西安邮电大学：《信息安全概论》课程教学资源（教材书籍，共九章，人民邮电出版社，主编：张雪峰）

信息安全概论 (Introduction to Information Security) 主编 张雪锋 人民邮电出版社 2013年8月

信息安全概论 (Introduction to Information Security) 主编 张雪锋 人民邮电出版社 2013 年 8 月

内容提要 本书系统地讲解了信息安全相关的基础知识，全书共有9章，介绍了信息安全领域的基 本概念、基础理论和主要技术，并对信息安全管理和信息安全标准进行了简要介绍。主要内 容包括信息技术与信息安全的基本概念、信息保密技术、信息认证技术、信息隐藏技术、操 作系统与数据库安全、访问控制技术、网络安全技术、信息安全管理、信息安全标准与法律 法规等。为了让读者能够及时检查学习的效果，把握学习的进度，每章后面都附有思考和练 习题。 本书既可以作为信息安全、网络工程、计算机科学与技术、通信工程等本科专业学生信 息安全基础课程的教材，也可供从事相关专业的教学、科研和工程技术人员参考

内容提要 本书系统地讲解了信息安全相关的基础知识，全书共有 9 章，介绍了信息安全领域的基 本概念、基础理论和主要技术，并对信息安全管理和信息安全标准进行了简要介绍。主要内 容包括信息技术与信息安全的基本概念、信息保密技术、信息认证技术、信息隐藏技术、操 作系统与数据库安全、访问控制技术、网络安全技术、信息安全管理、信息安全标准与法律 法规等。为了让读者能够及时检查学习的效果，把握学习的进度，每章后面都附有思考和练 习题。 本书既可以作为信息安全、网络工程、计算机科学与技术、通信工程等本科专业学生信 息安全基础课程的教材，也可供从事相关专业的教学、科研和工程技术人员参考

目录 前言 .1 第1章绪论 2 11概述 2 1.2信息与信息技术 .3 1.2.1信息. .3 1.2.2信息技术 6 1.3信息安全的内涵 .7 1.3.1基本概念 .7 1.3.2安全威胁 .9 1.4信息安全的实现 11 1.4.1信息安全技术 11 1.4.2信息安全管理 14 本章总结 6 思考和练习 17 第2章信息保密技术 18 2.1概述 18 2.2基本概念 20 2.2.1数学基础知识 .20 2.2.2保密通信的基本模型 22 2.2.3密码学的基本概念 .22 2.3古典密码技术 23 2.3.1移位密码 .24 2.3.2代换密码 25 2.3.3置换密码. 26 2.3.4衡量密码体制安全性的基本准则 .27 2.4分组密码. .27 2.4.1DES算法， .28 2.4.2分组密码的安全性及工作模式 38 2.5公钥密码 43 2.5.1公钥密码的基本原理 43 2.5.2RSA算法 44 本章总结】 .47 思考与练习」 47 第3章信息认证技术 48 3.】概述. 48 3.2哈希函数和消息完整性 48 3.2.1哈希函数 49 32.2消息认证码 .51 3.3数字签名 .53 3.3.1数字签名的概念 54 3.3.2数字签名的实现方法 .56 3.3.3几种数字签名方案 58

I 目录 前 言. 1 第 1 章 绪论 .2 1.1 概述 .2 1.2 信息与信息技术 . 3 1.2.1 信息 . 3 1.2.2 信息技术 . 6 1.3 信息安全的内涵 . 7 1.3.1 基本概念 . 7 1.3.2 安全威胁 . 9 1.4 信息安全的实现 . 11 1.4.1 信息安全技术 . 11 1.4.2 信息安全管理 .14 本章总结 .16 思考和练习 .17 第 2 章 信息保密技术 . 18 2.1 概述 .18 2.2 基本概念 . 20 2.2.1 数学基础知识 .20 2.2.2 保密通信的基本模型.22 2.2.3 密码学的基本概念 . 22 2.3 古典密码技术 . 23 2.3.1 移位密码 . 24 2.3.2 代换密码 . 25 2.3.3 置换密码 . 26 2.3.4 衡量密码体制安全性的基本准则.27 2.4 分组密码 . 27 2.4.1 DES 算法. 28 2.4.2 分组密码的安全性及工作模式.38 2.5 公钥密码 . 43 2.5.1 公钥密码的基本原理.43 2.5.2 RSA 算法. 44 本章总结 .47 思考与练习 .47 第 3 章 信息认证技术 . 48 3.1 概述 .48 3.2 哈希函数和消息完整性 .48 3.2.1 哈希函数 . 49 3.2.2 消息认证码 .51 3.3 数字签名 . 53 3.3.1 数字签名的概念 .54 3.3.2 数字签名的实现方法.56 3.3.3 几种数字签名方案 . 58

3.4身份识别 .61 3.4.1身份识别的概念 62 3.4.2身份识别协议 64 3.5公钥基础设施 66 3.5.1PKI组成 67 3.5.2CA认证 68 3.5.3PKI功能 71 本章总结. .73 思考与练习 74 第4章信息隐藏技术 75 4.1基本概念 75 4.11什么是信息隐藏 75 4.1.2信息隐藏技术的发展 76 4.1.3信息隐藏的特点 77 4.1.4信息隐藏的分类 77 4.2信息隐藏技术 78 4.2.1隐秘技术 .79 4.2.2数字水印技术 80 4.3信息隐藏的攻击 83 本章总结 .85 思考与练习 .85 第5章操作系统与数据库安全 .86 5.1操作系统概述 .86 5.11基本概念 .86 5.1.2作用和目的 86 5.1.3操作系统的基本功能 87 5.1.4操作系统的特征 87 5.1.5操作系统的分类 .87 5.2常用操作系统简介 9 5.2.1MS-DOS. 5.2.2 Windows操作系统 90 5.2.3UNX操作系统 90 5.2.4 Linux操作系统.」 91 5.3操作系统安全 .92 5.3.1操作系统安全机制 92 5.3.2 Linux的安全机制 .97 5.3.3 Windows2000/XP的安全机制 100 5.4数据库安全 106 5.4.1数据库安全概述 106 5.4.2数据库安全策略 108 5.4.3数据库安全技术 108 本章总结 .112 思考与练习 .112 第6章访问控制 113

II 3.4 身份识别 . 61 3.4.1 身份识别的概念 .62 3.4.2 身份识别协议 .64 3.5 公钥基础设施 . 66 3.5.1 PKI 组成. 67 3.5.2 CA 认证. 68 3.5.3 PKI 功能. 71 本章总结 .73 思考与练习 .74 第 4 章 信息隐藏技术 . 75 4.1 基本概念 . 75 4.1.1 什么是信息隐藏 .75 4.1.2 信息隐藏技术的发展.76 4.1.3 信息隐藏的特点 .77 4.1.4 信息隐藏的分类 .77 4.2 信息隐藏技术 . 78 4.2.1 隐秘技术 . 79 4.2.2 数字水印技术 .80 4.3 信息隐藏的攻击 . 83 本章总结 .85 思考与练习 .85 第 5 章 操作系统与数据库安全 .86 5.1 操作系统概述 . 86 5.1.1 基本概念 . 86 5.1.2 作用和目的 .86 5.1.3 操作系统的基本功能.87 5.1.4 操作系统的特征 .87 5.1.5 操作系统的分类 .87 5.2 常用操作系统简介 .89 5.2.1 MS-DOS . 89 5.2.2 Windows 操作系统.90 5.2.3 UNIX 操作系统 . 90 5.2.4 Linux 操作系统. 91 5.3 操作系统安全 . 92 5.3.1 操作系统安全机制 .92 5.3.2 Linux 的安全机制.97 5.3.3 Windows 2000/XP 的安全机制.100 5.4 数据库安全 .106 5.4.1 数据库安全概述 .106 5.4.2 数据库安全策略 .108 5.4.3 数据库安全技术 .108 本章总结 . 112 思考与练习 . 112 第 6 章 访问控制 . 113

6.1基础知识. 113 6.1.1访问控制的概况 113 6.1.2基本概念 114 6.2访问控制策略 115 6.2.1自主访问控制 .115 6.2.2强制访问控制 .115 6.2.3基于角色的访问控制 .116 6.3访问控制的实现. .117 6.3.1入网访问控制 .117 6.3.2网络权限控制 .117 6.3.3目录级安全控制 117 6.3.4属性安全控制 118 6.3.5网络服务器安全控制 118 6.4安全级别和访问控制 .118 6.4.1D级别 .118 6.4.2C级别. .118 6.4.3B级别 119 6.4.4A级别. .119 6.5授权管理基础设施 119 6.5.1PMI产生背景 119 6.5.2PM的基本概念 120 6.53属性证书 120 6.5.4PKI与PMI的关系 121 本章总结 ,121 思考与练习 121 第7章网络安全技术 .122 7.1概述 .122 7.2防火墙 .123 7.2.1什么是防火墙 .123 7.2.2防火墙的功能 123 7.2.3防火墙的工作原理 .124 7.2.4防火墙的工作模式 .125 7.3VPN技术 .126 7.3.1VPN简介 126 7.3.2VPN工作原理 127 7.3.3VPN功能 127 7.3.4VPN分类. 128 7.3.5VPN的协议 129 7.4入侵检测技术 130 7.4.1基本概念 .130 7.4.2入侵检测系统的分类 .130 7.4.3入侵检测系统模型 .132 7.4.4入侵检测技术的发展趋势 .134 7.5网络隔离技术. 134 Ⅲ

III 6.1 基础知识 . 113 6.1.1 访问控制的概况 . 113 6.1.2 基本概念 . 114 6.2 访问控制策略 . 115 6.2.1 自主访问控制 . 115 6.2.2 强制访问控制 . 115 6.2.3 基于角色的访问控制. 116 6.3 访问控制的实现 . 117 6.3.1 入网访问控制 . 117 6.3.2 网络权限控制 . 117 6.3.3 目录级安全控制 . 117 6.3.4 属性安全控制 . 118 6.3.5 网络服务器安全控制. 118 6.4 安全级别和访问控制 . 118 6.4.1 D 级别 . 118 6.4.2 C 级别. 118 6.4.3 B 级别. 119 6.4.4 A 级别 . 119 6.5 授权管理基础设施 . 119 6.5.1 PMI 产生背景 . 119 6.5.2 PMI 的基本概念 .120 6.5.3 属性证书 . 120 6.5.4 PKI 与 PMI 的关系.121 本章总结 .121 思考与练习 .121 第 7 章 网络安全技术 . 122 7.1 概述 . 122 7.2 防火墙 . 123 7.2.1 什么是防火墙 .123 7.2.2 防火墙的功能 .123 7.2.3 防火墙的工作原理 .124 7.2.4 防火墙的工作模式 . 125 7.3 VPN 技术 . 126 7.3.1 VPN 简介 . 126 7.3.2 VPN 工作原理 .127 7.3.3 VPN 功能 . 127 7.3.4 VPN 分类 . 128 7.3.5 VPN 的协议 .129 7.4 入侵检测技术 . 130 7.4.1 基本概念 . 130 7.4.2 入侵检测系统的分类.130 7.4.3 入侵检测系统模型 . 132 7.4.4 入侵检测技术的发展趋势. 134 7.5 网络隔离技术 . 134

7.51隔离技术的发展 134 7.5.2隔离技术的安全要点 135 7.5.3隔离技术的发展趋势 136 7.6反病毒技术 .137 7.6.1病毒的定义及特征 .138 7.6.2反病毒概述 .139 7.6.3反病毒三大技术 139 本章总结. .140 思考与练习 .140 第8章信息安全管理 .141 8.1组织基础架构 .141 8.11信息安全管理的基本问题 141 8.12信息安全管理的指导原则 148 8.1.3安全过程管理与0SI安全管理 .150 8.1.4信息安全组织基础架构， 153 8.2管理要素与管理模型 154 8.2.1概述 154 8.2.2与安全管理相关的要素 .155 8.2.3管理模型 158 82.4风险评估 163 8.3身份管理 167 831概述 167 8.3.2身份和身份管理 169 8.3.3TU-T身份管理模型 .173 8.3.4身份管理技术 .176 8.4人员与物理环境安全 .180 8.4.1人员安全 .180 8.4.2物理环境安全 .182 本章总结 .186 思考与练习 186 第9章信息安全标准与法律法规 .187 9.1概述 187 9.2国际安全标准 .188 9.2.1BS7799 188 9.2.2CC .189 9.2.3 SSE-CMM .191 9.3国内安全标准 193 9.3.1计算机信息系统安全保护等级划分简介 193 9.3.2其他计算机信息安全标准 195 9.4相关国家标准日录 .197 9.5重要的标准化组织 198 9.5.1国际组织 .198 9.5.2区域组织 200 9.5.3国内组织 .200 IV

IV 7.5.1 隔离技术的发展 .134 7.5.2 隔离技术的安全要点.135 7.5.3 隔离技术的发展趋势.136 7.6 反病毒技术 .137 7.6.1 病毒的定义及特征 .138 7.6.2 反病毒概述 .139 7.6.3 反病毒三大技术 .139 本章总结 .140 思考与练习 .140 第 8 章 信息安全管理 . 141 8.1 组织基础架构 . 141 8.1.1 信息安全管理的基本问题. 141 8.1.2 信息安全管理的指导原则. 148 8.1.3 安全过程管理与 OSI 安全管理.150 8.1.4 信息安全组织基础架构. 153 8.2 管理要素与管理模型 .154 8.2.1 概述 . 154 8.2.2 与安全管理相关的要素. 155 8.2.3 管理模型 . 158 8.2.4 风险评估 . 163 8.3 身份管理 . 167 8.3.1 概述 . 167 8.3.2 身份和身份管理 .169 8.3.3 ITU-T 身份管理模型. 173 8.3.4 身份管理技术 .176 8.4 人员与物理环境安全 . 180 8.4.1 人员安全 . 180 8.4.2 物理环境安全 .182 本章总结 .186 思考与练习 .186 第 9 章 信息安全标准与法律法规 . 187 9.1 概述 .187 9.2 国际安全标准 . 188 9.2.1 BS7799 . 188 9.2.2 CC. 189 9.2.3 SSE-CMM . 191 9.3 国内安全标准 . 193 9.3.1 计算机信息系统安全保护等级划分简介.193 9.3.2 其他计算机信息安全标准. 195 9.4 相关国家标准目录 .197 9.5 重要的标准化组织 .198 9.5.1 国际组织 . 198 9.5.2 区域组织 . 200 9.5.3 国内组织 . 200

9.6信息安全法律法规. 201 9.6.1我国信息安全立法工作的现状 201 9.6.2我国信息安全法制建设的基本原则 201 9.6.3其他国家的信息安全立法情况. .202 本章总结 205 思考与练习 206 附录：网络基础知识 207 参考文献.213

V 9.6 信息安全法律法规 .201 9.6.1 我国信息安全立法工作的现状.201 9.6.2 我国信息安全法制建设的基本原则.201 9.6.3 其他国家的信息安全立法情况.202 本章总结 .205 思考与练习 .206 附录：网络基础知识 . 207 参考文献 .213

前言 随着信息技术的发展和普及，信息技术与人们的日常工作、学习和生活联系日益紧密， 根据中国互联网络信息中心(CNNC)2013年7月发布的《中国互联网络发展状况统计报 告(2013年7月)》，截至2013年6月底，我国网民规模达5.91亿，互联网普及率为44.1%， 表明中国网民的规模已经非常庞大。而该中心发布的《2012年中国网民信息安全状况研究 报告》表明，总体来看，目前中国网民只是简单地被灌输了要“重视信息安全”，但其实对 其形成的原因认识并不清晰，形象地说，中国网民的信息安全意识处于“知其然，不知其所 以然”的阶段，很多网民知道要重视信息安全，但并不知道为什么要重视，当然就更不知道 如何解决自身面临的信息安全问题。因此，人们在享受着信息技术给自身工作、学习和生活 带来便捷的同时，对信息的安全问题也日益关注。如何保障信息的安全存储、传输、使用， 如何实现信息的保密性、完整性、可用性、不可否认性和可控性，成为困扰信息技术进一步 发展的关键问题之一。当前，信息的安全问题不仅涉及人们的个人隐私安全，而且与国家的 金融安全、政治安全、国防安全息息相关，大多数国家已经将信息安全上升到国家战略的高 度进行规划和建设，这为信息安全技术的发展和信息安全类专业人才的培养提供了广阔的前 景，也提出了迫切的发展需求，对信息安全从业者来说，这是前所未有的机遇，也面临着前 所未有的挑战。 为了能为在校本科生学习信息安全提供内容较新、论述较系统的教材，也能为相关领域 的科研人员提供一本内容充实，具有一定实用性的参考书，我们编写了《信息安全概论》这 本教材。 本书是作者在长期从事信息安全领域科研和教学的基础上编写的，概括介绍了信息安全 的基本概念、基本原理和主要技术，在此基础上，进一步介绍了信息安全管理和信息安全标 准。内容以当前被广泛应用的信息安全技术为主，既突出了广泛性，又注重对主要知识内容 的深入讨论。本书对当前被广泛应用的信息安全技术进行了系统介绍，对其性能进行了相应 的分析。本书主要面向信息安全、网络工程、计算机科学与技术、通信工程等本科专业的学 生使用。计划课时为32一48学时。学习该课程的学生需要具备计算机和高等数学方面的基 础知识，同时应该掌握基本的网络基本知识。通过对本课程的学习，学生可以掌握基本的信 息安全理论、方法和技术，对信息安全技术具备一定的实际应用能力。 当然，解决信息系统面临的安全问题是一项复杂的系统性工程，相应的信息安全解决方 案应该是一种综合解决方案，实践证明，任何试图将信息安全问题解决方案单一化的想法都 是不切实际的，信息安全解决方案应该是一项系统工程，它不是多种安全技术的简单叠加使 用，而应该从系统的角度去综合考虑。从这个角度来看，本书涉及的信息安全技术相互之间 既有联系，又有区别，因此，读者在学习的过程中，应该从系统的角度去学习和理解不同技 术相关内容之间的关联。 衷心感谢本书的主审专家提出了许多宝贵的意见和建议，使我们受益匪浅。衷心感谢人 民邮电出版社的编辑老师，是他们的辛勤劳动，使本书得以顺利出版。为了使本书既包含信 息安全的基础知识，又能反映这些基础知识涉及到的最新研究成果，本书在编写过程中参考 了国内外许多同行的论文、著作，引用了其中的观点、数据与结论，在此一并表示谢忱。蒋 君莉、高坤等研究生参加了本书的校稿工作，在此一并表示感谢！ 由于编者水平有限，书中难免存在错误和不妥之处，恳切希望广大读者批评指正。 编者 2013年8月

1 前 言 随着信息技术的发展和普及，信息技术与人们的日常工作、学习和生活联系日益紧密， 根据中国互联网络信息中心（CNNIC）2013 年 7 月发布的《中国互联网络发展状况统计报 告（2013 年 7 月）》，截至 2013 年 6 月底，我国网民规模达 5.91 亿，互联网普及率为 44.1%， 表明中国网民的规模已经非常庞大。而该中心发布的《2012 年中国网民信息安全状况研究 报告》表明，总体来看，目前中国网民只是简单地被灌输了要“重视信息安全”，但其实对 其形成的原因认识并不清晰，形象地说，中国网民的信息安全意识处于“知其然，不知其所 以然”的阶段，很多网民知道要重视信息安全，但并不知道为什么要重视，当然就更不知道 如何解决自身面临的信息安全问题。因此，人们在享受着信息技术给自身工作、学习和生活 带来便捷的同时，对信息的安全问题也日益关注。如何保障信息的安全存储、传输、使用， 如何实现信息的保密性、完整性、可用性、不可否认性和可控性，成为困扰信息技术进一步 发展的关键问题之一。当前，信息的安全问题不仅涉及人们的个人隐私安全，而且与国家的 金融安全、政治安全、国防安全息息相关，大多数国家已经将信息安全上升到国家战略的高 度进行规划和建设，这为信息安全技术的发展和信息安全类专业人才的培养提供了广阔的前 景，也提出了迫切的发展需求，对信息安全从业者来说，这是前所未有的机遇，也面临着前 所未有的挑战。 为了能为在校本科生学习信息安全提供内容较新、论述较系统的教材，也能为相关领域 的科研人员提供一本内容充实，具有一定实用性的参考书，我们编写了《信息安全概论》这 本教材。 本书是作者在长期从事信息安全领域科研和教学的基础上编写的，概括介绍了信息安全 的基本概念、基本原理和主要技术，在此基础上，进一步介绍了信息安全管理和信息安全标 准。内容以当前被广泛应用的信息安全技术为主，既突出了广泛性，又注重对主要知识内容 的深入讨论。本书对当前被广泛应用的信息安全技术进行了系统介绍，对其性能进行了相应 的分析。本书主要面向信息安全、网络工程、计算机科学与技术、通信工程等本科专业的学 生使用。计划课时为 32－48 学时。学习该课程的学生需要具备计算机和高等数学方面的基 础知识，同时应该掌握基本的网络基本知识。通过对本课程的学习，学生可以掌握基本的信 息安全理论、方法和技术，对信息安全技术具备一定的实际应用能力。 当然，解决信息系统面临的安全问题是一项复杂的系统性工程，相应的信息安全解决方 案应该是一种综合解决方案，实践证明，任何试图将信息安全问题解决方案单一化的想法都 是不切实际的，信息安全解决方案应该是一项系统工程，它不是多种安全技术的简单叠加使 用，而应该从系统的角度去综合考虑。从这个角度来看，本书涉及的信息安全技术相互之间 既有联系，又有区别，因此，读者在学习的过程中，应该从系统的角度去学习和理解不同技 术相关内容之间的关联。 衷心感谢本书的主审专家提出了许多宝贵的意见和建议，使我们受益匪浅。衷心感谢人 民邮电出版社的编辑老师，是他们的辛勤劳动，使本书得以顺利出版。为了使本书既包含信 息安全的基础知识，又能反映这些基础知识涉及到的最新研究成果，本书在编写过程中参考 了国内外许多同行的论文、著作，引用了其中的观点、数据与结论，在此一并表示谢忱。蒋 君莉、高坤等研究生参加了本书的校稿工作，在此一并表示感谢！ 由于编者水平有限，书中难免存在错误和不妥之处，恳切希望广大读者批评指正。 编者 2013 年 8 月

第1章绪论 本章概要介绍信息安全涉及的基本概念，包括信息的基本概念、特征、性质、功能和分 类，信息技术的产生和内涵，信息安全涉及的基本概念、信息安全的目标和属性以及信息安 全的基本原则，当前面临的主要安全威胁及实现信息安全的主要技术，同时重点介绍了信息 安全管理的主要内容及基本原则。 本章的知识要点、重点和难点包括：信息的定义和性质、信息安全的属性、实现信息安 全的基本原则和主要的信息安全技术。 1.1概述 随着全球信息化的飞速发展，特别是计算机技术与通信技术相结合而诞生的计算机互联 网的发展和广泛应用，它打破了传统的时间和空间的限制，极大的改变了人们的工作方式和 生活方式，促进了经济和社会的发展，提高了人们的工作水平和生活质量。 根据中国互联网络信息中心(CNNIC)2013年7月发布的《中国互联网络发展状况统计 报告(2013年7月)》，截至2013年6月底，我国网民规模达5.91亿，较2012年底增加2656万人。 互联网普及率为44.1%，较2012年底提升了2.0个百分点，其中手机网民规模达4.64亿，较2012 年底增加4379万人，网民中使用手机上网的人群占比提升至78.5%。手机上网成为互联网发 展的新动力：一方面，手机上网的发展推动了中国互联网的普及，尤其为受网络、终端等限 制而无法接入的人群和地区提供了使用互联网的可能性。另一方面，手机上网推动了互联网 经济新的增长，基于移动互联网的创新热潮为传统互联网类业务提供了新的商业模式和发展 空间，网络即时通信网民规模迅速增加，电子商务类应用使用率上升。 以上数据充分说明，信息技术己经与人们的日常工作、学习和生活息息相关。在信息化 日益普及的今天，伴随着信息技术的广泛应用，当前，信息资源不仅成为人们日常工作、学 习、生活中的基础资源，而且日益成为国家和社会发展的重要战略资源。国际上围绕信息的 获取、使用和控制的斗争愈演愈烈，信息安全成为维护国家安全和社会稳定的一个焦点，各 国都给以极大的关注和投入。 在我国，与信息技术被广泛应用形成鲜明对比的是信息安全问题日益突出，目前，我国 己经成为信息安全事件的主要受害国之一。中国互联网络信息中心(CNNIC)2012年10月 发布的《2012年中国网民信息安全状况研究报告》表明，虽然多年来我国不断加强信息安 全的治理工作，但信息安全问题仍然十分严重，新型的信息安全事件不断出现，且迅速向更 多网民蔓延，导致信息安全事件的情境日益多样复杂化，信息安全所引起的直接经济损失己 达到很大规模，发起信息安全事件的因素己从此前的好奇心理升级为明显的逐利性，经济利 益链条己然形成，信息安全事件中所涉及的信息类型、危害类型越来越多，且日益深入涉及 网民的隐私，潜在的后果更严重。与此同时，我国的广大网民缺乏关于信息安全的知识，对 信息安全的危害性并不清晰，采取的信息安全保护措施还未达到较好的水平，很多人并不具 备处理信息安全事件的能力。 根据以上分析，信息安全己成为亟待解决、影响国家大局和长远利益的重大关键问题， 它不但是发挥信息革命带来的高效率、高效益的有力保证，而且是抵御信息侵略的重要屏障， 信息安全保障能力是21世纪综合国力、经济竞争实力和生存能力的重要组成部分，是世纪 之交世界各国都在奋力攀登的制高点。从大的方面来说，信息安全问题己威胁到国家的政治、 经济和国防等领域。从小的方面来说，信息安全问题己威胁到个人的隐私能否得到保障。因 此，信息安全己成为社会稳定安全的必要前提条件。信息安全问题全方位地影响我国的政治、 军事、经济、文化、社会生活的各个方面，如果解决不好将使国家处于信息战和高度经济金 融风险的威胁之中。 信息安全不仅要保证信息的保密性、完整性，也就是关注信息自身的安全，防止偶然的 2

2 第 1 章 绪论 本章概要介绍信息安全涉及的基本概念，包括信息的基本概念、特征、性质、功能和分 类，信息技术的产生和内涵，信息安全涉及的基本概念、信息安全的目标和属性以及信息安 全的基本原则，当前面临的主要安全威胁及实现信息安全的主要技术，同时重点介绍了信息 安全管理的主要内容及基本原则。 本章的知识要点、重点和难点包括：信息的定义和性质、信息安全的属性、实现信息安 全的基本原则和主要的信息安全技术。 1.1 概述 随着全球信息化的飞速发展，特别是计算机技术与通信技术相结合而诞生的计算机互联 网的发展和广泛应用，它打破了传统的时间和空间的限制，极大的改变了人们的工作方式和 生活方式，促进了经济和社会的发展，提高了人们的工作水平和生活质量。 根据中国互联网络信息中心（CNNIC）2013年7月发布的《中国互联网络发展状况统计 报告（2013年7月）》，截至2013年6月底，我国网民规模达5.91亿，较2012年底增加2656万人。 互联网普及率为44.1%，较2012年底提升了2.0个百分点，其中手机网民规模达4.64亿，较2012 年底增加4379万人，网民中使用手机上网的人群占比提升至78.5%。手机上网成为互联网发 展的新动力：一方面，手机上网的发展推动了中国互联网的普及，尤其为受网络、终端等限 制而无法接入的人群和地区提供了使用互联网的可能性。另一方面，手机上网推动了互联网 经济新的增长，基于移动互联网的创新热潮为传统互联网类业务提供了新的商业模式和发展 空间，网络即时通信网民规模迅速增加，电子商务类应用使用率上升。 以上数据充分说明，信息技术已经与人们的日常工作、学习和生活息息相关。在信息化 日益普及的今天，伴随着信息技术的广泛应用，当前，信息资源不仅成为人们日常工作、学 习、生活中的基础资源，而且日益成为国家和社会发展的重要战略资源。国际上围绕信息的 获取、使用和控制的斗争愈演愈烈，信息安全成为维护国家安全和社会稳定的一个焦点，各 国都给以极大的关注和投入。 在我国，与信息技术被广泛应用形成鲜明对比的是信息安全问题日益突出，目前，我国 已经成为信息安全事件的主要受害国之一。中国互联网络信息中心（CNNIC）2012 年 10 月 发布的《2012 年中国网民信息安全状况研究报告》表明，虽然多年来我国不断加强信息安 全的治理工作，但信息安全问题仍然十分严重，新型的信息安全事件不断出现，且迅速向更 多网民蔓延，导致信息安全事件的情境日益多样复杂化，信息安全所引起的直接经济损失已 达到很大规模，发起信息安全事件的因素已从此前的好奇心理升级为明显的逐利性，经济利 益链条已然形成，信息安全事件中所涉及的信息类型、危害类型越来越多，且日益深入涉及 网民的隐私，潜在的后果更严重。与此同时，我国的广大网民缺乏关于信息安全的知识，对 信息安全的危害性并不清晰，采取的信息安全保护措施还未达到较好的水平，很多人并不具 备处理信息安全事件的能力。 根据以上分析，信息安全已成为亟待解决、影响国家大局和长远利益的重大关键问题， 它不但是发挥信息革命带来的高效率、高效益的有力保证，而且是抵御信息侵略的重要屏障， 信息安全保障能力是 21 世纪综合国力、经济竞争实力和生存能力的重要组成部分，是世纪 之交世界各国都在奋力攀登的制高点。从大的方面来说，信息安全问题已威胁到国家的政治、 经济和国防等领域。从小的方面来说，信息安全问题已威胁到个人的隐私能否得到保障。因 此，信息安全已成为社会稳定安全的必要前提条件。信息安全问题全方位地影响我国的政治、 军事、经济、文化、社会生活的各个方面，如果解决不好将使国家处于信息战和高度经济金 融风险的威胁之中。 信息安全不仅要保证信息的保密性、完整性，也就是关注信息自身的安全，防止偶然的

或未授权者对信息的恶意泄露、修改和破坏，从而导致信息的泄密或被非法使用等问题，而 且还要保证信息的可用性、可控性，保证人们对信息资源的有效使用和管理。 1.2信息与信息技术 在人类社会的早期，人们对信息的认识比较肤浅而模糊，对信息的含义没有明确的定义。 到了20世纪特别是中期以后，随着科学技术的发展，特别是信息科学技术的发展，对人类 社会产生了深刻的影响，迫使人们开始探讨信息的准确含义。 信息论是20世纪40年代后期从长期通讯实践中总结出来的一门学科，是专门研究信息 的有效处理和可靠传输的一般规律的科学。信息是系统传输和处理的对象，它载荷于语言、 文字、数据、图像、影视、信号等之中，要研究信息处理和传输的规律，首先要对信息进行 定量的描述，即信息的度量，这是信息论研究的出发点。但要对通常含义下的信息（如知识、 情报、消息等)给出一个统一的度量是困难的，因为它涉及客观和主观两个标准，而迄今为 止最成功、应用最广泛的是建立在概率模型基础上的信息度量，进而建立在此种信息量基础 上的信息论成功地解决了信息处理和可靠传输中的一系列理论问题。 1.2.1信息 1、信息的定义 1928年，L.V.R.Hartley在Bell System Technical Journal.上发表了一篇题为Transmission of Information的论文，在这篇论文中，他把信息理解为选择通信符号的方式，且用选择的 自由度来计量这种信息的大小。Hartley认为，任何通信系统的发信端总有一个字母表（或 符号表)，发信者所发出的信息，就是他在通信符号表中选择符号的具体方式。假设这个符 号表中一共有$个不同的符号，发送信息选定的符号序列包含N个符号，则从这个符号表 中共有S种不同的选择方式，因而可以形成S个长度为N的序列。因此，就可以把发信 者产生信息的过程看成是从S个不同的序列中选定一个特定序列的过程，或者说是排除其 他序列的过程。 Hartley的这种理解在一定程度上解释了通信工程中的一些信息问题，但也存在一些严 重的局限性。主要表现在：一方面，他所定义的信息不涉及内容和价值，只考虑选择的方式， 也没有考虑到信息的统计性质：另一方面，将信息理解为选择的方式，就必须有一个选择的 主题作为限制条件。这些缺点使它的适用范围受到很大的限制。 1948年，美国数学家C.E.Shannon在Bell System Technical Journal上发表了一篇题为A Mathematical Theory of Communication的论文，在对信息的认识方面取得了重大突破，堪称 信息论的创始人。这篇论文以概率论为基础，深刻阐述了通信工程的一系列基本理论问题， 给出了计算信源信息量和信道容量的方法和一般公式，得到了著名的编码三大定理，为现代 通信技术的发展奠定了理论基础。 Shannon指出，通信系统所处理的信息在本质上都是随机的，可以用统计方法进行处理。 Shannon在进行信息的定量计算的时候，明确地把信息量定义为随机不定性程度的减少，这 就表明了他对信息的理解是：信息是用来减少随机不定性的东西。 虽然Shannon的信息概念比以往的认识有了巨大的进步，但仍存在局限性，这一概念同 样没有包含信息的内容和价值，只考虑了随机型的不定性，没有从根本上回答“信息是什么” 的问题。 1948年，就在Shannon创立信息论的同时，N.Wiener出版了专著Cybernetics:Control and communication in the animal and the machine,创建了控制论，一门新的学科由此诞生。 Wiener从控制论的角度出发，认为“信息是人们在适应外部世界，并且这种适应反作用于 外部世界的过程中，同外部世界进行互相交换的内容的名称”。Wiener关于信息的定义包含 了信息的内容与价值，从动态的角度揭示了信息的功能与范围，但也有局限性。由于人们在 与外部世界的相互作用过程中，同时也存在着物质与能量的交换，Wiener关于信息的定义 没有将信息与物质、能量区别开来。 1975年，意大利学者G.Longo在Information theory:new trends and open problems一书 的序言中认为“信息是反映事物的形式、关系和差别的东西。它包含在事物的差异之中，而 不在事物本身”。当然，“有差异就是信息”的观点是正确的，但是反过来说“没有差异就没

3 或未授权者对信息的恶意泄露、修改和破坏，从而导致信息的泄密或被非法使用等问题，而 且还要保证信息的可用性、可控性，保证人们对信息资源的有效使用和管理。 1.2 信息与信息技术 在人类社会的早期，人们对信息的认识比较肤浅而模糊，对信息的含义没有明确的定义。 到了 20 世纪特别是中期以后，随着科学技术的发展，特别是信息科学技术的发展，对人类 社会产生了深刻的影响，迫使人们开始探讨信息的准确含义。 信息论是 20 世纪 40 年代后期从长期通讯实践中总结出来的一门学科，是专门研究信息 的有效处理和可靠传输的一般规律的科学。信息是系统传输和处理的对象，它载荷于语言、 文字、数据、图像、影视、信号等之中，要研究信息处理和传输的规律，首先要对信息进行 定量的描述，即信息的度量，这是信息论研究的出发点。但要对通常含义下的信息（如知识、 情报、消息等）给出一个统一的度量是困难的，因为它涉及客观和主观两个标准，而迄今为 止最成功、应用最广泛的是建立在概率模型基础上的信息度量，进而建立在此种信息量基础 上的信息论成功地解决了信息处理和可靠传输中的一系列理论问题。 1.2.1 信息 1、信息的定义 1928 年， L.V. R. Hartley 在 Bell System Technical Journal 上发表了一篇题为 Transmission of Information 的论文，在这篇论文中，他把信息理解为选择通信符号的方式，且用选择的 自由度来计量这种信息的大小。Hartley 认为，任何通信系统的发信端总有一个字母表（或 符号表），发信者所发出的信息，就是他在通信符号表中选择符号的具体方式。假设这个符 号表中一共有 S 个不同的符号，发送信息选定的符号序列包含 N 个符号，则从这个符号表 中共有 N S 种不同的选择方式，因而可以形成 N S 个长度为 N 的序列。因此，就可以把发信 者产生信息的过程看成是从 N S 个不同的序列中选定一个特定序列的过程，或者说是排除其 他序列的过程。 Hartley 的这种理解在一定程度上解释了通信工程中的一些信息问题，但也存在一些严 重的局限性。主要表现在：一方面，他所定义的信息不涉及内容和价值，只考虑选择的方式， 也没有考虑到信息的统计性质；另一方面，将信息理解为选择的方式，就必须有一个选择的 主题作为限制条件。这些缺点使它的适用范围受到很大的限制。 1948 年，美国数学家 C. E. Shannon 在 Bell System Technical Journal 上发表了一篇题为 A Mathematical Theory of Communication 的论文，在对信息的认识方面取得了重大突破，堪称 信息论的创始人。这篇论文以概率论为基础，深刻阐述了通信工程的一系列基本理论问题， 给出了计算信源信息量和信道容量的方法和一般公式，得到了著名的编码三大定理，为现代 通信技术的发展奠定了理论基础。 Shannon 指出，通信系统所处理的信息在本质上都是随机的，可以用统计方法进行处理。 Shannon 在进行信息的定量计算的时候，明确地把信息量定义为随机不定性程度的减少，这 就表明了他对信息的理解是：信息是用来减少随机不定性的东西。 虽然 Shannon 的信息概念比以往的认识有了巨大的进步，但仍存在局限性，这一概念同 样没有包含信息的内容和价值，只考虑了随机型的不定性，没有从根本上回答“信息是什么” 的问题。 1948 年，就在 Shannon 创立信息论的同时， N. Wiener 出版了专著 Cybernetics: Control and communication in the animal and the machine，创建了控制论，一门新的学科由此诞生。 Wiener 从控制论的角度出发，认为“信息是人们在适应外部世界，并且这种适应反作用于 外部世界的过程中，同外部世界进行互相交换的内容的名称”。Wiener 关于信息的定义包含 了信息的内容与价值，从动态的角度揭示了信息的功能与范围，但也有局限性。由于人们在 与外部世界的相互作用过程中，同时也存在着物质与能量的交换，Wiener 关于信息的定义 没有将信息与物质、能量区别开来。 1975 年，意大利学者 G. Longo 在 Information theory : new trends and open problems 一书 的序言中认为“信息是反映事物的形式、关系和差别的东西。它包含在事物的差异之中，而 不在事物本身”。当然，“有差异就是信息”的观点是正确的，但是反过来说“没有差异就没