信息安全体系结构ppt课件

1 信息安全体系结构 宁夏大学网络管理中心 高玉琢 email: cellphone:2 宁夏政法网区、市级网络拓扑结构 光交换机 存储 服务器 公共数据区 吴忠市政法网 石觜山市政法网 自治区主干网 防火墙 固原市政法网 中卫市政法网 区司法厅业务网 防火墙 防火墙 检查院业务网 法院业务网 防火墙 防火墙 光交换机 存储 服务器 中卫灾备中心 防火墙 市级政法接入单位 市级政法接入单位 区公安厅保密专网 数据安全交换平台区公安厅业务网 司法厅保密专网 数据安全交换平台 检查院保密专网 数据安全交换平台 法院保密专网 数据安全交换平台 Network Center (NC) of Ningxia University * 基本内容 了解了信息面临的风险和网络攻击的方法以后，本 章在 ISO安全体系结构的指导下，针对信息安全保护层 次结构的目标，提出信息安全技术体系结构和相应的防 护技术，最后根据目前我国信息系统安全的要求，介绍 等级保护的概念。 Network Center (NC) of Ningxia University * 掌握信息安全风险状态和分布情况的变化规律， 提出安全需求，建立起具有自适应能力的信息安全模 型，从而驾驭风险，使信息安全风险被控制在可接受 的最小限度内，并渐近于零风险。 风险和安全策略 安全与实现的方便性是矛盾的对立。必须牺牲方 便性求得安全，我们必须在这两者之间找出平衡点， 在可接受的安全状况下，尽力方便用户的使用。 根据OSI安全体系结构ISO7498-2，提出安全服务 (即安全功能)和安全机制，在此基础上提出信息安全 体系框架，结合ISC2提出的信息安全5重屏障，划定信 息安全技术类型，形成相应的信息安全产品。 Network Center (NC) of Ningxia University * 信息安全的保护机制 信息安全的最终任务是保护信息资源被合法用户安全使 用，并禁止非法用户、入侵者、攻击者和黑客非法偷盗、使 用信息资源。 信息安全的保护机制包括电磁辐射、环境安全、计算机 技术、网络技术等技术因素，还包括信息安全管理（含系统 安全管理、安全服务管理和安全机制管理）、法律和心理因 素等机制。 国际信息系统安全认证组织（International Information Systems Security Certification Consortium ，简称ISC2）将信息安全划 分为5重屏障共10大领域并给出了它们涵盖的知识结构 Network Center (NC) of Ningxia University * 信息安全的保护机制 Network Center (NC) of Ningxia University * 开放系统互连安全体系结构 Network Center (NC) of Ningxia University * 安全服务就是加强数据处理系统和信息传输的 安全性的一类服务，其目的在于利用一种或多种安 全机制阻止安全攻击。 安全机制是指用来保护系统免受侦听、阻止 安全攻击及恢复系统的机制。 开放系统互连安全体系结构 Network Center (NC) of Ningxia University * 1、安全服务 开放系统互连安全体系结构 1）鉴别服务 2）访问控制 3）数据保密性 4）数据完整性 5）抗抵赖 Network Center (NC) of Ningxia University * 访问控制策略有如下三种类型。 1）基于身份的策略 2）基于规则的策略 3）基于角色的策略 目的就是保证信息的可用性，即可被授权实体访问并按 需求使用，保证合法用户对信息和资源的使用不会被不正当 地拒绝，同进不能被无权使用的人使用或修改、破坏。 开放系统互连安全体系结构 Network Center (NC) of Ningxia University * 2、安全机制 开放系统互连安全体系结构 1）加密 2）数字签名机制 3）访问控制机制 4）数据完整性机制 5）鉴别交换机制 6）通信业务填充机制 7）路由选择控制机制 8）公证机制 Network Center (NC) of Ningxia University * 信息安全体系框架 信息系统安全的总需求是物理安全、网络安全、信息内 容安全、应用系统安全的总和，安全的最终目标是确保信息 的机密性、完整性、可用性、可控性和抗抵赖性，以及信息 系统主体(包括用户、团体、社会和国家)对信息资源的控制 。 完整的信息系统安全体系框架由技术体系、组织机构体 系和管理体系共同构建。 Network Center (NC) of Ningxia University * 信息安全体系框架 Network Center (NC) of Ningxia University * 信息安全体系框架 技术体系 1）物理安全技术。信息系统的建筑物、机房条件及硬 件设备条件满足信息系统的机械防护安全；通过对电力供应 设备以及信息系统组件的抗电磁干扰和电磁泄露性能的选择 性措施达到相应的安全目的。物理安全技术运用于物理保障 环境(含系统组件的物理环境)。 2）系统安全技术。通过对信息系统与安全相关组件的 操作系统的安全性选择措施或自主控制，使信息系统安全组 件的软件工作平台达到相应的安全等级，一方面避免操作平 台自身的脆弱性和漏洞引发的风险，另一方面阻塞任何形式 的非授权行为对信息系统安全组件的入侵或接管系统管理权 。 Network Center (NC) of Ningxia University * 信息安全体系框架 组织机构体系 组织机构体系是信息系统安全的组织保障系统，由机 构、岗位和人事三个模块构成一个体系。 机构的设置分为三个层次：决策层、管理层和执行层 岗位是信息系统安全管理机关根据系统安全需要设定 的负责某一个或某几个安全事务的职位 人事机构是根据管理机构设定的岗位，对岗位上在职 、待职和离职的雇员进行素质教育、业绩考核和安全监管 的机构。 Network Center (NC) of Ningxia University * 信息安全体系框架 管理体系 管理是信息系统安全的灵魂。信息系统安全的管理体系 由法律管理、制度管理和培训管理三个部分组成。 三分技术，七分管理 1）法律管理是根据相关的国家法律、法规对信息系统 主体及其与外界关联行为的规范和约束。 2）制度管理是信息系统内部依据系统必要的国家、团 体的安全需求制定的一系列内部规章制度。 3）培训管理是确保信息系统安全的前提。 Network Center (NC) of Ningxia University * 信息安全技术 安全防范技术体系划分为物理层安全、系统层安全、网络 层安全、应用层安全和管理层安全等五个层次。 1）物理安全技术（物理层安全）。该层次的安全包括通信 线路的安全、物理设备的安全、机房的安全等。物理层的安全 主要体现在通信线路的可靠性（线路备份、网管软件、传输介 质），软硬件设备安全性（替换设备、拆卸设备、增加设备） ，设备的备份，防灾害能力，防干扰能力，设备的运行环境（ 温度、湿度、烟尘），不间断电源保障，等等。 2）系统安全技术（操作系统的安全性）。该层次的安全问 题来自网络内使用的操作系统的安全，如Windows NT、Windows 2000等。主要表现在三个方面：一是操作系统本身的缺陷带来 的不安全因素，主要包括身份认证、访问控制、系统漏洞等； 二是对操作系统的安全配置问题；三是病毒对操作系统的威胁 。 Network Center (NC) of Ningxia University * 3）网络安全技术（网络层安全）。主要体现在网络方面 的安全性，包括网络层身份认证、网络资源的访问控制、数据 传输的保密与完整性、远程接入的安全、域名系统的安全、路 由系统的安全、入侵检测的手段、网络设施防病毒等。 4）应用安全技术（应用层安全）。主要由提供服务所采 用的应用软件和数据的安全性产生，包括Web服务、电子邮件 系统、DNS等。此外，还包括病毒对系统的威胁。 5）管理安全性（管理层安全）。安全管理包括安全技术 和设备的管理、安全管理制度、部门与人员的组织规则等。管 理的制度化极大程度地影响着整个网络的安全，严格的安全管 理制度、明确的部门安全职责划分、合理的人员角色配置都可 以在很大程度上降低其他层次的安全漏洞。 信息安全技术 Network Center (NC) of Ningxia University * 2006年主要的信息安全技术应用统计 安全技术名称普及率（%） 防火墙98 反病毒软件97 反间谍软 件79 基于服务的访问 控制技术70 入侵检测 系统69 数据传输 加密63 数据加密存储48 帐户 与登录口令控制46 入侵防御系统43 应用层防火墙39 文件加密技术42 卡片认证 与一次性密码技术38 公钥基础设 施系统36 生物特征技术20 Network Center (NC) of Ningxia University * 信息安全的产品类型 Network Center (NC) of Ningxia University * 信息安全等级保护与分级认证 产品认证 人员认证 系统认证 Network Center (NC) of Ningxia University * 信息安全等级保护与分级认证 IT安全评估通用准则 1985年，美国国防部颁布了可信计算机的安全评估准 则（TCSEC）； 1995年 统一成CC；1999年，CC准则成为国 际标准（ISO/IEC 15408） CC评估准则将信息系统的安全性定义为7个评估保证级 别（EAL1EAL7），即EAL1：功能测试；EAL2：结构测试 ；EAL3：系统地测试和检查；EAL4：系统地设计；EAL5： 半形式化设计和测试；EAL6：半形式化验证的设计和测试 ；EAL7：形式化验证的设计和测试。 Network Center (NC) of Ningxia University * 信息安全等级保护与分级认证 我国的安全等级划分准则 五个安全等级： 第一级用户自主保护级 第二级系统审计 保护级 第三级安全标记保护级 第四级结构化保护级 第五级访问验证 保护级 从第一级到第五级安全等级逐级增高，高级别安 全要求是低级别要求的超集。 Network Center (NC) of Ningxia University * 信息安全等级保护与分级认证 分级保护的认证 （1）信息安全产品认证 信息安全产品认证主要分为型号认证和分级认证两种。其中分 级认证又分成7个级别。目前开展的是15级的认证，其中对电信 智能卡的认证已达到5 级，其他安全产品目前最高达到3级。 （2）信息系统安全认证 信息系统安全认证的技术标准分为5个级别，目前开展两个级 别的系统认证工作。信息系统安全认证在实施过程中，主要分为方 案评审、系统测评、系统认证等三个方面。方案评审是为确定特定 信息系统是否达到标准的安全性设计要求；系统测评是对运行中的 信息系统的安全功能的技术测试、对信息系统安全技术和管理体系 的调查取证和对特定系统运行情况是否达到标准的安全要求的评估 ；进行的系统认证是对运行系统的组织管理体系的审核。 Network Center (NC) of Ningxia University * 信息安全等级保护与分级认证 （3）信息安全服务资质认证 信息安全服务资质认证主要是对信息安全系统服务提供商的资 格状况、技术实力和实施安全工程过程质量保证能力等进行具体衡 量和评价。服务资质认证的技术标准最高为五级。 （4）注册信息安全专业人员资质认证（简称CISP） 注册信息安全专业人员资质认证是对国家信息安全测评认证机 构、信息安全咨询服务机构、社会各组织、团体、企业有关信息系 统（网络）建设、运行和应用管理的技术部门（含标准化部门）必 备的对信息系统的安全提供技术保障的专业岗位人员“注册信 息安全专业人员”的一种认证，是我国信息安全界的一种权威性的 人员认证，主要包括CISO（管理者）、CISE（工程师）、CISA（审 核员）等。 26 安全需求是制定和实施相应的安全策略的依据。信息安全的成 功标志是风险的最小化、收敛性和可控性，而不是零风