搜索
第八章信息系统安全1《管理信息系统》劳顿第13版学习目标1.解释为什么信息系统容易出现系统崩溃、出错和滥用？2.描述安全与控制的商业价值是什么？3.描述安全与控制的组织框架有哪些组成要素？4.描述保护信息资源最重要的工具和技术有哪些？2开篇案例--你上“领英”网站吗？要小心！问题:大规模数据泄漏；使用过时的安全措施。解决方案:按照采用满足最低的行业标准做法来保护数据。例如，采用最新的哈希密码加盐方法。展现了需要按照当前的标准来持续更新企业的安全措施以应对来自数据安全的威胁。说明了计算机安全与社会网络数据安全还缺乏监管，许多公司的保护极差。38.1系统漏洞和被滥用安全防止对信息系统非授权的访问、更改、盗窃或者物理损害的政策、步骤和技术措施控制确保组织资产安全的方法、政策和组织流程，要求对资产记录要准确、可靠，对其处置符合管理标准4系统漏洞和被滥用为什么系统容易受到破坏？网络的漏洞硬件问题（计算机硬件崩溃、配置不当、因使用不当甚至于是犯罪行为造成的损坏）软件问题（程序错误、安装不当、未经授权的更改）灾害组织控制之外的网络或者计算机的使用便携移动设备的丢失或被盗5当前安全挑战和漏洞一个基于Web的应用程序体系结构通常包括Web客户机、服务器和与数据库连接的企业信息系统。每个组件都具有安全挑战和漏洞。水灾、火灾、停电及其它电气问题都会导致网络中任何连接点的中断。6系统漏洞和被滥用因特网的漏洞因特网对所有人开放因特网如此巨大，以致当滥用发生时会产生四处蔓延的巨大影响通过调制解调器或者数字专线DSL与因特网固定连接的计算机更容易被外来者入侵，因为它们使用固定的因特网地址从而更易于黑客识别未经加密的由公用因特网传输的IP语音，即VoIP（VoiceoverIP）电子邮件，即时信息IM（instantmessaging）和对等P2P（peer-to-peer）拦截附件上携带恶意软件传送有价值的交易机密7系统漏洞和被滥用无线网络的安全挑战无线频率的波段很容易被监测到服务集标识SSID（servicesetidentifier）定位识别访问点多次广播容易被入侵者的监听程序窃取驾驶攻击（wardriving）窃听者在外面的建筑物或者公园里进行操纵，以拦截无线网络的流量一旦入侵者被入侵，入侵者可以通过操作系统来访问计算机的网络驱动器和文件。8WI-FI的安全挑战9许多Wi-Fi网络容易被入侵者渗透，他们利用窃听程序来获得地址从而未经授权便访问网络中的资源。入侵者合法用户挑战响应成功授权请求系统漏洞和被滥用恶意软件病毒一种通常在用户不知情和许可的情况下，附着在其它软件程序或者数据文件上以被执行的欺诈软件程序蠕虫一种独立的计算机程序，可以在网络上将自己从一台计算机拷贝到另一台计算机蠕虫和病毒的传播方式下载驱动（drive-bydownloads）电子邮件或者即时信息传送的附件文件Web网站及社交网络上的下载10系统漏洞和被滥用恶意软件（继续）智能手机和个人电脑一样易受攻击安全公司迈克菲（McAfee）在2012年发现了近13,000个不同类型的针对移动设备的恶意软件特洛伊木马一种软件程序，它看似良性但是会做出一些意想不到的事情SQL注入攻击SQL注入攻击利用一些编程很差的Web应用软件的漏洞将恶意程序代码引入到企业的系统和网络中11系统漏洞和被滥用恶意软件（继续）间谍软件这些小程序将自己偷偷安装在计算机上以监视用户的上网活动和广告服务按键记录器记录下计算机键盘的每次击键以窃取软件的序列号、发动网络攻击、获得对用户电子邮件账户的访问、获取保护计算机系统的密码，或者获取如信用卡号码等个人信息其它类型重置浏览器的主页重定向搜索请求通过大量占用内存来降低计算机的性能12系统漏洞和被滥用黑客与计算机犯罪黑客（hacker）和骇客（cracker）活动包含系统入侵毁坏系统恶意网络破坏行为（cybervandalism）故意中断、毁坏，甚至摧毁一个网站或企业信息系统的行为13系统漏洞和被滥用电子欺骗把欺骗网站伪装成目的网站把网页链接误导入另一个与用户实际希望访问的网站不同的地址嗅探器一种在网络中监控信息传输的窃听程序使黑客能够从网络中任何地方盗取有价值的私有信息，包括电子邮件消息、公司文件和机密报告等14系统漏洞和被滥用拒绝服务攻击（DoS）黑客攻击一个网络时，向网络服务器或Web服务器发送成千上万的假通信或服务请求造成网络崩溃以至网络对合法的请求也不能及时处理分布式拒绝服务攻击（DDoS）使用许许多多的计算机从无数的发射点来淹没网络僵尸网由成千上万感染上恶意软件的“僵尸”个人计算机组成的网络世界上90%的垃圾邮件和80%的恶意软件都是由僵尸网传播Grum僵尸网：控制了56万–84万台计算机15系统漏洞和被滥用计算机犯罪定义为“任何涉及利用计算机技术知识实施的刑事违法行为，可以对其调查和起诉”以计算机为犯罪目标，例如：攻破被保护的计算机保密数据未经授权进入计算机系统以计算机为犯罪工具，例如：盗取商业秘密使用电子邮件恐吓或骚扰他人16系统漏洞和被滥用身份盗用盗用他人关键信息（社保号、驾照号、信用卡号等）以假冒他人的犯罪网络钓鱼仿冒合法企业设置虚假网站或发送电子邮件来获取用户的个人保密数据邪恶双胞一种在网络中监控信息传输的窃听程序伪装成提供可信的Wi-Fi因特网连接的无线网络17系统漏洞和被滥用嫁接将用户引导到一个欺骗网页，即便用户在其使用的浏览器中输入了正确的网址点击欺诈个人被计算机程序欺骗性地点击在线广告，而没有想更多去了解或者是购买产品的主观意愿网络恐怖主义和网络战18互动讨论--组织：震网病毒与不断变化的网络战请阅读案例，并讨论如下问题：网络战是一个严重的问题吗？为什么？请对产生网络战问题的管理、组织和技术因素进行评估。什么因素使得Stuxnet不同于其它网络战攻击？这种技术所带来的威胁程度有多严重？解决这一问题已有了哪些方案？你认为它们有效吗？为什么？19系统漏洞和被滥用内部威胁：员工安全威胁常常来自于组织内部内部安全知识安全措施松散用户缺乏安全知识社交工程恶意入侵者有时会假装成公司的合法员工因需要信息而向他人骗取密码20系统漏洞和被滥用软件漏洞商业软件的缺陷造成安全漏洞隐藏的bug或程序代码缺陷较大的程序无法实现零缺陷因为根本不可能对软件进行完整测试商业软件的缺陷造成安全漏洞给网络入侵者有可乘之机补丁修复软件缺陷的小程序恶意软件的产生非常迅速，在发现漏洞和得到补丁程序之前，恶意软件可能就会利用漏洞发起攻击218.2安全与控制的商业价值失效的信息系统会导致企业产生巨大损失如今的企业比任何时候都要脆弱机密的个人数据和财务数据商业秘密、新产品开发计划和营销策略一个安全泄漏事件可能导致企业的市值马上大幅下降安全和监管上的不足会导致要承担严厉的法律责任22安全与控制的商业价值电子档案管理的法律和监管要求健康保险便利及责任法案（HIPAA）：医疗行业针对保护医疗数据和个人隐私安全作出的规定和实施措施金融服务现代化法案：规定金融机构要确保客户数据安全保密萨班斯-奥克斯利法案：强制要求公司及其管理层要承担责任，确保内部使用和对外公开的财务信息的准确性和完整性23安全与控制的商业价值电子证据针对计算机系统的犯罪证据常常是以数字形式存在计算机内的数据、电子邮件、即时信息和因特网上的电子商务交易记录等方面的数据正确的电子档案保存措施在应对可能发生的计算机取证请求时将会节省时间和金钱计算机取证对存储在计算机介质或从计算机介质中提取到的数据进行科学收集、审查、授权、保存和分析，使其可以在法律诉讼中作为证据使用包括环境数据和隐藏数据248.3安全与控制基本框架的建立信息系统控制人为控制和自动控制总体控制和应用软件控制总体控制针对计算机程序的设计、安全和使用，以及遍布在组织IT基础设施中的一般数据文件的安全等方面的管理适用于所有与计算机应用相关的环境以建立总体控制环境为目的，由硬件、软件，以及人为等方面的措施组合而成25安全与控制基本框架的建立总体控制类型软件控制硬件控制计算机运行控制数据安全控制实施控制行政控制26安全与控制基本框架的建立应用性控制针对每个计算机应用软件特有的专门控制，例如针对计算报表和订单处理包括了自动措施和人为措施确保只有经过认可的数据才能被应用软件完全准确地处理应用性控制包括输入控制过程控制输出控制27安全与控制基本框架的建立风险评估：确定如果一个活动或过程没有控制好，将会给企业带来的风险程度风险的类型一年内的发生概率潜在的损失年预期损失28风险事件发生概率（%）损失范围及平均值（$）年预期损失电源故障30%$5,000–$200,000($102,500)$30,750盗用5%$1,000–$50,000($25,500)$1,275用户错误98%$200–$40,000($20,100)$19,698安全与控制基本框架的建立安全措施由陈述信息风险、阐述可接受的安全目标以及达成这些目标的机制等构成安全措施能够促使企业制定出其它一些相关措施可接受使用策略（AUP）规定使用公司的信息资源和计算机设施的可接受行为授权措施确定不同类型的用户对于信息资产的访问权限等级29安全与控制基本框架的建立身份管理由业务流程和软件工具组成，用来识别系统的合法用户，并控制他们对系统资源的访问对不同类型用户的识别和授权指定每个用户允许访问的系统或系统功能鉴定及保护用户身份的过程和技术身份管理系统获取不同级别用户的访问权限30人事系统的访问规则图给出了在某个人事系统中可能使用到的两个安全配置文件或者数据安全模式样例。根据安全配置文件，用户会在要访问的系统、访问位置或要访问的数据等方面受到一定的限制。31安全与控制基本框架的建立故障恢复规划制定出当计算和通讯服务被破坏后，能够使其恢复工作的计划业务持续规划专注于经过故障冲击后企业怎样恢复其业务运行上述两类规划都需要确定企业最关键的系统进行业务影响分析来确定系统中断对业务产生的影响管理层必须确定哪些系统要最先恢复32安全与控制基本框架的建立信息系统审计对企业的总体安全环境以及针对单个信息系统的控制措施进行检查安全审计对技术、步骤、文档、培训和人事等进行检查完全彻底的审计甚至会模拟攻击或灾难事件来测试技术、信息系统人员和公司员工的响应情况审计结果会把控制措施中的所有缺陷逐一列举出来，并评估它们发生的可能性评价每种威胁对组织会产生的经济和总体影响33控制措施缺陷清单样例本图是从常见的地方商业银行的借贷系统审计报告中，截取的部分控制措施缺陷清单样本。该表单帮助审计人员记录和评估控制措施的缺陷，将结果通知管理层，并记录下管理层采取的纠正措施。348.4保护信息资源的技术和工具身份管理软件自动保留所有用户的使用记录及其系统权限包括用户身份认证、用户身份保护以及系统资源的访问控制身份认证密码系统令牌智能卡生物身份认证35保护信息资源的技术和工具防火墙一种软件和硬件的组合，用来控制传入和传出的网络流量防火墙屏蔽技术包括：静态包过滤状态检测网络地址转换应用代理过滤36企业防火墙防火墙放置在公司专用网络和公共因特网或者另外的信任度不高的网络之间，用来阻止未授权的通信。37数据库因特网Web服务器内部防火墙企业系统外部防火墙政策规定保护信息资源的技术和工具入侵检测系统放置在最易受攻击的连接点或者企业网络的热点节点上来检测和阻止入侵者的不断入侵检查当时发生的事件来发现正在进行的安全攻击反病毒软件与反间谍软件防止、检测并删除恶意软件必须不断更新一体化威胁管理系统38保护信息资源的技术和工具无线网络安全WEP提供了一定的安全系