《信息安全管理基础》PPT课件.ppt

,阳光培训,课 程 内 容,第一章 信息安全概述 第二章 信息安全管理基础 第三章 信息安全等级保护 第四章 信息安全管理 第五章 信息安全监管,第一章 信息安全概述,信息安全现状,国内大多数部门的IT系统已经具有一定的规模，并且在支撑其正常运营和业务发展方面发挥着重要作用； 缺乏成体系的信息安全管理，使得IT系统处于经不起风浪的“亚健康”状态，难以承受突发安全问题的影响，系统整体运行在较高的信息安全风险水平。,信息安全现状分析,存在信息安全问题是合理和必然的，从唯物辨正的角度看待问题，产生信息安全问题也存在着对立统一的两方面： 在协议设计、系统实现、运行维护过程中，总会存在着安全缺陷或者漏洞安全脆弱性Vulnerability，这是决定性的内因。 广泛存在的各类安全威胁，包括来自自然环境的威胁；国家、组织、个人之间的利益冲突导致的人为威胁；以及来自信息技术本身的威胁威胁Threat，这是外因。,如何有效解决信息安全问题,所有的信息安全技术措施或者管理手段都能归结为三个方面： 弥补安全脆弱性，消除安全问题产生的内因，例如使用操作系统补丁管理，使得系统安全性得到保证，从根本上具备免疫能力； 威慑安全威胁，遏制安全问题产生的外因，例如增加计算机机房的监控系统，威慑盗贼闯入机房进行盗窃的动机； 切断内外因之间的联系途径，例如设置网络防火墙，隔离内部网络和外部网络，阻止外部黑客对内网服务器进行攻击。,什么是信息？,1.1 信息与信息安全,什么是信息安全？,1.1 信息与信息安全,什么是信息安全？,1.1 信息与信息安全,ISO关于信息安全的定义： 为数据处理系统建立和采用的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露。 信息安全保护的对象范围 信息安全的基本原则和最终目标 实现信息安全的途径或者手段,1.1 信息与信息安全,通信保密阶段（COMSEC）关注信息的保密性,信息安全发展历史,1.1 信息与信息安全,信息安全发展历史,计算机安全（COMPUSEC）和信息系统安全阶段（INFOSEC）关注信息的保密性、完整性和可用性,1.1 信息与信息安全,信息安全发展历史,计算机安全（COMPUSEC）和信息系统安全阶段（INFOSEC）关注信息的保密性、完整性和可用性,1.1 信息与信息安全,信息保障阶段（IA）保护和防御信息及信息系统，确保其可用性、完整性、保密性、鉴别、不可否认性等特性。这包括在信息系统中融入保护、检测、反应功能，并提供信息系统的恢复功能。,信息安全发展历史,信息安全的特征？,1.1 信息与信息安全,机密性Confidentiality 确保信息在存储、使用、传输过程中不会泄露给非授权的用户或者实体 完整性Integrity 确保信息在存储、使用、传输过程中不被非授权用户篡改；防止授权用户对信息进行不恰当的篡改；保证信息的内外一致性 可用性Availability 确保授权用户或者实体对于信息及资源的正常使用不会被异常拒绝，允许其可靠而且及时地访问信息及资源,1.1 信息与信息安全,信息安全三元组CIA,1.1 信息与信息安全,信息安全三元组CIA,不同的行业对于信息安全CIA三个基本原则的需求侧重不同 政府及军队保密性 银行可用性和完整性 电子商务网站可用性,绝对的安全不存在 任何安全机制的作用，都是为了在既定的安全目标和允许的投资规模下，有效地抑制和避免系统当前所面临的安全风险，而不是一劳永逸地解决所有的问题。,1.1 信息与信息安全,信息安全的基本观点,1.1 信息与信息安全,信息安全的基本观点,实现信息安全要依靠技术措施和管理措施的统一，甚至“三分技术、七分管理” 据统计，在所有的计算机安全事件中，约有52%是人为因素造成的，25%由火灾、水灾等自然灾害引起，技术错误占10%，组织内部人员作案占10%，仅有3%左右是由外部不法人员的攻击造成。简单归类，属于管理方面的原因比重高达70%以上。,1.1 信息与信息安全,信息安全模型,最著名的PDR模型,PPDRR模型,1.1 信息与信息安全,安全域保障，包括三个方面： 域内计算环境安全：安全域自身的内部安全； 域边界与互联安全：安全域与外部区域，或者安全域之间的边界安全，以及它们进行互联、互通、互操作的安全； 通信传输安全：安全域与外部区域，或者安全域之间的数据传输的安全。,安全保障体系结构设计,1.1 信息与信息安全,我国信息安全的内涵,我国的信息安全，重点是保障基础信息网络、重要信息系统以及信息内容的安全。基础信息网络，包括电信网、广播电视网以及公共互联网等网络，重要信息系统是关系到国计民生的重要领域（银行、民航、税务、证券、海关、铁路、电力等）所依赖的信息系统以及我国各级党政机关的电子政务信息系统。,1.2 信息安全政策,1.2 信息安全政策,信息化发展九大战略 1推进国民经济信息化 2推行电子政务 3建设先进网络文化 4推进社会信息化 5完善综合信息基础设施 6加强信息资源的开发利用 7提高信息产业竞争力 8建设国家信息安全保障体系 9提高国民信息技术应用能力,造就信息化人才队伍,1.2 信息安全政策,2003 年7 月22 日，国家信息化领导小组第三次会议中共中央 政治局常委、国务院总理、国家信息化领导小组组长温家宝主持关于加强信息安全保障工作的意见（中办、国办发2003 年27 号文） 对下一时期的信息安全保障工作提出了九项要求 针对规范和加强中国信息安全产品测评认证工作，意见中专门提出“推进信息安全的认证认可工作，规范和加强信息安全产品测评认证工作” 意见中指出，“使用国家财政资金建设的信息化项目，要遵照中华人民共和国政府采购法的规定采用国产软件、设备和服务”.,1.3 信息安全法律体系,人大关于维护互联网安全的决定 中华人民共和国刑法 治安管理处罚法 中华人民共和国电子签名法 中华人民共和国计算机信息系统安全保护条例 计算机信息网络国际联网安全保护管理办法 互联网信息服务管理办法 计算机信息网络国际联网管理暂行规定 互联网安全保护技术措施规定 计算机病毒防治管理办法 信息系统安全专用产品的检测和销售许可证管理办法 互联网电子公告服务管理规定 互联网站从事登载新闻业务管理暂行规定,第二章 信息安全管理基础,.信息安全管理体系,信息安全管理的总体原则 主要领导负责原则 规范定级原则 以人为本原则 适度安全原则 全面防范、突出重点原则 系统、动态原则 控制社会影响原则,.信息安全管理体系,信息安全管理的策略 分权制衡 最小特权 选用成熟技术 普遍参与,.信息安全管理体系,信息安全管理的目标 合规性 流程规范性 整体协调性 执行落实性 变更可控性 责任性 持续改进 计划性,.信息安全管理体系,信息安全管理内涵 组织 建立信息安全管理组织结构，并明确责任 制度 建立健全的安全管理制度体系 人员 对人员进行安全教育和培训，加强人员安全意识,.信息安全管理体系,管理内容 基于信息系统各个层次的安全管理：环境和设备安全、网络和通信安全、主机和系统安全、应用和业务安全、数据安全 基于信息系统生命周期的安全管理：信息系统投入使用之前的工程设计和开发阶段、系统的运行和维护阶段 风险管理：资产鉴别、分类和评价，威胁鉴别和评价，脆弱性评估，风险评估和评级，决策并实施风险处理措施。 业务连续性管理 符合性管理,.信息安全管理体系,信息安全管理体系构成：,. 信息安全管理标准,一、,. 信息安全管理标准,1、发展历程 英国标准协会(British Standards Institute, BSI)制订并发布 1995年发布BS7799-1:1995，1998年发布BS7799-2:1998 1999年修订和扩展，发布完整的BS7799:1999 2000年，第一部分被采纳为ISO/IEC 17799:2000 2002年对BS7799-2:1999再次修订，2004年发布新版本为BS7799-2:2002 ISO/IEC 17799:2005和BS7799-2:2005发布 BS7799称为安全管理事实上的标准,. 信息安全管理标准,. 信息安全管理标准,. 信息安全管理标准,、 BS7799-1(ISO/IEC17799) 安全策略：包括信息安全策略的制订和管理，例如复查和评估 组织安全：包括建立信息安全管理组织机构，明确信息安全责任，第三方和外包安全 资产分类与控制：包括建立资产清单、进行信息分类与分级 人员安全：包括岗位安全责任和人员录用安全要求，安全教育与培训，安全事件的响应,. 信息安全管理标准,、 BS7799-1(ISO/IEC17799) 物理与环境安全：包括安全区域控制、设备安全管理等 通信与操作管理：包括操作程序和责任，系统规划和验收，防范恶意软件，内务管理，网络管理，介质安全管理，信息与软件交换安全 访问控制：包括访问控制策略，用户访问控制，网络访问控制，操作系统访问控制，应用访问控制，监控与审计，移动和远程访问,. 信息安全管理标准,、 BS7799-1(ISO/IEC17799) 系统开发与维护：安全需求分析，安全机制设计（应用系统安全，密码控制，系统文件安全），开发和支持过程的安全控制 业务连续性管理：业务连续性计划的制订，演习，审核，改进 符合性管理：符合法律法规，符合安全策略等,. 信息安全管理标准,、 BS7799-1(ISO/IEC17799) 对控制措施的描述不够细致，导致缺乏可操作性 1项控制措施未必适合全部的组织，应当有选择的参考使用 1项控制措施未必全面，可以根据实际情况进行增补,. 信息安全管理标准,. 信息安全管理标准,. 信息安全管理标准,. 信息安全管理标准,. 信息安全管理标准,. 信息安全管理标准,. 信息安全管理标准,. 信息安全管理标准,. 信息安全管理标准,、 BS7799-2/ISO 27001（1） 信息安全管理体系规范(Specification for Information Security Management System) 说明了建立、实施、维护，并持续改进ISMS的要求 指导实施者如何利用BS7799-1来建立一个有效的ISMS BSI提供依据BS7799-2所建立ISMS的认证,. 信息安全管理标准,、 BS7799-2（） 建立ISMS（PLAN） 定义ISMS的范围和策略 识别和评估风险 评估现有保证措施 准备适用性说明 取得管理层对残留风险的认可，并获得实施ISMS的授权,. 信息安全管理标准,、 BS7799-2（） 实施ISMS（DO） 制订并实施风险处理计划 实施安全控制措施 实施安全意识和安全教育培训 实施检测和响应安全机制,. 信息安全管理标准,、 BS7799-2（） 监视和复查ISMS（CHECK） 实施监视程序和控制 定期复审ISMS的效力 定期进行ISMS内部审计 复查残留风险和可接受风险的水平,. 信息安全管理标准,、 BS7799-2（） 改进ISMS（ACT） 对ISMS实施可识别的改进 实施纠正和预防措施 确保改进成果满足预期目标,. 信息安全管理标准,、 BS7799-2（） 强调文档化管理的重要作用，文档体系包括 安全策略 适用性声明 实施安全控制的规程文档 ISMS管理和操作规程 与ISMS有关的其它文档,. 信息安全管理标准,. 信息安全策略,安全策略包括： 总体方针，指导性的战略纲领文件，阐明了企业对于信息安全的看法和立场、信息安全的目标和战略、信息安全所涉及的范围、管理组织构架和责任认定、以及对于信息资产的管理办法等内容 针对特定问题的具体策略，阐述了企业对于特定安全问题的声明、立场、适用办法、强制要求、角色、责任认定等内容 针对特定系统的具体策略，更为具体和细化，阐明了特定系统与信息安全有关的使用和维护规则等内容,. 信息安全风险管理,安全策略的特点： 力求全面和明确，不必过于具体和深入 需要一个逐渐完善的过程，不可能一蹴而就 应当保持适当的稳定性,. 信息安全风险管理,1、所有活动账号都必须有口令保护。 2、生成账号时，系统管理员应分配给合法用户一个唯一的口令，用户在第一次登录时应更改口令。 3、口令必须至少要含有8个字符。 4、口令必须同时含有字母和非字母字符。 5、必须定期用监控工具检查口令的强度和长度是否合格。 6、口令不能和用户名或者登录名相同。 7、口令必须至少60天更改一次。,口令安全策略,. 信息安全风险管理,8、禁止重用口令。 9、必须保存至少12个历史口令。 10、口令不能通过明文电子邮件传输。 11、所有供应商的默认口令必须更改。 12、用户应在不同的系统中使用不同的口令。 13、当怀疑口令泄漏时必须予以更改。 14、应该控制登录尝试的频率。,口令安全策略,. 信息安全风险管理,1、应当建立全面网络病毒查杀机制，实现全网范围内的病毒防治，抑止病毒的传播。 2、所有内部网络上的计算机在联入内部网络之前，都应当安装和配置杀毒软件，并且通过管理中心进行更新，任何用户不能禁用病毒扫描和查杀功能。 3、所有内部网络上的计算机系统都应当定期进行完整的系统扫描。 4、从外部介质安装数据和程序之前，或安装下载的数据和程序之前，必须对其进行病毒扫描，以防止存在病毒感染操作系统和应用程序。 5、第三方数据和程序在安装到内部网络的系统之前，必须在隔离受控的模拟系统上进行病毒扫描测试。,病毒防治策略,. 信息安全策风险管理,病毒防治策略,6、任何内部用户不能故意制造、执行、传播、或引入任何可以自我复制、破坏或者影响计算机内存、存储介质、操作系统、应用程序的计算机代码 7、应当指定专门的部门和人员，负责网络病毒防治系统的管理维护。 8、应当建立网络病毒防治系统的管理规范，有效发挥病毒防治系统的安全效能。 9、应当建立桌面系统病毒防治管理规范，约束和指导用户在桌面系统上的操作行为，以及对杀毒软件的配置和管理，达到保护桌面系统、抑止病毒传播的目的。 10、管理机构应当定期对与病毒查杀有关安全管理制度的有效性和实施状况进行检查，发现问题，进行改进。,安全教育与培训策略61 可接受使用策略63,一、物理安全技术概述,物理安全又叫实体安全（Physical Security），是保护计算机设备、设施（网络及通信线路）免遭地震、水灾、火灾、有害气体和其他环境事故（如电磁污染等）破坏的措施和过程。,实体安全技术主要是指对计算机及网络系统的环境、场地、设备和通信线路等采取的安全技术措施。,物理安全技术实施的目的是保护计算机及通信线路免遭水、火、有害气体和其他不利因素(人为失误、犯罪行为 )的损坏。,第四节 信息安全技术,物理安全技术概述,影响计算机网络实体安全的主要因素如下： 1）计算机及其网络系统自身存在的脆弱性因素。 2）各种自然灾害导致的安全问题。 3）由于人为的错误操作及各种计算机犯罪导致的安全问题。,影响物理安全的因素,物理安全包括：环境安全、电源系统安全、设备安全和通信线路安全。,物理安全技术概述,物理安全的内容,1)环境安全：应具备消防报警、安全照明、不间断供电、温湿度控制系统和防盗报警。 2)电源系统安全：电源安全主要包括电力能源供应、输电线路安全、保持电源的稳定性等。 3)设备安全：要保证硬件设备随时处于良好的工作状态，建立健全使用管理规章制度，建立设备运行日志。同时要注意保护存储媒体的安全性，包括存储媒体自身和数据的安全。 4)通信线路安全：包括防止电磁信息的泄漏、线路截获，以及抗电磁干扰。,物理安全包括以下主要内容: 1）计算机机房的场地、环境及各种因素对计算机设备的影响。 2）计算机机房的安全技术要求。 3）计算机的实体访问控制。 4）计算机设备及场地的防火与防水。 5）计算机系统的静电防护。 6）计算机设备及软件、数据的防盗防破坏措施。 7）计算机中重要信息的磁介质的处理、存储和处理手续的有关问题。,物理安全技术概述,物理安全的内容(续),物理安全技术概述,物理安全涉及的主要技术标准,（1）GB/T 2887-2000 电子计算机场地通用规范 （2）GB/T 9361-1988 计算站场地安全要求 （3）GB/T 14715-1993 信息技术设备用UPS通用技术条件 （4）GB 50174-1993 电子计算机机房设计规范,计算机机房建设至少应遵循国标GB/T 2887-2000和GB/T 9361-1988，满足防火、防磁、防水、防盗、防电击、防虫害等要求，并配备相应的设备。,链路加密是对通信线路上任何两个LAN之间的通信链路上的数据进行加密。 链路加密发生在OSI模型的第一层（物理层）或第二层（数据链路层），对用户来说是不可见的，实际上是由低级网络协议层实现的传输服务。,二、通信链路加密技术,远程拨号安全协议,Radius 远程接入验证服务器,也就是认证用的 AAA 就是Radius服务器实现的功能:验证,计费和授权,三、网络安全技术,1.防火墙 所谓防火墙指的是一个有软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障. 是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关，从而保护内部网免受非法用户的侵入。,防火墙的功能,防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。 防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。,防火墙的局限性（一）,不能防范恶意的知情者 防火墙可以禁止系统用户经过网络连接发送专有的信息，但用户可以将数据复制到磁盘、磁带上，放在公文包中带出去。 如果入侵者已经在防火墙内部，防火墙是无能为力的。内部用户可以窃取数据，破坏硬件和软件，并且巧妙地修改程序而不接近防火墙。对于来自知情者的威胁，只能要求加强内部管理，如管理制度和保密制度等。,不能防范不通过它的连接 防火墙能够有效地防止通过它的传输信息，然而它却不能防止不通过它而传输的信息。 例如，如果站点允许对防火墙后面的内部系统进行拨号访问，那么防火墙绝对没有办法阻止入侵者进行拨号入侵。,防火墙的局限性(二),不能防备全部的威胁 防火墙是被动性的防御系统，用来防备已知的威胁，如果是一个很好的防火墙设计方案，就可以防备新的威胁，但没有一扇防火墙能自动防御所有新的威胁。 防火墙不能防范病毒 防火墙一般不能消除网络上的病毒、木马、广告插件等。,2.网络入侵检测 对入侵行为的检测。它通过收集和分析网络行为、安全日志、审计数据、其它网络上可以获得的信息以及计算机系统中若干关键点的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。 入侵检测作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。因此被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测。,漏洞源自“vulnerability”（脆弱性）。一般认为，漏洞是指硬件、软件或策略上存在的的安全缺陷，从而使得攻击者能够在未授权的情况下访问、控制系统。,3.网络脆弱性分析,信息安全的 “木桶理论”,对一个信息系统来说，它的安全性不在于它是否采用了最新的加密算法或最先进的设备，而是由系统本身最薄弱之处，即漏洞所决定的。只要这个漏洞被发现，系统就有可能成为网络攻击的牺牲品。,漏洞的发现,一个漏洞并不是自己突然出现的，必须有人发现它。这个工作主要是由以下三个组织之一来完成的：黑客、破译者、安全服务商组织。,每当有新的漏洞出现，黑客和安全服务商组织的成员通常会警告安全组织机构；破译者也许不会警告任何官方组织，只是在组织内部发布消息。根据信息发布的方式，漏洞将会以不同的方式呈现在公众面前。,通常收集安全信息的途径包括：新闻组、邮件列表、Web站点、FTP文档。,网络管理者的部分工作就是关心信息安全相关新闻，了解信息安全的动态。管理者需要制定一个收集、分析以及抽取信息的策略，以便获取有用的信息。,漏洞对系统的威胁,漏洞对系统的威胁体现在恶意攻击行为对系统的威胁，因为只有利用硬件、软件和策略上最薄弱的环节，恶意攻击者才可以得手。,目前，因特网上已有3万多个黑客站点，而且黑客技术不断创新，基本的攻击手法已多达800多种。,目前我国95的与因特网相连的网络管理中心都遭到过境内外攻击者的攻击或侵入，其中银行、金融和证券机构是黑客攻击的重点。国内乃至全世界的网络安全形势非常不容乐观。,1.主机入侵检测 HIDS全称是Host-based Intrusion Detection System，即基于主机型入侵检测系统。作为计算机系统的监视器和分析器，它并不作用于外部接口，而是专注于系统内部，监视系统全部或部分的动态的行为以及整个计算机系统的状态。 由于HIDS动态地检查网络数据包这一特性，它可以检测到哪一个程序访问了什么资源以及确保文字处理器不会突然的、无缘无故的启动并修改系统密码数据库。同样的，不管是往内存、文件系统、日志文件还是其它地方存储信息，HIDS会一直监控系统状态，并且核对他们是否还预期相同。,四、系统安全技术,HIDS运行依赖与这样一个原理：一个成功的入侵者一般而言都会留下他们入侵的痕迹。这样，计算机管理员就可以察觉到一些系统的修改，HIDS亦能检测并报告出检测结果。 一般而言，HIDS使用一个它们所监视的目标系统以及文件系统（非必需）的数据库，HIDS也可以核对内存中未被非法修改的区域。对于每一个正被处理的目标文件来说，HIDS会记录下他们的属性（如权限、大小、修改时间等）然后，如果该文件有其文件内容的话，HIDS将会创建一个校验码（如SHA1，MD5或类似）。这个校验码信息将储存在一个安全的数据库中，即校验码数据库，以便将来的核对。,1.动态口令认证 （1）口令 口令又称为密码(Password), 被用来验证用户对系统访问的身份。口令一般分为两种，一种是一经设置固定不变的静态口令；一种是不确定随机变化的动态口令。静态口令