《信息安全概述》PPT课件

,北京信息安全服务人员资质培训,信息安全概述,2/189,内容,信息安全概述计算机网络基础安全体系与模型总结参考资料,信息安全概述,4/189,信息安全概述目录,信息安全概念、发展历史和现状；信息安全需求；信息破坏的严重后果；信息安全的目标；信息安全技术；发达国家信息安全的策略；我国信息安全的现状，战略目标和任务。,5/189,关于信息化,信息革命是人类第三次生产力的革命四个现代化，那一化也离不开信息化。江泽民,6/189,信息化出现的新问题,IT泡沫破裂互联网经营模式是什么？网上信息可信度差垃圾电子邮件安全病毒攻击,7/189,信息化与国家安全信息战,“谁掌握了信息，控制了网络，谁将拥有整个世界。”（美国著名未来学家阿尔温托尔勒）“今后的时代，控制世界的国家将不是靠军事，而是信息能力走在前面的国家。”（美国前总统克林顿）“信息时代的出现，将从根本上改变战争的进行方式。”（美国前陆军参谋长沙利文上将）,8/189,有目的、和谐地处理信息的主要工具是信息系统，它把所有形态（原始数据、已分析的数据、知识和专家经验）和所有形式（文字、视频和声音）的信息进行收集、组织、存储、处理和显示。大英百科全书,信息系统概念,9/189,信息安全概念（一）,安全的概念？没有统一的定义。基本含义：客观上不受威胁；主观上不存在恐惧。,10/189,信息安全？两种狭义定义：一类指具体的信息技术系统的安全；一类是指某一特定信息系统的安全；缺点：过于狭窄。优点：内容具体形象，便于理解和应用。,信息安全概念（二）,11/189,信息安全？广义定义：一个国家的社会信息化状态不受外来的威胁和伤害，一个国家的信息技术体系不受外来的威胁和侵害。缺点：抽象，不易理解。优点：内容广泛，全面。,信息安全概念（三）,12/189,信息安全？ISO的定义为：为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和显露。,信息安全概念（四）,13/189,确保以电磁信号为主要形式的，在计算机网络化系统中进行获取、处理、存储、传输和利用的信息内容，在各个物理位置、逻辑区域、存储和传输介质中，处于动态和静态过程中的机密性、完整性、可用性、可审查性和抗抵赖性的，与人、网络、环境有关的技术和管理规程的有机集合。戴宗坤罗万伯信息系统安全,信息系统安全概念,14/189,几乎和人类的书写语言一样古老。古埃及的法老的墓葬里就曾经发现过用密码书写的文字资料。古印度文字KamaSutra里记载有对加密方法的描述。,信息安全的产生历史古代,15/189,在二战中，名为“Zimmerman电报”的密码情报保证了同盟国赢得战争的胜利。现代意义上的信息安全，是在本世纪提出的。70年代初，美国提出了（Bell传送标准电子邮件的文件处理系统(MHS）；使不同类型的终端和主机通过网络可以交互访问虚拟终端(VT)。,计算机网络的OSI结构（十一）,84/189,TCP/IP(TransmissionControlProtocol/InternetProtocol)是一个使用非常普遍的网络互连标准协议。TCP/IP协议和许多别的协议，组成TCP/IP协议簇。TCP提供传输层服务；IP提供网络层服务。,TCP/IP协议簇（一）,85/189,TCP/IP协议簇（二）,TCP/IP簇的体系结构与ISO的OSI模型的对应关系,86/189,TCP/IP协议簇（三）,TCP/IP协议层次,87/189,TCP/IP网络层四个协议：IP、ICMP、ARP和RARP。提供在互相独立的局域网上建立互连网络的服务；提供端到端的分组分发功能；提供了数据分块和重组功能；很多的扩充功能。,TCP/IP协议簇（四）,88/189,TCP/IP网络层-IP网络层最重要的协议；IP的基本任务是通过互连网传送数据报；在主机资源不足的情况下，可能丢弃某些数据报，同时也不检查被数据链路层丢弃的报文。,TCP/IP协议簇（五）,89/189,TCP/IP网络层-ICMPIP提供的是一种不可靠的无连接报文分组传送服务；如何解决路由器等故障造成的网络阻塞？在IP层加入了一类特殊用途的报文机制，即互连网控制报文协议ICMP。,TCP/IP协议簇（六）,90/189,TCP/IP网络层-ARP解决把互连网地址变换为物理地址的地址转换问题；ARP使主机可以找出同一物理网络中任一个物理主机的物理地址，只需给出目的主机的IP地址即可，网络的物理编址可以对网络层服务透明。,TCP/IP协议簇（七）,91/189,TCP/IP网络层-ARP在局域网上，网络层广播ARP请求以获取目的站信息，而目的站必须回答该ARP请求。,TCP/IP协议簇（八）,92/189,TCP/IP网络层-RARP解决只有自己的物理地址而没有IP地址的问题；方法：通过RARP协议，发出广播请求，征求自己的IP地址，而RARP服务器则负责回答；广泛用于获取无盘工作站的IP地址。,TCP/IP协议簇（九）,93/189,TCP/IP的传输层两个主要的协议：传输控制协议(TCP)和用户数据协议(UDP)。,TCP/IP协议簇（十）,94/189,TCP/IP的运输层-TCPTCP提供的是一种可靠的数据流服务；对应于OSI模型的运输层在IP协议的基础上，提供端到端的面向连接的可靠传输。TCP采用“带重传的肯定确认”技术来实现传输的可靠性。,TCP/IP协议簇（十一）,95/189,TCP/IP的运输层-TCP采用“滑动窗口”的流量控制机制来提高网络的吞吐量；实现了一种“虚电路”的概念；连接的建立采用三次握手的过程。,TCP/IP协议簇（十二）,96/189,TCP/IP的运输层-UDPUDP是依靠IP协议来传送报文的，是对IP协议组的扩充；不用确认、不对报文排序、也不进行流量控制的服务；UDP报文可能会出现丢失、重复、失序等现象。,TCP/IP协议簇（十三）,97/189,TCP/IP会话层至应用层TCP/IP的上三层与OSI参考模型有较大区别，也没有非常明确的层次划分；几个在各种不同机型上广泛实现的协议：FTP、TELNET、SMTP、DNS。,TCP/IP协议簇（十四）,98/189,TCP/IP会话层至应用层-FTP可以在本地机与远程机之间进行有关文件的操作的协议；两条TCP连接，一条用于传送文件，另一条用于传送控制；采用客户/服务器模式，它包含客户FTP和服务器FTP。,TCP/IP协议簇（十五）,99/189,TCP/IP会话层至应用层-TELNETTELNET的连接是一个TCP连接，用于传送具有TELNET控制信息的数据。它提供了与终端设备或终端进程交互的标准方法，支持终端到终端的连接及进程到进程分布式计算的通信。,TCP/IP协议簇（十六）,100/189,TCP/IP会话层至应用层-DNSDNS是一个域名服务的协议，提供域名到IP地址的转换，允许对域名资源进行分散管理。DNS最初设计的目的是使邮件发送方知道邮件接收主机及邮件发送主机的IP地址，后来又发展成为服务于其它许多目标的协议。,TCP/IP协议簇（十七）,101/189,TCP/IP会话层至应用层-SMTP一个基于文件的协议，用于可靠、有效的数据传输；邮件传输独立于传输子系统，可在TCP/IP环境、OSI运输层或X.25协议环境中传输邮件；邮件发送之前必须协商；当邮件不能正常传输时可按原路由找到发送者。,TCP/IP协议簇（十八）,102/189,TCP/IP协议簇的广泛性TCP/IP已经融入UNIX操作系统中；DOS上也推出了相应的TCP/IP软件产品；SUN公司则将TCP/IP广泛推向商务系统，它在所有的工作站系统中都预先安装了TCP/IP网络软件及网络硬件。,TCP/IP协议簇（十九）,安全体系与模型,104/189,安全体系与模型目录,安全体系与模型概述；ISO的OSI信息安全体系结构；流行的INTERNET安全体系架构；安全模型：Bell-LaPadula模型、Clark-Wilson模型和ChinaWall模型；信息安全标准：TCSEC和ITSEC；著名的IPSEC协议。,105/189,安全体系结构定义为实现以下功能的实体：提供未定义环境的概念上的安全定义和结构；在环境内可以独立设计安全组件；说明安全独立组件应该如何集成在整体环境中；保证完成后的环境符合最初建立的虚拟实体。,安全体系与模型概述（一）,106/189,安全体系结构的重要性：安全体系结构同各种元素协同工作以保护信息的安全性。没有安全体系结构会使系统变的很脆弱。一个良好定义的安全体系结构能够保证应用程序和系统的设计符合一个标准的最低安全级别。,安全体系与模型概述（二）,107/189,安全体系结构的要点：安全体系结构不依赖于系统的存在；安全体系结构是由一些构件部件组成的；安全体系结构的三个部件：基础，信任和控制。,安全体系与模型概述（三）,108/189,ISO是目前国际上普遍遵循的计算机信息系统互连标准，ISO7498-2确定了开放系统互连参考模型的信息安全体系标准。确定了五种基本安全服务和八种安全机制,并在OSI七层中有相对应的关系。,OSI安全体系结构（一）,109/189,网络安全服务层次模型,OSI安全体系结构（二）,110/189,安全服务身份认证；访问控制；数据保密；数据完整性；防止否认。,OSI安全体系结构（三）,111/189,安全服务-身份认证可以鉴别参与通讯的对等实体和数据源。是授权控制的基础；应该提供双向的认证；目前一般采用高强度的密码技术来进行身份认证。,OSI安全体系结构（四）,112/189,安全服务-授权控制控制不同用户对信息资源访问权限；授权控制的要求：一致性；统一性；要求有审计核查功能；尽可能地提供细粒度的控制；,OSI安全体系结构（五）,113/189,安全服务-通信加密提供保护，防止数据未经授权就泄露；连接保密性；无连接保密性；选择字段保密性；业务流保密性；手段：基于对称密钥加密的算法；基于非对称密钥的加密算法；,OSI安全体系结构（六）,114/189,安全服务-数据完整性是指通过网上传输的数据应防止被修改、删除、插人替换或重发，以保证合法用户接收和使用该数据的真实性；用于对付主动威胁。,OSI安全体系结构（七）,115/189,安全服务-防止否认接收方要发送方保证不能否认收到的信息是发送方发出的信息，而不是被他人冒名篡改过的信息。发送方也要求对方不能否认已经收到的信息，防止否认对金融电子化系统很重要。电子签名的主要目的是防止抵赖、防止否认，给仲裁提供证据。,OSI安全体系结构（八）,116/189,三维的信息系统安全体系结构,OSI安全体系结构（九）,117/189,八类安全机制数据加密机制数据签名机制访问控制机制数据完整性机制鉴别交换机制业务填充机制路由控制机制公证机制,OSI安全体系结构（十）,118/189,八类安全机制-加密向数据和业务信息流提供保密性，对其他安全机制起补充作用；加密算法：对称加密；非对称加密；密钥管理；,OSI安全体系结构（十一）,119/189,八类安全机制-数据签名机制决定于两个过程：对数据单元签名；验证签过名的数据单元；特征：签名只有利用签名者的私有信息才能产生出来；,OSI安全体系结构（十二）,120/189,八类安全机制-访问控制机制利用某个实体经鉴别的身份或关于该实体的信息或该实体的权标，进行确定并实施实体的访问权；可用于通讯连接的任何一端或用在中间连接的任何位置。,OSI安全体系结构（十三）,121/189,八类安全机制-数据完整性机制两个方面：单个的数据单元或字段的完整性；数据单元串或字段串的完整性；对于连接形式的数据传输-编序形式；无连接的数据传输-时标的保护形式。,OSI安全体系结构（十四）,122/189,八类安全机制-鉴别交换机制通过信息交换以确保实体身份的机制；利用密码技术时可同握手协议结合；与其他技术的结合使用：时标和同步时钟；双向和三向握手；数字签名实现的不可否认服务；,OSI安全体系结构（十五）,123/189,八类安全机制-业务填充机制一种制造假的通讯实例、产生欺骗性数据单元或在数据单元中产生假数据的安全机制；提供对各种等级的保护，防止业务分析；只在业务填充受到保密性服务时有效。,OSI安全体系结构（十六）,124/189,八类安全机制-路由控制机制路由既可以动态选择，也可以事先安排；携带某些安全标签的数据可能被安全策略禁止通过某些子网、中继站或链路；连接的发起者可以请求回避特定的子网、中继站或链路。,OSI安全体系结构（十七）,125/189,八类安全机制-公证机制关于在两个或三个实体之间进行通讯的数据的性能，可由公证机制来保证；保证由第三方提供；第三方能得到通讯实体的信任。,OSI安全体系结构（十八）,126/189,机制与实现的安全服务图示,127/189,OSI安全结构在OSI七层中的配置,128/189,应用举例,分两步：第一步是建立典型的安全需求与安全威胁之间的对应关系，见后面表1；第二步是指出用于对付典型的威胁可能采用的安全服务，见表2。,129/189,130/189,表二用于对付典型安全威胁的安全服务,131/189,通过对网络的全面了解，按照安全策略的要求及风险分析的结果，整个INTERNET网络措施应按系统体系建立。具体的安全控制系统的几个方面：物理安全；网络安全；信息安全；安全管理；,Internet安全体系结构（一）,132/189,物理安全保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提。主要包括三个方面：环境安全；设备安全；媒体安全；,Internet安全体系结构（二）,133/189,物理安全正常的防范措施：对主机房及重要信息存储、收发部门进行屏蔽处理；采用光缆传输方式；采取主动式的干扰设备如干扰机来破坏对应信息的窃取。,Internet安全体系结构（三）,134/189,网络安全,Internet安全体系结构（四）,135/189,网络安全-内外网隔离及访问控制系统在内部网与外部网之间，设置防火墙（包括分组过滤与应用代理等）实现内外网的隔离，与访问控制是保护内部网安全的最主要、同时也是最有效、最经济的措施之一。,Internet安全体系结构（五）,136/189,网络安全-防火墙功能过滤进、出网络的数据；管理进、出网络的访问行为；封堵某些禁止的业务；记录通过防火墙的信息内容和活动；对网络攻击的检测和告警。,Internet安全体系结构（六）,137/189,网络安全-内部网不同网络安全域的隔离及访问控制防火墙被用来隔离内部网络的一个网段与另一个网段；设置防火墙就可以限制局部网络安全问题对全局网络造成的影响。,Internet安全体系结构（七）,138/189,网络安全-网络安全检测网络安全检测工具通常是一个网络安全性评估分析软件，其功能是用实践性的方法扫描分析网络系统，检查报告系统存在的弱点和漏洞，建议补救措施和安全策略,达到增强网络安全性的目的。,Internet安全体系结构（八）,139/189,网络安全-审计与监控审计是记录用户使用计算机网络系统进行所有活动的过程，它是提高安全性的重要工具。能够更迅速和系统地识别问题，并且它是后面阶段事故处理的重要依据。,Internet安全体系结构（九）,140/189,网络安全-网络反病毒计算机病毒的防范是网络安全性建设中重要的一环；包括三种技术：预防病毒技术检测病毒技术分析病毒技术,Internet安全体系结构（十）,141/189,网络安全-网络备份系统目的：尽可能快地全盘恢复运行计算机系统所需的数据和系统信息。备份机制有：场地内高速度、大容量数据的自动存储,备份与恢复；场地外的数据存储、备份与恢复；对系统设备的备份。,Internet安全体系结构（十一）,142/189,信息安全,Internet安全体系结构（十二）,143/189,信息安全分类：信息传输的安全；信息存储的安全；对网络传输信息内容的审计；,Internet安全体系结构（十三）,144/189,信息安全-鉴别是对网络中的主体进行验证的过程；三种验证主体身份的方法：口令机制；智能卡；主体特征鉴别：视网膜扫描仪、声音验证设备、手型识别器等。,Internet安全体系结构（十四）,145/189,信息安全-数据传输安全系统目的是对传输中的数据流加密，以防止通信线路上的窃听、泄漏、篡改和破坏。三个不同层次：链路加密；节点加密；端到端加密。,Internet安全体系结构（十五）,146/189,信息安全-数据传输安全系统对数据完整性鉴别：报文鉴别；校验和；加密校验和；消息完整性编码；防抵赖技术（对源和目的地双方的证明).,Internet安全体系结构（十六）,147/189,信息安全-数据存储安全系统存储的信息主要包括:纯粹的数据信息-数据库信息的保护;各种功能文件信息-终端安全很重要;终端安全：主要解决微机信息的安全保护问题.,Internet安全体系结构（十七）,148/189,信息安全-数据存储安全系统数据库安全物理完整性;逻辑完整性;元素完整性;数据的加密;用户鉴别;可获得性;可审计性,Internet安全体系结构（十八）,149/189,信息安全-内容审计系统实时对进出内部网络的信息进行内容审计,以防止或追查可能的泄密行为。因此，为了满足国家保密法的要求，在某些重要或涉密网络，应该安装使用此系统。,Internet安全体系结构（十九）,150/189,安全管理除完善系统的安全保密措施外，还必须花大力气加强网络的安全管理;安全管理主要基于三个原则:多人负责原则;任期有限原则;职责分离原则。,Internet安全体系结构（二十）,151/189,定义：安全模型包括一些概念、原理、结构和标准等，这些是用于设计、实施、监视操作系统、设备、网络应用的安全性，同时它们可以用来增强信息系统的机密性、完整性和可用性等。,安全模型,152/189,安全体系模型介绍,P2DR模型安氏的PADIMEE模型Bell-LaPadula保密性模型Clark-Wilson模型ChinaWall模型,153/189,网络安全建设模型-P2DR模型,154/189,信息安全生命周期-PADIMEE模型（一）,PADIMEE是安氏公司提出的并被业界广泛认同的信息安全生命周期方法论，它建立在BS7799/ISO17799之上,155/189,信息安全生命周期-PADIMEE模型（二）,156/189,信息安全生命周期-PADIMEE模型（三）,七个核心策略（Policy）评估(Assessment)设计(Design)执行(Implementation)管理(Management)紧急响应(EmergencyResponse)教育(Education),157/189,Bell-LaPadula保密性模型是第一个能够提供分级别数据机密性保障的安全策略模型（多级安全）；基于强制访问控制系统，以敏感度来划分资源的安全级别；将数据划分为多安全级别与敏感度的系统称之为多级安全系统（如本模型）；,Bell_LaPadula安全模型（一）,158/189,Bell_LaPadula模型数据和用户被划分为以下安全等级公开（Unclassified）受限（Restricted）秘密（Confidential）机密（Secret）高密（TopSecret）,Bell_LaPadula安全模型（二）,159/189,BLP保密模型基于两种规则来保障数据的机密度与敏感度：上读(NRU),主体不可读安全级别高于它的数据；下写(NWD),主体不可写安全级别低它的数据；,Bell_LaPadula安全模型（三）,160/189,Bell_LaPadula模型信息系统是一个由低到高的层次化结构。,Bell_LaPadula安全模型（四）,161/189,通讯过程中的模型应用1一个例子是防火墙所实现的单向访问机制。防火墙提供“上读”功能来阻止Internet对内部网络的访问，提供“下写”功能来限制进入内部的数据流只能经由“由内向外”发起的连接流入。,Bell_LaPadula安全模型（五）,162/189,通讯过程中的模型应用2,Bell_LaPadula安全模型（六）,163/189,Clark-Wilson模型定义：CDI:数据项约束数据项的完整性保护；IVP:完整性检测过程判断CDI是否在合法的状态；TP:转换过程通过事务过程将CDI从一个合法状态转换到另一种合理状态。,Clark-Wilson安全模型（一）,164/189,处理过程系统接受“自由数据条目(UDI)”并将其转换为“受限数据条目(CDI)”。“受限数据条目(CDI)”仅能被“转换程序（TP）”所改变；访问控制机制由三个元素组成(主体,TP,CDI)。“转换程序(TP)”保证“受限数据条目CDI”的完整性；每个受限数据条目(CDI)拥有一个完整性检查程序(IVP)；,Clark-Wilson安全模型（二）,165/189,Clark-Wilson模型-应用举例,Clark-Wilson安全模型（三）,166/189,ChinaWall模型是应用在多边安全系统中的安全模型，应用在可能存在利益冲突的组织中；ChinaWall安全策略的基础是客户访问的信息不会与目前他们可支配的信息产生冲突。,ChinaWall安全模型（一）,167/189,ChinaWall安全模型的两个主要属性：用户必须选择一个他可以访问的区域；用户必须自动拒绝来自其它与用户所选区域的利益冲突区域的访问；这种模型同时包括了DAC和MAC的属性：银行家可以选择为谁工作（DAC），但是一旦选定，他就被只能为该客户工作（MAC）。,ChinaWall安全模型（二）,168/189,应用示例：,ChinaWall安全模型（三）,169/189,信息安全标准的产生,与安全领域有关的标准主要来自以下四个方面：有关信息技术的国际标准。这些标准是由以下组织建立的：国际标准化组织（ISO），国际电工委员会（IEC），国际电信联盟（ITU，原称CCITT）和电气与电子工程师协会（IEEE）；银行工业标准。这些标准或者是由ISO国际性地开发的，或者是由美国国家标准协会(ANSI)面向美国国内的应用而开发的；国家政府标准。这些标准是由各国政府制定的；Internet标准。这些标准是由Internet协会开发的。,170/189,随着众多的团体对信息系统依赖的增加,安全因素变的越来越重要。国际国内评估信息系统的安全的指导原则均为提供客观的、一致的安全标准。最先由美国国防部颁布的分类手册是黄皮书（TC-SEC-NCSC可信计算机系统）。,TCSEC标准,171/189,TCSEC标准（TC-SEC-NCSC可信计算机系统）将IT系统划分为A、B、C、D共4类7个安全等级：DC1C2B1B2B3A1；,TCSEC标准（二）,172/189,不符合C1-A1级安全要求标准的系统为D级，其安全水平最低；C级标准要求客户定义访问控制，即客户能够定义系统的访问权限；B类系统必须建立基于规则的安全设置，在系统上，客户不能分配权限；仅系统管理者拥有该特权；A类标准安全模型的一致性需经得住教学模型的检验，应有保证机制以确保硬、软件按规定完成。,TCSEC标准（三）,173/189,ITSEC标准ITSEC（信息技术安全评估标准）是欧洲的分类手册；象美国的黄皮书一样，欧洲的ITSEC标准目录将IT系统换分为七个安全类（E0-E6）；,ITSEC标准,174/189,ITSEC与TCSEC的对应：E0DE1C1E2C2E3B1E4B2E5B3E6A1,ITSEC标准（二）,175/189,IPSEC协议为了加强互联网的安全性，从1995年开始，IETF着手研究制定了一套用于保护IP通信的安全（IPSecurity，IPSec）协议。IPSec提供既可用于IPv4也可用于IPv6的安全性机制,它是IPv6的一个组成部分，也是IPv4的一个可选扩展协议。,IPSec协议（一）,176/189,IPSEC协议-功能IPSec提供的安全性服务访问控制；无连接的完整性；数据源身份认证；保密；有限的业务流保密性；,IPSec协议（二）,177/189,IPSEC协议-体系结构IPsec由一系列协议组成：RFC2401，RFC2402（验证头）、RFC2406（封装安全载荷）、RFC2407（用于Internet安全联盟和密钥管理协议ISAKMP的InternetIP安全解释域）、RFC2408（ISAKMP）、RFC2409（Internet密钥交换，IKE）、RFC241