网络安全培训教材

深圳市深华世纪科技有限公司网络安全培训教材信息安全小组编制网络安全基础知识培训1.网络安全业界事件及形势2.网络安全的定义3.网络安全基本概念4.网络安全管理要求5.日常检查要求让员工对网络安全有一定了解，并在工作

中按照相应的规范要求进行作业培训对象

所有入职员工培训时间培训讲师学习重点培训目的一小时2010年9月，伊朗核设施突遭来源不明的网络病毒攻击，纳坦兹离心浓缩厂的上千台

2015年2月27日江苏省公安厅紧

急通知由于海康威视监控设备存在巨离心机报废

大安全隐患，部分设备已被境外IP控

制，要求对海康监控设备进行全面清一、网络安全业界事件及形势—安全事件警示一

、弱密码不可取，未修改初始密码更易被攻击警示二、系统的相对封闭是系统安全运行的首要保障哈哈!我叫震网，我来了皮应堆已封项，马

上可以发电了查。类别目的及威胁主要攻击方式信息窃取类主要以盗取机密信息、个人数据、敏感数据为目的，隐蔽性强，威胁国家保密信息、公司商业机密，

个人隐私数据等，对于被攻击目标危害极大。木马、网络钓鱼、垃圾邮

件、间谍软件等拒绝服务类以攻瘫目标为目的，即攻击者想办法让目标机器停止提供服务，是黑客常用的攻击手段之一。拒绝服

务攻击问题也一直得不到合理的解决，究其原因是因为这是由于网络协议本身的安全缺陷造成的，从

而拒绝服务攻击也成为了攻击者的终极手法病毒、蠕虫、DDOS、僵尸

网络远程控制类所谓远程控制，是指管理人员在异地通过计算机网络异地拨号或双方都接入Internet等手段，连通需被

控制的计算机，将被控计算机的桌面环境显示到自己的计算机上，通过本地计算机对远方计算机进行

配置、软件安装程序、修改等工作，可以进行任何危险操作。木马、间谍软件、病毒、

APT客户网络承载数网络钓鱼木

马病毒蠕虫黑客一、网络安全业界事件及形势—常见的威胁垃圾邮件僵尸网络

D-DOS网络钓鱼·

美国通过将供应链的安全纳入国家战略，其核心诉求是建立“促进商品高效安全的流

动，加强商品的完整性和建立一个恢复能力强的供应链。"NIST

(美国国家标准局)刷新了新的信息安全要求，在其中明确了对的供应链安全要

求，如NIST

SP800-161

(联邦信息系统和组织的供应链风险管理实践)。>隐私和客户数据保护依然是政府和客户关注的重点·

欧盟正在拟制的个人数据保护法，加大了对设备供应商的法律责任，在逆向再利用、

已使用货物报废和设备搬迁时需要满足当地的法规要求；从严要求保护个人数据和隐私(德国/土耳其/丹麦客户要求在本地处理个人数据);中国政府客户在政务云招标中直接采取了NIST

SP

800-53

(联邦信息系统及组织安全

和隐私控制)作为安全要求>倡导建立统一的供应链评估标准，支持ICT行业全球化的发展美国智库布鲁金斯发布如何在ICT全球供应链建立信任的白皮书，倡导建立统一标准全球ICT产业界发布声明《政府网络安全推荐性实施准则》,建议政府统一对业界的

网络安全标准一、网络安全业界事件及形势—业界形式整性和数据及隐私保护>美国依然是供应链网络安全的领先者>美国政府的供应链安全管理：美国在供应链安全领域很早就进行规划和布

局，并形成了完整的供应链风险管控体系，由于其领先和示范作用，其他

各国会效仿和借鉴AUTHORIZEIntormation

SystamDetmine

rstb

orynzatord

gpedinsad

aset,idiid志

the

ogzictors,and

te

Namn;faoopabk,a

tharu

opertonSPMSAASSESSSacurity

ContolsIMPLEMENT

security

Comrolsmpemertsearty

ontoswthn

ertepise

adtiedueusig

sond

asens

engneerg

pptossseorty

corhgyraten

sctrgs.·

各方对ICT供应链网络安全越来越关注，强调产品在供应链中的高效流动、完FP⁵2/SPW⁰-53SELECTSecurity

ControlsSeedbsefe

seart

cot.surpomert

corhos

ss

nesdodbaedon

ist

asessnatSP80/SP0M-17MONITORSecurty

StateDeireoicallylersintydntomson

systm

acoardngto

pwentdl

washiase,abeseimpadlomssonbsiresConfnousytad

chanyss

bteitomafon

sysem

tiut

may

aiedswaurty

cutok

and

rezsesontdefidieness98037Lefemne

securty

cortd

efetns[ie,oatosimpemenednedy

cpretng

s

rtendod,

meotrg

sooeqiienet

ftrnkmafor

sslemSariytitFPS

19/5P80CATEGORIZEInfarmation

SystemSecunity

Llie580areytakingg.itro

adCycle一、网络安全业界事件及形势—业界形式从运营商到最终用户对网络安全要求和隐私保护都更加重视·

从运营商到最终用户对网络安全要求和隐私保护都更加重视·运营商对供应链越来越从关注管理方法向关注细节

和技术实现方式上转变，如：如何从技术上保证产

品加载的软件完整性可校验；·客户越来越关注供应商的网络安全管理，尤其是开源软件清单及可追溯问题，越来越多敏感国家客户

提出要交流供应商安全议题。·UK、德国等国运营商如VDF、DT将对供应链安全要

求写入合同，要求遵从当地

(AEO)

或者美国

(C-

TPAT)

的供应链安全标准。·Telenor、BT、VDF等客户强调华为可追溯数据库要

利用起来，帮助华为进行漏洞影响的和监控；开源漏洞迅速上升，2014年业界爆发5起一级开源漏洞，几乎涉及华为所有产品和供应商，海康视讯事件突显了供应链的脆弱性·消费者越来越倚重和使用移动

业务，手机成为最重要的交流

媒介，手机消费者个人隐私数

据的保密要求变得空前重要；·Gartner的调查指出使用社交媒体时，最重要的挑战是首先要

解决安全和隐私、内容管理等

问题·个人数据的保护应贯穿到每个产品的生命周期中：数据收集、

数据存储、数据转移/共享、数

据留存与删除等·云服务、银行、交通、电力、医院、

政府等企业客户除了传统的网络安全

要求外，对用户数据和隐私保护要求

更高；·企业网客户，如亚马逊、

HP等北美

客户依据C-TPAT+客户内部少量的定

制化需求提出安全要求，其他市场客

户尚未明确类似要求；·

中国政府客户在政务云招标中采取

了NIST

SP800-53。运营商企业网消费者二、

网络安全的定义网络安全是指在法律合规下保护产品、解决方案和服务的可用性、完整性、机密性、可追溯性和抗攻击性，及保护其所承载的客户或用户的通信内容、个人数据及隐私、客观信息流动。通过网络安全的保障，避免客户的经济、声誉受损；避免行为人或承担民事、行政甚至刑事责任；避免成为贸易保护的借口。·

网络安全网络安全Cyber

Security可追溯性误区1:

网络安全=信息安全误区2:

网络安全=防攻击防病毒误区3:

网络安全=物理和人身安全误区4:

网络Cyber

=

Network客户网络承载数据/隐私抗攻击性业务连续及健壮的网络完整性机密性可用性机密性

确保信息在存储、使用、传输过程中不会泄漏给非

授权用户或实体。确保信息在存储、使用、传输过程中不会被非授权完整性

用户篡改，同时还要防止授权用户对系统及信息进

行不恰当的篡改，保持信息内、外部表示的一致性。可用性

不会被异常拒绝，允许其可靠而及时地访问信息及资源。抗攻击性

系统或设备遭受攻击时，具体一定的防护能力。可追溯性

确保实体行动或信息流动可被追踪。√机密性

(Confidentiality)

指只有授权用户可以获取信息√完整性

(Integrality)指信息在输入和传输的过程中，不

被非法授权修改和破坏，保证数据的一致性√

可用性

(Availability)指保证合法用户对信息和资源的使用不会被不正当地拒绝。·

网络安全五个特性业界网络安全三性

CIA二、

网络安全的定义确保授权用户或实体对信息及资源的正常使用产品类别主要涉及产品IT类便携机、工控机、台式机、工作站、PC服务器、小型机计算机配件独立硬盘、U盘、CF卡、SD卡、闪存卡等软件类操作系统类软件、办公软件、网络服务器软件软件License【网络安全关键部件】软件及可存储软件的载体包括但不限于硬盘、

SD

卡、

CF卡、

U

盘、磁带、Flash。三、

网络安全基本概念-关键部件核心是“软件”——

软件、可存储软件的硬件网络安全关键物料序号网络安全关键岗位1来料检验员(IQC)(存储类)2测试工艺工程师(生产软件管理(含技术员))3制造IT工程师(软件服务器与测试网络管理(含技术员))4软件烧录员5手工测试员(含无线模块测试、FT及整机测试)6物料员(贵重物料管理)(POC直发)三、

网络安全基本概念-关键岗位【网络安全关键岗位】:网络安全关键岗位是指各业务流程和活动中可能利用职务之便植入、篡改、处理客户产品、

网络信

息、客户网络中所承载的客户或用户的通信内容、个人数据及

隐私，对网络安全会产生重大影响或后果的岗位核心安全目标供应链安全要求基础安全供应安全4.14.24.34.44.54.64.74.84.94.10风

险

管

理物

理

安

全准入控制商

业

合

作

伙

伴

安

全供

制造导入安全关

键

部

件

安

全软件交付安全物

流

安

全客户信

息安全逆向安

全完整性(防婆改、防植入)√√√√√√√√√真实性(防伪造)√√√√√√√√可追溯性√√√√参考标准O-TTPSISO28000C.TPATIAEOTAPA保障产品在供应链中的完整性、真实性、可追溯性，防止产品被篡改、植入、伪造等网络安全风险，并通过对供应过程的可追溯来达到供应链风险的有效管理。供应链是保障产品从研发、生产到客户端到端完整性的重要一环，供应链应避免华为生产或购买的产品中的软件、硬件或数据等在生产与交付中被恶意篡改或植入、确保交付给客户的产品与研发发布的一致。供应链在生产、交付过程中防止使用被伪造部件，保障生产过程及交付给客户产品

的真实性.供应链应建立可追溯系统，支撑产品和部件在供应链过

程中的可追溯性。供应链须对产品和部件建立唯一标识并确保这些信息被有效记录网络安全管理要求-概要伪造产品(Counterfeit):

产品不是通过正规可靠渠道供应的，但是却以合法产品的身份出现。篡改/植入(Tainted):

生产的产品或购买的供应商产品，但因为软件、硬件或数据等被恶意更改，导致产品功能、性能和服务与设计意图不符。可追溯(Traceability):

使用专业管理工具和综合系统，实现基于数据仓库的来料到站点的全交付过程的软硬件记录回溯，让相关产品和部件在整个供应链中可以追

踪。O-TTPS:

开放组织技术供应商标准，该标准叙述了一套行业最佳实践要求和建议，当组织采用这套要求和建议时，可以为买家减少买到被篡改产品或者伪造产品的风险，

带来商业利益。IS028000:

是国际标准化组织

(ISO)

制定的应对供应链威胁的系统解决方案，为供应链安全管理提供方法论，适用于所有行业。网络安全管理要求-术语C-TPAT标准：海关-贸易反恐怖联盟(Customs-Trade

Partnership

Against

Terrorism),由美国国土安全部海关边境保护局倡议成立的自愿性计划，参与这项计划的成员将依据C-TPAT所订立的安全建议去强化其有关设施、人员、程序及交付运输方面的安全措施及管理，内容涵盖八大范围：商业合作伙伴要求、程序安全、信息技术安全、物理安全、准入控制、人员安全、安全培训与警觉意识和集装箱与拖车安全。AEO标准：经授权的经营者

(AuthorizedEconomic

Operator),

在

世界海关组织

(WCO)制定的《全球贸易安全与便利标准框架》中被定义为：

"以任何一种方式参与货物国际流通，

并被海关当局认定符合世界海关组织或相应供应链安全标准的一方，包括生产商、进口商、出口商、报关行、承运商、理货人、中间商、口岸和机场、货站经营者、综合经营者、仓储业经营者和分销商"。TAPA标准：是由运输资产保护协会

(Transported

Asset

Protection

Association)

发布的标准，该协会是由安全专家和来自相关高科技公司的业务伙伴组成的协会，旨在处理高

科技产业普遍面临的新兴威胁。网络安全管理要求-术语·

网络安全红线来源于政府要求、法律法规、客户要求以及业界规范等，

其目标是保障产品在供应环节的完整性、真实性及对客户数据的保护.·

工作时只能使用企业邮箱，不得使用QQ、163等其他非企业邮箱。所有邮箱都只能一个人使用，不得共用，密码需定期更改(每月一次),

不得泄露，不得随意借给他人使用·

所有人的电脑密码专人专用，定期更改，不得转借他人，不得泄露，

人员离开电脑时，电脑必须锁住，不得让其他人打开。·

网络使用者发送电子邮件内容由本人操作负责，未经允许，不得利用

公司网络、邮件等向外发送、传递信息。·

所有人不得将与项目业务相矣的信息发送到其他部门，如：华为项目

部的业务相矢的邮件不得发给中兴、酷派、

PPTV部门的人员。·

员工利用木马、网络钓鱼、垃圾邮件、间谍软件以盗取机密信息、个

人数据、敏感数据网络安全管理要求-红线·

员工私自携带储存介质进入车间拷贝机密文件·

在产品发货前须按研发要求关闭生产测试端口，禁止产品中存在非指定发货软件；仅可以出于维修和检测目的在工厂特定的设备上打开，

并在维修、检测结束后须再关闭·

须确保网络安全关键部件的真实性，禁止使用来源不明的网络安全关键部件或者已知的伪造品进行生产和发货。·

员工作业电脑有外网权限并在工作期间浏览与工作无关的网站·

员工作业电脑没有安装杀毒软件、没有定期杀毒及更新病毒库

·

员工使用带摄像头USB功能的手机进入车间·

员工电脑安装与工作无关的软件·

员工作业电脑没有设置密码、电脑没有设置屏幕保护、离岗时作业电脑没有及时锁屏网络安全管理要求-红线网络安全管理要求-红线·

管理人员在异地通过计算机网络异地拨号或双方都接入Internet等手

段，连通需被控制的计算机，将被控计算机的桌面环境显示到自己的

计算机上，通过本地计算机对远方计算机进行配置、软件安装程序、

修改等工作·

员工不得私自使用相机进行拍照·

非授权人员不得进入华为网站下载相关文件杀毒软件更新状态在发的电封上运行计划的行描催物(R)扫情类型(P):

快速扫情日朔(W):大答时间(A)团运行计划的扫描之前检查量新的物患和资使效件定义K)仅当电越打开但未使用时启动计包的扫描(I)扫

催

过

程

中

CPU

使用率限制为(U:

50%默认三作实时保护排除的文件和位置

排防的文件类型排除的进程高吸MAPS保存更改(5)

取

洲(C)①杀毒软件更新状态你的电脑正被监视井受到保护。实时保护；

启用病毒和的课软件定义

景新月描洋细优息计划的扫描：每天大约象00(快速扫描)

|

更改线的扫描计划

上次自摸：今日13:46(快速与摘)扫措选项快

正(Q)完

全

门自

定

义(Q立即扫描[5]杀毒软件更新状态病害和问要软件定义：

量新你的病毒和可谈软件定义会自功更新以知助保护你的电独。定义创理时间：

2015/12/104:07上次奥新定义的时用：

2015/12/1015:05就密定义版本；

1.211.22960断课软件定义版本：

1.211.2296.0你

知

造吗

?病患、旧还农件和其他恶意欢件定文显用于在电脑上识到恶赏款件或可能不需要的软性的文件。

这业定义会白动更所，但是你也可以随时单击“更新”来获职最所板本。更新(V)杀毒软件更新状态期充的吸目(Q)已班止运行但岗木从电脑中别除的项目。

允许的项目(M)已允许在电脑上运行的项目。检测到的所有项日(D)已在电较上检型的项目。全

部

形

除(A)

到

除(R)

还

原

旧检测到的项目申

脑

状

态

要

保

护普报级别日期屏

葺

保

护

程

序(S)气

泡

设

置(T..

预

览V)等

待(W):

5

分

钟

√

在

恢

复

时

显

示

登

录

屏

尊(R)电

源

管

理通

过

调

整

显

示

亮

度

和

其

他

电

源

设

置

以

节

省

能

源

或

提

供

最

佳

性

能

。更

改

申

源

设

置设置屏保状态屏

葺

保

护

程

序

设

置屏

幕

保

护

程

序应

用

(A)确

定取

消X,控面板，程序，程和功能

序

和

功文件月端日查看V)工H控锡板页卸载或更改程序查看已安的更浙拥关Wndos城若要藏程序，请从对表中将其选中，然后单击年载”、更改或“复”,织

·0欲发布者安装时月

大小版本36安全览差50正式版

ww.360cn360安全卫士