01 / 導讀
導讀
引用
Stallings, W., & Brown, L. (2023). Computer Security: Principles and Practice (5th ed.). Pearson.
章節概要
出版社列出了 24 章，其後是附錄和術語表，並把本書描述為「原理與實踐兼顧」、對電腦和網路安全覆蓋面廣而全面。下面的章節按主題封包，編號依據出版社的目錄。
第 1 章：Overview（概述）
開篇一章介紹這門學科，併為全書其餘部分搭建框架。
第 2–4 章：Cryptographic Tools（密碼工具）；User Authentication（使用者認證）；Access Control（存取控制）
這三章介紹安全的基本技術構件。第 2 章介紹密碼工具，第 3 章講如何證明使用者是誰，第 4 章講如何控制已認證使用者可以做什麼。
第 5–9 章：Database and Data Center Security（資料庫與資料中心安全）；Malicious Software（惡意軟體）；Denial-of-Service Attacks（拒絕服務攻擊）；Intrusion Detection（入侵檢測）；Firewalls and Intrusion Prevention Systems（防火牆與入侵防禦系統）
這一組從保護資料儲存和資料中心，轉向各類威脅（惡意軟體、拒絕服務）及其防禦手段：入侵檢測、防火牆和入侵防禦。
第 10–13 章：Buffer Overflow（緩衝區溢位）；Software Security（軟體安全）；Operating Systems Security（作業系統安全）；Cloud and IoT Security（雲與物聯網安全）
接下來一組考察程式與平臺內部的安全。第 10 章把緩衝區溢位單列為一個案例，第 11 章更一般地討論軟體安全，第 12 章轉向作業系統，第 13 章涵蓋雲和物聯網安全。
第 14–19 章：IT Security Management and Risk Assessment（IT 安全管理與風險評估）；IT Security Controls, Plans, and Procedures（IT 安全控制、計劃與規程）；Physical and Infrastructure Security（實體與基礎設施安全）；Human Resources Security（人力資源安全）；Security Auditing（安全審計）；Legal and Ethical Aspects（法律與倫理問題）
管理類各章把主題擴充套件到技術之外：風險評估、組織採用的控制措施、計劃與規程，實體與人員因素，審計，以及法律與倫理環境。
第 20–21 章：Symmetric Encryption and Message Confidentiality（對稱加密與訊息機密性）；Public-Key Cryptography and Message Authentication（公鑰密碼學與訊息驗證）
這兩章給出第 2 章密碼工具背後的細節：用於機密性的加密，以及公鑰方法和訊息驗證。
第 22–24 章：Internet Security Protocols and Standards（網際網路安全協定與標準）；Internet Authentication Applications（網際網路認證應用）；Wireless Network Security（無線網路安全）
最後幾章把前面的內容應用到網路上：網際網路的安全協定與標準、認證應用，以及無線網路安全。
附錄與術語表
附錄涵蓋：教授電腦安全的專案與其他學生練習、數論的若干方面、標準及標準制定組織、隨機數與偽隨機數生成、基於封包密碼的訊息驗證碼、TCP/IP 協定架構、Radix-64 轉換、域名系統、基礎機率謬誤，以及 SHA-3。
核心概念
第 1–9 章：基礎與防禦
- 密碼工具：其他機制所依賴的加密與認證原語。
- 使用者認證與存取控制：確立身份，並限制該身份能做什麼。
- 惡意軟體與拒絕服務：兩大類主要攻擊。
- 入侵檢測與防火牆：監控與過濾類防禦，包括入侵防禦。
第 10–13 章：軟體與平臺
- 緩衝區溢位：一類記憶體安全缺陷，本書單獨成章講述。
- 作業系統、雲與物聯網安全：程式所執行的平臺所面臨的安全問題。
第 14–19 章：管理
- 風險評估：識別並評估威脅，作為選擇控制措施的基礎。
- 安全控制、計劃與規程：組織如何把風險決策落實為實踐。
- 審計與法律、倫理問題：檢驗安全措施是否有效，並理解圍繞安全的各項義務。
第 20–24 章：密碼演算法與網路安全
- 對稱與公鑰密碼學：支撐機密性和訊息驗證的演算法。
- 網際網路安全協定與認證應用：這些演算法如何被封裝用於網路。
- 無線網路安全：保護無線連結。
評析
優點
- 一冊之內覆蓋面廣。 目錄從密碼學和存取控制，到惡意軟體、軟體安全、管理與法律，一本書就能支撐一門兼顧技術與組織議題的課程。
- 明確重視實踐。 出版社的介紹提到了動手的安全教育、研究、程式設計和防火牆專案、攻防與實驗練習、案例研究和安全評估，並有一個附錄專門收錄教授這門學科用的專案和學生練習。
- 管理類章節。 六章（第 14–19 章）涵蓋風險評估、控制措施、實體與基礎設施安全、人力資源安全、審計，以及法律與倫理問題，這樣的組合是偏技術的安全教材常常缺少的。
- 配套附錄。 數論、TCP/IP 架構、域名系統和隨機數生成都以附錄形式提供，對這些方面基礎薄弱的讀者，不必離開本書就有參考。
侷限
- 密碼學內容被拆開。 密碼工具出現在第 2 章，而演算法在第 20 和 21 章，所以需要提早了解細節的讀者必須往後翻。
- 廣度限制了深度。 24 章加附錄涵蓋的領域非常寬；出版社的介紹強調原理、設計方法、標準和例項，所以想了解形式化安全模型或安全性證明的讀者，需要下面列出的更專門的書。
- 漸進式修訂。 據前言，第五版在教學和易用性上做了改進，更新了參考文獻，提到了近期的安全事件，並有若干較實質的改動，所以已有第四版的讀者在更換之前應先比較目錄。
在課程中的定位
Stallings 和 Brown 的這本是本課程書目中的廣泛綜述。Easttom 的 Computer Security Fundamentals 是面向沒有安全背景的讀者的較平緩的綜述；Bishop 的 Computer Security: Art and Science 把安全視為擁有自身形式化模型的學科，是在存取控制與策略相關章節之後的研究生層次的進階讀物。Anderson 的 Security Engineering 透過案例，以及真實系統中的經濟學和心理學來討論這一主題，其完整的第三版可從作者網站免費下載 PDF，適合作為管理類章節的補充。
就密碼學而言，Paar、Pelzl 和 Güneysu 的 Understanding Cryptography 是一本不借助形式化證明、解釋主要密碼和協定的入門書，適合與第 2 章和第 20–21 章搭配。Katz 和 Lindell 的 Introduction to Modern Cryptography 以定義和安全性證明為基礎，論述嚴謹；如果想弄清這些方案為什麼安全，應在讀完那幾章之後再讀它。
如何使用本書
本書適合本科的電腦安全課程、資訊技術專業的學生，以及想系統瞭解這一領域的從業者。出版社沒有說明先修要求。數論、TCP/IP 架構和域名系統的附錄表明書中在哪些地方內建了背景補充；對作業系統和網路有一定了解，會讓軟體和網路類章節更易讀。
實用的安排：
- 核心： 先讀第 1 章，然後按順序讀第 2 至 9 章，掌握技術基礎及主要的攻擊與防禦。
- 按課程側重選讀： 偏系統與軟體的讀第 10 至 13 章；偏管理或政策的讀第 14 至 19 章；偏網路的讀第 22 至 24 章。
- 密碼學細節： 熟悉第 2 章之後再讀第 20 和 21 章，或配合專門的密碼學教材。
- 實踐： 使用第一個附錄中的專案和練習，以及出版社所說的防火牆與實驗等動手練習，因為這門學科最好在安全的環境中透過嘗試攻擊與防禦來學習。