注：信息安全工程师第2版教程于2020年8月出版发行，2020年起将按第2版教程和大纲出题

信息安全工程师第1版官方教材是由全国计算机专业技术资格考试办公室组编，张焕国主编，杜瑞颖、傅建明、严飞副主编，清华大学出版社出版，定价为128元。于2016年7月1日出版发行，以下为教材封面。

信息安全工程师教材购买地址：《信息安全工程师教程》官方教材购买地址

信息安全工程师教材电子版下载：http://www.cnitpm.com/pm1/35589.html

内容简介
全国计算机技术与软件专业技术资格（水平）考试（以下简称“计算机软件考试”）是由人力资源和社会保障部、工业与信息化部领导下的专业技术资格考试，纳入全国专业技术人员职业资格证书制度统一规划。为适应“十三五”期间计算机软件行业发展需要，满足社会多方对信息安全技术人员的迫切需求，根据人力资源和社会保障部办公厅《关于2016年度专业技术人员资格考试计划及有关问题的通知》（人社厅发[2015]182号），在2016年下半年计算机技术与软件专业技术资格（水平）考试中将开考“信息安全工程师（中级）”。“信息安全工程师（中级）”岗位的人才评价工作的实施，将成为科学评价我国信息安全专业技术人员的重要手段，也将为我国培养和选拔信息安全专业技术人才，发挥重要作用。
本书根据信息安全工程师考试大纲的要求进行编写，内容主要包括信息安全基本概念、基本技术和基本应用等方面，讲授方法注重理论联系实际，突出实用技术。全书共分8章，具体内容包括：信息安全基础、密码学基础与应用、网络安全基础、信息系统安全基础、应用系统安全基础、网络安全技术与产品、信息系统安全工程、应用安全工程。
本书是计算机软件考试中“信息安全工程师”岗位的考试用书，也可作为信息安全相关专业学生和从业人员学习信息安全技术的教材，还可用做相关信息技术领域从业人员的技术参考书。

序言/前 言
人类社会在经历了机械化、电气化之后，进入了一个崭新的信息化时代。在信息时代，人们生活和工作在信息空间或网络空间中。所谓信息空间或网络空间就是人们赖以生存的信息环境，它是所有信息系统的集合。
在信息时代，信息成为一种重要的战略资源。信息技术改变着人们的生活和工作方式，信息产业成为世界第一大产业。信息的获取、存储、传输、处理和安全保障能力成为一个国家综合国力的重要组成部分。
我国非常重视信息技术人才队伍的建设。伴随着信息产业的发展，人力资源和社会保障部、工业与信息化部共同组织了“全国计算机技术与软件专业技术资格（水平）考试”，通过这项制度，已为我国培养选拔了几十万计算机与软件服务专业技术人才（包括香港、澳门和台湾地区来大陆就业的人员）。部分考试标准与日本、韩国互认。该考试由于其权威性和严肃性，得到了社会各界及用人单位的广泛认同，并为推动国家信息产业发展，特别是计算机和软件服务产业的发展，以及提高各类信息技术人才的素质和能力发挥了重要作用。
当前，信息技术与产业欣欣向荣，处于空前繁荣的阶段，但是另一方面，危害信息安全的事件不断发生，信息安全的形势非常严峻。敌对势力的破坏、黑客入侵、利用计算机实施犯罪、恶意软件侵扰、隐私泄露等，是我国信息网络空间面临的主要威胁和挑战。我国已经成为世界信息产业大国，但是还不是信息产业强国，在信息产业的基础性产品研制、生产方面还比较薄弱，例如，计算机操作系统等基础软件和CPU等关键性集成电路，我国现在还部分依赖国外的产品，这就使得我国的信息安全基础不够牢固。
随着计算机和网络在军事、政治、金融、工业、商业等部门的广泛应用，社会对计算机和网络的依赖越来越大，如果计算机和网络系统的安全受到破坏，不仅会带来巨大的经济损失，还会引起社会的混乱。因此，确保以计算机和网络为主要基础设施的信息系统的安全已成为世人关注的社会问题和信息科学技术领域的研究热点。当前，我国正处在全面建成小康社会的决定性阶段，实现我国社会信息化并确保信息安全是我国全面建成小康社会的必要条件之一。而要实现我国社会信息化并确保信息安全的关键是人才，这就需要我们培养造就规模宏大、素质优良的信息化和信息安全人才队伍。
2014年，习近平主席在中央网络安全与信息化领导小组会议上指出：没有网络安全就没有国家安全，没有信息化就没有现代化。网络安全和信息化是事关国家安全和国家发展、事关广大人民群众工作生活的重大战略问题，要从国际国内大势出发，总体布局，统筹各方，创新发展，努力把我国建成网络强国。
“十三五”时期，我国要积极推动网络强国建设。网络强国涉及技术、应用、文化、安全、立法、监管等诸多方面，不仅要突出抓好核心技术突破，还要提供更加安全可靠的软硬件支撑，加快建设高速、移动、安全、泛在的新一代信息基础设施，在不断推进新技术新业务应用，繁荣发展互联网经济的同时，要强化网络和信息安全，而培育高素质人才队伍是实施网络强国战略的重要措施。2015年，国务院学位委员会和教育部增设“网络空间安全”一级学科。我国信息安全学科建设和人才培养，迎来了全面高速发展的新阶段。
与此同时，全国计算机技术与软件专业技术资格（水平）考试办公室决定开始开展“信息安全工程师”岗位的人才评价工作，以加快推动信息安全专业的人才队伍建设。我们相信，这一措施将成为科学评价我国信息安全专业技术人员的重要手段，也将为我国培养和选拔信息安全专业技术人才，发挥重要作用。
为了配合“信息安全工程师”考试工作的开展，给准备参加考试的技术人员提供一本适用的教材，我们编写了《信息安全工程师教程》一书。全书共分8章，主要内容 如下：
第1章 信息安全基础，主要介绍：信息安全概念、信息安全法律法规、信息安全管理基础和信息安全标准化知识。本章的内容是基本的，但是对信息安全技术人员来说是重要的。
第2章 密码学基础与应用，主要讲解：密码学的基本概念、分组密码、序列密码、Hash函数、公钥密码体制、数字签名、认证和密钥管理。本章的介绍强调基本概念、基本技术和基本应用技术，努力避免较复杂的数学理论。
第3章 网络安全基础，主要介绍：计算机网络基本知识、网络安全的基本概念、网络安全威胁、网络安全防御和无线网络安全。
第4章 信息系统安全基础，主要讨论：计算机设备安全、操作系统安全、数据库系统的安全、恶意代码、计算机取证和嵌入式系统安全。
第5章 应用系统安全基础，主要讲解：Web 安全、电子商务安全、信息隐藏、网络舆情和隐私保护。
第6章 网络安全工程，主要介绍：网络安全需求分析与基本设计、网络安全产品的配置与使用、网络安全风险评估实施和网络安全防护技术的应用。本章强调网络安全的基本技术与应用。
第7章 信息系统安全技术与产品，主要介绍：访问控制、信息系统安全的需求分析与设计准则、信息系统安全产品的配置与使用和信息系统安全测评。本章强调信息系统安全的基本技术与应用。
第8章 应用安全工程，主要介绍：Web 安全的需求分析与基本设计、电子商务安全的需求分析与基本设计、嵌入式系统的安全应用、数字水印在版权保护中的应用和位置隐私保护技术的应用。本章强调应用系统安全的基本技术与应用。
本书由张焕国主编，杜瑞颖、傅建明、严飞副主编。参加编写的还有：陈晶、罗敏、赵波、彭国军、王张宜、牛晓光、王丽娜、任延珍、张立强、赵磊、武小平、王张宜、王鹃、余发江、郑鹏、王志波、叶登攀、余荣威等各位老师。
本书的编写工作得到湖北省软件工程师考试办公室夏波的指导和帮助，特向她表示感谢。
尽管作者们作了很大努力，力图使本书理论联系实际、简明扼要、通俗易懂，但因作者水平和经验所限，书中难免会有不妥和错误之处。对此，作者恳请读者的理解和批评指正，并于此先致感谢之意。

目 录
第1章 信息安全基础 1
1.1 信息安全概念 1
1.1.1 信息安全是信息时代永恒的需求 1
1.1.2 网络空间安全学科的内涵 6
1.1.3 网络空间安全学科的主要研究方向和研究内容 9
1.1.4 网络空间安全学科的理论基础 10
1.1.5 网络空间安全学科的方法论基础 14
1.2 信息安全法律法规 15
1.2.1 我国立法现状 15
1.2.2 计算机和网络安全的法规规章 19
1.2.3 数字信息与知识产权 24
1.3 信息安全管理基础 25
1.3.1 信息安全管理 25
1.3.2 信息安全政策 33
1.3.3 信息安全风险评估与管理 45
1.4 信息安全标准化知识 50
1.4.1 技术标准的基本知识 50
1.4.2 标准化组织 51
1.4.3 信息安全标准 54
1.5 信息安全专业英语 57
1.5.1 Cryptography 57
1.5.2 Network Security 67
1.5.3 Application Security 70
第2章 密码学基础与应用 75
2.1 密码学的基本概念 75
2.1.1 密码学的基本安全目标 75
2.1.2 密码体制 76
2.1.3 古典密码 79
2.2 分组密码 85
2.2.1 分组密码的概念 85
2.2.2 DES算法 86
2.2.3 AES算法 95
2.2.4 SM4算法 103
2.2.5 分组密码工作模式 108
2.3 序列密码 112
2.3.1 序列密码的概念 112
2.3.2 线性移位寄存器序列 113
2.3.3 RC4序列密码 115
2.3.4 ZUC算法 117
2.4 Hash函数 119
2.4.1 Hash函数的概念 119
2.4.2 SHA算法 121
2.4.3 SM3算法 126
2.4.4 HMAC 128
2.5 公钥密码体制 130
2.5.1 公钥密码体制的概念 130
2.5.2 RSA密码 134
2.5.3 ElGamal密码 136
2.5.4 椭圆曲线密码 138
2.5.5 SM2椭圆曲线公钥加密算法 143
2.6 数字签名 146
2.6.1 数字签名的概念 146
2.6.2 典型数字签名体制 148
2.6.3 SM2椭圆曲线数字签名算法 150
2.7 认证 153
2.7.1 认证的概念 153
2.7.2 身份认证 154
2.7.3 报文认证 159
2.8 密钥管理 161
2.8.1 密钥管理的概念 161
2.8.2 对称密码的密钥管理 162
2.8.3 非对称密码的密钥管理 164
第3章 网络安全基础 169
3.1 计算机网络基本知识 169
3.1.1 计算机网络的体系结构 169
3.1.2 Internet协议 170
3.2 网络安全的基本概念 209
3.2.1 网络安全事件 209
3.2.2 APT 213
3.2.3 暗网 217
3.3 网络安全威胁 219
3.3.1 网络安全现状 220
3.3.2 网络监听 222
3.3.3 口令破解 226
3.3.4 拒绝服务攻击 229
3.3.5 漏洞攻击 239
3.3.6 僵尸网络 249
3.3.7 网络钓鱼 252
3.3.8 网络欺骗 253
3.3.9 网站安全威胁 261
3.3.10 社会工程 267
3.3.11 部分协议的安全漏洞 268
3.4 网络安全防御 274
3.4.1 防火墙 274
3.4.2 入侵检测与防护 292
3.4.3 虚拟专用网络 300
3.4.4 安全扫描和风险评估 308
3.4.5 安全协议 318
3.4.6 网络蜜罐技术 333
3.4.7 匿名网络（Tor） 338
3.4.8 网络备份 342
3.4.9 网络安全防范意识与策略 343
3.5 无线网络安全 347
3.5.1 无线网络基本知识 347
3.5.2 无线网络安全威胁及分析 352
3.5.3 无线网络安全机制 364
第4章 信息系统安全基础 380
4.1 计算机设备安全 380
4.1.1 计算机安全的定义 380
4.1.2 计算机系统结构的安全实现 382
4.1.3 电磁泄露和干扰 383
4.1.4 物理安全 388
4.1.5 计算机的可靠性技术 397
4.2 操作系统安全 406
4.2.1 操作系统安全概述 406
4.2.2 操作系统面临的安全威胁 407
4.2.3 安全模型 409
4.2.4 操作系统的安全机制 416
4.2.5 操作系统安全增强的实现方法 440
4.3 数据库系统的安全 445
4.3.1 数据库安全的概念 445
4.3.2 数据库安全的发展历程 446
4.3.3 数据库访问控制技术 447
4.3.4 数据库加密 450
4.3.5 多级安全数据库 455
4.3.6 数据库的推理控制问题 462
4.3.7 数据库的备份与恢复 464
4.4 恶意代码 467
4.4.1 恶意代码定义与分类 467
4.4.2 恶意代码的命名规则 468
4.4.3 计算机病毒 471
4.4.4 网络蠕虫 474
4.4.5 特洛伊木马 476
4.4.6 后门 482
4.4.7 其他恶意代码 482
4.4.8 恶意代码的清除方法 485
4.4.9 典型反病毒技术 486
4.5 计算机取证 490
4.5.1 计算机取证的基本概念 490
4.5.2 电子证据及特点 491
4.5.3 计算机取证技术 492
4.6 嵌入式系统安全 498
4.6.1 智能卡概论 500
4.6.2 USB-Key技术 505
4.6.3 智能终端 508
4.6.4 工控系统安全概述及解决途径 514
第5章 应用系统安全基础 518
5.1 Web安全 518
5.1.1 Web安全威胁 518
5.1.2 Web威胁防护技术 520
5.2 电子商务安全 528
5.2.1 电子商务安全概论 528
5.2.2 电子商务的安全认证体系 530
5.2.3 电子商务的安全服务协议 532
5.3 信息隐藏 557
5.3.1 信息隐藏概论 557
5.3.2 数字水印技术 568
5.4 网络舆情 588
5.4.1 网络舆情的定义 588
5.4.2 网络舆情的表现方式 588
5.4.3 网络舆情的特点 588
5.4.4 网络舆情的诱发因素 589
5.4.5 网络舆情的监测技术 590
5.4.6 网络舆情的预警措施 590
5.5 隐私保护 591
5.5.1 介绍 591
5.5.2 隐私保护技术 595
5.5.3 隐私度量与评估标准 611
第6章 网络安全技术与产品 615
6.1 网络安全需求分析与基本设计 615
6.1.1 网络安全威胁概述 615
6.1.2 网络安全需求分析 618
6.1.3 网络安全设计原则 621
6.1.4 网络安全基本设计 622
6.2 网络安全产品的配置与使用 629
6.2.1 网络流量监控和协议分析 629
6.2.2 网御sis-3000安全隔离与信息交换系统（网闸，NetGap） 640
6.2.3 华为USG6000系列下一代防火墙 658
6.2.4 天阗入侵检测管理系统(IDS) 669
6.3 网络安全风险评估实施 677
6.3.1 基本原则与流程 677
6.3.2 识别阶段工作 678
6.3.3 风险分析阶段工作 690
6.3.4 风险处置建议 691
6.4 网络安全防护技术的应用 693
6.4.1 网络安全漏洞扫描技术及应用 694
6.4.2 VPN技术及应用 703
6.4.3 网络容灾备份技术及应用 708
6.4.4 日志分析 712
第7章 信息系统安全工程 718
7.1 访问控制 718
7.1.1 访问控制技术 718
7.1.2 身份认证技术 724
7.2 信息系统安全的需求分析与设计准则 737
7.2.1 信息系统安全需求分析 737
7.2.2 信息系统安全的设计 748
7.3 信息系统安全产品的配置与使用 757
7.3.1 Windows系统安全配置 757
7.3.2 Linux系统安全配置 769
7.3.3 数据库的安全配置 775
7.4 信息系统安全测评 779
7.4.1 信息系统安全测评概述 779
7.4.2 信息系统安全测评的基础与原则 780
7.4.3 信息系统安全测评方法 785
7.4.4 信息系统安全测评程序 795
第8章 应用安全工程 798
8.1 Web安全的需求分析与基本设计 798
8.1.1 Web安全威胁 798
8.1.2 Web安全威胁防护技术 804
8.2 电子商务安全的需求分析与基本设计 808
8.2.1 电子商务系统概述 808
8.2.2 电子商务系统的体系架构 809
8.2.3 电子商务系统的设计开发的基本过程 810
8.2.4 电子商务系统安全的需求分析 811
8.2.5 电子商务系统安全架构 816
8.2.6 电子商务系统安全技术 818
8.3 嵌入式系统的安全应用 822
8.3.1 嵌入式系统的软件开发 823
8.3.2 智能终端 832
8.4 数字水印在版权保护中的应用 842
8.4.1 数字版权保护系统的需求分析 843
8.4.2 基于数字水印的数字版权保护系统体系架构 843
8.4.3 数字版权保护系统的常用数字水印技术 845
8.4.4 数字版权保护系统技术标准 845
8.5 位置隐私保护技术的应用 846
8.5.1 位置隐私保护介绍 846
8.5.2 位置隐私保护常用方法 849
8.5.3 位置隐私k-匿名算法与应用 852
参考文献 858