attacks
7.6 Defenses Against Denial-of-Service Attacks
7.7 Responding to a Denial-of-Service Attack
7.8 Recommended Reading and Web Sites
7.9 Key Terms， Review Questions， and Problems
Chapter 8 Intrusion Detection
8.1 Intruders
8.2 Intrusion Detection
8.3 Host-Based Intrusion Detection
8.4 Distributed Host-Based Intrusion Detection
8.5 Network-Based Intrusion Detection
8.6 Distributed Adaptive Intrusion Detection
8.7 Intrusion Detection Exchange Format
8.8 Honeypots
8.9 Example System： Snort
8.10 Recommended Reading and Web Sites
8.11 Key Terms， Review Questions， and Problems
Chapter 9 Firewalls and Intrusion Prevention Systems
9.1 The Need for Firewalls
9.2 Firewall Characteristics
9.3 Types of Firewalls
9.4 Firewall Basing
9.5 Firewall Location and Configurations
9.6 Intrusion Prevention Systems
9.7 Example： Unified Threat Management Products
9.8 Recommended Reading and Web Site
9.9 Key Terms， Review Questions， and Problems
PART TWO： SOFTWARE SECURITY AND TRUSTED SYSTEMS
Chapter 10 Buffer Overflow
10.1 Stack Overflows
10.2 Defending Against Buffer Overflows
10.3 Other Forms of Overflow Attacks
10.4 Recommended Reading and Web Sites
10.5 Key Terms， Review Questions， and Problems
Chapter 11 Software Security
11.1 Software Security Issues
11.2 Handling Program Input
11.3 Writing Safe Program Code
11.4 Interacting with the Operating System and Other Programs
11.5 Handling Program Output
11.6 Recommended Reading and Web Sites
11.7 Key Terms， Review Questions， and Problems
Chapter 12 Operating System Security
12.1 Introduction to Operating System Security
12.2 System Security Planning
12.3 Operating Systems Hardening
12.4 Application Security
12.5 Security Maintenance
12.6 Linux/Unix Security
12.7 Windows Security
12.8 Virtualization Security
12.9 Recommended Reading and Web Sites
12.10 Key Terms， Review Questions， and Problems
Chapter 13 Trusted Computing and Multilevel Security
13.1 The Bell-LaPadula Model for Computer Security
13.2 Other Formal Models for Computer Security
13.3 The Concept of Trusted Systems
13.4 Application of Multilevel Security
13.5 Trusted Computing and the Trusted Platform Module
13.6 Common Criteria for Information Technology Security
Evaluation
13.7 Assurance and Evaluation
13.8 Recommended Reading and Web Sites
13.9 Key Terms， Review Questions， and Problems
PART THREE： MANAGEMENT ISSUES
Chapter 14 IT Security Management and Risk Assessment
14.1 IT Security Management
14.2 Organizational Context and Security Policy
14.3 Security Risk Assessment
14.4 Detailed Security Risk Analysis
14.5 Case Study： Silver Star Mines
14.6 Recommended Reading and Web Sites
14.7 Key Terms， Review Questions， and Problems
Chapter 15 IT Security Controls， Plans， and Procedures
15.1 IT Security Management Implementation
15.2 Security Controls or Safeguards
15.3 IT Security Plan
15.4 Implementation of Controls
15.5 Implementation Follow-up
15.6 Case Study： Silver Star Mines
15.7 Recommended Reading
15.8 Key Terms， Review Questions， and Problems
Chapter 16 Physical and Infrastructure Security
16.1 Overview
16.2 Physical Security Threats
16.3 Physical Security Prevention and Mitigation Measures
16.4 Recovery from Physical Security Breaches
16.5 Example： A Corporate Physical Security Policy
16.6 Integration of Physical and Logical Security
16.7 Recommended Reading and Web Sites
16.8 Key Terms， Review Questions， and Problems
Chapter 17 Human Resources Security
17.1 Security Awareness， Training， and Education
17.2 Employment Practices and Policies
17.4 Computer Security Incident Response Teams
17.5 Recommended Reading and Web Sites
17.6 Key Terms， Review Questions， and Problems
Chapter 18 Security Auditing
18.1 Security Auditing Architecture
18.2 The Security Audit Trail
18.3 Implementing the Logging Function
18.4 Audit Trail Analysis
18.5 Example： An Integrated Approach
18.6 Recommended Reading and Web Site
18.7 Key Terms， Review Questions， and Problems
Chapter 19 Legal and Ethical Aspects
19.1 Cybercrime and Computer Crime
19.2 Intellectual Property
19.3 Privacy
19.4 Ethical Issues
19.5 Recommended Reading and Web Sites
19.6 Key Terms， Review Questions， and Problems
PART FOUR CRYPTOGRAPHIC ALGORITHMS
Chapter 20 Symmetric Encryption and Message Confidentiality
20.1 Symmetric Encryption Principles
20.2 Data Encryption Standard
20.3 Advanced Encryption Standard
20.4 Stream Ciphers and RC
20.5 Cipher Block Modes of Operation
20.6 Location of Symmetric Encryption Devices
20.7 Key Distribution
20.8 Recommended Reading and Web Sites
20.9 Key Terms， Review Questions， and Problems
Chapter 21 Public-Key Cryptography and Message Authentication
21.1 Secure Hash Functions
21.2 HMAC
21.3 The RSA Public-Key Encryption Algorithm
21.4 Diffie-Hellman and Other Asymmetric Algorithms
21.5 Recommended Reading and Web Sites
21.6 Key Terms， Review Questions， and Problems
PART FIVE NETWORK SECURITY
Chapter 22 Internet Security Protocols and Standards
22.1 Secure E-mail and S/MIME
22.2 DomainKeys Identified Mail
22.3 Secure Sockets Layer （SSL） and Transport Layer Security
（TLS）
22.4 HTTPS
22.5 IPv4 and IPv6 Security
22.6 Recommended Reading and Web Sites
22.7 Key Terms， Review Questions， and Problems
Chapter 23 Internet Authentication Applications
23.1 Kerberos
23.2 X.
23.3 Public-Key Infrastructure
23.4 Federated Identity Management
23.5 Recommended Reading and Web Sites
23.6 Key Terms， Review Questions， and Problems
Chapter 24 Wireless Network Security
24.1 Wireless Security Overview
24.2 IEEE 802.11 Wireless LAN Overview
24.3 IEEE 802.11i Wireless LAN Security
24.4 Recommended Reading and Web Sites
24.5 Key Terms， Review Questions， and Problems
Appendix A Projects and Other Student Exercises for Teaching
Computer Security
A.1 Hacking Project
A.2 Laboratory Exercises
A.3 Research Projects
A.4 Programming Projects
A.5 Practical Security Assessments
A.6 Firewall Projects
A.7 Case Studies
A.8 Writing Assignments
A.9 Reading/Report Assignments
References
Index
Credits
Chapter 25 Linux Security
25.1 Introduction
25.2 Linux's Security Model
25.3 The Linux DAC in Depth： Filesystem Security
25.4 Linux Vulnerabilities
25.5 Linux System Hardening
25.6 Application Security
25.7 Mandatory Access Controls
25.8 Recommended Reading and Web Sites
25.9 Key Terms， Review Questions， and Problems
Chapter 26 Windows and Windows Vista Security
26.1 Windows Security Architecture
26.2 Windows Vulnerabilities
26.3 Windows Security Defenses
26.4 Browser Defenses
26.5 Cryptographic Services
26.6 Common Criteria
26.7 Recommended Reading and Web Sites
26.8 Key Terms， Review Questions， Problems， and Projects
Appendix B Some Aspects of Number Theory
B.1 Prime and Relatively Prime Numbers
B.2 Modular Arithmetic
B.3 Fermat's and Euler's Theorems
Appendix C Standards and Standard-Setting Organizations
C.1 The Importance of Standards
C.2 Internet Standards and the Internet Society
C.3 National Institute of Standards and Technology
C.4 The International Telecommunication Union
C.5 The International Organization for Standardization
C.6 Significant Security Standards and Documents
Appendix D Random and Pseudorandom Number Generation
D.1 The Use of Random Numbers
D.2 Pseudorandom Number Generators （PRNGs）
D.3 True Random Number Generators
D.4 References
Appendix E Message Authentication Codes Based on Block
Ciphers
E.1 Cipher-Based Message Authentication Code （CMAC）
E.2 Counter with Cipher Block Chaining-Message Authentication
Code
Appendix F TCP/IP Protocol Architecture
F.1 TCP/IP Layers
F.2 TCP and UDP
F.3 Operation of TCP/IP
F.4 TCP/IP Applications
Appendix G Radix-64 Conversion
Appendix H Security Policy-Related Documents
H.1 A Company's Physical and Environmental Security Policy
H.2 Security Policy Standard of Good Practice
H.3 Security Awareness Standard of Good Practice
H.5 Incident Handling Standard of Good Practice
Appendix I The Domain Name System
I.1 Domain Names
I.2 The DNS Database
I.3 DNS Operation
Appendix J The Base-Rate Fallacy
J.1 Conditional Probability and Independence
J.2 Bayes' Theorem
J.3 The Base-Rate Fallacy Demonstrated
Appendix K Glossary
26.5 Cryptographic Services
26.6 Common Criteria
26.7 Recommended Reading and Web Sites
26.8 Key Terms， Review Questions， Problems， and Projects
Appendix B Some Aspects of Number Theory
B.1 Prime and Relatively Prime Numbers
B.2 Modular Arithmetic
B.3 Fermat's and Euler's Theorems
Appendix C Standards and Standard-Setting Organizations
C.1 The Importance of Standards
C.2 Internet Standards and the Internet Society
C.3 National Institute of Standards and Technology
C.4 The International Telecommunication Union
C.5 The International Organization for Standardization
C.6 Significant Security Standards and Documents
Appendix D Random and Pseudorandom Number Generation
D.1 The Use of Random Numbers
D.2 Pseudorandom Number Generators （PRNGs）
D.3 True Random Number Generators
D.4 References
Appendix E Message Authentication Codes Based on Block
Ciphers
E.1 Cipher-Based Message Authentication Code （CMAC）
E.2 Counter with Cipher Block Chaining-Message Authentication
Code
Appendix F TCP/IP Protocol Architecture
F.1 TCP/IP Layers
F.2 TCP and UDP
F.3 Operation of TCP/IP
F.4 TCP/IP Applications
Appendix G Radix-64 Conversion
Appendix H Security Policy-Related Documents
H.1 A Company's Physical and Environmental Security Policy
H.2 Security Policy Standard of Good Practice
H.3 Security Awareness Standard of Good Practice
H.5 Incident Handling Standard of Good Practice
Appendix I The Domain Name System
I.1 Domain Names
I.2 The DNS Database
I.3 DNS Operation
Appendix J The Base-Rate Fallacy
J.1 Conditional Probability and Independence
J.2 Bayes' Theorem
J.3 The Base-Rate Fallacy Demonstrated
Appendix K Glossary
【内容简介】
本书在上一版的基础上进行了修订与更新，全面覆盖了计算机安全领域的相关主题。全书共分为五个部分：部分——计算机安全技术与原理，概述了支持有效安全策略所必需的技术领域；第二部分——软件安全与可信系统，讲解了软件开发和运行中的安全问题；第三部分——管理问题，主要讨论信息与计算机安全在管理方面的问题；第四部分——密码学算法，给出了各种类型的加密算法和其他类型的密码算法；第五部分——网络安全，重点分析了为网络通信提供安全保障的协议和标准。本书思路清晰、结构严谨，并且提供了大量精心设计的实践问题。
【前言】
前言
第二版中的新内容
自本书版出版的5年多以来，该领域也在不断创新和改进。在这个新版本中，我们试图捕捉到这些变化，同时保持对整个领域广泛而全面的覆盖。修订过程从对本书版的
广泛审阅开始，由一些从事该领域教学的教授或者在该领域工作的专业人士进行，新版本中
很多地方的叙述更加简洁清晰，插图也得到了改进。
本书的一个明显的变化是组织结构的修订，这样一来可以更清晰地介绍相关主题。增加 了新的两章
“操作系统安全性”及“无线安全”。第三部分的内容进行了章节重新安排，因此更加系统化。除了这些提高教学和用户友好性的改进之外，还有一些贯穿全书的主要实质性变化，重
点包括：
●操作系统安全性：本章重点反映了NIST SP800-123 中的内容。本章还介绍了虚拟机安全性的重要论题。
●云安全：一个新的小节，覆盖了与令人兴奋的新领域——云计算相关的安全问题。
●基于应用程序的拒绝服务攻击：一个有关拒绝服务攻击的普遍形式的新小节。
●恶意软件：本章与版相比有不同的重点。我们越来越多地看到通过社会工程攻击安装后门/rootkit
类型的恶意软件，而不是更经典的病毒/ 蠕虫直接感染。网络钓鱼甚至比以往任何时候都更加突出。这些趋势都体现在本书的内容中。
●Internet安全协议及标准：本章已扩展到包括另外两个重要的协议和服务：HTTPS 和
DKIM。
●无线安全：已经添加了新的一章“无线安全”。
●计算机安全事件响应：CSIR 一节已进行了更新和扩充。
●学生学习辅助：现在每章以一个学习目标的列表开始。
●教学大纲示例：教材包含的材料超过了一个学期可以覆盖的内容。因此，为教师提供了几个教学大纲示例以帮助大家在有限的时间（例如16周或12周）使用教材。这些示例基于参与版编写的教师的实际经验。
●实践问题集：一组课外习题并附有答案，以供学生使用。
●试题库：每章都设置了一组复习题，包括判断题、多项选择题和填空题。
写作背景
近几年来，计算机安全及相关主题的教学兴趣呈现出飞速般的增长。若干因素导致了这 一兴趣，列举其中两个：
1. 随着信息系统、数据库和基于Internet
的分布式系统与通信在商业界的普及，再加上安全相关的攻击强度和复杂性的增加，组织机构现在已经认识到需要一个全面的安全策略。该策略包括使用专门的硬件和软件与经过培训的人员以满足这种需求。
2．计算机安全教育，通常称为信息安全教育或信息保障教育，已成为美国及其他国家的国家目标，其中包含国防及国土安全的含义。信息系统安全教育讨论会和美国国家安全局（NSA）的信息保障课件评估（IACE）计划等组织机构，在发展计算机安全教育标准方面扮演着政府的带头角色。
因此，大学、社区学院及其他机构的计算机安全及相关领域的课程数目也越来越多。
写作目标
本书的写作目标是提供一个计算机安全发展的调查。安全设计和安全管理员面临的核心的问题包括确定计算机和网络系统的威胁，评价这些威胁的相对风险，以及开发用户友好和经济有效的对策。
讨论的内容涉及以下基本主题：
●原理：虽然本书范围广泛，但是一些基本原理在讨论主题中反复出现，统一了全书内容。例如有关身份鉴别和访问控制的问题，本书强调了这些基本原理，并探讨了它们在计算机安全具体领域的应用。
●设计方法：本书探讨了符合特定计算机安全要求的不同方法。
●标准：标准在这一领域承担着越来越重要的责任，实际上成为了占统治地位的角色。了解技术的现况及未来的发展方向，要求对相关标准进行全面的讨论。
●真实世界的例子：一些章包括展示本章基本原理在真实世界环境中实际应用的小节。
读者对象
本书适用于学术和专业读者，可以作为一或两个学期的计算机科学、计算机工程和电子工程专业的本科生教材。它涵盖了OS
安全和保护的所有主题，这是IEEE/ ACM 计算机课程计划CC2008 （CS2001
的临时修订版本）的一个核心学科领域，此外还包括一些其他主题。本书涵盖了IEEE/ACM 2008
信息技术学士学位课程中信息保障和安全（IAS ）的课程纲要的核心内容，并且涵盖了IEEE/ACM 2004
计算机工程专业CE-OPS6 安全和保护的课程纲要。
这是一本对该领域感兴趣的读者的基本参考书，并且适合自学。
教材的组织
本书分为五个部分（见第0 章）：
●计算机安全技术与原理
●软件安全与可信系统
●管理问题
●密码学算法
●网络安全
本书配有相关的一些在线章节和附录，其中提供了更详细的主题。
本书包括一个广泛的词汇表、常用首字母缩写词表和参考文献。每一章都给出课外习题、复习题、关键词列表、进一步的阅读建议和推荐网站。对CISSP
学科领域的覆盖本书覆盖了CISSP （国际注册信息系统安全专业人员）认证要求的所有学科领域。国际信息系统安全认证协会（ISC
）指定的CISSP
通常称为信息安全认证的“黄金标准”。它是安全行业公认的认证。许多组织，包括美国国防部和许多金融机构，现在都要求网络安全人员获得CISSP
认证。2004 年， CISSP 成为个获得国际标准ISO / IEC 17024 （人员认证机构通用要求）认可的IT
计划。
CISSP 考试基于公共知识体系（CBK ），它是由一个非盈利性组织（ISC ）开发和维护的信息安全实践纲要。CISSP
认证要求的CBK 由10个领域的知识组成，本书覆盖的CBK的详细信息请参阅第0 章。
学生资源①
在这个新版本中，大量的原始辅助材料通过网络在线提供给学生。本书配套网站位于WilliamStallings.com/ComputerSecurity（点击Student
Resources链接），其中包含按章组织的一系列相关链接和一份勘误表。
此外还将在线提供下列材料：
●网络章节：为了降低书本的厚度和成本，其中两章以PDF 格式提供。本书的目录中列出了这些章节。
●在线附录：总共有9个附录，包含大量支持教材中内容的有趣主题，提供给感兴趣的学生阅读。本书的目录中给出了附录列表。
① 学习资源网站的一些资源可登录华信教育资源网（www.hxedu.com.cn）注册下载。
●课外习题和答案：为了帮助学生理解材料，有一组独立的课外习题，并附有答案。这使学生能够测试他们对教材的理解程度。
●重要论文：来自专业文献的几十个文件，许多都很难找到，可以提供进一步的阅读。
●支持文件：网上提供了许多教材中引用的其他有用文档。
教师支持材料①
为教师提供的支持材料包括：
●项目手册：列出了所有项目类别的项目资源，包括相关文档和简易软件，以及建议的项目作业指导。
●解答手册：每章末的复习题和习题的答案。
●PowerPoint幻灯片：一组可用于授课的覆盖所有章节的幻灯片。
●PDF文件：书中所有图表的副本。
●试题库：按章组织的问题集。
●教学大纲示例：本书的内容超过了一个学期课程可以覆盖的内容量，因此为教师提供了几个示例的教学大纲，以指导教师在有限的时间内使用教材。这些示例基于编辑版教材的教师的实践经验。
配套网站位于WilliamStallings.com/ComputerSecurity （点击Instructor Resources
链接），包括如下内容:
●指向其他使用该教材的课程网站的链接。
●互联网邮件列表的登录信息，方便使用本教材的教师之间及与作者相互交换信息、建议和问题。
项目及其他学生练习
对于许多教师，计算机安全课程的一个重要组成部分是提供一个项目或一组项目，可以让学生得到实际操作经验，以加强理解教材中学到的概念。本书对此提供了一个的支持，其中包含一个课程项目的组成部分。教师支持材料不但包括如何分配和安排项目的指导，还包括一组各种项目类型的用户手册，并加上具体的任务分配，都是专门为本书设计的。教师可以安排以下几个类型的项目：
●黑客练习：两个使学生理解入侵检测和预防问题的项目。
●实验室练习：一系列涉及本书概念的编程和实验。
① 相关的教辅申请方式请参见书末的“教学支持说明”。
●研究项目：一系列指导学生通过Internet 网对一个特定题目进行研究并撰写报告的研究任务。
●编程项目：一系列涵盖了广泛主题并可以在任意平台采用任何合适语言实现的编程项目。
●安全评估实践：一系列调查现在的基础设施和现有机构业务的练习。
●防火墙项目：提供了一个简化网络防火墙可视化模拟器，以及讲授防火墙基础知识的练习。
●案例研究：一系列真实世界的案例研究，包括学习目标、案例描述和一系列案例讨论问题。
●写作作业：一系列促进学生学习材料的写作任务。
●阅读/报告作业：一个可以布置阅读和撰写读书报告的文章列表，以及建议的作业用词。
这种多样化的项目和其他学生练习，使得教师能够根据丰富多样的学习过程来使用本书，并量身定制课程计划，以满足教师和学生的特定需求。了解详细信息请参见本书附录A。
致谢
这一新版本得到了很多人的审校，是他们慷慨地付出了时间和精力。以下教授和教师审阅了全部或大部分手稿：Bob
