第01章-计算机安全概述

第一章计算机安全概论教学目标：了解计算机安全研究的重要性，了解各个领域中常出现的问题，了解常见安全技术和法规教学时间：2学时教学内容：计算机系统面临的威胁有自然灾害构成的威胁，人为和偶然事故构成的威胁，计算机犯罪的威胁，计算机病毒的威胁，信息战的威胁。受害对象主要有两类：一类是对实体的威胁，一类是对信息的威胁。本书主要内容为应对对计算机信息的威胁。对实体的威胁和攻击：实体：是指实施信息收集、传输、存储、加工处理、分发和利用的计算机及其外部设备和网络。对实体的威胁和攻击是对计算机本身和外部设备以及网络和通信线路而言的。对实体的威胁和攻击主要有：各种自然灾害，人为破坏，设备故障，操作失误，场地和环境的影响，电磁干扰，电磁泄漏，各种媒体的被盗，数据资料的损失等。由于实体分布广，数量多，因此较容易被攻击，而且损失较大，因此做好对计算机系统实体的保护是保证计算机安全的重要组成部分。对信息的威胁和攻击：计算机信息易于共享和扩散，在处理、存储、传输和使用上非常方便，但也非常脆弱，容易被干扰、滥用、遗漏和丢失，或者被泄露、窃取、篡改、冒充和破坏。信息泄露：故意或偶然地侦收、截获、窃取、分析、和收到系统中的信息，特别是机密和敏感信息，造成泄密事件。信息破坏：由于偶然事故或人为因素破坏信息的机密性、完整性、可用性和真实性。给社会造计算机犯罪：给社会造人为运用所掌握的计算机专业知识，以计算机为工具或以计算机资产为攻击对象，成严重危害的行为。计算机犯罪和传统犯罪有所不同：隐蔽性，不易被发现，不易侦破跨国性专业性连续性诱惑性社会危害性计算机病毒：计算机病毒是破坏者精心设计和编写的，能够通过某种途径潜伏在计算机存储介质或程序中，当达到某种条件时即被激活的，具有对计算机资源进行破坏作用的一组程序或指令集合。计算机系统的脆弱性：计算机由于其自身有多种不足之处，因此抗打击能力差，防护能力弱，易被攻击。计算机系统的脆弱性主要体现在：操作系统安全的脆弱性操作系统的体系结构造成操作系统本身不安全操作系统允许远程操作守护进程权限过高远程调用服务操作系统具有调试功能无密码入口和隐蔽通道，即后门系统漏洞网络安全的脆弱性漏洞和后门电磁辐射线路窃听串音干扰硬件故障软件故障网络规模通信系统数据库安全的脆弱性权限分配数据关联多用户操作相对应的操作系统安全等级防火墙的局限性防外不防内不能防范不经过防火墙的攻击不防病毒计算机系统安全在政治、经济、科研、交流等各个方面都非常重要计算机安全技术的研究内容：1、 实体硬件安全场地环境机房安全实体访问控制防水防火静电防护防盗防破坏管理应急措施2、 软件安全自身安全存储安全通信安全使用安全运行安全3、 数据安全数据库的安全存取控制技术数据加密技术压缩技术备份技术4、 网络安全网络安全策略和安全机制访问控制和路由选择网络数据加密技术密钥管理技术防火墙技术5、 病毒防治病毒检测病毒清除病毒免疫病毒预防6、 防计算机犯罪计算机安全系统的设计原则：1、 木桶原则2、 整体性原则3、 有效性与实用性原则4、 安全性评价原则

5、5、6、7、设计为本原则有的放矢、各取所需原则计算机系统安全评估计算机系统安全评估的重要性计算机系统的安全评估其过程本身就是对系统安全性的检验和监督。系统安全评估包括了构成计算机系统的物理网络和系统的运行过程、系统提供的服务以及这种过程与服务中的管理、保证能力的安全评价，大致来说包括：明确该系统的薄弱环节。分析利用这些薄弱环节进行威胁的可能性。评估如果每种威胁都成功所带来的后果。估计每种攻击的代价。估算出可能的应付措施的费用。选取恰当的安全机制。如果要进行计算机系统安全评估，必须有一个可行而且恰当的标准，为此，各国都推出了自己的安全标准。美国将计算机安全等级划分为四类八级，其中D级最低，几乎没有任何安全性可言，我们常用的操作系统是C2等级，一些更高层次的部门使用的服务器或工作站会采用B级设计，而最高的A级则仅仅存在于理论中，没有任何系统是完全符合A级标准的。我国的标准将计算机安全等级划分为五个等级。计算机安全法规计算机安全立法的必要性：法律是信息安全的第一道防线，建立健全计算机安全法律体系能够为计算机系统创造一个良好的社会环境，对保障计算机安全意义重大。计算机安全法律是在计算机安全领域内调整各种社会关系的法律规范的总称。主要涉及系统规划与建设的法律，系统管理与经营的法律，系统安全的法律，用户 （自然人或法人）数据的法律保护，电子资金划转的法律认证，计算机犯罪与刑事立法，计算机证据的法律效力等法律问题。应该不断制定和完善计算机安全方面的法律、法规，加强计算机安全执法力度，保证计算机及信息系统的安全。我国的安全法规：我国1991年颁布了《计算机软件保护条例》，1994年2月又颁布了《中华人民共和国计算机信息系统安全保护条例》，它揭开了我国计算机安全工作新的一页。是我国计算机安全领域内第一个全国性的行政法规，它标志着我国的计算机安全工作开始走上规范化的法律轨道。我国颁布的计算机安全法规还有：《中华人民共和国计算机信息网络国际联网管理暂行规定》、《中华人民共和国计算机信息网络国际联网管理暂行规定实施办法》、《中国公用计算机Internet国际联网管理办法》、《计算机信息系统国际联网保密管理规定》、《商用密码管理条例》、《计算机病毒防治管理办法》、《计算机信息系统安全专用产品检