总序言

网络安全科学是理解、发展和实践网络安全的重要领域。网络安全是一个很广泛的类别，涵盖了用于保护网络空间、业务系统和数据免受破坏的技术和实践。工业界、学术界和政府机构的所有人都使用正式和非正式的科学来创建和扩展网络安全知识。作为一门学科，网络安全领域需要真实的实践知识来探索和推理我们构建或部署安全控制的“方式和原因”。

有人说：“在理论上，理论和实践没有区别；在实践中，这两者是有区别的。”理论家认为实践者不了解基本面，导致采用次优的实践；而实践者认为理论家与现实世界的实践脱节。实际上，理论和实践互相印证、相辅相成、不可或缺。彩虹模型正是网络安全科学的典型实践之一，是近两年越来越被重视的话题——“安全运营”的核心要素。2020年RSAC大会的“人的要素”的主题愿景提出，再好的技术工具、平台和流程，也需要在合适的时间，通过合适的人员配备和配合，才能发挥更大的价值。

网络安全中的人为因素是重要且容易被忽视的，众多权威洞察分析报告指出，“在所有安全事件中，占据90%发生概率的前几种事件模式的共同点是与人有直接关联”。人在网络安全科学与实践中扮演四大类角色：其一，人作为开发人员和设计师，这涉及网络安全从业者经常提到的安全第一道防线、业务内生安全、三同步等概念；其二，人作为用户和消费者，这类人群经常会对网络安全产生不良影响，用户往往被描述为网络安全中最薄弱的环节，网络安全企业肩负着提升持续用户安全意识的责任；其三，人作为协调人和防御者，目标是保护网络、业务、数据和用户，并决定如何达到预期的目标，防御者必须对环境、工具及特定时间的安全状态了如指掌；其四，人作为积极的对手，对手可能是不可预测的、不一致的和不合理的，很难确切知道他们的身份，因为他们很容易在网上伪装和隐藏，更麻烦的是，有些强大的对手在防御者发现攻击行为之前，就已经完成或放弃特定的攻击。

期望本书为您打开全新的网络安全视野，并能作为网络安全实践中的参考。

范渊