分数虚高，讲故事文笔.....讲得不深

多数人，只能对小部分章节产生共鸣，这个领域实在是太广泛了。

一本很有价值的藏书，再安利一下：这本书的第三版(英文)已经于2020年年底出版了，有兴趣的同学可以去读一下。

大概扫了一下，皇皇巨著，作者真是热爱他的信息安全。“I have learned a lot in the process; writing down what you think you know is a good way of nding out what you don’t. I have also had a lot of fun. I hope you have as much fun reading it!”

剑桥大学计算机实验室信息安全工程教授、安全经济学开创者、全球最重要安全权威之一Ross Anderson 经典著作，本书开创了信息安全工程学科，十年磨一剑 畅销书《信息安全工程》全面升级、重出江湖，本书由作者的中国研究生全程审稿通过后出版

中文系翻译工科的书，去死吧你

读完半年了，较深的一本书，想尝试第二次读

墨菲定律：事情如果有变坏的可能，不管这种可能性有多小，它总会发生。 帕金森定律： 工作总是在增长以占满分配给它的时间，而工作延长的原因在于“管理者总是增加下属而不是增加竞争者，并给他们安排工作”。 彼...

以前还纳闷儿，为啥这么经典的书籍很快就绝版了，看了看这翻译质量也真的没谁了。没有英文根本理解不了讲的啥。

CERT一般在通知厂商45天之后公布相应漏洞。

这一页的下半部分对于一个新时代真正的安全工程师所应具有的技能和知识提出了比较全面的要求。

每个人(此处指各独立专业领域的专家)都必须具备系统的视角，并且必须设计出能够集成到更大的完备体系当中的组件。

bugtraq是由赛门铁克进行维护的！

评估和保障方案，比如通用准则CC、ISO9001和CMM等，都试图讲充满活力且具有竞争力的行业挤压成官僚政治的紧身衣，从而给购买者提供对于产品稳定性的幻想。

管理者经常购买那些他们自己也知道不是最佳甚至有缺陷的产品和服务，但是这些产品来自大公司供应商，这就见删了当系统出现问题时他们(指管理者)遭到解雇的可能性。（20年前有一个说法：没有人会因为买IBM产品而被...

如果可以通过某些方法使得那些失去领军人物，失去光彩和能力的开发团队也随之降级的话，CMM将更强大。

那些类似强行改变企业文化的做法（在这里就是用计算机系统替代）严重破坏了民心

如果你负责运行一家公司，在对新攻击方法投入大量资金是无效的，这属于研究型工作，应该交给学院中的人来做。你需要的是两个方面的工作：一方面是建立一种机制，以防开发人员在构建系统时引入栈溢出与弱加密这样...

或许公共部门中只有30%的大项目取得了成功。 ----原来都差不多。

在美国政府机构中，计算机安全管理者的平均任期仅为7个月 ------在那儿得罪人的活都不好干。

对于管理而言是不存在算法的。而在存在算法的场合，应该叫做经营。

"出血才能出彩“(If it bleeds,it leads.)

无穷的金钱是战争的原动力。 ---西塞罗

在古老的网络新闻系统上无节制发帖的人们有时候会发现自身被“Usernet旧帖子幽灵(Ghost of Usenet Posting Past)”所困扰，并且数个世纪以前就存在着一些毁灭了生命、家庭和命运的社交失礼传闻。 ----好惨哦。

“打金(Gold Farming)”如今已成为重要的出口产业，它为遥远村庄缺乏就业机会的年轻人创造了新的经济机遇。

游戏是最初的计算机应用之一。几乎在世界上第一台严格意义上的计算机EDSAC投入运行之际，研究者们就开始为其编写游戏。

历史教训证明版权保护必须是技术方面和法律方面协同工作，任何一个单独方面都有可能是不充分的。

罪恶之树会结出苦涩的果实，现在开始销毁程序盘。 ---这招比它现在的黑屏招数要猛多了。

今天偶然发现作者81年就已经在工作已就职状态了，所以到网上查了一下，他是1956生人，基本相当于我的父辈，作者写此书的主要时间是2007年，51岁的时候还是学术领域和工程领域不断耕耘，真是令人惊叹啊。

一项调查表明：新PC销售中的8%是卖给了那些因为原有计算机上遍布广告软件和其它垃圾软件而变得不可用的人。

大概在2004年前后，情况发生变化，在此之前，病毒只是为了搞笑、炫耀之类，但此后，有组织的信息产品犯罪经济学开始涌现。

页面JS代码可以修改家用路由器的DNS服务器设置（路由器的Web接口是有规范标准的？），所以最好改一下家用路由器的默认密码。

Google Hacking:使用搜索引擎寻找运行着有漏洞的应用程序的Web服务器

如果你在咖啡上的开销比在IT安全面还要多，你讲受到黑客的攻击，而且是咎由自取。

那些认为可以通过密码学解决问题的人，其实并不真正了解他们的问题，而且也不了解密码学本身。

该书作者为了数10美元的硬塞欺诈直接去该电话公司的首席执行官私人办公室解决此事，当然前提是他曾经在学术会议上和该CEO会谈过。

从严格意义上来说电话公司经常欺诈自己的用户，从通俗意义上来说迷惑式定价构成了电话公司的经济学支柱。 ----这让我想起某ISP在大幅降价之前搞买1年送1年的优惠活动，把高价时间尽可能延长。

在互联网泡沫时代的大量资本最终被当作沉没成本。

电话公司是具有极高固定成本和极低边际成本的典型例子。

电话公司和互联网服务提供商被迫为经过授权的执法行为提供的访问接口经常设计拙劣，从而会被滥用。

SIM卡包含三个代码： 1、个人识别码(PIN)：用于对SIM卡进行解锁。 2、国际移动用户识别码：它是映射到移动电话号码的唯一编号。 3、1一个128位的用户身份验证密钥，该密钥对2进行身份验证。

移动电话对于安全工程师而言非常重要，它不但是底层基础设施的组成部分，而且还是服务的传送通道。

史蒂夫.乔布斯在进入计算机业之前制造过蓝盒装置---一种帮助窃打电话的音频发生器，那个时代电话窃打者是反主流文化的英雄。

有两种傻瓜。一种傻瓜说：”这是成熟的事物，因此它很好。“另一种傻瓜则说；”这是新兴的事物，因此它更好。“

第一次海湾战争的“友方火力”造成人员伤亡比例上升到25%，可见联合作战的风险之高。

敌我识别（IFF Identify-Friend-or-Foe）系统即关键，也存在争议。

金属箔条---将箔切割成目标信号的半个波长的薄条，然后投放出去以提供假回波。 ---以前以为就是随便的金属切割料那。

保护级别在系统中所处的层级越高，就会越复杂，依赖越多的其它软件，越容易出错，因此其可靠性越差。

许多新的安全功能几乎有一半是为厂家利益考虑的，只有另一半是为用户利益考虑的。

在发达国家的国家财政收入中，医疗保健领域的投入远大于军事领域的投入。

数据泄漏导致FTC收到大量投诉，之后公司CTO辞职，并解雇发布数据的雇员以及该雇员的上级主管。

电子商务的大部分概念和问题，对于维多利亚时代的人们而言就已经耳熟能详了。

关于如何设计内部（员工）控制，在审计学文献中也很难找到系统化描述，这通常需要审计员在工作实践中学习和掌握。

如何采用工程化手段解决内部员工控制问题？一般有两种责任分离策略：双重控制和功能分离。

内部控制的一个真正重要的方面是系统管理员数量最小化。

摄像头证据会使银行一贯宣称系统正确无误的说法有些站不住脚。

"憨骡"：用于讲金额从受控的帐号发送给西部联盟。

在许多欧洲国家，不能获得信贷的住户（相当于低收入家庭）用预付式仪表购买电和天然气

在钞票方面，20世纪最后几年里增长最快的领域是业余爱好者的伪造。

在卡上签名符合银行的利益，而不合客户的利益。

在以指纹被用来领取养老金的国家，一个经久不衰的传奇故事是“泡菜罐子里奶奶的手指”成为她对这个家庭最有价值的遗产。

在温度低于-20摄氏度时，当电源被拔掉后，静态RAM中的内容会持续几秒钟，在液氮温度下，会延长到几分钟。

他们(物理防篡改)不仅实现了职责分离的策略，而且还将信任从人转移到物。

漫反射光包含屏幕的大部分信息，被编码在时域中。

实际上，设计安全的API是一项非常困难的任务。

Echelon ：世界电话系统中的Google。

用于检测敌方目标并进行武器导航的主要方法是声纳、雷达、红外线。

读了《网络安全工程》后，佩服原作者 Ross J. Anderson 广博的安全知识和流畅文笔之余，也佩服机械出版社和蒋佳，刘新喜等人“突出”的翻译能力。  兹列举简单几个证据：  P16. 倒数第10行：“……再把它们(文中指日志)邮递到网络上。” 评：post 翻译成“张贴”应该是很容易的...

就是翻译很糟糕

书还是很好的，可以归纳为“概论”一类，如果要针对某一方面深入研究，还的再找其他资料。   在看英文版第一版，免费的PDF下载，可以到作者的个人网站上下载到。翻译过来的第二版，太Y的差劲了，给作者抹黑不说，也玷污了清华大学出版社在我心中的xx。   还是看原版吧，中文版...

翻译的太差了

国外经典教材·计算机科学与技术

信息安全工程

这不是一本教你配置防火墙、学习加密算法的技术手册，而是一位安全经济学开创者对