本书是一部关于如何在组织中高效地实现网络安全的重要著作，目的是帮助组织及相关人员正确地理解和恰当地使用网络安全的相关标准和最佳实践。可以说本书是一部在组织中实现网络安全的指导性著作，对于组织的网络安全规划、网络安全功能的管理和网络安全的评估具有重要的指导意义。

全书主要包含三个部分：

l 第一部分 网络安全规划：介绍管理和控制网络安全功能的方法、定义给定IT环境的特定需求、制定管理安全职能的政策和程序。

l 第二部分　管理网络安全功能：详细探讨旨在满足定义的安全需求的安全控制。其中第13章涵盖实现有效网络安全的广泛的管理、运营和技术手段。

l 第三部分 安全评估：总结对网络安全进行评测与改进的相关问题。

威廉·斯托林斯（William Stallings）拥有麻省理工学院计算机科学博士学位和圣母大学电气工程学士学位。在普及计算机安全、计算机网络和计算机体系结构的技术方面做出了独特的贡献。他已经撰写、出版了70多本有关安全、网络和体系结构方面的书籍，有很多作品出现在ACM和IEEE的系列出版物中，并曾13次获得教材和学术专著作者协会颁发的“年度佳计算机科学教材”奖。目前，他是一名独立技术顾问，其客户包括领先的技术提供者和政府研究机构等。

译者序
前言
第1章　最佳实践、标准与行动计划 1
11　网络空间和网络安全的定义 2
12　标准和最佳实践文档的价值 4
13　信息安全最佳实践标准 5
14　ISO/IEC 27000信息安全标准套件 8
141　ISO 27001 10
142　ISO 27002 11
15　ISO 27000系列与ISF SGP的对应关系 12
16　NIST网络安全框架和安全文档 14
161　NIST网络安全框架 14
162　NIST安全文档 17
17　有效网络防御的CIS关键安全控制 18
18　信息安全的COBIT-5 19
19　支付卡行业数据安全标准 20
110　ITU-T安全文档 21
111　有效地实现网络安全 23
1111　网络安全管理流程 24
1112　使用最佳实践和标准文档 25
112　关键术语和复习题 26
113　参考文献 26
第一部分　网络安全规划
第2章　安全治理 30
21　安全治理和安全管理 31
22　安全治理原则和期望结果 32
221　原则 32
222　期望结果 33
23　安全治理组件 34
231　战略规划 34
232　组织结构 36
233　角色和职责 39
234　与企业架构集成 41
235　政策和指导 45
24　安全治理方法 45
241　安全治理框架 45
242　安全指导 46
243　责任人、问责人、咨询人和知情人（RACI）图表 47
25　安全治理评估 48
26　安全治理最佳实践 50
27　关键术语和复习题 50
28　参考文献 51
第3章　信息风险评估 53
31　风险评估的概念 54
311　风险评估面临的挑战 56
312　风险管理 57
313　本章结构 59
32　资产识别 60
321　硬件资产 60
322　软件资产 60
323　信息资产 60
324　业务资产 62
325　资产登记 62
33　威胁识别 63
331　STRIDE威胁模型 63
332　威胁类型 63
333　信息来源 65
34　控制识别 69
35　漏洞识别 72
351　漏洞类别 73
352　美国国家漏洞数据库和通用漏洞评分系统 73
36　风险评估方法 76
361　风险的定量评估和定性评估 76
362　简单的风险分析工作表 80
363　信息风险因素分析 81
37　可能性评估 83
371　估算威胁事件频率 84
372　脆弱性估计 84
373　损害事件频率 86
38　影响评估 86
381　估算主要损害 87
382　估算次要损害 88
383　业务影响参考表 89
39　风险确定 90
310　风险测评 90
311　风险处置 91
3111　降低风险 92
3112　维持风险 92
3113　避免风险 92
3114　转移风险 92
312　风险评估最佳实践 92
313　关键术语和复习题 93
314　参考文献 95
第4章　安全管理 96
41　安全管理功能 96
411　安全规划 99
412　资本规划 101
42　安全政策 102
421　安全政策类别 103
422　安全政策文档内容 104
423　安全政策管理指南 106
424　监控政策 107
43　可接受的使用政策 107
44　安全管理最佳实践 108
45　关键术语和复习题 109
46　参考文献 110
第二部分　管理网络安全功能
第5章　人员管理 112
51　人力资源安全 112
511　招聘流程中的安全性 113
512　雇佣期间 116
513　雇佣关系终止 116
52　安全意识和教育 117
521　安全意识 118
522　网络安全基本程序 122
523　基于角色的培训 123
524　教育和认证 123
53　人员管理最佳实践 124
54　关键术语和复习题 124
55　参考文献 125
第6章　信息管理 126
61　信息分类和处理 126
611　信息分类 127
612　信息标注 130
613　信息处理 131
62　隐私 132
621　隐私威胁 133
622　隐私原则和政策 135
623　隐私控制 138
63　文档和记录管理 139
631　文档管理 140
632　记录管理 141
64　敏感物理信息 142
65　信息管理最佳实践 143
66　关键术语和复习题 144
67　参考文献 145
第7章　物理资产管理 146
71　硬件生命周期管理 146
711　规划 148
712　采购 148
713　部署 149
714　管理 149
715　处置 149
72　办公设备 150
721　威胁和脆弱性 150
722　安全控制 152
723　设备处置 154
73　工业控制系统 155
731　IT系统与工业控制系统的区别 156
732　ICS安全 157
74　移动设备安全 161
741　移动设备技术 162
742　移动生态系统 163
743　漏洞 164
744　移动设备安全策略 165
745　移动设备安全资源 169
75　物理资产管理最佳实践 170
76　关键术语和复习题 171
77　参考文献 172
第8章　系统开发 173
81　系统开发生命周期 173
811　NIST SDLC模型 173
812　SGP的SDLC模型 176
813　DevOps 177
82　将安全性纳入SDLC 181
821　启动阶段 182
822　开发/采购阶段 185
823　实现/评估阶段 187
824　运行/维护阶段 190
825　废弃阶段 191
83　系统开发管理 192
831　系统开发方法 193
832　系统开发环境 193
833　质量保证 195
84　系统开发最佳实践 195
85　关键术语和复习题 196
86　参考文献 197
第9章　业务应用程序管理 198
91　应用程序管理的概念 198
911　应用程序生命周期管理 199
912　应用程序项目组合管理 200
913　应用程序性能管理 203
92　公司业务应用程序安全 204
921　业务应用程序登记 204
922　业务应用程序保护 205
923　基于浏览器的应用程序保护 206
93　终端用户开发的应用程序 210
931　EUDA的优点 211
932　EUDA的风险 211
933　EUDA安全框架 212
94　业务应用程序管理最佳实践 214
95　关键术语和复习题 215
96　参考文献 216
第10章　系统访问 217
101　系统访问的概念 217
102　用户身份认证 219
1021　电子用户身份认证模型 219
1022　身份认证方式 221
1023　多因素身份认证 222
103　基于口令的身份认证 223
1031　口令的弱点 223
1032　哈希口令的使用 225
1033　用户选择口令的口令破解 226
1034　口令文件访问控制 228
1035　口令选择 228
104　基于所有权的身份认证 230
1041　存储卡 230
1042　智能卡 231
1043　电子身份证 232
1044　一次性口令设备 234
1045　基于所有权的身份认证的威胁 235
1046　基于所有权的身份认证的安全控制 236
105　生物特征认证 236
1051　生物特征的指标 236
1052　用于生物识别应用的物理特征 237
1053　生物特征认证系统的操作 238
1054　生物识别的准确率 239
1055　生物特征认证的威胁 240
1056　生物特征认证的安全控制 242
106　用户身份认证的风险评估 243
1061　身份认证保证级别 243
1062　选择一个AAL 244
1063　选择一种认证方式 246
107　访问控制 248
1071　主体、客体和访问权限 249
1072　访问控制策略 249
1073　自主访问控制 250
1074　基于角色的访问控制 252
1075　基于属性的访问控制 252
1076　访问控制度量指标 257
108　客户访问 258
1081　客户访问安排 258
1082　客户合同 258
1083　客户关系 259
1084　保护客户数据 259
109　系统访问最佳实践 259
1010　关键术语和复习题 260
1011　参考文献 261
第11章　系统管理 263
111　服务器配置 264
1111　服务器面临的威胁 264
1112　服务器的安全需求 265
112　虚拟服务器 266
1121　虚拟化方案 266
1122　虚拟化面临的安全问题 270
1123　安全的虚拟化系统 270
113　网络存储系统 272
114　服务级别协议 273
1141　网络提供商 274
1142　计算机安全事故响应小组 275
1143　云服务提供商 276
115　性能和能力管理 277
116　备份 277
117　变更管理 278
118　系统管理最佳实践 281
119　关键术语和复习题 281
1110　参考文献 282
第12章　网络与通信 283
121　网络管理的概念 283
1211　网络管理功能 284
1212　网络管理系统 287
1213　网络管理体系结构 290
122　防火墙 291
1221　防火墙特性 291
1222　防火墙类型 292
1223　下一代防火墙 298
1224　DMZ网络 298
1225　现代IT边界 299
123　虚拟专用网络和IPsec 300
1231　虚拟专用网络 300
1232　IPsec 300
1233　基于防火墙的VPN 302
124　网络管理的安全注意事项 303
1241　网络设备配置 303
1242　物理网络管理 304
1243　无线接入 307
1244　外部网络连接 308
1245　防火墙 308
1246　远程维护 309
125　电子通信 310
1251　Email 310
1252　即时消息 313
1253　基于IP的语音通信网络 315
1254　电话和会议 319
126　网络与通信最佳实践 319
127　关键术语和复习题 320
128　参考文献 321
第13章　供应链管理与云安全 322
131　供应链管理的概念 322
1311　供应链 323
1312　供应链管理 324
132　供应链风险管理 325
1321　供应链威胁 328
1322　供应链漏洞 330
1323　供应链安全控制 331
1324　SCRM最佳实践 333
133　云计算 334
1331　云计算要素 334
1332　云计算参考架构 338
134　云安全 339
1341　云计算的安全注意事项 339
1342　云服务用户的威胁 340
1343　风险评估 341
1344　最佳实践 342
1345　云服务协议 343
135　供应链最佳实践 343
136　关键术语和复习题 344
137　参考文献 345
第14章　技术安全管理 346
141　安全架构 347
142　恶意软件防护行为 349
1421　恶意软件的类型 350
1422　恶意软件威胁的现状 351
1423　恶意软件防护的实际应用 352
143　恶意软件防护软件 354
1431　恶意软件防护软件的功能 354
1432　恶意软件防护软件的管理 355
144　身份和访问管理 355
1441　IAM结构 356
1442　联合身份管理 357
1443　IAM规划 359
1444　IAM最佳实践 360
145　入侵检测 360

警官先生，我把这本书交给你，毫无疑问它充分解释了一切。
——《狮鬃毛》，阿瑟·柯南·道尔爵士
背景
有效的网络安全实现起来是非常困难的。许多组织投入了大量的人力和物力，制定了最佳的实践文件以及实施和评估网络安全的标准。在标准方面，最突出的参与者是美国国家标准与技术研究所（National Institute of Standards and Technology，NIST）。NIST已经出版了大量的安全类出版物，其中包括9个联邦信息处理标准（Federal Information Processing Standards，FIPS）和100多个非常活跃的特别出版物（Special Publications，SP），这些出版物几乎为网络安全的所有方面提供了指导。同样重要的文献还有ISO 27000标准系列，它们是国际标准化组织（International Organization for Standardization，ISO）制定的信息安全管理体系。除了上述组织之外，制定网络安全标准和指南的组织还包括：
国际信息系统审计与控制协会/业务和相关技术控制目标（ISACA/COBIT）：面向信息安全的COBIT-5及其相关文件被业界广泛使用。
国际电信联盟电信标准化部门（ITU-T）：安全管理方面最重要的标准系列是X1050～ X1069。
Internet协会（ISOC）：公布的许多标准和RFC文档几乎都与网络安全相关。
此外，一些专业和行业团体也编制了最佳实践文件和准则。其中最重要的文件是由信息安全论坛（Information Security Forum，ISF）制定的《信息安全良好实践标准》（The Standard of Good Practice for Information Security，SGP）。这份近300页的文档提供了基于行业和政府组织共识的广泛的最佳实践。另一个关键组织是Internet安全中心（Center for Internet Security，CIS），它发布了行业认可的安全控制和安全指标细则。其他受到人们推崇的组织也编制了一些类似的文件。
因此，有大量实用的、被广泛接受的资料可以使用。问题是，这些相关信息的数量如此庞大，以致网络安全从业人员很难利用这些资料建立和维护有效的网络安全体系与政策。
本书的目标是合理组织、强化和解释所有这些材料，以便安全从业人员能够有效地使用它们。
本书主要是为IT和安全管理人员、负责维护IT安全的人员，以及对网络安全和信息安全感兴趣的各界人士编写的。
本书的结构
本书主要包括三个部分。
第一部分　网络安全规划：这部分提供了有效地管理网络安全任务的指南，包括安全治理和安全需求。ISF将安全治理定义为“制定政策和方向的框架，为高级管理人员提供了正确地且一致地执行安全管理活动的保证”。这部分还提供了开发一组风险和安全需求的指南，以确保组织的各个网络安全实践能够有效地关联起来。
第二部分　管理网络安全功能：这部分详细探讨了旨在满足定义的安全需求的安全控制。该部分的第13章涵盖了实现有效网络安全的广泛的管理、运营和技术手段。
第三部分　安全评估：这部分讨论了审计和监控网络安全控制性能的技术，以发现系统中的漏洞并设计改进的方案。
支持网站
作者维护着一个教学辅助网站WilliamStallingscom/Cybersecurity/，其中包括按章节组织的相关链接列表。
作者还维护着计算机科学学生资源网站：ComputerScienceStudentcom。该网站的目的是为计算机科学专业的学生和专业人士提供相关的文档、信息和链接。链接和文档分为以下7类。
数学（Math）：包括基础数学知识复习、排队分析入门、数字系统入门和许多数学网站的链接。
如何做（How-to）：为解决家庭作业问题、撰写技术报告和准备技术报告提供建议和指导。
研究文献（Research resources）：提供重要的论文、技术报告和参考书目的链接。
其他有用的（Other userful）：提供各种其他有用的文档和链接。
计算机科学职业（Computer science careers）：为那些考虑从事计算机科学领域工作的人们提供非常有用的链接和文献。
写作帮助（Writing Help）：帮助你成为一个思路更清晰、更高效的写作者。
杂七杂八的话题和幽默故事（Miscellaneous topics and humor）：你必须偶尔把注意力从工作上转移开。
致谢
本书受益于许多人的评论，他们慷慨地贡献出了自己的时间和专业知识。我特别要感谢Akhil Behl和Michael Shannon，他们花费大量的时间仔细地审阅了整本书稿。我还要感谢那些对最初的书籍撰写提案提供了周到和细致评论的人们，他们是：Steven M Bellovin，Kelley Dempsey，Charles A Russell，Susan Sand和Omar Santos。
我还要感谢为书中的一个或多个章节提供详细的技术评论的人们，他们是：Sohail Awad，Vinay Banakar，Vilius Benetis，Rodrigo Ristow Branco，Michael Brown，Herve Carpentier，Jim Fenton，Adri Jovin，Joseph Kellegher，Adnan Kilic，Edward Lane，Junior Lazuardi，Matt Nichols，Omar Olivos，ShanShan Pa，Venkatesh Ramamoorthy，Antonius Ruslan，Jose Samuel，Jigar Savla，Matias Siri和Dauda Sule。Nikhil Bhargava编制了书中的复习题及答案。
最后，我要感谢培生（Pearson）公司负责出版这本书的工作人员，特别是执行编辑Brett Bartow、开发编辑Marianne Bartow和高级项目编辑Lori Lyons。我还要感谢培生的