第3章-网络安全体系及管理

第3章网络安全体系及管理目录3.2网络安全的法律法规23.3网络安全准则和风险评估33.4网络安全管理原则及制度43.1网络安全体系结构13.5网络安全策略及规划5*3.6统一威胁管理UTM实验63.7本章小结7教学目标教学目标●掌握网络安全体系结构、法律法规●理解网络安全管理规范、评估准则和方法●了解网络安全管理的原则、制度、策略和规划●掌握UTM平台的功能、设置与管理方法和过程实验重点重点3.1网络安全体系结构3.1.1OSI网络安全体系结构中国非常重视网络安全管理工作。2014年2月27日，中共中央总书记、国家主席、中央军委主席、中央网络安全和信息化领导小组组长习近平主持召开中央网络安全和信息化领导小组第一次会议并发表重要讲话。指出：网络安全和信息化是事关国家安全和国家发展、事关广大人民群众工作生活的重大战略问题，要从国际国内大势出发，总体布局，统筹各方，创新发展，努力把我国建设成为网络强国。会议审议通过了《中央网络安全和信息化领导小组工作规则》、《中央网络安全和信息化领导小组办公室工作细则》、《中央网络安全和信息化领导小组2014年重点工作》，并研究了近期工作。习近平强调，网络安全和信息化对一个国家很多领域都是牵一发而动全身的，要认清我们面临的形势和任务，充分认识做好工作的重要性和紧迫性，因势而谋，应势而动，顺势而为。案例3-13.1.1OSI网络安全体系结构1．OSI网络安全体系结构OSI参考模型是国际标准化组织（ISO）为解决异种机互联而制定的开放式计算机网络层次结构模型。OSI安全体系结构主要包括网络安全机制和网络安全服务两个方面。（1）网络安全服务在《网络安全体系结构》文件中规定的网络安全服务有5项：（1）鉴别服务。（2）访问控制服务。（3）数据完整性服务。（4）数据保密性服务。（5）可审查性服务。3.1网络安全体系结构表3-1防范典型网络威胁的安全服务网络威胁安全服务假冒攻击鉴别服务非授权侵犯访问控制服务窃听攻击数据保密性服务完整性破坏数据完整性服务服务否认可审查性服务拒绝服务鉴别服务、访问控制服务和数据完整性服务等（2）网络安全机制在ISO7498-2《网络安全体系结构》文件中规定的网络安全机制有8项：加密机制、数字签名机制、访问控制机制、数据完整性机制、鉴别交换机制、信息量填充机制、路由控制机制和公证机制。3.1网络安全体系结构表3-3安全服务与安全机制的关系协议层安全服务加密数字签名访问控制数据完整性认证交换业务流填充公证鉴别对等实体鉴别√√√数据源发鉴别√√访问控制√数据保密性连接保密性√√无连接保密性√√选择字段保密性√业务流保密性√√√数据完整性可恢复的连接完整性√√不可恢复的连接完整性√√选择字段的连接完整性√√无连接完整性√√√选择字段的无连接完整性√√√可审查性数据源发证明的可审查性√√√√交付证明的可审查性√√√√图3-1TCP/IP网络安全管理体系结构3.1网络安全体系结构2.TCP/IP网络安全管理体系TCP/IP网络安全管理体系结构，如图3-1所示。包括三个方面：分层安全管理、安全服务与机制、系统安全管理。3.网络安全管理体系及过程网络安全管理是为保证网络安全所采取的管理举措和过程，其目的是保证网络系统的可靠性、完整性和可用性，以及网络系统中信息资源的保密性、完整性、可用性、可控性和可审查性达到用户需求的规定要求和水平。网络安全管理体系（NetworkSecurityManagementSystem，NSMS）是基于计算机网络安全风险管理的措施、策略和机制，以及建立、实施、运行、监视、评审、保持和改进网络安全的一套体系，是整个网络管理体系的一部分，管理体系包括组织结构、方针策略、规划活动、职责、实践、程序、过程和资源。网络安全管理的具体对象：包括涉及的机构、人员、软件、设备、场地设施、介质、涉密信息、技术文档、网络连接、门户网站、应急恢复、安全审计等。网络安全管理的功能包括：计算机网络的运行、管理、维护、提供服务等所需要的各种活动,可概括为OAM&P。也有的专家或学者将安全管理功能仅限于考虑前三种OAM情形。3.1网络安全体系结构网络安全管理工作的程序，遵循如下PDCA循环模式的4个基本过程：（1）制定规划和计划（Plan）。（2）落实执行（Do）。（3）监督检查（Check）。（4）评价行动（Action）。安全管理模型——PDCA持续改进模式如图3-2所示。图3-2安全管理模型——PDCA持续改进模式3.1网络安全体系结构3.网络安全管理体系及过程拓展阅读：网络安全技术必须与安全管理紧密结合。国际标准化组织ISO在ISO/IEC7498-4文档中，定义了开放系统网络管理的五大功能：故障管理功能、配置管理功能、性能管理功能、安全管理功能和审计与计费管理功能。中国电信网络安全管理平台建设。为了提高中国电信网络安全管理能力，实现中国电信网络集中化、体系化、层次化的安全管理，中国电信集团已经针对ChinaNet在集团公司和江苏两地完成了网络安全管理平台（SOC）的试点建设。主要针对全网近万台路由器、多个业务平台、多个网管系统，而且这些系统的账号管理分散，账号及口令分配、回收、增加、删除等操作较混乱且存在安全隐患，对外来用户的账号口令缺乏有效管理。需要对SOC平台升级集中的用户认证、口令管理功能，采用动态密码技术，并加强密码管理。根据工信部要求，还需要审计追溯功能。SOC平台可在全局层面统一实现IP网安全策略，对全局资源进行统一调度，协同对各种网络安全问题进行有效防范和处理,并实现对C网分组域和部分C网业务平台的安全管理,有利于中国电信IP网的健康、稳定、安全运营。3.1网络安全体系结构案例3-23.1.2网络安全保障体系1．网络安全整体保障体系计算机网络安全的整体保障作用，主要体现在整个系统生命周期对风险进行整体的管理、应对和控制。网络安全整体保障体系如图3-3所示。图3-3网络安全整体保障体系3.1网络安全体系结构网络安全保障关键要素包括四个方面：网络安全策略、网络安全管理、网络安全运作和网络安全技术,如图3-4所示.“七分管理，三分技术，运作贯穿始终”，管理是关键，技术是保障,其中的管理应包括管理技术。与美国ISS公司提出的动态网络安全体系的代表模型的雏形P2DR相似。该模型包含4个主要部分：Policy(安全策略)、Protection(防护)、Detection(检测)和Response(响应)。如图3-5所示图3-5P2DR模型示意图图3-4网络安全保障因素3.1网络安全体系结构2．网络安全保障总体框架结构网络安全保障体系总体框架结构如图3-6所示。此保障体系框架的外围是风险管理、法律法规、标准的符合性。3.1网络安全体系结构图3-6网络安全保障体系框架结构风险管理指在对风险的可能性和不确定性等因素,进行收集、分析、评估、预测的基础上，制定的识别、衡量、积极应对、有效处置风险及妥善处理风险等一整套系统而科学的管理方法，以避免和减少风险损失。网络安全管理的本质是对信息安全风险的动态有效管理和控制.风险管理是企业运营管理核心,风险分为信用风险市场风险和操作风险,其中包括信息安全风险.实际上,在网络信息安全保障体系框架中,充分体现了风险管理理念.网络安全保障体系架构包括五个部分：1)网络安全策略:核心理念-长远规划和战略考虑网络建设安全2)网络安全政策和标准-对1)逐层细化落实-3个层面3)网络安全运作-日常运作模式及其概念性流程4)网络安全管理5)网络安全技术讨论思考：（1）网络安全保障包括哪四个方面？（2）信息安全保障体系架构包括哪五个部分？（3）网络管理与安全技术的结合方式有哪些？3.1网络安全体系结构3.2网络安全的法律法规1.国际合作立法打击网络犯罪20世纪90年代以来，很多国家为了有效打击利用计算机网络进行的各种违反犯罪活动，都采取了法律手段。分别颁布《网络刑事公约》,《信息技术法》,《计算机反欺诈与滥用法》等。欧盟、印度、美国。2.保护数字化技术的法律1996年12月,世界知识产权组织做出了“禁止擅自破解他人数字化技术保护措施”的规定。欧盟、日本、美国等国家都作为一种网络安全保护规定，纳入本国法律。3.2.1国外相关的法律法规3.2网络安全的法律法规3.规范“电子商务”的法律在1996年12月联合国第51次大会上，通过了联合国贸易法委员会的《电子商务示范法》，对于网络市场中的数据电文、网上合同成立及生效的条件，传输等专项领域的电子商务等，“电子商务”规范成为一个主要议题。4.其他相关的法律法规-韩国实名制，西欧和日本-责任/签名法5.民间管理、行业自律及道德规范-行业规范-网络巡警3.2网络安全的法律法规我国从网络安全管理的需要出发，从20世纪90年代初开始，国家及相关部门、行业和地方政府相继制定了多项有关的法律法规。我国网络安全立法体系分为以下三个层面：第一层面:法律.全国人民代表大会及其常委会通过的法律规范。宪法-刑法-刑事诉讼法-治安管理处罚条例-国家安全法第二个层面：行政法规。主要指国务院为执行宪法和法律而制定的法律规范。-计算机信息系统安全保护条例，计算机信息网络国际联网管理暂行规定、保护管理办法、密码管理条例、电信条例、互联网信息服务管理办法、计算机软件保护条例等3.2.2我国相关的法律法规网络犯罪案件非常猖獗。瑞星公司曾在发布的《中国电脑病毒疫情互联网安全报告》称,黑客除了通过木马程序窃取他人隐私外,更多的是谋求经济利益,木马病毒背后所带来的巨大的经济利益催生了病毒“工业化”入侵的进程，并形成了数亿元的产业链。“熊猫烧香”的程序设计者李俊,被警方抓获后,承认自己每天入账收入近万元，共获利上千万元。腾讯QQ密码被盗成为黑客的重灾区,高峰时腾讯每天约有10万人次反映QQ密码被盗。一著名网络游戏公司遭到长达10天网络攻击，服务器全面瘫痪,其经营的网络游戏被迫停止,损失高达3460万元人民币。案例3-33.2网络安全的法律法规第三个层面：地方性法规、规章、规范性文件公安部制定的《计算机信息系统安全专用产品检测和销售许可证管理办法》、《计算机病毒防治管理办法》、《金融机构计算机信息系统安全保护工作暂行规定》、《关于开展计算机安全员培训工作的通知》等。工业和信息化部制定的《互联网电户公告服务管理规定》《软件产品管理办法》《计算机信息系统集成资质管理办法》《国际通信出入口局管理办法》、《国际通信设施建设管理规定》、《中国互联网络域名管理办法》《电信网间互联管理暂行规定》等。讨论思考：（1）为什么说法律法规是网络安全体系的重要保障和基石？（2）国外的网络安全法律法规对我们有何启示？（3）我国网络安全立法体系框架分为哪三个层面？3.2.2我国相关的法律法规3.3网络安全准则和风险评估1.美国TCSEC(橙皮书)1983年由美国国防部制定的5200.28安全标准——可信计算系统评价准则TCSEC，即网络安全橙皮书或桔皮书，主要利用计算机安全级别评价计算机系统的安全性。它将安全分为4个方面（类别）：安全政策、可说明性、安全保障和文档。将这4个方面（类别）又分为7个安全级别，从低到高为D、C1、C2、B1、B2、B3和A级。数据库和网络其他子系统也一直用橙皮书来进行评估.橙皮书将安全的级别从低到高分成4个类别：D类、C类、B类和A类，并分为7个级别。如表3-1所示。3.3.1国外网络安全评价标准3.3.1国外网络安全评估标准类别级别名称主要特征DD低级保护没有安全保护CC1自主安全保护自主存储控制C2受控存储控制单独的可查性，安全标识BB1标识的安全保护强制存取控制，安全标识B2结构化保护面向安全的体系结构，较好的抗渗透能力B3安全区域存取监控、高抗渗透能力AA验证设计形式化的最高级描述和验证表3-1安全级别分类3.3网络安全准则和风险评估2．欧洲评价标准ITSEC信息技术安全评估标准ITSEC，俗称欧洲的白皮书，将保密作为安全增强功能，仅限于阐述技术安全要求，并未将保密措施直接与计算机功能相结合。ITSEC是欧洲的英国、法国、德国和荷兰等四国在借鉴橙皮书