信息安全体系及相关标准课件

2019年12月22号信息安全体系及相关标准

报告人：王宝会

信息产业部信息化专家

2019年12月22号信息安全体系及相关标准

报告人：王宝1信息的定义一般认为，信息是关于客观事实的可通讯的知识。这是因为：第一，信息是客观世界各种事物的特征的反映。这些特征包括事物的有关属性状态，如时间、地点、程度和方式等等。第二，信息是可以通讯的。大量的信息需要通过各种仪器设备获得。第三，信息形成知识。人们正是通过人类社会留下的各种形式的信息来认识事物、区别事物和改造世界的。信息的定义一般认为，信息是关于客观事实的可通讯的知识。这是因2信息是有价值的

信息的价值=使用信息所获得的收益─获取信息所用成本所以信息具备了安全的保护特性信息是有价值的信息的价值=使用信息所获得的收益─3信息安全的定义国际标准化组织(ISO)的定义为：“为数据处理系统建立和采用的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露”。

信息安全的定义国际标准化组织(ISO)的定义为：“为数据处理4从几个方面来考虑安全本质上讲：保护——网络系统的硬件，软件，数据防止——系统和数据遭受破坏，更改，泄露保证——系统连续可靠正常地运行，服务不中断广义上讲：领域——涉及到网络信息的保密性，完整性，可用性，真实性，可控性的相关技术和理论两个方面：技术方面——防止外部用户的非法入侵管理方面——内部员工的教育和管理 提高人员的安全意识从几个方面来考虑安全本质上讲：保护——网络系统的硬件，软件5为什么研究信息安全?“我们力图保护的是些什么资源？”答案并不总是明确的。一个打算破坏或冒领一台主机的黑客通常将对该主机全部资源进行访问：例如访问文件、存储设备、电话线等。某些黑客最感兴趣的是滥用主机名，而对主机专门资源并不感兴趣，他们利用这些主机名，暗渡陈仓，向外连接其他可能更感兴趣的目标。有些人可能对机器中的数据感兴趣，不管它们是否是公司的敏感材料或政府机密。为什么研究信息安全?“我们力图保护的是些什么资源？”答案并不6为什么研究信息安全?“计算机系统必须防范谁”？使用调制解调器侵入我们的一般网络系统增强口令安全性搭线窃听和密码分析，监视计算机和电缆的电子发射，甚至瞄准计算机房的“暗箱操作”侵入重要的情报部门网络系统？为什么研究信息安全?“计算机系统必须防范谁”？7为什么研究信息安全?“你能在安全方面付出多大代价？”安全问题的部分代价是直接的财政开支，诸如建立防火墙网关需要额外的路由器和计算机。通常，容易忽视设置和运行网关的管理费用。而且还有一些更微妙的开支：方便性、生产性甚至道德问题引起的开支。过分的安全性可能像过低的安全性一样有害过度追求安全性可能在系统的其它方面造成负面效应，例如使用的便利性。为什么研究信息安全?“你能在安全方面付出多大代价？”8

据联邦调查局统计，美国每年因网络安全造成的损失高达75亿美元。

据美国金融时报报道，世界上平均每20秒就发生一次入侵国际互联网络的计算机安全事件，三分之一的防火墙被突破。

美国联邦调查局计算机犯罪组负责人吉姆•塞特尔称：给我精选10名“黑客”，组成个1个小组，90天内，我将使美国趴下。

超过50%的攻击来自内部，其次是黑客.网络安全事件的有关报道据联邦调查局统计，美国每年因网络安全造成的损失高911/29/96CIAHOMEPAGEDOJHOMEPAGEUSAFHOMEPAGE被黑的WEB页面11/29/96CIADOJUSAFHOMEPAGE被黑10主服务器遭到黑客攻击后瘫痪在启用备份服务器后，数据大部分被删除有CheckPoint防火墙，但防火墙行同虚设主机上没有作过多配置，存在大量的服务安装了pcAnywhere远程控制软件现象案例一：某电子商务网站主服务器遭到黑客攻击后瘫痪现象案例一：某电子商务网站11案例一的教训在遭到黑客攻击后应采取的措施关键数据的备份主机日志检查与备份主机的服务端口的关闭主机可疑进程的检查主机帐号的修改防火墙的策略修改启用防火墙日志详细记录避免使用的危险进程利用DiskRecovery技术对硬盘数据进行恢复案例一的教训在遭到黑客攻击后应采取的措施12遭到黑客DDoS攻击服务器被瘫痪，无法提供正常的服务来源地址有3000多个，多数来自与国内有一部分攻击主机是电信内部的IP地址案例二：中国电信信息港遭到黑客DDoS攻击案例二：中国电信信息港13加强对骨干网设备的监控减少骨干网上主机存在的漏洞在受到攻击时，迅速确定来源地址，在路由器和防火墙上作一些屏蔽实现IDS和防火墙的联动案例二的教训加强对骨干网设备的监控案例二的教训14信息安全意味着平衡找出适当的安全性平衡点是一件棘手的、却完全必要的事只有从两个极端对组织机构的安全风险进行恰当评估后才可能做到。安全的相对性：赔钱的生意没人做

信息安全意味着平衡找出适当的安全性平衡点是一件棘手的、却完全15信息网络中存在的威胁非授权访问没有预先经过同意，就使用网络或计算机资源被看作非授权访问。信息泄漏或丢失敏感数据在有意或无意中被泄漏出去或丢失破坏数据完整性以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应恶意添加，修改数据，以干扰用户的正常使用信息网络中存在的威胁非授权访问16信息网络中存在的威胁拒绝服务攻击不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪，影响正常用户的使用，甚至使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务。信息网络中存在的威胁拒绝服务攻击17拒绝服务攻击DoS攻击land,teardrop,SYNfloodICMP:smurfRouter:remotereset,UDPport7,Windows:Port135,137,139(OOB),terminalserverSolaris:Linux:拒绝服务攻击DoS攻击18分布式拒绝服务（DDOS）以破坏系统或网络的可用性为目标常用的工具：Trin00,TFN/TFN2K,Stacheldraht很难防范伪造源地址，流量加密，因此很难跟踪clienttargethandler...agent...DoSICMPFlood/SYNFlood/UDPFlood分布式拒绝服务（DDOS）以破坏系统或网络的可用性为目标cl19DDOS攻击两阶段第一阶段—控制大量主机利用系统的漏洞获得大量主机系统的控制权，并安装DDoS工具；Linuximapd,Solarisrpc、rstatd,Windows；第二个阶段，发起攻击：向目标发送大量的TCP/UDP/ICMP包，导致系统资源耗尽或网络拥塞，从而使目标系统或网络不能响应正常的请求。DDOS攻击两阶段20DDOS防范DDOS防范：网络中所有的系统都要安全的配置，不使之成为DDOS的源；路由器/防火墙配置：过滤伪造源地址的IP包检测工具：find_ddosv31、ddos_scan、ridDDOS防范DDOS防范：21信息网络中存在的威胁利用网络传播病毒通过网络传播计算机病毒，其破坏性大大高于单机系统，而且用户很难防范。信息网络中存在的威胁利用网络传播病毒22详细的安全威胁操作系统本身的安全漏洞；防火墙存在安全缺陷和规则配置不合理；来自内部网用户的安全威胁;

缺乏有效的手段监视、评估网络的安全性；TCP/IP协议族软件本身缺乏安全性；电子邮件病毒、Web页面中存在恶意的Java/ActiveX控件；

应用服务的访问控制、安全设计存在漏洞。线路窃听。指利用通信介质的电磁泄漏或搭线窃听等手段获取非法信息。详细的安全威胁操作系统本身的安全漏洞；23内部网安全问题IP地址盗用；局域网流量异常，造成网络堵塞；病毒、木马；内部网的资料泄密；内部终端的安全问题；内部网的安全审计；主机状态监控；内部网安全问题IP地址盗用；24TCP/IP协议的安全问题TCP/IP协议数据流采用明文传输。源地址欺骗（Sourceaddressspoofing）或IP欺骗（IPspoofing）。源路由选择欺骗（SourceRoutingspoofing）。路由选择信息协议攻击（RIPAttacks）。鉴别攻击（AuthenticationAttacks）。TCP序列号欺骗（TCPSequencenumberspoofing）。TCPSYN轰炸攻击（TCPSYNFloodingAttack），简称SYN攻击（SYNAttack）。易欺骗性（Easeofspoofing）。TCP/IP协议的安全问题TCP/IP协议数据流采用明文传25

信息安全的基本特征相对性只有相对的安全，没有绝对的安全系统。操作系统与网络管理的相对性。安全性在系统的不同部件间可以转移（如在内部网络和外部网络之间使用堡垒主机）.信息安全的基本特征相对性26信息安全的基本特征时效性新的漏洞与攻击方法不断发现（NT4.0已从SP1发展到SP6,Windows2000业发现很多漏洞,针对Outlook的病毒攻击非常普遍)配置相关性日常管理中的不同配置会引入新的问题（安全测评只证明特定环境与特定配置下的安全）新的系统部件会引入新的问题(新的设备的引入、防火墙配置的修改)信息安全的基本特征时效性27攻击的不确定性攻击发起的时间、攻击者、攻击目标和攻击发起的地点都具有不确定性复杂性：信息安全是一项系统工程，需要技术的和非技术的手段，涉及到安全管理、教育、培训、立法、国际合作与互不侵犯协定、应急反应等信息安全的基本特征攻击的不确定性信息安全的基本特征28网络安全层次架构安全策略安全管理安全评估整体安全技术因素数据链路安全网络安全物理安全操作系统平台的安全性应用平台的安全性应用数据安全网络安全层次架构安全策略安全管理安全评估整体安全数据链路安全2919801985199020192000密码猜测可自动复制的代码密码破解利用已知的漏洞破坏审计系统后门会话劫持擦除痕迹嗅探包欺骗GUI远程控制自动探测扫描拒绝服务www攻击工具攻击者入侵者水平攻击手法半开放隐蔽扫描控制台入侵检测网络管理DDOS攻击2019高入侵技术的发展19801985199020192000密码猜测可自动复制的30自适应网络自管理,自保护,自治愈高可用网络服务有安全意识的网络元件防御简单威胁全面扫描与过滤全面的安全元件集成安全于交换机及路由器关键是管理检测简单威胁病毒及黑客检测部分自动处理最好的边界安全产品专用安全设备加密解决所有问题CLI手工处理19852019ApplicationstoServices&ComplexityofSecurityOperationalCapability2019Today安全技术演变加密自适应网络防御简单威胁检测简单威胁加密解决所有问题1985231采用漏洞扫描工具选择会用的方式入侵获取系统一定权限提升为最高权限安装系统后门获取敏感信息或者其他攻击目的入侵系统的常用步骤采用选择获取提安装获取敏感信息入侵系统的常用步骤32端口判断判断系统选择最简方式入侵分析可能有漏洞的服务获取系统一定权限提升为最高权限安装多个系统后门清除入侵脚印攻击其他系统获取敏感信息作为其他用途较高明的入侵步骤端口判断选择分析获取提安装清除攻击其获取敏作为其较高明的入侵33一些经典的结论公理1摩菲定理所有的程序都有缺陷。定理1大程序定律大程序的缺陷甚至比它包含的内容还多。证明：通过调查统计。推理1-1一个安全相关程序有安全性缺陷。定理2只要不运行这个程序，那么这个程序是否有缺陷，也无关紧要。证明：在所有逻辑系统中，均有(假→真)=真。推理2-1只要不运行这个程序，即使这个程序有安全性漏洞，也无关紧要。定理3对外暴露的计算机，应尽可能少地运行程序，且运行的程序也应尽可能小。证明：直接从推理1-1和推理2-1导出。推理3-1防火墙基本法则：大多数主机不满足我们的要求：因为它们运行太多太大的程序。因此，唯一的解决办法是将真正希望运行的程序隔离在网络边界的另一边。

一些经典的结论公理1摩菲定理所有的程序都有缺陷。34安全专家看信息安全安全专家开发了计算的现论基础，并从这个基础出发来考虑安全问题安全专家经常对安全问题的起因感兴趣，他们更关心保护操作系统的问题信息安全的范围超出我们的想象安全专家看信息安全安全专家开发了计算的现论基础，并从这个基础35信息安全基本要素完整性机密性可审查性可用性可控性确保信息不暴露给未授权的实体或进程只有得到允许的人才能修改数据，并且能够判别出数据是否已被篡改得到授权的实体在需要时可访问数据，即攻击者不能占用所有的资源而阻碍授权者的工作可以控制授权范围内的信息流向及行为方式对出现的网络安全问题提供调查的依据和手段信息安全基本要素完整性机密性可审查性可用性可控性确保信息不暴36保护资源保护资源37建立有效的安全矩阵

建立有效的安全矩阵

38计算机的安全主机安全：主要考虑保护合法用户对于授权资源的使用，防止非法入侵者对于系统资源的侵占与破坏.其最常用的办法是利用操作系统的功能，如Unix的用户认证、文件访问权限控制、记帐审计等。

网络安全：主要考虑网络上主机之间的访问控制，防止来自外部网络的入侵，保护数据在网上传输时不被泄密和修改其最常用的方法是防火墙、加密等。

计算机的安全主机安全：主要考虑保护合法用户对于授权资源的使用39网络层安全是实现访问控制的首选层。通过对IP地址、协议、端口号的识别，能方便地实现包过滤功能网络层安全40传输层安全是实现加密传输的首选层。对于使用了相同安全系统的主机之间的通信，可以实现透明的加密传输传输层安全41应用层安全是网络访问的网络特性和操作系统特性的最佳结合点。通过对主机所提供服务的应用协议的分析，可以知道网络访问的行为，并根据用户设置的策略判断该行为在当前环境下是否允许；另外，可附加更严格的身份认证

应用层安全42主机网络安全技术存在问题由于主机安全和网络安全考虑问题的立脚点不同，它们各自采用的技术手段难以有机地结合起来，因此对于一些需要两者协同处理才能解决的问题，就不能得到有效的解决。比如说，非法用户从内部网络或外部网络冒充合法用户闯入主机，就能分别骗过、绕过防火墙和主机用户认证而不能被有效制止。主机网络安全技术存在问题由于主机安全和网络安全考虑问题的立脚43主机网络安全系统体系结构主机网络安全系统体系结构44主机网络安全系统体系结构安全检查模块：承担了防火墙的任务，它对进出的包进行过滤，另外，还可以实现加密／解密用户认证模块：对于必要的应用可以提供比操作系统提供的口令认证更高安全性的认证主机网络安全系统体系结构45主机网络安全系统体系结构内部资源访问控制：主要是对网络用户的权限进行控制、进行细致的分类控制，跟踪并及时阻止非法行为，防止用户利用系统的安全漏洞所进行的攻击外部资源访问控制：是控制用户对系统之外网络资源的使用主机网络安全系统体系结构内部资源访问控制：主要是对网络用46主机网络安全技术存在问题如何将防火墙模块与操作系统配合起来协同工作，是主机网络安全技术的难点解决问题的途径有：（1）将主机网络安全系统内置在操作系统中，这是最彻底的解决办法，但依赖于操作系统厂商；（2）修改网络协议栈（插入防火墙模块）和网络服务器软件（引入细粒度控制），此方法实用性强，易操作，并且系统易于移植，但是修改工作量较大；（3）修改主机系统函数库中的相关系统调用，引入安全控制机制，如果能够获得系统调用的充分信息，此方法可用，但操作系统依赖性较大。从外挂式主机网络安全系统来说，采用第二种方案可能是目前最为现实的解决方案。主机网络安全技术存在问题如何将防火墙模块与操作系统配合起来协47信息与网络安全组件

信息整体安全是由安全操作系统、应用系统、防火墙、网络监控、安全扫描、信息审计、通信加密、灾难恢复、网络反病毒等多个安全组件共同组成的，每一个单独的组件只能完成其中部分功能，而不能完成全部功能

信息与网络安全组件

信息整体安全是由安全操作系统、应用系统、48防火墙防火墙通常被比喻为网络安全的大门，用来鉴别什么样的数据包可以进出企业内部网。在应对黑客入侵方面，可以阻止基于IP包头的攻击和非信任地址的访问。但防火墙无法阻止和检测基于数据内容的黑客攻击和病毒入侵，同时也无法控制内部网络之间的违规行为防火墙防火墙通常被比喻为网络安全的大门，用来鉴别什么样的数据49防火墙防火墙50加密对称加密:使用同一个字符串加密和解密数据非对称加密：使用一对密钥加密解密数据HASH散列算法：用HASH函数把信息混杂，使其不可恢复原状加密对称加密:使用同一个字符串加密和解密数据51访问控制强制访问控制（Mandatoryaccesscontrol）系统独立于用户行为强制执行访问控制，用户不能改变他们的安全级别或对象的安全属性。这种访问控制规则通常对数据和用户按照安全等级划分标签，访问控制机制通过比较安全标签来确定的授予还是拒绝用户对资源的访问。强制访问控制进行了很强的等级划分，所以经常用于军事用途。自主访问控制（Discretionaryaccesscontrol）自主访问控制机制允许对象的属主来制定针对该对象的保护策略。通常DAC通过授权列表（或访问控制列表）来限定哪些主体针对哪些客体可以执行什么操作。如此将可以非常灵活地对策略进行调整。由于其易用性与可扩展性，自主访问控制机制经常被用于商业系统。主流操作系统(WindowsServer,UNIX系统)，防火墙（ACLs）等都是基于自主访问控制机制来实现访问控制访问控制强制访问控制（Mandatoryaccessco52认证密码认证智能卡生物特征（指纹、面部扫描、视网 膜扫描、语音分析）位置认证（IP，反向DNS）认证密码认证53特殊认证技术OTPKerberosX.509特殊认证技术OTP54扫描器扫描器可以说是入侵检测的一种，主要用来发现网络服务、网络设备和主机的漏洞，通过定期的检测与比较，发现入侵或违规行为留下的痕迹。当然，扫描器无法发现正在进行的入侵行为，而且它还有可能成为攻击者的工具扫描器扫描器可以说是入侵检测的一种，主要用来发现网络服务、网55扫描器扫描器56扫描器扫描器57防毒软件防毒软件是最为人熟悉的安全工具，可以检测、清除各种文件型病毒、宏病毒和邮件病毒等。在应对黑客入侵方面，它可以查杀特洛伊木马和蠕虫等病毒程序，但对于基于网络的攻击行为（如扫描、针对漏洞的攻击）却无能为力

防毒软件防毒软件是最为人熟悉的安全工具，可以检测、清除各种文58防毒软件防毒软件59安全审计系统安全审计系统通过独立的、对网络行为和主机操作提供全面与忠实的记录，方便用户分析与审查事故原因，很像飞机上的黑匣子。由于数据量和分析量比较大，目前市场上鲜见特别成熟的产品主动式审计（IDS部署）被动式审计（日志监控）安全审计系统安全审计系统通过独立的、对网络行为和主机操作提供60IDSIDS的主要功能包括检测并分析用户在网络中的活动，识别已知的攻击行为，统计分析异常行为，核查系统配置和漏洞，评估系统关键资源和数据文件的完整性，管理操作系统日志，识别违反安全策略的用户活动等IDSIDSIDS的主要功能包括检测并分析用户在网络中的活动，识别61IDS网络型入侵检测系统(NetworkIntrusionDetectionSystem，NIDS)的数据源来自网络上的数据包。一般地，用户可将某台主机网卡设定为混杂模式，以监听本网段内所有数据包，判断其是否合法。NIDS担负着监视整个网段的任务

IDS网络型入侵检测系统(NetworkIntrusion62IDSNIDS的优点主要是使用简便，不会给运行关键业务的主机和网络增加任何负担。IDSNIDS的优点主要是使用简便，不会给运行关键业务的主机63IDS主机型入侵检测系统(HostIntrusionDetectionSystem，HIDS)往往以系统日志、应用程序日志等作为数据源，当然也可以通过其他手段从所在的主机收集信息，并进行分析。HIDS主要针对其所在的系统进行非法行为的检测IDS主机型入侵检测系统(HostIntrusionDe64IDSHIDS的缺点必须为不同平台开发不同的应用程序，增加了网络系统运行负荷，而且所需安装的产品数量众多HIDS的优点其内在结构不受任何约束它可利用操作系统本身提供的功能，结合异常分析，更准确地报告攻击行为IDSHIDS的缺点65安全工作目的（一）安全工作的目的就是为了在安全法律、法规、政策的支持与指导下，通过采用合适的安全技术与安全管理措施，完成以下任务使用访问控制机制，阻止非授权用户进入网络，即“进不来”，从而保证网络系统的可用性。使用授权机制，实现对用户的权限控制，即不该拿走 的“拿不走”，同时结合内容审计机制，实现对网络资 源及信息的可控性。使用加密机制，确保信息不暴漏给未授权的实体或进程，即“看不懂”，从而实现信息的保密性。安全工作目的（一）安全工作的目的就是为了在安全法律、法规、政66安全工作目的（二）使用数据完整性鉴别机制，保证只有得到允许的人才能修改数据，而其它人“改不了”，从而确保信息的完整性。使用审计、监控、防抵赖等安全机制，使得攻击者、破坏者、抵赖者“走不脱”，并进一步对网络出现的安全问题提供调查依据和手段，实现信息安全的可审查性。安全工作目的（二）使用数据完整性鉴别机制，保证只有得到允许的67安全策略安全策略是指在一个特定的环境里，为保证提供一定级别的安全保护所必须遵守的规则。该安全策略模型包括了建立安全环境的三个重要组成部分，即威严的法律、先进的技术、严格的管理。安全策略安全策略是指在一个特定的环境里，为保证提供一68安全策略安全策略是建立安全系统的第一道防线确保安全策略不与公司目标和实际活动相抵触给予资源合理的保护安全策略安全策略是建立安全系统的第一道防线69安全策略自上而下地制定安全策略最小特权原则密码技术与方法阻塞点最薄弱环节（被忽视的环节）失效保护机制缺省拒绝状态缺省接受状态不要使用太昂贵的设备采用多防线技术不要太过于依赖系统操作：定期备份普遍参与防御多样化

安全策略自上而下地制定安全策略70安全策略参考安全策略原则网络规划安全策略网络管理员安全策略访问服务网络安全策略远程访问服务安全策略系统用户的安全策略上网用户的安全策略远程访问用户的安全策略直接风险控制安全策略自适应网络安全策略智能网络系统安全策略适应性原则动态性原则简单性原则系统性原则最小授权原则安全策略的制定安全策略参考安全策略原则网络规划安全策略安全策略的制定71建立信息安全模型PMRRD安全模型MP2DRR访问控制机制入侵检测机制安全响应机制备份与恢复机制管理P安全策略建立信息安全模型PMRRD安全模型访问控制机制入侵检测机制安72成功的安全模型在安全和通信方便之间建立平衡能够对存取进行控制保持系统及数据的完整能够对系统进行恢复和对数据进行备份成功的安全模型在安全和通信方便之间建立平衡73$dollars$dollars$dollarsDetection入侵检测Protect安全保护Reaction安全响应Recovery安全备份安全模型的解释Management安全管理统一管理、协调PDRR之间的行动$dollars$dollars$dollarsDetect74信息安全金字塔审计管理加密访问控制用户验证安全策略信息安全金字塔审计管理加密访问控制用户验证安全策略75物理安全应用安全网络安全系统安全层次性动态性过程性生命周期性全面性相对性信息安全特性系统安全层次性动态性过程性生命周期性全面性相对性信息安全特性76

信道加密

信源加密身份认证。。。

应网络级系统级用级管理级信息网络系统密级管理。。。访问控制地址过滤数据加密，线路加密安全操作系统应用安全集成外联业务安全措施安全管理规范网络病毒监控与清除防火墙技术集中访问控制网络系统安全策略入侵检测弱点漏洞检测系统配置检测系统审计VPN安全网关安全操作系统高性能防火墙网络安全巡警信息监控与取证系统入侵检测系统信息与网络系统安全管理模型信道加密信源加77企业信息与网络系统统一安全策略Policy安全技术标准Management安全管理规范Administrator密码技术认证授权访问控防火墙技术动态安全管理技术网络防病毒技术政策法规安全机构与组织安全管理人员安全管理流程信息支援体系企业信息与网络系统主要安全实施领域企业信息与网络系统具体安全解决方案基于具体安全解决方案的安全产品功能规范信息网络系统安全体系架构企业信息与网络系统统一安全策略安全技术标准Managemen78弱点漏洞检测错误配置检测误操作检测风险识别风险度量风险控制事前管理安全隐患管理—网络安全巡警系统弱点漏洞分析和风险审计（ASS）弱点漏洞检测风险识别事前管理安全隐患管理—网络安全巡警系统弱79入侵检测攻击/违规操作识别审计/日志/报告行为管理事件管理操作管理事中监控行为监控—分布式入侵检测预警与响应系统入侵检测与防御（IDS）入侵检测行为管理事中监控行为监控—分布式入侵检测预警与响应系80信息流分析信息流过滤入侵取证信息流控制信息流管理证据留存事后取证信息分析—网络信息监控与取证系统信息监控与取证（INF）信息流分析信息流控制事后取证信息分析—网络信息监控与取证系统81某省信息中心网络拓扑图某省信息中心网络拓扑图82信息安全体系及相关标准ppt课件83信息安全的标准国外网络安全标准与政策现状美国TCSEC（桔皮书）欧洲ITSEC加拿大CTCPEC美国联邦准则（FC）联合公共准则（CC）ISO安全体系结构标准信息安全的标准84安全服务、机制与技术安全服务的实现需要一定的安全机制予以支撑和规范，而安全机制离不开具体的安全技术，安全技术的应用就可以实现安全服务.

安全服务、机制与技术安全服务的实现需要一定的安全机制85安全应急响应服务背景应急响应服务的诞生—CERT/CC1988年Morris蠕虫事件直接导致了CERT/CC的诞生CERT/CC服务的内容安全事件响应安全事件分析和软件安全缺陷研究缺陷知识库开发信息发布：缺陷、公告、总结、统计、补丁、工具教育与培训：CSIRT管理、CSIRT技术培训、系统和网络管理员安全培训指导其它CSIRT（也称IRT、CERT）组织建设安全应急响应服务背景应急响应服务的诞生—CERT/CC86CERT/CC简介现有工作人员30多人，12年里处理了288,600封Email,18,300个热线电话，其运行模式帮助了80多个CSIRT组织的建设CERT/CC简介现有工作人员30多人，12年里处理了28887安全应急响应服务背景国外安全事件响应组（CSIRT）建设情况DOECIAC、FedCIRC、DFN-CERT等FedCIRC、AFCERT,NavyCIRT亚太地区：AusCERT、SingCERT等FIRST（1990）FIRST为IRT组织、厂商和其他安全专家提供一个论坛，讨论安全缺陷、入侵者使用的方法和技巧、建议等，共同的寻找一个可接受的方案。80多个正式成员组织，覆盖18个国家和地区从FIRST中获益的比例与IRT愿意提供的贡献成比例两个正式成员的推荐安全应急响应服务背景国外安全事件响应组（CSIRT）建设情况88国内安全事件响应组织建设情况计算机网络基础设施已经严重依赖国外；由于地理、语言、政治等多种因素，安全服务不可能依赖国外的组织国内的应急响应服务还处在起步阶段CCERT（2019年5月），中国第一个安全事件响应组织NJCERT（2019年10月）中国电信ChinaNet安全小组解放军，公安部安全救援服务公司中国计算机应急响应组/协调中心CNCERT/CC信息产业部安全管理中心，2000年3月，北京国内安全事件响应组织建设情况计算机网络基础设施已经严重依赖国89安全应急响应组的分类国际间的协调组织国内的协调组织国内的协调组织愿意付费的任何用户产品用户网络接入用户企业部门、用户商业IRT网络服务提供商IRT厂商IRT企业/政府IRT如：安全服务公司如：CCERT如：cisco,IBM如：中国银行、公安部如CERT/CC,FIRST如CNCERT/CC安全应急响应组的分类国际间的协调组织国内的协调组织国内的协调90信息安全的标准国外网络安全标准与政策现状美国TCSEC（桔皮书）欧洲ITSEC加拿大CTCPEC美国联邦准则（FC）联合公共准则（CC）ISO安全体系结构标准信息安全的标准91ISO7498-2安全标准ISO7498-2提供了以下五种可选择的安全服务认证访问控制数据保密数据完整性防止否认AuthenticationAccesscontrolDataIntegrityData

Confidentiality（Non-reputationISO7498-2安全标准ISO7498-2提供了以下五种可92ISO7498-2安全标准

ISO17799是一个详细的安全标准。包括安全内容的所有准则，由十个独立的部分组成，每一节都覆盖了不同的主题和区域。ISO7498-2安全标准93ISO7498-2安全标准商业持续规划系统访问控制系统开发和维护物理和环境安全符合性

人员安全安全组织计算机与网络管理资产分类和控制安全政策ISO7498-2安全标准94国内安全标准、政策制定和实施情况2019年1月1日起由公安部主持制定、国家技术标准局发布的中华人民共和国国家标准GB17895-2019《计算机信息系统安全保护等级划分准则》开始实施。该准则将信息系统安全分为5个等级，分别是自主保护级系统审计保护级安全标记保护级结构化保护级访问验证保护级国内安全标准、政策制定和实施情况2019年1月1日起由公安部95主要的安全考核指标有身份认证自主访问控制数据完整性审计隐蔽信道分析对象重用强制访问控制安全标记可信路径和可信恢复国内安全标准、政策制定和实施情况主要的安全考核指标有国内安全标准、政策制定和实施情况96安全标准应用实例分析WindowsNT4.0于2019年11月通过了美国国防部TCSECC2级安全认证，它具有身份鉴别、自主访问控制、客体共享和安全审计等安全特性。为了支持这些安全特性，WindowsNT开发了专门的安全子系统。WindowsNT的安全子系统主要由本地安全授权（LSA）、安全账户管理（SAM）和安全参考监视器（SRM）等组成安全标准应用实例分析WindowsNT4.0于20197安全标准应用实例分析身份鉴别WindowsNT有一个安全登录序列，用以防止不可信应用窃取用户名和口令序列，并有用户账号和口令等管理能力

登录名、口令？验证通过，传送数据……安全标准应用实例分析身份鉴别登录名、口令？98安全标准应用实例分析自主访问控制WindowsNT使用自主访问控制，其控制粒度达到单个用户。WindowsNT的安全模式，允许用户将访问控制施用到所有的系统客体和使用WindowsNT自有NTFS文件系统的全部文件安全标准应用实例分析自主访问控制99安全标准应用实例分析对象重用在WindowsNT的TCB（TrustedComputingBase）接口，所有可见的资源都通过以下方式寻址在分配时清除对象在分配时完全初始化对象只允许己写入的部分被读取安全标准应用实例分析对象重用100安全标准应用实例分析

审计审计功能是由以下部件完成的：LSA安全参考监视器SRM保护服务器与Executive子系统EventLoggerEventViewer安全标准应用实例分析审计101遵照国标建设安全的网络

内部网的安全

内部网的安全防范应满足两条原则内部网能根据部门或业务需要划分子网（物理子网或虚拟子网），并能实现子网隔离采取相应的安全措施后，子网间可相互访问

遵照国标建设安全的网络内部网的安全102Internet接口安全内部网接入Internet对安全技术要求很高，应考虑以下三个原则在未采取安全措施的情况下，禁止内部网以任何形式直接接入Internet采取足够的安全措施后，允许内部网对Internet开通必要的业务对Internet公开发布的信息应采取安全措施保障信息不被篡改

遵照国标建设安全的网络Internet接口安全遵照国标建设安全的网络103Extranet接口的安全

Extranet应采取以下安全原则未采取安全措施的情况下，禁止内部网直接连接Extranet设立独立网络区域与Extranet交换信息，并采取有效的安全措施保障该信息交换区不受非授权访问来自Extranet的特定主机经认证身份后可访问内部网指定主机遵照国标建设安全的网络Extranet接口的安全遵照国标建设安全的网络104移动用户拨号接入内部网的安全移动用户拨号接入内部网的安全防范应满足以下原则在未采取安全措施的情况下，禁止移动用户直接拨号接入内部网移动用户在经身份认证后可访问指定的内部网主机内部网络身份验证遵照国标建设安全的网络移动用户拨号接入内部网的安全内部网络身份验证遵照国标建设安105数据库安全保护对数据库安全的保护主要应考虑以下几条原则应有明确的数据库存取授权策略重要信息在数据库中应有安全保密和验证措施。遵照国标建设安全的网络遵照国标建设安全的网络106服务器安全保护

服务器安全应满足以下四条原则不同重要程度的应用应在不同的服务器上实现重要服务器必须有合理的访问控制和身份认证措施保护，并记录访问日志服务器的安全措施尽量与应用无关，以便升级和维护重要的应用应采取安全措施保障信息的机密性和完整性遵照国标建设安全的网络服务器安全保护遵照国标建设安全的网络107客户端安全

客户端的安全主要是要求能配合服务器的安全措施，提供以下功能身份认证加/解密数字签名信息完整性验证客户端安全遵照国标建设安全的网络客户端安全身份认证加/解密数字签名信息完整性验证客户端安全108国内外信息安全发展和现状*2019Q1-Q3恶意行为的增长网络和黑客的发展史 网络发展史