前言

计算机网络系统之所以会遭受木马、蠕虫等病毒和黑客的攻击，最主要、最根本的原因是计算机系统存在可以被渗透的安全漏洞（脆弱性，Vulnerability）。任何一个软件系统，都会因为程序员疏忽、设计缺陷等原因而存在安全漏洞。TCP/IP、常用的计算机操作系统也或多或少存在安全漏洞，各类服务器、浏览器、桌面软件都被发现过存在安全隐患。事实上，很多企业、机构及用户的网站由于对网络系统疏于管理，可能出现内部人员泄露机密或外部人员通过非法手段截获而导致机密信息的泄露，从而使一些不法分子有机可乘。而且，随着黑客技术水平的提高，发现的安全漏洞越来越多，每年都会发现新的安全漏洞类型，网络安全形势并不乐观。即使是专业的计算机用户，也难以非常明确地评价自己网络的安全性，从而使基于网络的应用越发不可信任。尤其对于政府、金融等对网络安全要求高的部门，更加需要非常清晰地了解自身的网络安全状况，以保证业务正常进行。由此，计算机网络信息系统的安全检测与评估成为许多行业的迫切需求。

计算机网络信息系统的安全检测与评估是指：事先识别网络系统的安全漏洞，发现网络系统中的薄弱环节及威胁行为，科学准确地评估网络系统的安全风险状况，并提出相应的合理修补措施，它是网络安全防御中的一项重要技术。因此，对于网络空间安全专业的学生，除了了解网络攻击方法外，更有必要系统地掌握信息系统的安全检测与评估技术。本书充分体现“知己知彼，百战不殆”和“防患于未然”的思想，以风险识别与风险控制为中心，全面系统地介绍了安全漏洞检测技术、安全威胁识别方法及风险评估理论，并给出风险评估案例，提供“风险最小化”的实现方法。本书系统、全面地介绍了信息系统安全检测与风险评估的核心理论及关键技术，使网络空间安全专业的学生了解信息系统安全检测与风险评估的必要性及意义，掌握信息系统安全检测技术和风险评估的基本知识，指导信息安全专业相关人员实现更好的安全保障。

本书第1章介绍信息系统安全检测与评估领域的相关术语，分析常见信息系统的安全需求，给出信息系统安全检测与风险评估的基础知识、重要性及发展趋势。第2章介绍信息安全风险评估标准及法规，包括国际认可的信息安全管理体系ISO/IEC 27000系列、信息和通信技术安全管理标准ISO/IEC 13335、国家颁布的信息安全风险评估规范、信息安全风险管理指南、等级保护标准、涉密信息系统分级保护标准及网络安全法。第3章详细介绍安全检测信息采集技术，这是黑客攻击和安全评估的第一步，包括信息踩点、端口扫描、操作系统指纹识别及社会工程学方法。第4章重点介绍安全漏洞检测技术原理，即获取系统漏洞的方法，包括服务器存活性探测、端口信息获取、漏洞扫描等，尤其详细地介绍了主动模拟攻击式、主动查询式和被动监听式漏洞扫描。第5章介绍安全脆弱性检测分析技术及相应工具，重在实现全局安全脆弱性分析的攻击图，包括攻击图生成和攻击图分析。第6章围绕风险评估的要素之一——安全威胁展开，介绍从攻击者角度出发的经典威胁识别模型，详细介绍了著名的ATT&CK相关的知识及使用场景。第7章介绍风险评估工具及漏洞知识库，这是开展风险评估工作的重要支撑。第8章详细介绍信息安全风险评估技术，包括风险评估实施流程、资产识别与重要性评估、脆弱点识别与评估、威胁识别与评估、风险计算，并给出风险评估案例，帮助读者掌握风险评估的实践应用。第9章分析了云计算、大数据、物联网、移动互联网、工业控制系统这五种新型网络环境的安全需求，以及给安全评估领域带来的挑战。

本书系统地梳理了信息安全领域的相关标准法规，围绕信息安全风险的核心要素，把脆弱性识别、威胁识别作为信息系统安全风险评估的基础，全面地介绍信息系统安全检测与风险评估，以及风险评估的支撑工具、漏洞知识库。

本书可作为高等院校网络空间安全专业的本科生和研究生教材，也可作为信息系统安全评估及安全管理人员的技术参考书。

本书的主编上海交通大学的李建华教授与陈秀真副教授主持制定了本书的编写大纲，并对全书进行统稿和修改。张保稳老师负责编写了第1章，陈秀真老师负责编写了第2～4章、第7章和第8章，周志洪老师负责编写了第5章、第6章，段圣雄老师负责编写了第9章，廖思忆博士和梁浩然博士查阅资料并整理了相关部分的内容，对第2章、第3章、第7章、第8章的撰写给予了很大帮助。

由于时间仓促以及知识水平所限，书中难免存在不妥和错误之处，真诚希望读者不吝指教，以期再版时改正。

编者