信息安全技术-03信息系统的物理安全

信息安全技术第1章

熟悉信息安全技术1.1信息安全技术的计算环境1.2信息安全技术的标准化1.3信息系统的物理安全1.4Windows系统管理与安全设置1.3

信息系统的物理安全物理安全也称实体安全，是指包括环境、设备和记录介质在内的所有支持信息系统运行的硬件的总体安全，是信息系统安全、可靠、不间断运行的基本保证。物理安全保护计算机设备、设施(网络及通信线路)免遭地震、水灾、火灾、有害气体和其他环境事故(如电磁污染等)破坏的措施和过程，主要考虑的问题是环境、场地和设备的安全及实体访问控制和应急处置计划等。1.物理安全的内容环境安全。是对系统所在环境的安全保护，如区域保护和灾难保护等。计算机网络通信系统的运行环境应按照国家有关标准设计实施，应具备消防报警、安全照明、不间断供电、温湿度控制系统和防盗报警等，以免受水、火、有害气体、地震、静电等的危害。电源系统安全。电源在信息系统中占有重要地位，主要包括电力能源供应、输电线路安全、保持电源的稳定性等。9.信息系统的物理安全设备安全。要保证硬件设备随时处于良好的工作状态，建立健全使用管理规章制度，建立设备运行日志。媒体安全。包括媒体数据的安全及媒体本身的安全。存储媒体本身的安全主要是安全保管、防盗、防毁和防病毒；数据安全是指防止数据被非法复制和非法销毁等。通信线路安全。通信设备和通信线路的装置安装要稳固牢靠，具有一定对抗自然因素和人为因素破坏的能力，包括防止电磁信息的泄漏、线路截获，以及抗电磁干扰等。9.信息系统的物理安全具体来说，物理安全包括以下主要内容：机房的场地、环境及各种因素对计算机设备的影响。计算机机房的安全技术要求。计算机的实体访问控制。计算机设备及场地的防火与防水。计算机系统的静电防护。计算机设备及软件、数据的防盗、防破坏措施。计算机中重要信息的磁介质的处理、存储和处理手续的有关问题。9.信息系统的物理安全与物理安全相关的国家标准主要有：GB/T2887-2000《电子计算机场地通用规范》。该标准由主题内容与适用范围、引用标准、术语、计算机场地技术要求、测试方法等五个部分和一个附录组成。GB/T9361-1988《计算站场地安全要求》。该标准由中华人民共和国电子工业部批准并于1988年10月1日正式实施。该标准由适用范围、术语、计算机机房的安全分类、场地的选择、结构防火、计算机机房内部装修、计算机机房专用设备、火灾报警及消防设施、其他防护和安全管理共9个部分组成。9.信息系统的物理安全GB/T14715-1993《信息技术设备用不间断电源通用技术条件》。主要针对UPS系统提出相关的技术测试要求，含输出电压、输出频率、电源效率、过载能力、备用时间及切换时间共6个项目的测试标准及方法。GB50174-1993《电子计算机机房设计规范》。该标准由国家技术监督局和中华人民共和国建设部联合发布并于1993年9月1日正式实施。标准由总则、机房位置及设备布置、环境条件、建筑、空气调节、电气技术、给水排水、消防与安全共八章和两个附录组成。9.信息系统的物理安全计算机机房建设至少应遵循GB/T2887-2000和GB/T9361-1988，满足防火、防磁、防水、防盗、防电击、防虫害等要求，并配备相应的设备。9.信息系统的物理安全2.环境安全技术安全保卫技术措施包括防盗报警、实时监控、安全门禁等。机房的温度、湿度等环境条件保持技术可以通过加装通风设备、排烟设备、专业空调设备来实现。机房的用电安全技术包括不同用途电源分离、电源和设备有效接地、电源过载保护技术和防雷击技术等。机房安全管理技术是指制定严格的计算机机房工作管理制度、并要求严格遵守管理制度，将制度落实。9.信息系统的物理安全根据GB/T9361-1988的规定，计算机机房环境的安全等级可分为A、B和C三个基本类别。其中：A类机房对计算机机房的安全有严格的要求，有完善的计算机机房安全措施；B类机房对计算机机房的安全有较严格的要求，有较完善的计算机机房安全措施；C类机房对计算机机房的安全有基本的要求，有基本的计算机机房安全措施。9.信息系统的物理安全3.电源系统安全技术(1)供电系统安全电源系统电压的波动、浪涌电流和突然断电等意外情况的发生，可能引起计算机系统存储信息的丢失、存储设备的损坏等情况的发生。因此，电源系统的稳定可靠是计算机系统物理安全的一个重要组成部分，是计算机系统正常运行的先决条件。9.信息系统的物理安全GB/T2887-2000和GB/T936l-1988都对机房安全供电做出了明确的要求。例如，GB/T2887-2000将供电方式分为三类：一类供电：需要建立不间断供电系统。二类供电：需要建立带备用的供电系统。三类供电：按一般用户供电考虑。9.信息系统的物理安全电源系统安全不仅包括外部供电线路的安全，更重要的是指室内电源设备的安全。电力能源的可靠供应。电源对用电设备安全的潜在威胁。9.信息系统的物理安全(2)防静电措施不同物体问的相互摩擦、接触会产生能量不大但电压非常高的静电。如果静电不能及时释放，就可能产生火花，容易造成火灾或损坏芯片等意外事故。计算机系统的CPU、ROM、RAM等关键部件大都采用MOS工艺的大规模集成电路，对静电极为敏感，容易因静电而损坏。9.信息系统的物理安全机房的内装修材料一般应避免使用挂毯、地毯等吸尘、容易产生静电的材料，而应采用乙烯材料。为了防静电，机房一般要安装防静电地板，并将地板和设备接地，以便将设备内积聚的静电迅速释放到大地：机房内的专用工作台或重要的操作台应有接地平板。此外，工作人员的服装和鞋最好用低阻值的材料制作，机房内应保持一定湿度，特别是在于燥季节应适当增加空气湿度，以免因干燥而产生静电。9.信息系统的物理安全(3)接地与防雷要求接地与防雷是保护计算机网络系统和工作场所安全的重要安全措施。接地可以保证设备和人身的安全，同时也是防止电磁信息泄漏的有效手段。机器设备应有专用地线，机房本身有避雷设施，包括通信设备和电源设备有防雷击的技术设施，机房的内部防雷主要采取屏蔽、等电位连接、合理布线或防闪器、过电压保护等技术措施以及拦截、屏蔽、均压、分流、接地等方法，达到防雷的目的。机房的设备本身也应有避雷装置和设施。9.信息系统的物理安全4.电磁防护与设备安全技术硬件设备的维护和管理电磁兼容和电磁辐射的防护信息存储媒体的安全管理9.信息系统的物理安全5.通信线路安全技术尽管从网络通信线路上提取信息所需要的技术比直接从通信终端获取数据的技术要高几个数量级，但以目前的技术水平也是完全有可能实现的。9.信息系统的物理安全用一种简单(但很昂贵)的高技术加压电缆，可以获得通信线路上的物理安全。应用这—技术，通信电缆被密封在塑料套管中，并在线缆的两端充气加压。线上连接了带有报警器的监视器，用来测量压力。如果压力下降，则意味电缆可能被破坏了，技术人员还可以进一步检测出破坏点的位置，以便及时进行修复。加压电缆屏蔽在波纹铝钢丝网中，几乎没有电磁辐射，从而大大增强了通过通信线路窃听的难度。9.信息系统的物理安全光纤通信线被认为是不可搭线窃听的，其断破处的传输速度会变得极其缓慢而立即会被检测到。光纤没有电磁辐射，所以也不能用电磁感应窃密。但是，光纤通信对最大长度有限制，目前网络覆盖范围半径约100km，大于这一长度的光纤系统必须定期地放大(复制)信号。这就需要将信号转换成电脉冲，然后再恢复成光脉冲，继续通过另一条线路传送。完成这一操作的设备(复制器)是光纤通信系统的安全薄弱环节，因为信号可能在这一环节被搭线窃听。9.信息系统的物理安全本节实验与思考的目的是：1)熟悉物理安全技术的基本概念和基本内容。2)通过因特网搜索与浏览，掌握通过专业网站不断丰富物理安全技术最新知识的方法。1.3.6实验与思考1.1.1信息安全的目标1.3.7小结第1章

熟悉信息安全技术1.1信息安全技术的计算环境1.2信息安全技术的标准化1.3信息系统的物理安全1.4Windows系统管理与安全设置1.4

Windows系统管理与安全设置1.4.1Windows系统管理在Windows“控制面板”(见图1.3)的“管理工具”选项中集成了许多系统管理工具，利用这些工具，用户和管理员可以方便地实现各种系统维护和管理功能。默认情况下，只有一些常用工具——如服务、计算机管理、事件查看器、数据源(ODBC)、性能和组件服务等——随Windows系统的安装而安装(见图1.4)。图1.3WindowsXP的“控制面板”图1.4WindowsXP的管理工具1)服务：启动和停止由Windows系统提供的各项服务。2)计算机管理器：管理磁盘以及使用其他系统工具来管理本地或远程计算机。3)事件查看器：显示来自Windows和其他程序的监视与排错信息。例如，在“系统日志”中包含各种系统组件记录的事件，如使用驱动器失败或加载其他系统组件；“安全日志”中包含有效与无效的登录尝试及与资源使用有关的事件，如删除文件或修改设置等，本地计算机上的安全日志只有本机用户才能查看；“应用程序日志”中包括由应用程序记录的事件等等。4)数据源(ODBC)：添加、删除以及配置ODBC数据源和驱动程序。5)性能：显示系统性能图表以及配置数据日志和警报。6)组件服务：配置并管理COM+应用程序。另一些工具则随系统服务的安装而添加到系统中，例如：1)Telnet服务器管理：查看以及修改Telnet服务器设置和连接。2)Internet服务管理器：管理IIS、因特网(Internet)和内部网(Intranet)Web站点的Web服务器。3)本地安全策略：查看和修改本地安全策略，诸如用户权限和审计策略。1.4.2Windows安全特性Windows为用户提供了一套广泛的安全性防卫措施，以确保系统能够阻止非法访问、故意破坏和错误操作等的侵害。1.4.2.1安全区域通常所说的数据安全大部分是指数据在网络上的安全。在计算机领域，网络操作系统的安全性定义为用来阻止未授权用户的使用、访问、修改或毁坏，也就是对客户的信息进行保密，以防止他人的窥视和破坏。如果将网络按区域划分，可分为4大区域。1)本地企业网：该区域包括不需要代理服务器的地址，其中包含的地址由系统管理员用InternetExplorer管理工具包定义。本地企业网区域的默认安全级为中级。2)可信站点：该区域包含可信的站点，即可以直接从该站点下载或运行文件而不用担心会危害到用户的计算机或数据的安全，因此用户可以将某些站点分配到该区域。可信站点区域的默认安全级为低级。3)受限站点：该区域包括不可信站点，即不能确认下载或运行程序是否会危害到用户的计算机或数据，用户也可以将某些站点分配到该区域。受限站点区域的默认安全级别为高级。4)因特网：在默认情况下，该区域包括用户的计算机或因特网上的全部站点，因特网区域的默认安全级别为中级。另外，本地计算机上所有文件都认为是安全的，不需进行安全设置。这样，打开和运行本机上的文件和程序时不会出现任何提示，而且用户也无法将本机上的文件夹或驱动器分配到所谓安全区域。1.4.2.2安全模型Windows安全模型的主要特性是用户验证和访问控制。1)用户验证：它检查尝试登录到域或访问网络资源的所有用户的身份。2)基于对象的访问控制：允许管理员控制对网络中资源或对象的访问。管理员通过对存储在活动目录中的对象指定安全描述符的方式来执行访问控制。安全描述符将列出获得访问许可权限的用户和组以及指定给这些用户和组的特殊权限。安全描述符还指定了针对对象审核的各类访问事件，对象实例包括文件、打印机和服务等。通过管理对象属性，管理员可以设置权限、指定所有权和监视用户访问。3)活动目录和安全性：活动目录通过使用对象的访问控制和用户凭据提供用户账户和组信息的保护存储。由于活动目录不仅存储用户凭据，还包括访问控制信息，所以登录到网络的用户可同时获得访问系统资源的验证和授权。1.4.2.3公用密钥公用密钥加密技术是保证认证和完整性的安全质量最高的加密方法，用来确定某一特定电子文档是否来自于某一特定客户机。公用密钥基本系统简称DKI，是一个进行数字认证、证书授权和其他注册授权的系统。通过公用系统密钥基本体系，管理员验证访问信息人员的身份，并在验证身份的前提下控制其访问信息的范围，在组织中方便安全地分配和管理识别凭据等安全问题。1.4.2.4数据保护数据的保密性和完整性从网络验证开始，用户可以使用正确的凭据登录到网络，并在该过程中获得访问存储数据的权限。Windows支持两种数据保护类型——存储数据和网络数据：1)存储数据保护：用户可以使用加密文件系统(EFS)和数字签名方法存储数据。2)网络数据保护：站点内的网络数据由验证协议保护。用户可以用来保护传入和传出站点网络数据的实用工具，包括：IPSecurity、路由和远程访问、代理服务器。1.4.3账户和组的安全性在Windows计算机上建立安全体系需要一个管理员。管理员为访问Windows计算机的用户建立账户，否则此用户将无法对网络进行访问。建立了账户的用户其使用权限和特权都由他所在的组决定。在域内建立安全体系需要域管理员。域管理员首先需要为用户和计算机建立账户，然后把用户和计算机进行分组并放入账户数据库中。域管理员还可以选择哪一个组被包括进哪一个安全策略之中，并将这些操作的结果放进安全策略数据库。在WindowsXP中，组内可以包含任何用户、计算机和组账户，而不用顾及这些用户和账户在域目录中的什么位置。另外，动态目录服务把域详细地划分成组织单元(OU)，分别管理域中的一些用户、计算机、组、文件和打印机等资源对象。1.4.4域的安全性域在活动目录中是用来定义安全边界的。活动目录由一个或多个域组成。每个域均拥有与其他域相关的安全策略和安全关系。域提供以下便利：1)两个不同域的安全策略和设置(诸如管理权限和访问控制列表)不能相互交叉。2)分派管理权限消除了需要大量具有广泛管理权限的管理员的必要。3)将对象分成不同的组放入域中有助于在网络中反映公司的组织结构。4)每个域只存储有关该域中对象的信息。活动目录可通过拆分目录信息的存储组织扩展成数量庞大的对象。域通常分为两种类型：主域(存储用户和组账户)和资源域(存储文件、打印机、应用服务等等)。在这种多域计算环境中，资源域需要具有所有主域的多委托关系。这些委托关系允许主域中的用户访问资源域中的资源。1.4.5文件系统的安全性Windows推荐使用的NTFS文件系统提供了FAT和FAT32文件系统所没有的全面的性能、可靠性和兼容性。NTFS文件系统的设计目标就是能够在很大的硬盘上很快地执行诸如读、写和搜索这样的标准文件操作，甚至包括像文件系统恢复这样的高级操作。NTFS文件系统包括了公司环境中文件服务器和高端个人计算机所需的安全特性，它还支持对于关键数据完整性的数据访问控制和私有权限。除了可以赋予Windows计算机中的共享文件夹特定权限外，NTFS文件和文件夹无论共享与否都可以赋予权限。在NTFS卷中设置权限就是指定一个组或用户对该目录的访问许可。设