信息安全教學課件1yb-安全評估與標準規(guī)范-研究生

一、信息平安保障體系的根本構(gòu)架信息平安保障體系的根本構(gòu)架國家信息根底設施信息平安平臺及平安根底設施四個層面，兩個支撐，一個確保層面一：加強信息平安平臺及根底設施建設。建立平安事件應急響應中心、數(shù)據(jù)備份和災難恢復設施；發(fā)揮密碼在保障體系中的根底和核心作用，加強密碼根底設施〔KMI/PKI〕的建設。加強以密碼技術為根底的信息保護和網(wǎng)絡信任體系建設信息平安保障體系的根本構(gòu)架四個層面，兩個支撐，一個確保信息平安技術保障體系建設和完善信息平安監(jiān)控體系重視信息平安應急處理工作加強信息平安技術研究開發(fā)，推進信息平安產(chǎn)業(yè)開展國家信息基礎設施信息安全平臺及安全基礎設施層面二：強化國家信息平安技術防護體系。采用先進技術手段，確保網(wǎng)絡和電信傳輸、應用區(qū)域邊界、應用環(huán)境等環(huán)節(jié)的平安，既能防外部攻擊，又能防內(nèi)部作案。信息平安組織管理體系信息平安保障體系的根本構(gòu)架四個層面，兩個支撐，一個確保信息平安保障體系的根本構(gòu)架實行信息平安等級保護加強對信息平安工作的領導，建立健全信息平安責任制信息平安技術保障體系國家信息基礎設施信息安全平臺及安全基礎設施層面三：完善國家信息平安組織管理體系。強化管理機構(gòu)的職能，建立高效能的、職責分工明確的行政管理和業(yè)務組織體系。加強國家信息平安保障的綜合協(xié)調(diào)工作。信息平安保障體系的根本構(gòu)架四個層面，兩個支撐，一個確保信息平安法制體系信息平安組織管理體系信息平安技術保障體系國家信息基礎設施信息安全平臺及安全基礎設施層面四：建立信息平安法制體系。確立信息化領域法規(guī)框架，做到有法可依，有法必依。加強信息平安法制建設和標準化建設信息平安保障體系的根本構(gòu)架國家信息根底設施信息安全平臺及安全基礎設施信息安全技術保障體系信息安全組織管理體系信息安全法制體系四個層面，兩個支撐，一個確保信息安全經(jīng)費保障體系保證信息平安資金支撐一：確定國家信息平安經(jīng)費支持規(guī)劃。明確信息平安保障體系建設經(jīng)費占信息化經(jīng)費的比例信息安全經(jīng)費保障體系信息平安保障體系的根本構(gòu)架國家信息根底設施信息安全人才保障體系信息安全平臺及安全基礎設施信息安全技術保障體系信息安全組織管理體系信息安全法制體系四個層面，兩個支撐，一個確保加快信息平安專業(yè)人才培養(yǎng)，增強全民信息平安意識支撐二：確立信息平安人才教育和培訓體系。信息平安應列為一級學科，進行學歷教育，除培養(yǎng)大批高質(zhì)量的專門人才外，還須進行社會化的培訓和普及教育，以提高全民的信息平安素質(zhì)。信息平安保障體系的根本構(gòu)架信息平安法制體系信息平安組織管理體系國家信息根底設施信息平安技術保障體系信息平安平臺及平安根底設施信息安全經(jīng)費保障體系信息安全人才保障體系四個層面，兩個支撐，一個確保加強信息平安保障工作的總體要求和主要原那么一個確保：確保國家關鍵信息根底設施的平安運行二、對當前信息平安保障的反思1、普通做法：當前大局部信息平安系統(tǒng)主要是由防火墻、入侵監(jiān)測和病毒防范等組成常規(guī)的平安手段只能是在網(wǎng)絡層〔IP〕設防，在外圍對非法用戶和越權訪問進行封堵，以到達防止外部攻擊的目的對訪問者源端〔客戶機〕未加控制，信息資源隨意共享操作系統(tǒng)的不平安導致應用系統(tǒng)的各種漏洞層出不窮，無法從根本上解決封堵的方法是捕捉黑客攻擊和病毒入侵的特征信息，其特征是已發(fā)生過的滯后信息，不能科學預測未來的攻擊和入侵。保護計算機系統(tǒng)、網(wǎng)絡和信息，防止未經(jīng)授權的訪問、使用、泄露、修改和破壞。目的是提供保密性、完整性和可用性。惡意用戶的攻擊手段變化多端,防護者只能:防火墻越砌越高入侵檢測越做越復雜惡意代碼庫越做越大導致：誤報率增多，平安投入不斷增加維護與管理更加復雜和難以實施信息系統(tǒng)的使用效率大大降低對內(nèi)部沒有防范對新的攻擊入侵毫無防御能力〔如沖擊波、振蕩波〕反思：老三樣、堵漏洞、作高墻、防外攻、防不勝防產(chǎn)生平安事故的技術原因：PC機軟、硬件結(jié)構(gòu)簡化，導致資源可任意使用，尤其是執(zhí)行代碼可修改，惡意程序可以被植入病毒程序利用PC操作系統(tǒng)對執(zhí)行代碼不檢查一致性弱點，將病毒代碼嵌入到執(zhí)行代碼程序，實現(xiàn)病毒傳播黑客利用被攻擊系統(tǒng)的漏洞竊取超級用戶權限，植入攻擊程序，肆意進行破壞更為嚴重的是對合法的用戶沒有進行嚴格的訪問控制，可以進行越權訪問，造成不平安事故2、美國的反思2005年4月14日，美國政府公布了美國總統(tǒng)IT咨詢委員會2月14日向總統(tǒng)布什提交的?網(wǎng)絡空間平安：迫在眉睫的危機?的緊急報告，對美國2003年的信息平安戰(zhàn)略提出不同看法，指出過去十年中美國保護國家信息技術根底建設工作是失敗的。短期彌補修復不解決根本問題。耗資一千億美元，而平安漏洞百出。提出四個問題和建議：1、政府對民間網(wǎng)絡空間平安研究的資助不夠，建議每年撥NSF九千萬美金2、網(wǎng)絡空間平安根底性研究團體規(guī)模小，七年時間團體規(guī)模擴大一倍3、平安研究成果的成功轉(zhuǎn)化不夠，政府加強在技術轉(zhuǎn)讓方面與企業(yè)的合作4、缺乏政府部門間協(xié)作與監(jiān)管是平安對策無重點和無效率的根源。建議成立“重要信息根底設施保護跨部門工作組〞2006年4月信息平安研究委員會發(fā)布的?聯(lián)邦網(wǎng)絡平安及信息保障研究與開展方案〔CSIA〕?確定了14個技術優(yōu)先研究領域，13個重要投入領域。為改變無窮無盡打補丁的封堵防御策略，從體系整體上解決問題，提出了十個優(yōu)先研究工程，包括認證、協(xié)議、平安軟件、整體系統(tǒng)、監(jiān)控監(jiān)測、恢復、網(wǎng)絡執(zhí)法、模型和測試、評價標準、非技術原因。3、世界IT企業(yè)動向2000年由國際大廠商、大學研究機構(gòu)聯(lián)合成立TCPATCPA專注于從計算平臺體系結(jié)構(gòu)上增強其平安性，2001年1月發(fā)布了TPM主標準〔v1.1〕2003年3月改組為TCG(TrustedComputingGroup)此后發(fā)布了一系列標準其目的是在計算和通信系統(tǒng)中廣泛使用基于硬件平安模塊支持下的可信計算平臺，以提高整體的平安性。具有TPM功能的PC機已經(jīng)上市〔IBM、HP、Intel等〕可信是指“一個實體在實現(xiàn)給定目標時其行為總是如同預期一樣的結(jié)果〞。強調(diào)行為的結(jié)果可預測和可控制?？尚庞嬎阒敢粋€可信的組件，操作或過程的行為在任意操作條件下是可預測的，并能很好地抵抗不良代碼和一定的物理干擾造成的破壞?？尚庞嬎闶瞧桨驳母祝瑥目尚鸥霭l(fā)，解決PC機結(jié)構(gòu)所引起的平安問題?？尚庞嬎闫脚_基于可信平臺模塊〔TPM〕,以密碼技術為支持、平安操作系統(tǒng)為核心〔如下圖〕安全應用組件安全操作系統(tǒng)安全操作系統(tǒng)內(nèi)核密碼模塊協(xié)議棧主板可信BIOSTPM(密碼模塊芯片)圖：可信計算平臺可信任鏈傳遞與可信任環(huán)境具有以下功能：確保用戶唯一身份、權限、工作空間的完整性/可用性確保存儲、處理、傳輸?shù)臋C密性/完整性確保硬件環(huán)境配置、操作系統(tǒng)內(nèi)核、效勞及應用程序的完整性確保密鑰操作和存儲的平安確保系統(tǒng)具有免疫能力，從根本上阻止病毒和黑客等軟件攻擊做到非法人員進不來、拿不走、看不懂、改不了、賴不掉4、在重要信息系統(tǒng)中應以防內(nèi)為主要處理的工作流程都是預先設計好的操作使用的角色是確定的應用范圍和邊界都是明確的這類工作流程相對固定的生產(chǎn)系統(tǒng)與Internet網(wǎng)是有隔離措施的，外部網(wǎng)絡的用戶很難侵入到內(nèi)部網(wǎng)絡來

，其最大的威脅是來自內(nèi)部人員的竊密和破壞。

據(jù)權威機構(gòu)統(tǒng)計，83%的信息平安事故為內(nèi)部人員和內(nèi)外勾結(jié)所為，而且呈上升的趨勢。因此我們應該以“防內(nèi)為主、內(nèi)外兼防〞的模式，從提高使用節(jié)點自身的平安著手，構(gòu)筑積極、綜合的平安防護系統(tǒng)。應該：強機制、高可信、控使用、防內(nèi)外，積極防御三、積極防御的技術框架綜合防范應該是主動防止非授權訪問操作，從客戶端操作平臺實施高等級防范，使不平安因素將終端源頭被控制。這對工作流程相對固定的重要信息系統(tǒng)顯得更為重要而可行。對工作流程相對固定的重要信息系統(tǒng)主要由操作應用、共享效勞和網(wǎng)絡通信三個環(huán)節(jié)組成。如果信息系統(tǒng)中每一個使用者都通過可信終端認證和授權，其操作都是符合規(guī)定的，網(wǎng)絡上也不會被竊聽和插入，那么就不會產(chǎn)生攻擊性共享效勞資源的事故，就能保證整個信息系統(tǒng)的平安，以此來構(gòu)建積極防御、綜合防范的防護框架可信計算平臺可信終端確保用戶的合法性和資源的一致性，使用戶只能按照規(guī)定的權限和訪問控制規(guī)那么進行操作，能做到什么樣權限級別的人只能做與其身份規(guī)定的訪問操作，只要控制規(guī)那么是合理的，那么整個信息系統(tǒng)資源訪問過程是平安的。這樣構(gòu)成了平安可信的應用環(huán)境〔子信息系統(tǒng)〕平安共享效勞邊界應用平安邊界設備〔如平安網(wǎng)關等〕保護共享效勞資源，其具有身份認證和平安審計功能，將共享效勞器〔如數(shù)據(jù)庫效勞器、WEB效勞器、郵件效勞器等〕與非法訪問者隔離，防止意外的非授權用戶的訪問〔如非法接入的非可信終端〕。這樣共享效勞端不必作繁重的訪問控制，從而減輕效勞器的壓力，以防拒絕效勞攻擊全程保護網(wǎng)絡通信采用IPSec實現(xiàn)網(wǎng)絡通信全程平安保密。IPSec工作在操作系統(tǒng)內(nèi)進行，實現(xiàn)源到目的端的全程通信平安保護，確保傳輸連接的真實性和數(shù)據(jù)的機密性、一致性，防止非法的竊聽和插入要實現(xiàn)上述應用、邊界和通信有效的保障，還需要授權管理的管理中心以及可信配置的密碼管理中心的支撐對于復雜的重要信息系統(tǒng)：構(gòu)成三縱〔公共區(qū)域、專用區(qū)域、涉密區(qū)域〕三橫〔應用環(huán)境、應用區(qū)域邊界、網(wǎng)絡通信〕和兩個中心的平安防護框架?！踩缫韵聢D所示〕圖：信息平安技術防護框架從技術層面上可以分為以下五個環(huán)節(jié)：應用環(huán)境平安應用區(qū)域邊界平安網(wǎng)絡和通信傳輸平安平安管理中心密碼管理中心即：兩個中心支持下的三重防護體系結(jié)構(gòu)應用環(huán)境平安：包括單機、可信終端、身份認證、訪問控制、密碼加密、平安審計等機制，構(gòu)成可信應用環(huán)境從技術層面上可以分為以下五個環(huán)節(jié)：應用環(huán)境平安應用區(qū)域邊界平安網(wǎng)絡和通信傳輸平安平安管理中心密碼管理中心即：兩個中心支持下的三重防護體系結(jié)構(gòu)應用區(qū)域邊界平安：通過部署邊界保護措施控制對內(nèi)部局域網(wǎng)的訪問，實現(xiàn)局域網(wǎng)與廣域網(wǎng)之間的平安。采用平安網(wǎng)關、VPN等隔離過濾機制，保護共享資源的可信連接從技術層面上可以分為以下五個環(huán)節(jié)：應用環(huán)境平安應用區(qū)域邊界平安網(wǎng)絡和通信傳輸平安平安管理中心密碼管理中心即：兩個中心支持下的三重防護體系結(jié)構(gòu)網(wǎng)絡和通信傳輸平安：包括實現(xiàn)局域網(wǎng)互聯(lián)過程的平安，旨在確保通信的機密性、一致性和可用性。采用密碼加密、完整性校驗和實體鑒別等機制，實現(xiàn)可信連接和平安通信從技術層面上可以分為以下五個環(huán)節(jié)：應用環(huán)境平安應用區(qū)域邊界平安網(wǎng)絡和通信傳輸平安平安管理中心密碼管理中心即：兩個中心支持下的三重防護體系結(jié)構(gòu)平安管理中心：提供認證、授權、實施訪問控制策略等運行平安效勞從技術層面上可以分為以下五個環(huán)節(jié)：應用環(huán)境平安應用區(qū)域邊界平安網(wǎng)絡和通信傳輸平安平安管理中心密碼管理中心密碼管理中心：提供互聯(lián)互通密碼配置、公鑰證書和傳統(tǒng)的對稱密鑰的管理，為信息系統(tǒng)提供密碼效勞支持即：兩個中心支持下的三重防護體系結(jié)構(gòu)四、信息平安保障建設中的

幾個焦點問題1、信息平安等級劃分與保護2004年9月15日由公安部、國家保密局、國家密碼管理局和國信辦聯(lián)合下發(fā)?關于信息平安等級保護工作的實施意見?〔66號文件〕，明確實施等級保護的根本做法。2007年6月22日又由四單位聯(lián)合下發(fā)?信息平安等級保護管理方法?〔43號文件〕，標準了信息平安等級保護的管理。堅持自主定級、自主保護原那么。應根據(jù)在國家平安、經(jīng)濟建設、社會生活中的重要程度，以及系統(tǒng)遭受破壞后的危害程度等因素確定等級。等級劃分：等級合法權益社會秩序和公共利益國家安全損害嚴重損害損害嚴重損害特別嚴重損害損害嚴重損害特別嚴重損害一級√二級√√三級√√四級√√五級√等級劃分：等級合法權益社會秩序和公共利益國家安全損害嚴重損害損害嚴重損害特別嚴重損害損害嚴重損害特別嚴重損害一級√二級√√三級√√四級√√五級√等級劃分：等級合法權益社會秩序和公共利益國家安全損害嚴重損害損害嚴重損害特別嚴重損害損害嚴重損害特別嚴重損害一級√二級√√三級√√四級√√五級√等級分級保護保護級（GB17859)實施與管理一級自主保護自主訪問主管部門審批自定二級指導保護審計（自主訪問）主管部門審批公安備案三級監(jiān)督檢查標記（強制訪問）主管部門審批每年一次測評檢查四級強制監(jiān)督檢查結(jié)構(gòu)化保證專家委評審半年一次測評檢查五級專門監(jiān)督檢查實時監(jiān)控專家委評審專門檢查等級分級保護保護級（GB17859)實施與管理一級自主保護自主訪問主管部門審批自定二級指導保護審計（自主訪問）主管部門審批公安備案三級監(jiān)督檢查標記（強制訪問）主管部門審批每年一次測評檢查四級強制監(jiān)督檢查結(jié)構(gòu)化保證專家委評審半年一次測評檢查五級專門監(jiān)督檢查實時監(jiān)控專家委評審專門檢查等級分級保護保護級（GB17859)實施與管理一級自主保護自主訪問主管部門審批自定二級指導保護審計（自主訪問）主管部門審批公安備案三級監(jiān)督檢查標記（強制訪問）主管部門審批每年一次測評檢查四級強制監(jiān)督檢查結(jié)構(gòu)化保證專家委評審半年一次測評檢查五級專門監(jiān)督檢查實時監(jiān)控專家委評審專門檢查等級分級保護保護級（GB17859)實施與管理一級自主保護自主訪問主管部門審批自定二級指導保護審計（自主訪問）主管部門審批公安備案三級監(jiān)督檢查標記（強制訪問）主管部門審批每年一次測評檢查四級強制監(jiān)督檢查結(jié)構(gòu)化保證專家委評審半年一次測評檢查五級專門監(jiān)督檢查實時監(jiān)控專家委評審專門檢查等級分級保護保護級（GB17859)實施與管理一級自主保護自主訪問主管部門審批自定二級指導保護審計（自主訪問）主管部門審批公安備案三級監(jiān)督檢查標記（強制訪問）主管部門審批每年一次測評檢查四級強制監(jiān)督檢查結(jié)構(gòu)化保證專家委評審半年一次測評檢查五級專門監(jiān)督檢查實時監(jiān)控專家委評審專門檢查2、等級保護與信息平安

保障各環(huán)節(jié)的關系

等級保護、風險評估、應急處理和災難恢復是信息平安保障的主要環(huán)節(jié)，對等于模型的各要素。因此各環(huán)節(jié)應前后聯(lián)接、融為一體。而現(xiàn)在往往各自獨立地制定標準、試點推廣，導致保障目標混亂，保護策略相互沖突，達不到應有效果，浪費資源，增大保護本錢。這種局面應加以糾正，學術上應重點研究各環(huán)節(jié)內(nèi)涵的一致性和外延的匹配性。等級保護是以制度的方式確定保護對象的重要程度和要求，風險評估是檢測評估是否到達保護要求的度量工具，應急處理是將剩余風險因突發(fā)事件引起損失降低到可接受程度的對應手段。災難恢復是針對發(fā)生災難性破壞時所采取的由備份進行恢復的措施。它們都是為使一個確定的保護對象的資產(chǎn)少受或不受損失所進行的各個保障環(huán)節(jié)，缺一不可，單獨進行