网络安全复习CLASSIFIED.doc

10003802 TOP-SECRET DOCUMENT网络安全与管理复习提纲1.1.21、 一般认为，软件工程是要保证某些事情能够发生，而安全工程是确保某些事情不能发生。1.2.21、信息保障强调信息安全的保护能力，同时重视提高系统的如前检测能力、事件相应能力和快速恢复能力，它关注的是信息系统整个生命周期的保护、检测、响应和恢复等安全机制，即PDRR安全模型。2、信息保障是一种确保信息和信息系统能够安全运行的防护性行为，是信息安全在当前信息时代的新发展。3、“深度防御”的基本思想就是要对攻击者和目标之间的信息环境进行分层，然后在每一层都“搭建”由技术手段和管理策略等综合错事构成的一道道“屏障”，形成连续的、层次化的多重防御机制，保障用户信息及信息系统的安全，消除给攻击网络的企图提供的“缺口”。4、“深度防御”的信息保障战略强调人、技术和操作三个核心的原则，对技术和信息基础设施的管理也离不开这三个要素。（1）人（People）：人是信息体系的主体，是信息系统的拥有者、管理者和使用者，是信息保障体系的核心，是第一位的要素，同时也是最脆弱的。正因为如此，关于人的安全管理在安全保障体系中非常重要，可以这么说，信息安全保障体系，实质上就是一个安全管理的体系，其中包括意识培训、组织管理、技术管理和操作管理等多个方面。技术是安全的基础，管理是安全的灵魂，所以应当在重视安全技术应用的同时，必须加强安全管理。（2）技术（Technology）：技术是实现信息保障的重要手段，信息保障体系所应具备的各项安全服务就是通过技术机制来实现的。当然，这里所说的技术，已经不单是以防护为主的静态技术体系，而是关于防护、检测、响应和恢复并重的动态的技术体系。（3）操作（Operation）：或者叫运行，它构成了安全保障的主动防御体系，如果说技术的构成是被动的，那么操作及其流程就是将各方面技术紧密结合在一起的主动的过程，其中包括风险评估、安全监控、安全审计、跟踪告警、入侵检测、响应恢复等内容。1.3.11、 信息安全保障体系包含多子目、多层次、多方面的内容2、 信息安全保障过程中，需要实施信息安全工程，这是由信息安全的特性决定的：（1） 信息安全具有社会性。（2） 信息安全具有全面性。（3） 信息安全具有必然性。（4） 信息安全具有过程性。（5） 信息安全具有动态性。（6） 信息安全具有相对性。实施信息安全工程更充分权衡风险威胁与防御措施的利弊与得失，在安全级别与投资代价之间取得一个企业相对能够接受的平衡点，讲究成本与效率。（7） 信息安全具有层次性。物理层安全、系统层安全、网络层安全、应用层安全、管理层安全3.2.2 SSE-CMM的过程域与基于时间维的 ISSE 过程不同，SSE-CMM 是将通用的安全工程过程分为三个不同的基本单元：风险、工程和信任度。3.2.3.11、SSE-CMM 包括“域”和“能力”两个维数。其中域维仅仅包含了所有的共同定义安全工程的实施活动，这些实施在SSE-CMM 模型中称为“基本实践”。能力维表示的实践代表了组织对过程的管理和制度化能力，它们称为“通用实践”。通用实践是基本实践过程中必须要完成的活动。2、通过把基本实践和通用实践放在两个维上综合考察，便可以检验一个组织执行某项特定活动能力的方法。3.3.1SSE-CMM 可用于以下三种场合：（1）过程改进：使从事安全工程的组织能够了解他们的安全工程过程等级，设计所要改进的安全工程过程，改进他们的安全工程过程能力。（2）能力评估：使消费者能够了解产品、系统或者服务提供商组织的安全工程过程能力。（3）信任度：通过证据来说明已经使用了成熟的过程，以此来增加对一个产品、系统或服务可信度的信心。3.3.2IDEAL 方法描述如下：（1）初始化：为安全工程过程的成功改进奠定基础。（2）诊断：判断当前的工程过程能力状况。（3）建立：为实现目标建立详细的行动计划。（4）执行：根据计划展开行动。（5）学习：吸取经验，改进过程能力。4.2.11993年6月，美国政府同加拿大及欧共体共同起草单一的通用准则（CC标准）1996 年CC 的1.0 版本出版，2.0 版本在1998 年正式公行。1999 年12 月CC 2.0 版被ISO 批准为国际标准。我国于2001 年将CC等同采用为国家标准4.41、实施信息安全等级保护，有以下重要的意义：（1）有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调。（2）有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务。（3）有利于优化信息安全资源的配置，对信息系统分级实施保护，重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全。（4）有利于明确国家、法人和其他组织、公民的信息安全责任，加强信息安全管理。（5）有利于推动信息安全产业的发展，逐步探索出一条适应社会主义市场经济发展的信息安全模式。4.5.1 等级保护的基本原理实现信息系统安全等级保护的基本原理是：根据信息系统所承载的业务应用的不同安全需求，采用不同的安全保护等级，对不同的信息系统或同一信息系统中的不同安全域进行不同程度的安全保护，以实现对信息系统及其所存储、传输和处理的数据信息在安全保护方面，达到确保重点，照顾一般，适度保护，合理共享的目标。*4.5.2 等级保护的基本方法（1） 分区域分等级安全保护。每一个安全域是一个相对独立的运行和使用环境，同时又是信息系统的不可缺少的组成部分。在一个具体的信息系统中，实际情况可能千变万化，可能只有并列安全域，也可能只有嵌套安全域，或者既有嵌套安全域也有并列安全域。（2） 内部保护和边界保护。（3） 网络安全保护。4.5.31、 安全域的基本特征是安全域应有明确的边界。2、安全域的划分可以是物理的，也可以是逻辑的，从而安全域的边界也可以是物理的或是逻辑的。3、 安全域的划分以业务应用为基本依据，以数据信息保护为中心。4.6.1 安全保护等级的划分根据GB17859，我国计算机信息系统安全保护划分为以下5 个等级：（1） 第一级 用户自主保护级。（2） 第二级 系统审计保护级。（3） 第三级 安全标记保护级。（4） 第四级 结构化保护级。（5） 第五级 访问验证保护级。4.7.3.3信息系统的安全监督检查和管理包含以下内容：（1）安全产品的监督检查和管理。通过对安全产品进行测评，并实行市场准入许可证制度等，确保安全产品的安全性和质量要求达到规定的目标。（2）安全系统的监督检查和管理。由国家指定的信息安全监管职能部门，通过备案、指导、检查、督促整改等方式，对重要信息和信息系统的信息安全保护工作进行指导监督。（3）长效持续的监督检查和管理。信息系统安全监督检查和管理是一项长期的持续性工作，需要制定相应的管理制度与实施规程，以确保在人员和机构等发生变化的情况下，仍能以规范化的要求开展工作。实施规程，以确保在人员和机构等发生变化的情况下，仍能以规范化的要求开展工作。4.7.3.4落实安全管理措施（1） 第一是人员安全管理（2） 第二是系统运行与维护管理（3） 第三是系统建设管理4.7.4.1 信息系统安全的组成与相互关系（1） 物理安全（2） 系统安全（3） 网络安全（4） 应用安全（5） 安全管理5.1.41、信息安全管理是对一个组织机构中信息系统的生命周期全过程实施符合安全等级责任要求的管理。5.2BS7799-1和-2区别BS7799-1实施细则经验建议 ISO/IEC 17799:2005BS7799-2体系要求作为认证 ISO/IEC 27001:20055.2.2.1 BS7799-1BS 7799-1 规定了信息安全的控制要求，根据10 大控制方面的要求，从控制目标和控制措施入手，涉及信息安全的方方面面。5.2.2.2 BS7799-2BS 7799-2 规定了建立、实施和维护信息安全管理体系的要求，规定了根据组织的需要应实施安全控制的要求。6.8.2 用户访问管理对用户的访问进行管理和控制，确保授权用户访问信息系统，并防止未授权的访问。6.8.2.1用户注册和注销的访问控制规程应包括：使用唯一用户 ID，使得用户与其行为链接起来，并对其行为负责。在对于业务和操作而言必要时，对允许使用组ID，并应经过批准和形成文件。核查使用信息系统或服务的用户是否具有该系统拥有者的授权，取得管理者对访问权的单独批准也是合适的。核查所授予的访问级别是否与业务目的相适合，是否与组织的安全方针保持一致，如没有违背责任分割原则。确保直到已经完成授权规程，服务提供者才提供访问。维护一份注册使用该服务的所有人员的正式记录。立即取消或封锁工作角色或岗位发生变更，或离开组织的用户的访问权。定期核查并取消或封锁多余的用户 ID 和账号。确保多余的用户 ID 不会发给其他用户。6.8.4.1应制定关于使用网络和网络服务的策略，例如：允许被访问的网络和网络服务。确定允许哪个人访问哪些网络和网络服务的授权规程。保护访问网络连接和网络服务的管理控制措施和规程。访问网络和网络服务使用的手段（例如拨号访问 ISP 的条件）。7.1在信息安全管理体系实施过程中，采用了“规划（Plan）-实施（Do）-检查（Check）-处置（Act）”（PDCA）循环模型。7.7按照 ISO 和IEC 的定义，认证（Certification）是由国家认可的认证机构证明一个组织的产品、服务、管理体系等符合相关标准、技术规范（TS）或其强制性要求的合格评定活动。认证的基础是标准，认证的方法包括对产品的特性抽样检验和对组织体系的审核与评定，认证的证明方式是认证证书与认证标志。7.7.1ISMS 认证可以给组织带来如下收益：（1）使组织获得最佳的信息安全运行方式。（2）保证组织业务的安全。（3）降低组织业务风险、避免组织损失。（4）保持组织核心竞争优势。（5）提供组织业务活动中的信誉。（6）增强组织竞争力。（7）满足客户要求。（8）保证组织业务的可持续发展。（9）使组织更加符合法律法规的要求。7.7.21、我国已经在质量管理体系（QMS）、环境管理体系（EMS）两个管理体系的认证证书与IAF 的成员单位签订了互认协议2、严格说来，带有CNAS、UKAS、ANAB 等标志的ISMS 认证证书都不属于国际认证证书7.7.3.4认证证书的有效期一般为3年，到期之后，系统需要认证机构重新进行认证审核。8.2.1.3脆弱性（Vulnerability）是指可能被威胁所利用的资产或若干资产的薄弱环节。脆弱性是资产本身存在的资产的脆弱性具有隐蔽性脆弱性主要表现在从技术和管理两个方面8.2.2风险要素之间存在着以下关系：（1）威胁利用脆弱性产生安全风险，资产面临的威胁越多则风险越大。（2）资产的脆弱性可能暴露资产的价值，资产具有的脆弱性越多则风险越大。（3）资产具有价值，并对组织业务有一定的影响，资产价值及影响越大则其面临的风险越大。（4）安全控制措施能抵御威胁，减少脆弱性，因而能降低安全风险。（5）安全风险的存在及对风险的认识提出了安全需求，安全需求通过安全控制措施来满足或实现。8.3.7.3 转移风险转移风险是一种风险控制方法，它是组织在无法避免风险时，或者减少风险很困难，成本也很高时，将风险转向其他的资产、过程或组织。可以通过重新考虑如何提供服务、修改配置模型、执行项目外包并完善合同、购买保险等方式来实现该目标。8.3.7.4 降低风险降低风险的方法主要包括以下三种计划：（1）事件响应计划。事件响应计划是在事故或灾难尚未发生时，组织事先制定好的在事件发生时应该快速实施的措施列表。（2）灾难恢复计划。灾难恢复计划是在灾难事件发生时，组织用来限制损失的一些措施，例如恢复丢失数据、重建丢失服务、关闭过程以保护系统等。（3）业务持续性计划。业务持续性计划是在确定灾难会影响组织后续业务运营时，组织执行的确保总体业务持续性的措施。8.5 信息安全风险评估方法在应用风险评估方法的过程中，评估的时间、地点，投入的财力和物力，以及开展的深度都应与组织的环境和安全需求相符合。例如，如果组织及其信息资产在大多数情况下只需要一个低等级到中等级的安全需求，那么基本的风险评估方法就足够了。如果安全需求较高，并要求更具体的和专业的处理，那么就必须运用详细的风险评估或综合的风险评估方法。当然，无论采用哪一种评估方法，都应遵循可靠性、完整性、时间与成本有效等原则。8.5.1.2 基本风险评估的优点（1）风险评估所需资源最少，操作简单。（2）选择安全措施时花费更少的时间和努力。（3）如果多个信息系统在相同的普通环境下运行，并且安全需求类似，那么这些系统采用相同或相似的基本风险评估可以提供一个经济有效的解决方案。8.5.1.3 基本风险评估的缺点（1）安全基线和安全水平难以设置。如果设置太高，可能需要过多费用，或控制过度；如果设置太低，则信息系统可能会缺少安全，导致更高层次的暴露。（2）风险评估不全面透彻，在管理与安全相关的变更方面可能有困难。例如系统被升级后，就很难评估原先的安全控制措施是否仍然充分有效。8.5.2.2 详细风险评估的优点（1）识别全面的安全控制措施，并获得更精确的安全风险认识。（2）详细风险评估结果有助于安全变更的管理。8.5.2.3 详细风险评估的缺点（1）花费较多的时间、人力和物力。（2）需要较高的专业技术知识和能力。8.6.2信息基础设施风险评估工具包括脆弱性扫描工具和渗透性测试工具8.6.2.1一般的脆弱性扫描工具可以按照目标系统的类型分为以下三种：（1）面向主机的扫描器：用来发现主机的操作系统、特殊服务和配置的细节，发现潜在用户行为的风险，如密码强度不够，也可实施对文件系统的检查。其原理主要是根据已披露的脆弱性特征库，通过对特定目标发送指令并获得反馈信息来判断该漏洞是否存在。（2）基于网络监测的扫描器：通过旁路或串联入网络关键节点，针对网络中的数据流检测如防火墙