信息安全概念_安全管理系统

信息安全知识培训1高峡启明星辰培训部010-82779088[e-mail]2现实教训Part13现实教训08年机器狗系列、AV终结者、磁碟机（千足虫）07年熊猫烧香06年震荡波05年阻击波4SvenJaschn，震荡波和网络天空的制造者，从法庭离开现实教训2006年9月，黑客攻破中移动网站恳请降低话费2008年8月，清华大学新闻网站遭黑客攻击篡改2010年1月，百度遭遇黑客攻击5现实教训某运营商充值卡被盗6现实教训2009年，美国国家档案馆丢失克林顿政府资料硬盘2008年，艳照门事件根据FBI的调查，每年大约有200万台笔记本电脑被盗，只有2％被追回7现实教训2008年汶川地震2008年南方雪灾2001年911事件8InternetInternetA地C地总部……B地•一个主机感染病毒导致整个网络中断现实教训9现实教训工行网站网络钓鱼事件电子商务网站帐号被窃事件商业间谍网络攻击事件某运营商帐号被窃事件电影中描述的网络安全事件（虎胆龙威4）10安全涉及的领域系统安全网络与通信安全数据库安全存储备份与灾难恢复物理安全安全编程运作安全……11信息安全概念Part212什么是信息安全欧共体对信息安全的定义：网络与信息安全可被理解为在既定的密级条件下，网络与信息系统抵御意外事件或恶意行为的能力。这些事件和行为将危及所存储或传输的数据，以及经由这些网络和系统所提供的服务的可用性、真实性、完整性和保密性。我国安全保护条例的安全定义：计算机信息系统的安全保护，应当保障计算机及其相关的和配套的设备、设施（含网络）的安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护计算机信息系统的安全运行。◆信息安全的定义13什么是信息安全ISO17799中的描述“Informationsecurityprotectsinformationfromawiderangeofthreatsinordertoensurebusinesscontinuity,minimizebusinessdamageandmaximizereturnoninvestmentsandbusinessopportunities.”信息安全：保护信息免受各方威胁确保组织业务连续性将信息不安全带来的损失降低到最小获得最大的投资回报和商业机会14信息安全的特征（CIA）ISO17799中的描述Informationsecurityischaracterizedhereasthepreservationof:ConfidentialityIntegrityAvailability信息在安全方面三个特征：机密性：确保只有被授权的人才可以访问信息；完整性：确保信息和信息处理方法的准确性和完整性；可用性：确保在需要时，被授权的用户可以访问信息和相关的资产。15安全的基本要求完整性：（Integrity）拥有的信息是否正确；保证信息从真实的信源发往真实的信宿，传输、存储、处理中未被删改、增添、替换。机密性：（Confidentiality）谁能拥有信息，保证国家秘密和敏感信息仅为授权者享有可用性：（Availability）信息和信息系统是否能够使用保证信息和信息系统随时可为授权者提供服务而不被非授权者滥用。可控性：（Controllability）是否能够监控管理信息和系统保证信息和信息系统的授权认证和监控管理。不可否认性：（Non-repudiation）为信息行为承担责任，保证信息行为人不能否认其信息行为。16安全特征相对性：没有百分百的安全综合性：涉及管理及技术多个层面单一性：网络安全产品功能相对单一动态性：技术跟进和维护支持的重要性管理难度大17安全控制的目标减少安全威胁的影响威胁：简单的说，可能对机构造成不良影响的潜在事件称为威胁减少一个机构的脆弱性脆弱性：安全设施的缺乏或缺点构成了脆弱性18风险：特定威胁利用某个(些)资产的弱点，造成资产损失或破坏的潜在可能性信息安全保障信息安全保障体系的建设是一项长期而艰巨的任务当前，人们从以下几个方面致力于建立信息安全保障体系信息安全保障管理体系信息安全保障技术与产品体系信息安全保障标准、法规体系信息安全保障人才培养、培训与服务咨询体系19信息安全的相对性安全没有100%完美的健康状态永远也不能达到；安全工作的目标：将风险降到最低20信息安全标准Part32122信息安全评测标准发展1999年GB17859计算机信息系统安全保护等级划分准则1991年欧洲信息技术安全性评估准则（ITSEC）国际通用准则1996年（CC1.0）1998年（CC2.0）1985年美国可信计算机系统评估准则（TCSEC）1993年加拿大可信计算机产品评估准则（CTCPEC）1993年美国联邦准则（FC1.0）1999年国际标准ISO/IEC154081989年英国可信级别标准（MEMO3DTI）德国评估标准（ZSEIC）法国评估标准（B-W-RBOOK）2001年国家标准GB/T18336信息技术安全性评估准则1993年美国NIST的MSFR美国TCSEC1983年，美国国防部颁布了历史上第一个计算机安全评价标准，这就是著名的可信计算机系统评价标准[DOD1983]，简称TCSEC，又称桔皮书1985年，美国国防部对TCSEC进行了修订[DOD1985]主要为军用标准。延用至民用安全级别从高到低分为A、B、C、D四级，级下再分小级。彩虹系列桔皮书：可信计算机系统评估准则黄皮书：桔皮书的应用指南红皮书：可信网络解释紫皮书：可信数据库解释2324美国TCSECTCB：在TCSEC中的定义是：一个计算机系统中的保护机制的全体，它们共同负责实施一个安全政策，它们包括硬件、固件和软件安全核在TCSEC中的定义是：一个TCB中实现引用监控机思想的硬件、固件和软件成分；它必须仲裁所有访问、必须保护自身免受修改、必须能被验证是正确的美国TCSECTCSEC提供D、C1、C2、B1、B2、B3和A1等七个等级的可信系统评价标准，每个等级对应有确定的安全特性需求和保障需求，高等级的需求建立在低等级的需求的基础之上25D:最小保护MinimalProtectionC1:自主安全保护DiscretionarySecurityProtectionC2:访问控制保护ControlledAccessProtectionB1:安全标签保护LabeledSecurityProtectionB2:结构化保护StructuredProtectionB3:安全域保护SecurityDomainA1:验证设计保护VerifiedDesign低保证系统高保证系统美国TCSEC26安全等级名称功能D低级保护系统已经被评估，但不满足A到C级要求的等级，最低级安全产品C1自主安全保护该级产品提供一些必须要知道的保护，用户和数据分离C2受控存取保护该级产品提供了比C1级更细的访问控制，可把注册过程、审计跟踪和资源分配分开B1标记性安全保护除了需要C2级的特点外，该级还要求数据标号、目标的强制性访问控制以及正规或非正规的安全模型规范B2结构性保护该级保护建立在B1级上，具有安全策略的形式描述，更多的自由选择和强制性访问控制措施，验证机制强，并含有隐蔽通道分析。通常，B2级相对可以防止非法访问B3安全域该级覆盖了B2级的安全要求，并增加了下述内容：传递所有用户行为，系统防窜改，安全特点完全是健全的和合理的。安全信息之中不含有任何附加代码或信息。系统必须要提供管理支持、审计、备份和恢复方法。通常，B3级完全能够防止非法访问A1验证设计A1级与B3级的功能完全相同，但A1级的安全特点经过了更正式的分析和验证。通常，A1级只适用于军事计算机系统超A1已经超出当前技术发展，有待进一步描述TCSEC的缺陷集中考虑数据机密性，而忽略了数据完整性、系统可用性等；将安全功能和安全保证混在一起安全功能规定得过为严格，不便于实际开发和测评27欧洲ITSEC欧洲多国安全评价方法的综合产物，军用，政府用和商用。以超越TCSEC为目的，将安全概念分为功能与功能评估两部分。功能准则在测定上分10级。1－5级对应于TCSEC的C1到B3。6－10级加上了以下概念：F-IN：数据和程序的完整性F-AV：系统可用性F-DI：数据通信完整性F-DC：数据通信保密性F-DX包括机密性和完整性的网络安全评估准则分为6级：E1：测试E2：配置控制和可控的分配E3：能访问详细设计和源码E4：详细的脆弱性分析E5：设计与源码明显对应E6：设计与源码在形式上一致。28欧洲ITSEC与TCSEC的不同安全被定义为机密性、完整性、可用性功能和质量/保证分开对产品和系统的评估都适用，提出评估对象（TOE）的概念产品：能够被集成在不同系统中的软件或硬件包；系统：具有一定用途、处于给定操作环境的特殊安全装置29加拿大CTCPEC•1989年公布，专为政府需求而设计•与ITSEC类似，将安全分为功能性需求和保证性需要两部分。•功能性要求分为四个大类：•a机密性•b完整性•c可用性•d可控性•在每种安全需求下又分成很多小类，表示安全性上的差别，分级条数为0－5级。30美国联邦准则FC对TCSEC的升级，1992年12月公布引入了“保护轮廓（PP）”这一重要概念每个轮廓都包括功能部分、开发保证部分和评测部分。分级方式与TCSEC不同，吸取了ITSEC、CTCPEC中的优点。供美国政府用、民用和商用。31评估通用准则（CC）32国际标准化组织统一现有多种准则的努力结果；1993年开始，1996年出V1.0,1998年出V2.0，1999年6月正式成为国际标准，1999年12月ISO出版发行ISO/IEC15408；主要思想和框架取自ITSEC和FC；充分突出“保护轮廓”，将评估过程分“功能”和“保证”两部分；是目前最全面的评价准则通用准则（CC）国际上认同的表达IT安全的体系结构一组规则集一种评估方法，其评估结果国际互认通用测试方法（CEM）已有安全准则的总结和兼容通用的表达方式，便于理解灵活的架构可以定义自己的要求扩展CC要求准则今后发展的框架33关键概念评测保险等级（evaluationassurancelevel，EAL），通用准则有7个保险等级：EAL1功能测试EAL2结构测试EAL3系统地测试和检查EAL4系统地设计、测试和复查EAL5半正式地设计和测试EAL6半正式地验证设计和测试EAL7正式地验证设计和测试34关键概念评估对象——TOE(TargetofEvaluation)产品系统子系统保护轮廓——PP，满足特定的消费者需求的，独立于实现的一组安全要求安全目标——ST，依赖于实现的一组安全要求和说明35CC的结构以及目标读者36内容用户开发者评估者第1部分简介和一般模型，定义了IT安全评估的一般概念和原理，提出评估的一般模型。用于了解背景信息和参考。PP的指导性结构。用于了解背景信息，开发安全要求和形成TOE的安全规范的参考。用于了解背景信息和参考。PP和ST的指导性结构。第2部分安全功能要求，建立一系列功能组件作为表达TOE功能要求的标准方法。在阐明安全功能要求的描述时作指导和参考。用于解释功能要求和生成TOE功能规范的参考。确定TOE符合声明的安全功能时，作评估准则的强制描述。第3部分安全保证要求，建立一系列保证组件作为表达TOE保证要求的标准方法。用于指导保证需求级别的确定。当解释保证要求描述和确定TOE的保证措施时，用作参考。确定TOE的保证和评估PP和ST时，作为强制描述。系统安全保护等级划分准则公安部组织制订了《计算机信息系统安全保护等级划分准则》国家标准于1999年9月13日由国家质量技术监督局审查通过并正式批准发布