信息安全管理基础-PPT课件

1、阳光培训课 程 内 容第一章 信息安全概述第二章 信息安全管理基础第三章 信息安全等级保护第四章 信息安全管理第五章 信息安全监管第一章 信息安全概述信息安全现状国内大多数部门的IT系统已经具有一定的规模，并且在支撑其正常运营和业务发展方面发挥着重要作用；缺乏成体系的信息安全管理，使得IT系统处于经不起风浪的“亚健康”状态，难以承受突发安全问题的影响，系统整体运行在较高的信息安全风险水平。信息安全现状分析存在信息安全问题是合理和必然的，从唯物辨正的角度看待问题，产生信息安全问题也存在着对立统一的两方面：在协议设计、系统实现、运行维护过程中，总会存在着安全缺陷或者漏洞安全脆弱性Vulnerabi

2、lity，这是决定性的内因。广泛存在的各类安全威胁，包括来自自然环境的威胁；国家、组织、个人之间的利益冲突导致的人为威胁；以及来自信息技术本身的威胁威胁Threat，这是外因。如何有效解决信息安全问题所有的信息安全技术措施或者管理手段都能归结为三个方面：弥补安全脆弱性，消除安全问题产生的内因，例如使用操作系统补丁管理，使得系统安全性得到保证，从根本上具备免疫能力；威慑安全威胁，遏制安全问题产生的外因，例如增加计算机机房的监控系统，威慑盗贼闯入机房进行盗窃的动机；切断内外因之间的联系途径，例如设置网络防火墙，隔离内部网络和外部网络，阻止外部黑客对内网服务器进行攻击。什么是信息？1.1 信息与信息

3、安全什么是信息安全？1.1 信息与信息安全什么是信息安全？1.1 信息与信息安全ISO关于信息安全的定义：为数据处理系统建立和采用的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露。信息安全保护的对象范围信息安全的基本原则和最终目标实现信息安全的途径或者手段1.1 信息与信息安全通信保密阶段（COMSEC）关注信息的保密性信息安全发展历史1.1 信息与信息安全信息安全发展历史计算机安全（COMPUSEC）和信息系统安全阶段（INFOSEC）关注信息的保密性、完整性和可用性1.1 信息与信息安全信息安全发展历史计算机安全（COMPUSEC）和信息系统安全阶

4、段（INFOSEC）关注信息的保密性、完整性和可用性1.1 信息与信息安全信息保障阶段（IA）保护和防御信息及信息系统，确保其可用性、完整性、保密性、鉴别、不可否认性等特性。这包括在信息系统中融入保护、检测、反应功能，并提供信息系统的恢复功能。信息安全发展历史信息安全的特征？1.1 信息与信息安全机密性Confidentiality确保信息在存储、使用、传输过程中不会泄露给非授权的用户或者实体完整性Integrity确保信息在存储、使用、传输过程中不被非授权用户篡改；防止授权用户对信息进行不恰当的篡改；保证信息的内外一致性可用性Availability确保授权用户或者实体对于信息及资源的正常使

5、用不会被异常拒绝，允许其可靠而且及时地访问信息及资源1.1 信息与信息安全信息安全三元组CIA1.1 信息与信息安全信息安全三元组CIA不同的行业对于信息安全CIA三个基本原则的需求侧重不同政府及军队保密性银行可用性和完整性电子商务网站可用性绝对的安全不存在 任何安全机制的作用，都是为了在既定的安全目标和允许的投资规模下，有效地抑制和避免系统当前所面临的安全风险，而不是一劳永逸地解决所有的问题。1.1 信息与信息安全信息安全的基本观点1.1 信息与信息安全信息安全的基本观点实现信息安全要依靠技术措施和管理措施的统一，甚至“三分技术、七分管理” 据统计，在所有的计算机安全事件中，约有52%是人为

6、因素造成的，25%由火灾、水灾等自然灾害引起，技术错误占10%，组织内部人员作案占10%，仅有3%左右是由外部不法人员的攻击造成。简单归类，属于管理方面的原因比重高达70%以上。1.1 信息与信息安全时间DtPTRt信息安全模型最著名的PDR模型保护Protect检测Detect恢复Restore反应React策略PolicyPPDRR模型1.1 信息与信息安全安全域保障，包括三个方面：域内计算环境安全：安全域自身的内部安全；域边界与互联安全：安全域与外部区域，或者安全域之间的边界安全，以及它们进行互联、互通、互操作的安全；通信传输安全：安全域与外部区域，或者安全域之间的数据传输的安全。 安全

7、保障体系结构设计1.1 信息与信息安全我国信息安全的内涵 我国的信息安全，重点是保障基础信息网络、重要信息系统以及信息内容的安全。基础信息网络，包括电信网、广播电视网以及公共互联网等网络，重要信息系统是关系到国计民生的重要领域（银行、民航、税务、证券、海关、铁路、电力等）所依赖的信息系统以及我国各级党政机关的电子政务信息系统。1.2 信息安全政策1.2 信息安全政策信息化发展九大战略1推进国民经济信息化2推行电子政务3建设先进网络文化4推进社会信息化5完善综合信息基础设施6加强信息资源的开发利用7提高信息产业竞争力8建设国家信息安全保障体系9提高国民信息技术应用能力,造就信息化人才队伍1.2

8、信息安全政策2019 年7 月22 日，国家信息化领导小组第三次会议中共中央 政治局常委、国务院总理、国家信息化领导小组组长温家宝主持关于加强信息安全保障工作的意见（中办、国办发2019 年27 号文）对下一时期的信息安全保障工作提出了九项要求针对规范和加强中国信息安全产品测评认证工作，意见中专门提出“推进信息安全的认证认可工作，规范和加强信息安全产品测评认证工作”意见中指出，“使用国家财政资金建设的信息化项目，要遵照中华人民共和国政府采购法的规定采用国产软件、设备和服务”.1.3 信息安全法律体系人大关于维护互联网安全的决定中华人民共和国刑法治安管理处罚法 中华人民共和国电子签名法中华人民共

9、和国计算机信息系统安全保护条例 计算机信息网络国际联网安全保护管理办法互联网信息服务管理办法计算机信息网络国际联网管理暂行规定互联网安全保护技术措施规定计算机病毒防治管理办法信息系统安全专用产品的检测和销售许可证管理办法互联网电子公告服务管理规定互联网站从事登载新闻业务管理暂行规定第二章 信息安全管理基础.信息安全管理体系信息安全管理的总体原则主要领导负责原则规范定级原则以人为本原则适度安全原则全面防范、突出重点原则系统、动态原则控制社会影响原则.信息安全管理体系信息安全管理的策略分权制衡最小特权选用成熟技术普遍参与.信息安全管理体系信息安全管理的目标合规性流程规范性整体协调性执行落实性变更可

10、控性责任性持续改进计划性.信息安全管理体系信息安全管理内涵组织建立信息安全管理组织结构，并明确责任制度建立健全的安全管理制度体系人员对人员进行安全教育和培训，加强人员安全意识.信息安全管理体系管理内容基于信息系统各个层次的安全管理：环境和设备安全、网络和通信安全、主机和系统安全、应用和业务安全、数据安全基于信息系统生命周期的安全管理：信息系统投入使用之前的工程设计和开发阶段、系统的运行和维护阶段风险管理：资产鉴别、分类和评价，威胁鉴别和评价，脆弱性评估，风险评估和评级，决策并实施风险处理措施。业务连续性管理符合性管理方针与策略管理风险管理数据/文档/介质管理应用与业务管理主机与系统管理网络与通

11、信管理环境与设备管理项目工程管 理运行维护管 理合 规 性 管 理人 员 与 组 织 管 理业务连续性管理.信息安全管理体系信息安全管理体系构成：.信息安全管理标准英国标准协会国际标准化组织信息安全管理实施细则：信息安全管理体系规范：一、.信息安全管理标准1、发展历程英国标准协会(British Standards Institute, BSI)制订并发布2019年发布BS7799-1:2019，2019年发布BS7799-2:20192019年修订和扩展，发布完整的BS7799:20192000年，第一部分被采纳为ISO/IEC 17799:20002019年对BS7799-2:2019再次

12、修订，2019年发布新版本为BS7799-2:2019ISO/IEC 17799:2019和BS7799-2:2019发布BS7799称为安全管理事实上的标准.信息安全管理标准.信息安全管理标准.信息安全管理标准、 BS7799-1(ISO/IEC17799)安全策略：包括信息安全策略的制订和管理，例如复查和评估组织安全：包括建立信息安全管理组织机构，明确信息安全责任，第三方和外包安全资产分类与控制：包括建立资产清单、进行信息分类与分级人员安全：包括岗位安全责任和人员录用安全要求，安全教育与培训，安全事件的响应.信息安全管理标准、 BS7799-1(ISO/IEC17799)物理与环境安全：包

13、括安全区域控制、设备安全管理等通信与操作管理：包括操作程序和责任，系统规划和验收，防范恶意软件，内务管理，网络管理，介质安全管理，信息与软件交换安全访问控制：包括访问控制策略，用户访问控制，网络访问控制，操作系统访问控制，应用访问控制，监控与审计，移动和远程访问.信息安全管理标准、 BS7799-1(ISO/IEC17799)系统开发与维护：安全需求分析，安全机制设计（应用系统安全，密码控制，系统文件安全），开发和支持过程的安全控制业务连续性管理：业务连续性计划的制订，演习，审核，改进符合性管理：符合法律法规，符合安全策略等.信息安全管理标准、 BS7799-1(ISO/IEC17799)对控

14、制措施的描述不够细致，导致缺乏可操作性1项控制措施未必适合全部的组织，应当有选择的参考使用1项控制措施未必全面，可以根据实际情况进行增补.信息安全管理标准.信息安全管理标准.信息安全管理标准.信息安全管理标准.信息安全管理标准.信息安全管理标准.信息安全管理标准.信息安全管理标准.信息安全管理标准、 BS7799-2/ISO 27001（1）信息安全管理体系规范(Specification for Information Security Management System)说明了建立、实施、维护，并持续改进ISMS的要求指导实施者如何利用BS7799-1来建立一个有效的ISMSBSI提供依据

15、BS7799-2所建立ISMS的认证.信息安全管理标准、 BS7799-2（）建立ISMS（PLAN）定义ISMS的范围和策略识别和评估风险评估现有保证措施准备适用性说明取得管理层对残留风险的认可，并获得实施ISMS的授权.信息安全管理标准、 BS7799-2（）实施ISMS（DO）制订并实施风险处理计划实施安全控制措施实施安全意识和安全教育培训实施检测和响应安全机制.信息安全管理标准、 BS7799-2（）监视和复查ISMS（CHECK）实施监视程序和控制定期复审ISMS的效力定期进行ISMS内部审计复查残留风险和可接受风险的水平.信息安全管理标准、 BS7799-2（）改进ISMS（ACT

16、）对ISMS实施可识别的改进实施纠正和预防措施确保改进成果满足预期目标.信息安全管理标准、 BS7799-2（）强调文档化管理的重要作用，文档体系包括安全策略适用性声明实施安全控制的规程文档ISMS管理和操作规程与ISMS有关的其它文档.信息安全管理标准.信息安全策略安全策略包括：总体方针，指导性的战略纲领文件，阐明了企业对于信息安全的看法和立场、信息安全的目标和战略、信息安全所涉及的范围、管理组织构架和责任认定、以及对于信息资产的管理办法等内容针对特定问题的具体策略，阐述了企业对于特定安全问题的声明、立场、适用办法、强制要求、角色、责任认定等内容针对特定系统的具体策略，更为具体和细化，阐明了

17、特定系统与信息安全有关的使用和维护规则等内容.信息安全风险管理安全策略的特点：力求全面和明确，不必过于具体和深入需要一个逐渐完善的过程，不可能一蹴而就应当保持适当的稳定性.信息安全风险管理1、所有活动账号都必须有口令保护。2、生成账号时，系统管理员应分配给合法用户一个唯一的口令，用户在第一次登录时应更改口令。3、口令必须至少要含有8个字符。4、口令必须同时含有字母和非字母字符。5、必须定期用监控工具检查口令的强度和长度是否合格。6、口令不能和用户名或者登录名相同。7、口令必须至少60天更改一次。口令安全策略.信息安全风险管理8、禁止重用口令。9、必须保存至少12个历史口令。10、口令不能通过明

18、文电子邮件传输。11、所有供应商的默认口令必须更改。12、用户应在不同的系统中使用不同的口令。13、当怀疑口令泄漏时必须予以更改。14、应该控制登录尝试的频率。口令安全策略.信息安全风险管理1、应当建立全面网络病毒查杀机制，实现全网范围内的病毒防治，抑止病毒的传播。2、所有内部网络上的计算机在联入内部网络之前，都应当安装和配置杀毒软件，并且通过管理中心进行更新，任何用户不能禁用病毒扫描和查杀功能。3、所有内部网络上的计算机系统都应当定期进行完整的系统扫描。4、从外部介质安装数据和程序之前，或安装下载的数据和程序之前，必须对其进行病毒扫描，以防止存在病毒感染操作系统和应用程序。5、第三方数据和程

19、序在安装到内部网络的系统之前，必须在隔离受控的模拟系统上进行病毒扫描测试。病毒防治策略.信息安全策风险管理病毒防治策略6、任何内部用户不能故意制造、执行、传播、或引入任何可以自我复制、破坏或者影响计算机内存、存储介质、操作系统、应用程序的计算机代码7、应当指定专门的部门和人员，负责网络病毒防治系统的管理维护。8、应当建立网络病毒防治系统的管理规范，有效发挥病毒防治系统的安全效能。9、应当建立桌面系统病毒防治管理规范，约束和指导用户在桌面系统上的操作行为，以及对杀毒软件的配置和管理，达到保护桌面系统、抑止病毒传播的目的。10、管理机构应当定期对与病毒查杀有关安全管理制度的有效性和实施状况进行检查

20、，发现问题，进行改进。 安全教育与培训策略61可接受使用策略63一、物理安全技术概述 物理安全又叫实体安全（Physical Security），是保护计算机设备、设施（网络及通信线路）免遭地震、水灾、火灾、有害气体和其他环境事故（如电磁污染等）破坏的措施和过程。 实体安全技术主要是指对计算机及网络系统的环境、场地、设备和通信线路等采取的安全技术措施。 物理安全技术实施的目的是保护计算机及通信线路免遭水、火、有害气体和其他不利因素(人为失误、犯罪行为 )的损坏。 第四节 信息安全技术物理安全技术概述 影响计算机网络实体安全的主要因素如下： 1）计算机及其网络系统自身存在的脆弱性因素。 2）各种

21、自然灾害导致的安全问题。 3）由于人为的错误操作及各种计算机犯罪导致的安全问题。 影响物理安全的因素 物理安全包括：环境安全、电源系统安全、设备安全和通信线路安全。 物理安全技术概述 物理安全的内容 1)环境安全：应具备消防报警、安全照明、不间断供电、温湿度控制系统和防盗报警。 2)电源系统安全：电源安全主要包括电力能源供应、输电线路安全、保持电源的稳定性等。 3)设备安全：要保证硬件设备随时处于良好的工作状态，建立健全使用管理规章制度，建立设备运行日志。同时要注意保护存储媒体的安全性，包括存储媒体自身和数据的安全。 4)通信线路安全：包括防止电磁信息的泄漏、线路截获，以及抗电磁干扰。 物理安

22、全包括以下主要内容: 1）计算机机房的场地、环境及各种因素对计算机设备的影响。 2）计算机机房的安全技术要求。 3）计算机的实体访问控制。 4）计算机设备及场地的防火与防水。 5）计算机系统的静电防护。 6）计算机设备及软件、数据的防盗防破坏措施。 7）计算机中重要信息的磁介质的处理、存储和处理手续的有关问题。 物理安全技术概述 物理安全的内容(续) 物理安全技术概述 物理安全涉及的主要技术标准 （1）GB/T 2887-2000 电子计算机场地通用规范 （2）GB/T 9361-1988 计算站场地安全要求 （3）GB/T 14715-1993 信息技术设备用UPS通用技术条件 （4）GB

23、50174-1993 电子计算机机房设计规范 计算机机房建设至少应遵循国标GB/T 2887-2000和GB/T 9361-1988，满足防火、防磁、防水、防盗、防电击、防虫害等要求，并配备相应的设备。 链路加密是对通信线路上任何两个LAN之间的通信链路上的数据进行加密。 链路加密发生在OSI模型的第一层（物理层）或第二层（数据链路层），对用户来说是不可见的，实际上是由低级网络协议层实现的传输服务。二、通信链路加密技术远程拨号安全协议Radius 远程接入验证服务器,也就是认证用的 AAA 就是Radius服务器实现的功能:验证,计费和授权 三、网络安全技术1.防火墙 所谓防火墙指的是一个有软

24、件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障. 是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关，从而保护内部网免受非法用户的侵入。 防火墙的功能 防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。 防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。 防火墙的局限性（一）不能防范恶意的知情者 防火墙可以禁止系统用户经过网络连接发送专有的信息，但用户

25、可以将数据复制到磁盘、磁带上，放在公文包中带出去。 如果入侵者已经在防火墙内部，防火墙是无能为力的。内部用户可以窃取数据，破坏硬件和软件，并且巧妙地修改程序而不接近防火墙。对于来自知情者的威胁，只能要求加强内部管理，如管理制度和保密制度等。不能防范不通过它的连接 防火墙能够有效地防止通过它的传输信息，然而它却不能防止不通过它而传输的信息。 例如，如果站点允许对防火墙后面的内部系统进行拨号访问，那么防火墙绝对没有办法阻止入侵者进行拨号入侵。防火墙的局限性(二)不能防备全部的威胁 防火墙是被动性的防御系统，用来防备已知的威胁，如果是一个很好的防火墙设计方案，就可以防备新的威胁，但没有一扇防火墙能自

26、动防御所有新的威胁。防火墙不能防范病毒 防火墙一般不能消除网络上的病毒、木马、广告插件等。 2.网络入侵检测 对入侵行为的检测。它通过收集和分析网络行为、安全日志、审计数据、其它网络上可以获得的信息以及计算机系统中若干关键点的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。 入侵检测作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。因此被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测。漏洞源自“vulnerability”（脆弱性）。一般认为，漏洞是指硬件、软件或策略上存在的的安全缺陷

27、，从而使得攻击者能够在未授权的情况下访问、控制系统。 3.网络脆弱性分析信息安全的“木桶理论”对一个信息系统来说，它的安全性不在于它是否采用了最新的加密算法或最先进的设备，而是由系统本身最薄弱之处，即漏洞所决定的。只要这个漏洞被发现，系统就有可能成为网络攻击的牺牲品。漏洞的发现 一个漏洞并不是自己突然出现的，必须有人发现它。这个工作主要是由以下三个组织之一来完成的：黑客、破译者、安全服务商组织。 每当有新的漏洞出现，黑客和安全服务商组织的成员通常会警告安全组织机构；破译者也许不会警告任何官方组织，只是在组织内部发布消息。根据信息发布的方式，漏洞将会以不同的方式呈现在公众面前。 通常收集安全信息

28、的途径包括：新闻组、邮件列表、Web站点、FTP文档。 网络管理者的部分工作就是关心信息安全相关新闻，了解信息安全的动态。管理者需要制定一个收集、分析以及抽取信息的策略，以便获取有用的信息。 漏洞对系统的威胁 漏洞对系统的威胁体现在恶意攻击行为对系统的威胁，因为只有利用硬件、软件和策略上最薄弱的环节，恶意攻击者才可以得手。 目前，因特网上已有3万多个黑客站点，而且黑客技术不断创新，基本的攻击手法已多达800多种。 目前我国95的与因特网相连的网络管理中心都遭到过境内外攻击者的攻击或侵入，其中银行、金融和证券机构是黑客攻击的重点。国内乃至全世界的网络安全形势非常不容乐观。1.主机入侵检测 HID

29、S全称是Host-based Intrusion Detection System，即基于主机型入侵检测系统。作为计算机系统的监视器和分析器，它并不作用于外部接口，而是专注于系统内部，监视系统全部或部分的动态的行为以及整个计算机系统的状态。 由于HIDS动态地检查网络数据包这一特性，它可以检测到哪一个程序访问了什么资源以及确保文字处理器不会突然的、无缘无故的启动并修改系统密码数据库。同样的，不管是往内存、文件系统、日志文件还是其它地方存储信息，HIDS会一直监控系统状态，并且核对他们是否还预期相同。四、系统安全技术 HIDS运行依赖与这样一个原理：一个成功的入侵者一般而言都会留下他们入侵的痕迹

30、。这样，计算机管理员就可以察觉到一些系统的修改，HIDS亦能检测并报告出检测结果。 一般而言，HIDS使用一个它们所监视的目标系统以及文件系统（非必需）的数据库，HIDS也可以核对内存中未被非法修改的区域。对于每一个正被处理的目标文件来说，HIDS会记录下他们的属性（如权限、大小、修改时间等）然后，如果该文件有其文件内容的话，HIDS将会创建一个校验码（如SHA1，MD5或类似）。这个校验码信息将储存在一个安全的数据库中，即校验码数据库，以便将来的核对。1.动态口令认证（1）口令 口令又称为密码(Password), 被用来验证用户对系统访问的身份。口令一般分为两种，一种是一经设置固定不变的静态口令；一种是不确定随机变化的动态口令。静态口令在使用