第1章 绪论
　　新的历史时期，网络空间把世界连为一体，成为经济发展新支柱、国家安全新边疆和战略博弈新领域，也强制性地改变着战争形态。网络空间安全事关国家安危、经济命脉、兴衰强盛。网络防御是确保网络安全的重要手段，涉及信息技术、网络技术、安全技术和密码学。 为了更好地理解和开展网络防御行动，需要首先明确与其相关的重要概念，搞清楚网络防御的内涵和外延。
　　1.1 信息与信息系统
　　1.1.1 信息
　　信息(Information)，指音信、消息、通信系统传输和处理的对象，泛指人类社会传播的一切内容。人通过获得、识别自然界和社会的不同信息来区别不同事物，得以认识和改造世界。在一切通信和控制系统中，信息是一种普遍联系的形式。1948 年，数学家香农在题为《通信的数学理论》的论文中指出信息是用来消除随机不确定性的东西。创建宇宙万物的*基本的万能单位是信息。狭义上，信息就是符号的排列的顺序。
　　世界是由物质组成的，物质是运动变化的。客观变化的事物不断地呈现出各种不同的信息。人们需要对获得的信息进行加工处理，并加以利用。
　　“信息无处不在，信息就在大家身边”。人们是通过五种感觉器官，时刻感受来自外界的信息的。人们感受到的各种各样的信息，按照参与获取信息的人来划分，可分为参与前的信息和参与后的信息。
　　参与前的信息是指获取信息的人没有参与信息活动情况下的信息。由于没有人为因素的参与，这个信息是客观真实的，不存在真假的问题，只存在着每个人的认知能力和认知水平问题。
　　参与后的信息是指获取信息的人，参与了信息活动而获得的信息。由于有获取信息的人的参与，这个信息里面就会掺杂人为因素，不再是原始状态下的信息，或多或少会失去一些客观真实的内容。
　　信息具有很多的基本特征，如普遍性、客观性、依附性、共享性、传递性、时效性等。 (1)普遍性：信息需要通过具体的事物表达出来，而事物每时每刻都在发展变化，事物的普遍性就决定了信息的普遍性。 (2)客观性：事物本身的发展变化是不以人的意志为转移的，所以其表达出来的信息具
　　有客观性。 (3)依附性：信息作为客观事物属性的外在表现，必须要依附于某种客观事物而存在，
　　并借助一定的信息媒体(如文字、图形、图像等)表现出来。 (4)共享性：信息依附的客观事物在使用过程中可能会消亡或转化，但信息本身并不会减少。相反，信息一旦成为一种资源，就具有了使用价值，可以通过传播和复制实现信息的
　　共享。 (5)传递性：信息的传递既有空间上的概念，也有时间上的概念。必须通过传输媒介的传播，使信息在空间上传递，从而实现信息的共享。同时，通过存储介质的保存，可以实现信息在时间上的传递，如收看的体育赛事的重播视频。
　　(6)时效性：信息的共享随着时间的推移，可能会失去其使用价值，变为无效的信息。 因此，使用者必须及时获取并利用信息，这样才能体现信息的价值。
　　1.1.2 信息系统
　　信息系统(Information System)是由计算机硬件、网络和通信设备、计算机软件、信息资源、信息用户和规章制度组成的以处理信息流为目的的人机一体化系统，主要有五个基本功能，即对信息的输入、存储、处理、输出和控制。
　　输入功能指的是系统获取信息和数据资源的能力，该功能决定了系统所处的信息环境和*终要达到的目的以及具备的能力。存储功能指的是系统存储各种输入信息和数据的能力。 处理功能是指系统对存储信息的管理、统计、查询、分析和知识挖掘能力。控制功能是指系统对信息的处理、传输、输出等环节的控制能力。
　　信息系统在架构上一般包括基础设施层、资源管理层、业务逻辑层、应用表现层等。基础设施层主要由支撑信息系统运行的软硬件资源和基础网络组成。资源管理层既包括处理的各类信息数据，也包括对信息进行采集、存储、处理、输出和控制的各类管理系统。业务逻辑层主要是指实现各种应用业务的代码逻辑。应用表现层则通过友好的人机交互方式，将信息处理的结果以丰富的形式展现给*终用户。
　　信息系统的开发涉及计算机技术基础与运行环境，包括计算机硬件技术、计算机软件技术、计算机网络技术和数据库技术。计算机硬件技术主要提供信息系统的运行平台，计算机软件技术为信息系统提供管理、控制功能以及使用界面，计算机网络技术保障信息系统运行平台、上层软件的互联互通、资源共享，数据库技术主要提供信息和数据资源的持久化存储。
　　1.2 网络空间
　　从概念起源看，“网络空间”(Cyberspace)一词由科幻小说作家威廉？ 吉布森(William Gibson)首创，发展于美军，自 20 世纪 90 年代初开始得到国内学术界的关注。其称谓还经历了“赛博空间”、“网络电磁空间(网电空间)”等一系列变化。2012 年党的十八大报告提出“高度关注海洋、太空、网络空间安全”，自此“网络空间”的说法基本得到明确，但人们对其本质内涵仍有不同的认识。
　　科幻小说作家威廉 ？ 吉布森在 1981 年出版的小说 Burning Chrome 中首次使用了 Cyberspace 一词，原意是指“由计算机生成的景观，是连接世界上所有人、计算机和各种信息资源的全球计算机虚拟空间”。20 世纪 90 年代，随着互联网的兴起，人们所理解的网络空间基本与互联网同义。
　　从1998 年起，美国政府就开始真正地密切关注网络空间，并建立了一个白宫领导下的组织来协调指定的牵头部门和机构以及私营部门，以“消除美国的关键基础设施，特别是在网络系统中，存在的物理和网络攻击方面的任何漏洞”。
　　进入21世纪，网络空间逐渐得到美国政府和军方的广泛重视，其定义随着认识的不断深入做过多次修订。
　　2003年2月，美国政府公布的《确保网络空间安全的国家战略》提出了三个战略目标(预防针对美国关键基础设施的网络攻击；降低国家面对网络攻击时的脆弱性；发生网络攻击时将损失和恢复时间降至*低)，并将网络空间定义为国家关键基础设施中的中枢神经，由成千上万互联的计算机、服务器、路由器、交换机、光纤机、光纤线路组成。这一定义将网络空间视为物理设施的集合，以及国家基础设施赖以运行的物理网络基础，同时还指出计算机网络在国家、社会、政治、经济、军事上举足轻重的作用。
　　2006年12月，美国参谋长联席会议发布的《网络空间作战国家军事战略》指出，网络空间是指利用电子和电磁频谱，经由网络化系统和相关物理基础设施进行数据存储、处理和交换的域。这一定义认为网络空间不仅仅包括物理设施，还包括在其基础上运行的电子和电磁频谱。该报告的另一个显著特点就是将 Cyberspace 定义为“域”(Domain)，即将其定义为 “行使主权的领土”和“一个有着明显不同物理特征的区域”。
　　2009年5月，美国白宫发表的题为《网络空间政策评估》的报告将网络空间定义为全球互联的数字信息和通信基础设施，包括互联网、计算机系统，以及嵌入其中的处理器和控制设备，通常也指信息和人类交互的虚拟环境。这个定义首次明确指出网络空间的范围不限于因特网(Internet)或计算机网络，还包括了各种军事网络和工业网络。
　　2008年9月，美国国防大学编写的《Cyberpower 和国家安全》对网络空间的定义做了全面的解读：①它是一个可运作的(Operational)空间领域，虽然是人造的，但不是某一个组织或人所能控制的，在这个空间中有全人类的宝贵战略资源，不仅仅用于作战，还可用于政治、 经济、外交等活动，例如，在这个空间中虽然没有一枚硬币流动，但每天都有成千上万美元的交易；②与陆、海、空、天等物理空间相比，人类只有依赖电子技术和电磁频谱等手段才能进入网络空间，才能更好地开发和利用该空间中的资源，正如人类需要借助车、船、飞机、 飞船才能进入陆、海、空、天空间一样；③开发网络空间的目的是创建、存储、修改、交换和利用信息，网络空间中如果没有信息的流动，就好比电网中没有电流，公路网上没有汽车一样，虽然信息的流动是不可见的，但信息交换的效果是不言自明的；④构建网络空间的物质基础是网络化的、基于信息通信技术(ICT)的基础设施，包括联网的各种信息系统和信息设备，所以网络化是网络空间的基本特征和必要前提。
　　近年来，美军对网络空间的认识不断深入，美军在 2012 版《联合信息作战条令》(JP 3-13 联合出版物)中将 Cyberspace 定义为信息环境中的一个全球域，由一些相互依赖的信息技术基础设施网络构成，包括互联网、电信网、计算机系统，以及嵌入式处理器和控制器。该定义在 2018 年新版《网络空间作战》(JP 3-12 联合出版物)中得到了保持。
　　除了军事或国家安全部门对网络空间的理解之外，民间对网络空间的理解也不尽相同。有人认为它是由计算机网络、信息系统、电信基础设施共同构建的无时空连续特征的信息环境；有人认为它是因特网和万维网(WWW 或 Web)的代名词；但更多的人认为网络空间不限于计算机网络，还应包括蜂窝移动通信、天基信息系统等。有人认为网络空间是一种隐喻(Metaphor)，是概念上的虚拟信息空间；有人认为这个空间是社会交互作用的产物，包括从认知到信息再到物理设施三个层次。还有人强调网络空间和陆、海、空、天等物理空间的根本区别是：前者是非动力学(Non-Kinetic)系统，而后者是动力学(Kinetic) 系统。
　　一般来讲，网络空间中的关键信息基础设施主要包括如下 5 类：①提供公共通信、广播电视传输等服务的基础信息网络。公共通信网络包括公众电话网、移动通信、互联网、城市应急通信等系统及有线与无线、固定与移动通信网络系统等；广播电视传输网络包括通信卫星、微波收转站、微波传输线路、微波站、广播电视发射台、转播台、有线电视网络等。②公共服务领域的重要信息系统，涵盖能源、交通、水利、金融等关系到国计民生的重要行业以及供电、供水、供气、医疗卫生、社会保障等领域。③军事网络，包括军事指挥、组织动员、军事训练、后勤、情报、战略支援保障等信息网络。④国家机关等政务网络。⑤用户数量众多的网络服务提供者所有或管理的网络和系统。
　　网络空间渗透到陆、海、空、天传统空间，越来越多的具有连接属性的物体甚至是人直接或间接连入网络空间。按照不同功能属性划分，网络空间可以从物理域、信息域和认知域三个层面进行理解。
　　物理域是网络空间客观存在的物质基础，包括满足网络空间中信息获取、传输、处理、 存储要求的信息基础设施，以及基础设施互联所需要的电磁频谱资源等媒介和参与网络空间活动的设备与设施等。
　　信息域主要是指客观存在的现实世界及其相互联系和相互作用在网络空间中的信息映像。其中，客观存在表现为不同系统所具有的代码以及数据，是各类系统逻辑功能的数字化表现和信息表达；相互联系和相互作用表现为数据化信息的存储、分发、处理、交换、显示与保护等。
　　认知域是网络空间中的逻辑层面信息所反映的人的认知。人们以某种网络身份进入网络空间后，围绕某种联系、利益或话题聚集起来，并通过网络形成与现实世界相同或类似的各种关系群体，在其中获取知识或开展人类活动。
　　也有网络专家将网络空间细分为物理网络层、逻辑网络层、人物角色层(图 1-1)。
　　图1-1 网络空间的分层
　　1.3 网络空间安全威胁
　　随着新一代信息技术的持续创新发展，网络空间的包容性、渗透性越来越强，其与现实世界的融合不断深化，特别是移动互联网、新型社交网络、大数据、人工智能等技术和应用的普及，使得人类的生产、生活乃至国家经济发展、社会治理、文化传播等对网络空间的依赖程度越来越深，与之相对应的是网络空间安全风险不断累积和升级，其范围越来越广，程度越来越深，成为世界各国和全人类面临的共同挑战。
　　1.3.1 网络空间安全威胁的表现形式
　　网络空间安全威胁(Security Threat)是指对网络空间安全状态构成现实影响或潜在威胁的各类事件的集合，其表现形式可按以下维度进行划分。
　　1)按照行为主体进行划分
　　按照实施安全威胁的行为主

目录
第1章 绪论 1
1.1 信息与信息系统 1
1.1.1 信息 1
1.1.2 信息系统 2
1.2 网络空间 2
1.3 网络空间安全威胁 5
1.3.1 网络空间安全威胁的表现形式 5
1.3.2 网络空间安全威胁产生的原因 7
1.4 网络攻击 8
1.4.1 针对信息的攻击 8
1.4.2 针对网络系统的攻击 9
1.4.3 完整的网络攻击步骤——杀伤链模型 13
1.5 网络与信息安全 14
1.5.1 信息安全 14
1.5.2 信息安全分层框架 16
1.6 网络空间安全保护与防御 18
1.7 本章小结 19
习题 19
第2章 网络防御模型及框架 20
2.1 开放系统互连安全体系结构 20
2.1.1 OSI安全服务 20
2.1.2 OSI安全机制 21
2.2 ITU-T X.805 安全体系框架 23
2.3 PDR动态安全模型 24
2.4 信息保障技术框架 25
2.5 OODA循环模型 30
2.6 自适应安全架构 32
2.7 网络安全滑动标尺模型 33
2.8 钻石模型 34
2.9 信息安全管理体系 36
2.10 本章小结 37
习题 38
第3章 密码学基础 39
3.1 基本概念 39
3.2 加密技术 40
3.2.1 对称加密 41
3.2.2 非对称加密 42
3.3 认证与数字签名 42
3.3.1 认证 42
3.3.2 数字签名 44
3.4 密码分析方法 48
3.5 密码协议 49
3.5.1 密码协议的概念 49
3.5.2 密码协议的安全目标 50
3.5.3 密码协议面临的典型攻击 50
3.5.4 密码协议的安全性分析 51
3.6 本章小结 52
习题 52
第4章 网络安全通信 53
4.1 网络安全通信基础 53
4.1.1 安全目标 53
4.1.2 通信加密模型 54
4.1.3 一次加密通信的过程 54
4.1.4 通信加密方式 55
4.2 数据链路层安全通信 57
4.2.1 WEP 协议 57
4.2.2 IEEE 802.11i协议 62
4.3 网络层安全通信 67
4.3.1 IPSec协议简介 67
4.3.2 IPSec基本工作原理 67
4.3.3 IPSec中的三个主要协议 68
4.4 传输层安全通信 71
4.4.1 SSL 协议概述 72
4.4.2 SSL 的工作原理 74
4.5 本章小结 76
习题 76
第5章 网络信任技术 78
5.1 基本概念 78
5.1.1 认证与身份认证 78
5.1.2 访问控制 78
5.2 身份标识与认证方式 79
5.2.1 基于静态口令的身份认证 79
5.2.2 基于硬件令牌的动态口令的身份认证 80
5.2.3 基于 USBKey 的身份认证 83
5.2.4 基于生物特征的身份认证 84
5.3 单点登录 88
5.3.1 基于Kerberos协议的单点登录方式 90
5.3.2 基于SAML标准的单点登录方式 91
5.4 传统访问控制模型 93
5.4.1 自主访问控制 93
5.4.2 强制访问控制 95
5.4.3 基于角色的访问控制 96
5.5 新型访问控制模型 98
5.5.1 基于任务的访问控制模型 98
5.5.2 基于属性的访问控制模型 99
5.5.3 基于信任的访问控制模型 100
5.6 本章小结 103
习题 103
第6章 密码基础设施 104
6.1 密钥管理技术 104
6.1.1 基本概念 104
6.1.2 密钥的生命周期 104
6.1.3 密钥分类及其生成方式 106
6.1.4 密钥协商和密钥分配 107
6.2 公钥基础设施 110
6.2.1 PKI组成 111
6.2.2 认证机构 CA 112
6.2.3 交叉认证 116
6.2.4 PKI 的安全性 118
6.3 授权管理基础设施 118
6.3.1 基本概念 118
6.3.2 属性证书 119
6.3.3 PMI系统框架 120
6.3.4 PKI与 PMI 的关系 121
6.3.5 PMI技术的优点 121
6.4 本章小结 122
第7章 网络计算环境安全 123
7.1 终端安全 123
7.1.1 终端安全威胁 123
7.1.2 终端安全机制 124
7.2 操作系统安全 125
7.2.1 操作系统面临安全问题 125
7.2.2 操作系统的安全机制 126
7.2.3 安全操作系统的设计 135
7.3 数据库安全 139
7.3.1 数据库的安全问题 139
7.3.2 数据库安全技术 140
7.4 可信计算 152
7.4.1 可信技术概述 152
7.4.2 可信计算关键技术 153
7.4.3 可信平台模块 156
7.4.4 信任根和信任链 158
7.5 可信网络连接 163
7.5.1 总体架构 163
7.5.2 工作流程 166
7.6 本章小结 167
习题 167
第8章 网络边界防护 168
8.1 基本概念 168
8.2 主要实现技术 168
8.2.1 包过滤技术 168
8.2.2 代理技术 169
8.2.3 隔离交换技术 169
8.2.4 网络地址转换技术 170
8.3 防火墙 171
8.3.1 防火墙的概念与功能 171
8.3.2 防火墙的原理与分类 172
8.3.3 防火墙体系结构 173
8.4 网闸 178
8.4.1 实现原理 179
8.4.2 TCP/IP协议断开的实现 179
8.5 本章小结 182
习题 182
第9章 网络安全监测 183
9.1 网络资产探测 183
9.1.1 发展概况 183
9.1.2 网络资产探测方法 184
9.2 网络入侵检测 187
9.2.1 入侵检测模型 187
9.2.2 入侵检测系统工作模式 188
9.2.3 入侵检测系统分类 190
9.2.4 入侵检测系统测评 191
9.2.5 入侵检测的典型系统 194
9.3 内部威胁检测 195
9.3.1 内部威胁概述 195
9.3.2 内部威胁的概念 196
9.3.3 内部威胁检测的方法 196
9.4 网络安全态势感知 197
9.4.1 态势感知的基本概念 197
9.4.2 网络安全态势感知定义 198
9.4.3 网络安全态势感知功能模型 199
9.4.4 网络安全态势感知可视化 200
9.4.5 网络安全态势感知发展 201
9.5 本章小结 202
习题 203
第10章 业务连续性管理 204
10.1 风险评估 204
10.1.1 风险管理概述 204
10.1.2 风险分析原理 206
10.1.3 风险评估实施流程 207
10.2 应急响应 212
10.2.1 网络安全应急响应标准及内容 212
10.2.2 网络安全应急预案体系 215
10.3 系统备份和灾难恢复 218
10.3.1 概述 218
10.3.2 系统备份 220
10.3.3 灾难恢复 221
10.4 本章小结 228
第11章 安全审计与责任认定 229
11.1 安全审计 229
11.1.1 安全审计的功能及作用 229
11.1.2 安全审计的分类 230
11.1.3 安全审计相关标准 231
11.1.4 安全审计系统模型 237
11.1.5 安全审计技术 240
11.2 审计追踪 241
11.2.1 审计追踪的目标 241
11.2.2 审计追踪的格式标准 242
11.2.3 审计追踪的审查和分析方法 242
11.2.4 审计追踪工具 243
11.3 审计分析可视化 243
11.4 责任认定 245
11.4.1 责任认定体系 245
11.4.2 数字取证 246
11.5 本章小结 249
习题 250
第12章 网络信息内容安全 251
12.1 网络信息内容安全概述 251
12.1.1 信息内容安全面临的主要威胁 251
12.1.2 信息内容安全威胁的特点 252
12.1.3 信息内容安全技术体系 252
12.2 信息内容获取方法 253
12.2.1 初始 URL搜集 253
12.2.2 信息获取 254
12.2.3 信息解析 254
12.2.4 信息判重 255
12.3 信息内容识别与分析 255
12.3.1 预处理 255
12.3.2 语义特征提取 256
12.3.3 特征子集选择 257
12.3.4 特征重构及向量生成 257
12.3.5 文本内容分析 258
12.4 信息内容过滤 258
12.4.1 信息内容过滤概述 258
12.4.2 信息内容过滤的流程 259
12.4.3 信息内容过滤的关键技术 260
12.5 网络舆情监测 261
12.5.1 网络舆情监测概述 261
12.5.2 网络舆情监测关键技术 262
12.5.3 网络舆情监测系统框架 263
12.6 本章小结 265
习题 265
第13章 信息系统安全工程 266
13.1 概述 266
13.2 安全工程过程 266
13.2.1 风险过程 267
13.2.2 工程过程 267
13.2.3 保障过程 268
13.3 SSE-CMM体系结构 269
13.4 SSE-CMM的应用 271
13.5 本章小结 273
习题 274
第14章 网络安全等级保护 275
14.1 背景及起源 275
14.2 保护对象分级及要求 276
14.2.1 安全保护能力要求 276
14.2.2 安全通用要求 277
14.2.3 安全扩展要求 279
14.2.4 保护对象整体安全保护能力的要求 281
14.3 等级保护安全框架和关键技术 281
14.4 网络等级保护安全技术设计 283
14.5 网络安全等级保护安全管理中心技术要求 286
14.5.1 功能描述 286
14.5.2 安全管理中心技术要求 287
14.6 本章小结 288
习题 289
第15章 信息系统密码应用设计 290
15.1 信息系统密码应用基本要求 290
15.2 密码应用解决方案设计 299
15.2.1 密码应用解决方案设计的基本原则 299
15.2.2 密码应用解决方案设计的要点 299
15.3 政务信息系统密码应用方案模板 302
15.4 本章小结 305
习题 306
第16章 信息系统密码应用安全性评估 307
16.1 信息系统密码应用安全性评估概述 307
16.1.1 密码应用安全性评估的概念 307
16.1.2 信息系统密码应用安全性评估的重要性 308
16.1.3 信息系统密码应用安全性评估在密码应用管理中的作用 308
16.1.4 密码应用安全性评估实施过程 309
16.2 信息系统密码应用安全性评估的实施要点 311
16.2.1 信息系统密码应用安全性评估的通用测评要求 311
16.2.2 信息系统密码应用安全性评估的技术测评要求 311
16.2.3 信息系统密码应用安全性评估的管理测评要求 314
16.2.4 信息系统密码应用测评过程 314
16.3 信息系统密码应用安全性评估中的风险 317
16.3.1 存在的风险 317
16.3.2 风险的规避 317
16.4 本章小结 317
习题 318
第17章 网络攻击溯源 319