搜索
第八章电子政务安全体系电子政务杨兴凯东北财经大学管理科学与工程学院第八章电子政务安全体系第一节电子政务安全概述第二节电子政务安全体系框架第三节电子政务安全技术保障体系第四节电子政务安全运行管理体系第五节安全基础服务保障体系第六节电子政务安全实现主要内容：第八章电子政务安全体系构建电子政务安全管理体系的重要性电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系黑客入侵和犯罪病毒泛滥和蔓延信息间谍的潜入和窃密内部人员的违规和违法操作电子政府第八章电子政务安全体系电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系构建电子政务安全管理体系的重要性电子政务安全遵循“木桶原理”，即一个木桶的容积取决于它最短的一块木板，电子政务系统的安全强度取决于它最薄弱环节的安全强度。因此，电子政务必须建立在一个完整的、多层次的安全体系之上，那么构建一个合理的电子政务安全管理体系就显得尤为重要。第八章电子政务安全体系国外电子政务安全现状电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系相关组织机构的建设，如美国安全委员会下设的国家保密政策委员会和信息系统安全保密委员会重视对网络安全基础设施建设和安全技术研发的投入制定及时、统一的法规政策和标准体系，该体系涉及问题包括：隐私、安全、身份认证、信息管理等第八章电子政务安全体系我国电子政务安全的现状电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系信息与网络安全防护能力较弱，许多应用系统处于不设防的状态国内的IT厂商，在自有知识产权、研发等方面能力较弱人员的安全意识不强，综合素质有待提高缺乏一系列的网络安全标准网络安全相关的法律法规不健全第八章电子政务安全体系电子政务安全问题产生的原因电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系电子政务系统对网络的高度依赖安全技术的缺陷网络的开放性管理的漏洞第八章电子政务安全体系电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系政务活动主体的定义政务活动的主体定义为服务方和客户方。服务方专门负责提供相关服务，满足客户方的各种请求；客户方则专门提出自己的要求，希望得到响应和解决。第八章电子政务安全体系电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系按政务活动主体分类包括系统中心安全性被破坏、竞争者的威胁、机密信息的丢失、假冒的威胁和拒绝服务服务方面临的安全威胁客户方面临的安全威胁包括虚假请求、机密性丧失第八章电子政务安全体系电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系按攻击手段分类系统穿透指未经授权人通过一定手段对认证系统进行攻击，假冒合法用户接入政府内部系统，实现对文件进行篡改、窃取机密信息、非法使用资源等违反授权植入通信监视通信串扰中断拒绝服务否认指入侵者要在系统中设置一种能力，为以后攻击提供方便条件。植入一般在系统穿透或违反授权攻击成功后，采取向系统中注入病毒等指授权进入系统做某件事的用户，在系统中进行未经授权的其他事情指攻击者对系统可用性进行攻击，使系统不能正常工作指在通信过程中从信道进行搭线窃听指攻击者对通信数据或通信过程进行干预，对完整性进行攻击，篡改系统中数据的内容，修正消息次序、时间，注入伪造消息指合法接入者所进行的正当行为无辜受阻指一个实体进行某种通信或交易活动后否认曾进行过这一活动第八章电子政务安全体系电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系OSI协议层安全威胁威胁及风险描述1物理层网络布线损坏由于自然灾害和人为破坏而造成的物理链路的损坏，网络设备的破坏、存储媒体损坏。设备损坏存储媒体损坏2数据链路层嗅探攻击（2～7层）从线缆上捕捉数据包，获得目标系统的信息。MAC欺骗攻击者将自己的MAC地址改为受信任系统的MAC地址，以窃取数据流量并使访问权增大。MAC泛洪以假冒的源MAC地址和目的MAC地址将数据包从攻击者的系统发送到以太网网络上，发生信息泄密。ARP重定向攻击者假冒ARP广播，替代默认网关的MAC地址，使出站请求由攻击者机器转发，导致数据包的读取、修改或丢弃。①技术风险第八章电子政务安全体系电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系3网络层探测与扫描（3～7层）利用特定工具进行扫描来获取信息。IP欺骗假冒IP包头的字段，发送非法数据包，使访问权限增大。Smurf和DDoS攻击以假冒的ICMP广播包消耗链路带宽，导致拒绝服务。IP重定向通过向网络中发出虚假通告，改变路由系统中的信息流。4传输层UDP欺骗假冒UDP报头字段，发送非法数据包，产生信息泄密。TCP欺骗假冒TCP抱头字段，发送非法数据包，发生信息泄密。TCPSYN泛洪攻击发送一个TCPSYN数据包，然后不再做出确认，接收方无限的等待下去，以耗尽服务器内存。传输重定向在系统中安插窃听器，将查询从一个系统和端口重定向到另一系统和端口。①技术风险第八章电子政务安全体系电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系5会话层—――――――――――――――――6表示层―――――――――――――――――7应用层身份欺骗密码破解、暴力登录尝试、数字证书窃取和伪造等。应用程序漏洞应用程序存在后门、弱点，导致非法访问，信息泄漏。应用程序泛洪如垃圾邮件等为消耗系统资源的攻击。病毒和特洛伊木马网络间传播的恶意代码，使系统无法正常工作。①技术风险第八章电子政务安全体系电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系组织及人员风险管理制度不完善安全策略有漏洞缺乏应急体系②管理风险第八章电子政务安全体系电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系③服务风险第三方安全服务提供商的选择风险法规、标准不健全第八章电子政务安全体系电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系安全层面OSI层安全需求安全描述技术需求物理安全物理层环境安全按照国家有关标准设计网络布线、消防报警、防盗报警、温湿度控制等。线路设备安全实行机房监控、线路和设备备份、防电磁泄漏等。存储媒体安全防盗、数据备份。网络安全数据链路层网络层传输层加密系统通过不同的加密技术，保证通信过程中的信息安全。防火墙执行网络之间的访问控制策略，防止外部威胁。交换机安全配置端口安全技术、静态ARP、STP防护、VLAN等。路由器安全配置特殊过滤技术、路由选择认证和VPN等。隔离技术网络的逻辑隔离和物理隔离。系统及应用安全应用层入侵检测系统实时监控网络传输，检测可疑行为。防病毒系统防范病毒的硬件与软件系统。漏洞扫描系统模拟黑客攻击方式，检测网络和系统的安全漏洞。安全认证保证身份的真实性。安全补丁保证操作系统和应用程序获得最新的更新。日志记录系统日志能够帮助管理员找出故障。电子政务安全技术需求表第八章电子政务安全体系电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系电子政务安全管理表安全需求管理描述管理需求行政管理安全组织机构的建设，安全管理制度建设。安全策略管理制定电子政务系统安全规则，并确保安全策略的有效实施。风险管理识别、控制、降低安全风险的过程，包括安全控制和应急方案。第八章电子政务安全体系电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系电子政务安全服务需求表安全需求管理描述服务需求第三方安全服务提供商为电子政务系统提供完整的安全解决方案。PKI/PMI认证平台认证与密钥管理平台。安全法规及标准法律电子政务的基础和保障，标准是电子政务的建设指导。第八章电子政务安全体系电子政务安全概述现状及原因安全分类安全风险电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架安全需求安全管理体系框架电子政务安全技术保障体系电子政务安全管理体系技术保障体系物理安全网络安全系统及应用安全运行管理体系行政管理安全策略管理风险管理安全基础服务保障体系第三方安全服务提供商PKI认证平台电子政务安全法规电子政务安全标准第八章电子政务安全体系电子政务安全概述物理安全行政管理网络安全电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架系统及应用安全安全策略管理电子政务安全技术保障体系风险管理物理安全就是保证对物理设施的合法访问，避免人为破坏，并将自然灾难的影响降到最低。物理安全线路设备安全环境安全存储媒体安全第八章电子政务安全体系电子政务安全概述物理安全行政管理网络安全电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架系统及应用安全安全策略管理电子政务安全技术保障体系风险管理政府内网政府外网互联网网络安全指网络通信的安全性，政府内网、外网和公网之间的隔离，界定访问权限等。物理隔离，采用隔离网闸技术逻辑隔离，包括VLAN、访问控制、VPN、防火墙、身份识别、代理服务器逻辑隔离和物理隔离第八章电子政务安全体系电子政务安全概述物理安全行政管理网络安全电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架系统及应用安全安全策略管理电子政务安全技术保障体系风险管理源文件（明文）解密后的信息（明文）加密后的信息（密文）加密后的信息（密文）密钥加密因特网密钥解密数据加密过程加密系统第八章电子政务安全体系电子政务安全概述物理安全行政管理网络安全电子政务安全运行管理体系安全基础服务保障体系电子政务安全实现电子政务安全体系框架系统及应用安全安全策略管理电子政务安全技术保障体系风险管理对称密钥加密技术不对称密钥加密技术对称加密，是指使用同一把密钥对信息加密、信息解密。一个加密系统的加密密钥和解密密钥相同，或者虽然不同，但可以由其中一个推导另一个，则为对称密钥密码体制。加密和解密的速度很快，效率也很高，但需要仔细保存密钥，其保密性主要取决于密钥本身的保密强度和密钥传送通道的安全性。加密系统第八章电子政务安全体系电子政务安全概述物理安全行政管理网络安全电子政务安全运行管理体系安全