第八章安全管理信息系统

第八章安全管理信息系统安全8.1安全管理信息系统安全8.1.1信息安全的内涵关于信息安全，不同的人从不同的角度给出不同的定义。我国计算机信息系统安全专用产品分类原则给出的定义是：“涉及实体安全、运行安全和信息安全三个方面。”国家信息安全重点实验室给出的定义是：“信息安全涉及到信息的机密性、完整性、可用性、可控性。目的就是要保障电子信息体系的有效性。”美国国家安全局信息保障主任给出的定义是：“因为术语‘信息安全’一直表示信息的机密性，在国防部我们用‘信息保障’来描述信息安全，也叫‘IA’。包含5种安全服务，包括机密性、完整性、可用性、真实性和不可抵赖性。我国信息安全专家沈昌样院士将信息安全定义为：保护信息和信息系统不被未经授权的访问、使用、泄露、修改和破坏，为信息和信息系统提供保密性、完整性、可用性、可控性和不可否认性。国际化标准组织ISO信息安全提出的建议定义是:“为数据处理系统建立和采取的技术和管理的安全保护。保护计算机硬件、软件数据不因偶然的和恶意的原因而遭受破坏、更改、泄漏”。综合起来，信息安全是指信息在存贮、获取、传递和处理过程中保持其完整、真实、可用和不被泄漏的特性。更进一步地，信息系统安全可定义为:确保以电磁信号为主要形式的、在计算机网络化系统进行自动通信、处理和利用的信息内容，在各个物理位置、逻辑区域、存储和传输介质中，处于动态和静态过程中的机密性、完整性、可用性、可审查性和抗抵赖性的，与人、网络、与环境有关的技术安全、结构安全和管理安全的总和。8.1.2信息安全管理的内涵信息安全管理是通过维护信息的机密性、完整性和可用性等来保护和管理信息资产的一项体制，是为了实现信息安全的目标而进行指导、规范和管理的一系列活动和过程。信息安全管理是企业信息安全保障体系的重要组成部分，是企业发展不可或缺的一部分，对于保护信息资产、降低风险具有重要作用。信息安全管理工作包括制定信息安全方针政策、风险识别、控制目标与制定规范的操作流程、以及对人员进行信息安全培训教育等工作。8.1.3信息系统安全的主要威胁凡是使用信息系统的人都知道，灾难可能降临在存储的信息或计算机系统头上。有些是意外灾难，由于停电、电脑使用者没有经验，或是错误使用等原因引起；而有些则是怀有恶意的破坏者故意造成的。信息系统安全的主要威胁包括以下几个方面:（1）意外事件及自然灾害。停电，电脑操作人员的经验不足或粗心，宠物从电脑键盘走过，等等。（2）企业员工和技术顾问。可以访问电子文档的企业内部人员。（3）外部业务往来。电子信息作为业务往来的一部分在两个或更多的业务伙伴间往来就可能存在风险。（4）外部入侵者。侵入网络和电脑系统进行偷窥或破坏的黑客和破坏者（目前在网络上很嚣张的各种病毒就属于这种类型）。破坏信息系统通常情况下有以下几种方式：未授权访问、信息篡改、拒绝服务、病毒，以及垃圾邮件、间谍软件和Cookie文件。下面就来讨论这些内容。1.未经授权访问人们在无权查看、操作或处理信息的情况下，浏览电子文档查找自己感兴趣的或有用的数据、在屏幕前窥视专有的或机密的信息，或者在信息发布途中将其截获，都属于未授权访问攻击。未授权访问通过偷窃电脑，偷窃存储介质（例如可移动闪存、光盘、或备份磁带），或者仅是打开电脑上未设限制访问的文件就能实现。如果好几个用户共享电脑信息，比如说在一个企业里，内部系统管理员可以要求输入正确的许可信息来阻止对信息的随意窥视或偷窃。此外，管理员可以记录下来未授权个人登录访问的信息。然而，有心的攻击者会想方设法给自己系统管理员的身份或提高自己的访问级别，有时通过窃取密码作为已授权用户登录系统。一种常见的访问密码保护系统的方式是蛮力破解法，即尝试使用大量不同的密码直到找到相匹配的密码。有些系统试图通过增加不成功登录的等待时间，或是使用一种叫CAPTCHAS的验证码识别技术来对付蛮力法。CAPTCHA即全自动区分计算机和人类的图灵测试，它指的是这样一种技术，通常显示为一个组合有字母、数字的扭曲图像，用户必须将图像里的内容输入到格子里（在填写完其他相关信息之后）才能提交。因为图像是扭曲的，所以目前只有人类的眼睛可以识别出这些字母或者数字，从而可以避免自动处理机制不断重复尝试提交表单来获取许可进入系统。2.信息篡改信息篡改攻击是指有人访问电子信息然后通过某种方式改变信息的内容，比如某员工侵入薪资系统给自己电子加薪和分红，或者黑客入侵政府网站修改信息。3.拒绝服务拒绝服务攻击是指电子入侵者故意地阻止某项服务的合法用户使用该服务。入侵者经常通过使位于家里、学校或企业的没有安全系统（或安全系统很弱）的电脑感染上病毒或蠕虫来实施这种攻击。当上网的电脑用户没有使用防火墙或杀毒软件来保护自己而易于被攻击时，被安放了恶意代码的染毒服务器就会出现。在用户不知情的情况下，病毒渗入到未受保护的电脑，利用它们将病毒传播到其他的电脑，并对热门网站发起攻击。受到攻击的网站服务器在潮涌般的假冒请求下死机，于是不能对正常因特网用户的合法请求提供服务，举例来说，MyDoom蠕虫病毒能够控制大批染毒服务器来攻击微软公司网站，并完全阻止了其他用户的合法请求。微软公司是病毒作者的关注焦点，微软公司要经常提供下载补丁给它的软件用户以阻止未授权入侵。4.计算机病毒病毒是对电脑安全最具威胁的因素之一。病毒一旦破坏数据，就需要公司或个人付出大量的时间、金钱以及资源去弥补它们所造成的损失。病毒由破坏性的代码组成，能删除硬盘数据、控制电脑或造成其他破坏。蠕虫是病毒的一种，它能通过因特网，利用操作系统和软件的安全漏洞进行无休止的复制，进而导致服务器宕机和对因特网用户服务请求的拒绝。举例来说，IdaCodeRed蠕虫病毒利用已知的微软网站服务器的安全漏洞，即允许蠕虫大量发送数据包到，使该服务器超负荷，于是造成拒绝服务攻击，导致美国白宫网站瘫痪。5.间谍软件、垃圾邮件和Cookie文件另外三种威胁信息系统安全的方式是间谍软件、垃圾邮件和Cookie文件。（1）间谍软件间谍软件是指在用户不知情的情况下，通过因特网连接偷偷收集用户信息的软件。间谍软件有时藏在免费软件或共享软件程序中，或者被植入网站，在用户不知情的情况下被下载并安装到用户的电脑上，目的是获取用户的数据来进行市场推广或做广告。间谍软件可以监视计算机用户的活动，并能在后台偷偷地将该信息传给其他人。电子信箱地址、密码、信用卡卡号，以及访问过的网站等信息都可能被间谍软件牧集。从通信的角度看，间谍软件之所以会引发问题，是因为它占用了计算机的内存资源，当它通过因特网连接向其大本营发回信息时，还会占用网络带宽，从而导致系统的不稳定，或者更糟糕的情况是导致系统崩溃。有种特殊的间谍软件叫做广告软件，它能收集用户的个人信息以便量身定做浏览器的网页广告。尽管媒体一直在宣传应立法对间谍软件进行适当的调控，但是认清间谍软件目前并非非法这一点是很重要的。好在防火墙和反间谍软件可以扫描和阻止间谍软件。（2）垃圾邮件另一种入侵电子邮件造成网络拥堵的常见形式是垃圾邮件。垃圾邮件是指包含垃圾信息的电子邮件或投送垃圾新闻组邮件，通常其目的是为了推销某种产品或服务。垃圾邮件不仅没有任何实际用处，浪费我们的时间，而且还会占用大量的存储空间和网络带宽。有些垃圾邮件就是个骗局，让你为并不存在的慈善事业捐款，或警告你注意根本不存在的病毒或其他网络威胁。有时候，垃圾邮件的附件还带有破坏性的计算机病毒。因此，网络服务供应商和企业内部邮件管理人员现在通常使用防火墙来打击垃圾邮件。有些垃圾邮件是网络钓鱼（或欺骗）邮件，它们通常通过发送垃圾信息到成百上千万的电邮账户（即攻击者对受害者实施“钓鱼”）来骗取银行账号和信用卡持有者给出他们的授权信息。这些虚假信息中的网站链接复制了那些能获取个人信息的合法站点，例如，很多电子邮件用户经常受到来自虚假银行、Epay（网上支付业务）或者PayPal（一种因特网服务商）等的攻击。不要回复垃圾邮件，强调这一点是很重要的，尽管有时我们觉得这样做很不错，即使邮件信息包含了将你的邮件地址从接收者列表中删除的指令。回复邮件只会适得其反，因为垃圾邮件发送者可以很容易地识别出有效的电子信箱并标记出来以便以后继续发送垃圾邮件。除了依靠电子邮件的垃圾信息外，还有一种常见的垃圾即时通信消息。垃圾即时通信消息就是一种骗局，因为信息被设计成模仿聊天对话的形式，通常是一个网站链接和一些鼓吹该网站是多么有意思等诸如此类的内容。（3）Cookie文件另一种网上垃圾是Cookie文件。Cookie文件指的是从网站服务器传递到用户电脑浏览器的信息，然后浏览器以文本格式储存该文件，每当用户浏览器向服务器请求访问页面，该信息就会被发回服务器。Cookie文件通常用作合法目的，比如识别用户以便为他们准备需要的网页，或是为了认证。举例来说，当用Cookie文件进入一个网站，有可能会被要求填写一张表单，需要填写姓名和兴趣或者是简单地填写邮政编码。这些信息被打包成Cookie文件，通过网络浏览器加以发送，然后储存在电脑上以便日后使用。当你再次访问同一网站时，浏览器就会向服务器发送Cookie文件以便它能根据你的名字、兴趣为你提供个性化的网页，网络服务器还有可能激活你的邮政编码向你提供当地新闻和天气预报。Cookie文件通常记录用户在网站表单上提供的信息（例如，在定购产品的时候），在这种情况下，Cookie文件可能包含敏感信息（比如信用卡号），一旦未经授权的人进入电脑就会带来安全隐患。专门的Cookie管理或Cookie清除软件可以用来管理Cookie文件，可是管理Cookie文件更简单的方法就是使用网络浏览器的设置。举个例子来说，在IE浏览器的设置中，可以对Cookie文件的使用设置不同的等级，可以完全停止使用；如果允许使用，可以定期地从电脑中删除。8.1.3信息系统安全体系信息安全体系框架技术体系组织机构体系管理体系法律制度培训机构岗位人事技术机制技术管理OSI安全技术运行环境及系统安全技术审计密匙管理安全策略与服务图8-1信息系统安全体系框架如图8-1所示，一个完整的信息安全体系应该是组织机构、管理和安全技术实施的结合，三者缺一不可。在信息系统安全体系框架中，从组织机构、技术、管理等多个层面提供用户为保证其信息安全所需要的安全对策、机制和措施，强调在一个安全体系中进行多层保护。在体系中，管理是根本，技术是前提和手段，组织机构（由组织、岗位、人事等模块构成）则是信息安全中最积极的因素，在采用信息安全技术的同时，应该发挥网络系统中最积极的因素──“人”的作用，通过信息安全管理制度和机制来规范人在技术实施和安全操作中的职责，发挥人在信息安全实现中的能动性。因此，建设信息安全保障体系首先要解决“人”的问题，建立完善的安全组织结构，其次是解决“人”和“技术”之间的关系，建立层次化的信息安全策略，包括纲领性策略、安全制度、安全指南和操作流程，最后是解决“人”与“技术（操作）”的问题，通过各种安全机制综合实现预警、保护、检测、响应、恢复等来提高信息的安全保障能力。1.技术体系信息系统安全体系中技术体系框架的设计，可借鉴美国DISSP计划（美军全国防信息系统安全计划）提出的三维安全体系的思路，将协议层次、信息系统构成单元和安全服务(安全机制)作为三维坐标体系的三个维来表示。如图8-2所示。安全服务（安全机制）协议层侧系统构成单元安全管理鉴别审计抗抵赖数据保密性数据完整性访问控制可靠性可用性加密数据签名访问控制完整性鉴别交流业务流填充公证电磁辐射控制抗电磁干扰应用层传输层网路层链路层物理层安全管理物理环境系统平台通信平台网络平台应用平台安全管理图8-2安全技术体系三维图安全机制选作X维，协议层选作Y维，信息系统构成单元选作为Z维。在X维中，由于安全机制并不直接配置在协议层上，也不直接作用在系统单元上，而是通过提供安全服务来发挥作用，为便于从三维图中全面地概览信息系统安全体系中的相互关系，将安全机制作为安全服务的底层支撑放在图中；在安全机制中，将OSI安全体系中的八种机制与物理安全中的电磁