信息网络安全概述

信息网络安全概述OVERVIEWOFINFORMATIONNETWORKSECURITY主讲人：时间：202X.XX网|络|是|把|双|刃|剑|安|全|使|用|是|关|键目录因特网与网络安全01InternetAndNetworkSecurity网络安全层次结构02NetworkSecurityHierarchy网络安全管理与评测03NetworkSecurityManagementAndEvaluation网络安全相关法律04LawsRelatedToNetworkSecurity因特网与网络安全INTERNETANDNETWORKSECURITYPARTONE因特网(Internet)起源试验网ARPANET(1969,美国国防部)学术网NSFNET(1986,美国国家科学基金会)商业网1995年4月30日以后完全商业化因特网技术特点TCP/IP协议族四层划分，非七层IP、TCP、UDP、ICMP……EverythingoverIP：VoIPIPoverEverything：WLAN，ATM开放，互联，自组织任何人、任何地点、任何方式全球无统一的管理机构，各自为政因特网现状丰富的应用和资源造福人类社会几乎覆盖全世界上亿的网络用户01020304科学技术是双刃剑Internet仅仅是一种信息工具蠕虫病毒、Email病毒、特洛伊木马间谍程序、其他形式的恶意代码软件系统宕机、网络拥塞机密和隐私资料外泄金钱损失，经济动荡威胁国家安全威胁和隐患也随之而来潘多拉盒子被打开1更多网络犯罪直接以经济利益为目的入侵网站后贩卖游戏帐号事件层出不穷游戏帐号偷取贩卖成了职业黑客的关注焦点2004年两次QQ大规模无法使用，尤其是此后的勒索传言，有人惊呼：中国网络恐怖主义诞生了。垃圾与反垃圾邮件之间的斗争愈演愈烈“恶意软件”无孔不入恶意软件定义在未明确提示用户或未经用户许可的情况下，在用户计算机或其他终端上安装运行，侵害用户合法权益的软件，但不包含我国法律法规规定的计算机病毒。——2006年11月22日，中国互联网协会恶意软件也称流氓软件，在于它不请自来，赖着不走，如同一个不速之客闯到家里，即便什么都没拿走，也让人浑身不自在。侵害用户软件安装、使用和卸载知情权、选择权。特征强制安装难以卸载浏览器劫持广告弹出恶意收集用户信息恶意卸载恶意捆绑潘多拉盒子被打开2技术进步加上道德感的缺失，黑客们开始看清自己要的东西。同时拥有高超的技术和伪装手段的职业化攻击者越来越多的出现在网络世界中，他们目的性非常强。网络安全事件举例01病毒出击MYDOOM/Netsky/Bagle/震荡波/SCO炸弹/QQ尾巴/MSN射手等一系列新病毒和蠕虫的出现，造成了巨大的经济损失。而且病毒和蠕虫的多样化明显，甚至蠕虫编写组织开始相互对抗，频繁推出新版本。02间谍软件越来越多的间谍软件：它们已经被更多的公司及个人利用，其目的也从初期简单收户信息演化为可能收集密码、帐号等资料。03网络钓鱼网络钓客以“假网站”钓中国银行、工商银行等国内各大银行用户。What’s“安全”ItISSecurity:信息的安全NOTSafety:物理的安全Security的含义在有敌人（Enemy）/对手（Adversary）/含敌意的主体（HostileAgent）存在的网络空间中，确保己方的信息、信息系统和通信不受窃取和破坏反过来：按照需要对敌方的信息、信息系统和通信进行窃取和破坏的“机制”（Mechanism）What’s“信息网络安全”安全定义：远离危险的状态和特性，为防止间谍活动或蓄意破坏、犯罪、攻击或逃跑而采取的措施。计算机安全：为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄露。网络安全：防止通过计算机网络传输的信息被破坏和非法使用。互联网安全：主要指内部网络Intranet的安全信息网络安全：在网络环境下信息资产（信息、信息系统、通信）可能面临的风险的评估、防范、应对、化解措施。技术措施：采用特定功能的设备或系统管理措施：法律、规章制度、检查三分技术七分管理!研究网络安全的社会意义目前研究网络安全已经不只为了信息和数据的安全性；网络安全已经渗透到国家的政治、经济、文化、军事等各个领域。网络安全与政治目前政府上网已经大规模的发展起来，电子政务工程已经在全国启动并在北京试点。政府网络的安全直接代表了国家的形象。1999年起，一些政府网站，遭受了多次大规模的黑客攻击事件。网络安全与经济一个国家信息化程度越高，整个国民经济和社会运行对信息资源和信息基础设施的依赖程度也越高。我国计算机犯罪的增长速度超过了传统的犯罪，1997年20多起，1998年142起，1999年908起，2000年上半年1420起，再后来就没有办法统计了。利用计算机实施金融犯罪已经渗透到了我国金融行业的各项业务。近几年已经破获和掌握100多起，涉及的金额几个亿。网络安全与社会稳定互联网上散布一些虚假信息、有害信息对社会管理秩序造成的危害，要比现实社会中一个造谣要大的多。1999年4月，河南商都热线一个BBS，一张“交通银行郑州支行行长协巨款外逃”的帖子，造成了社会的动荡，三天十万人上街排队，一天提了十多亿。网络安全与军事在第二次世界大战中，美国破译了日本人的密码，将山本的舰队几乎全歼，重创了日本海军。目前的军事战争更是信息化战争。美国三位知名人士对目前网络的描述。美国著名未来学家阿尔温托尔勒说过“谁掌握了信息，控制了网络，谁将拥有整个世界。”美国前总统克林顿说过“今后的时代，控制世界的国家将不是靠军事，而是信息能力走在前面的国家”。美国前陆军参谋长沙利文上将说过“信息时代的出现，将从根本上改变战争的进行方式”。网络安全的基本特征可靠性：抗毁性、可生存性、有效性可用性：正常时间与运行时间的比例保密性：防止非授权访问完整性：防止未经授权的窜改(编码、存储、传输)确认性：也称不可抵赖性、不可否认性，确认参与者的真实同一性可控性：对网络信息的传播及其内容具有控制能力网络安全层次结构NETWORKSECURITYHIERARCHYPARTTWO计算机系统安全层次结构企业级安全总体规划安全业务调度安全功能设计安全职能划分安全安全政策法规应用级安全文件安全目录安全数据安全邮件安全群件安全事件安全系统级安全平台安全操作系统安全分布系统管理安全故障诊断系统监控安全网络运行监测用户管理安全网络级安全物理安全链路安全协议安全节点安全信息传输安全路由安全广域网安全网络安全的层次体系从层次体系上，可以将网络安全分成四个层次上的安全：物理安全01逻辑安全02操作系统安全03联网安全04网络安全的层次体系物理安全01逻辑安全02物理安全主要包括五个方面：1、防盗；2、防火；3、防静电；4、防雷击；5、防电磁泄漏。计算机的逻辑安全需要用口令、文件许可等方法来实现可以限制登录的次数或对试探操作加上时间限制通过硬件限制存取，在接收到存取要求后，先询问并校核口令，然后访问列于目录中的授权用户标志号操作系统安全03网络安全的层次体系操作系统是计算机中最基本、最重要的软件。同一计算机可以安装几种不同的操作系统。如果计算机系统可提供给许多人使用，操作系统必须能区分用户，以便于防止相互干扰。一些安全性较高、功能较强的操作系统可以为计算机的每一位用户分配账户。通常，一个用户一个账户。操作系统不允许一个用户修改由另一个账户产生的数据。网络安全的层次体系联网安全04联网的安全性通过两方面的安全服务来达到：访问控制服务：用来保护计算机和联网资源不被非授权使用。通信安全服务：用来认证数据机密性与完整性，以及各通信的可信赖性。更安全的保障体系信息安全体系的建立，不是仅仅依靠几种安全设备的简单堆砌，或者一两个人技术人员就能够实现的，还要涉及管理制度、人员素质和意识、操作流程和规范、组织结构的健全性等众多因素。一套良好的信息安全体系需要综合“人＋技术/产品＋管理＋维护”运用，从而才能真正建立起一套完备的、高保障的信息安全体系。网络安全的生态环境在网络安全防御与攻击的斗争中，防御能力正受到日益增强的挑战斗争手段的不断升级将促进防御技术、防御系统的工作模式的不断进化网络安全的产业正发展成为一个复杂的，由多种角色构成的生态环境网络安全面临的威胁01人为攻击02安全缺陷03软件漏洞04结构隐患网络安全管理与

评测NETWORKSECURITYMANAGEMENTANDEVALUATIONPARTTHREE复杂程度InternetEmailWeb浏览Intranet站点电子商务电子政务电子交易时间Internet日益复杂“安全”在快速贬值安全产品的安全能力随时间递减；基础设施随时间增加积累越来越多的全缺陷；安全产品升级可以提高系统的安全保护能力；基础设施修补漏洞；基础设施发生结构性变化（原有的安全系统全面失效）；应用系统发生变化；安全维护人员知识技能提高（安全性提高）；人员变动（保护能力突变，安全风险增加）。信息网络安全对策1OSI安全服务1）对等实体鉴别服务2）访问控制服务3）数据保密服务4）数据完整性服务5）数据源鉴别服务6）禁止否认服务2OSI安全机制1）加密机制2）数字签名机制3）访问控制机制4）数据完整性机制5）交换鉴别机制6）业务流量填充机制7）路由控制机制8）公证机信息安全风险评估主要执行标准国信办[2006]5号文件：信息安全风险评估指南信息系统安全等级保护测评准则辅助参考标准GB18336（ISO15408）：信息技术安全性评估准则BS7799：信息安全管理体系指南信息安全“金三角”不同的信息资产对安全有不同的需求，必须要区别对待信息资产等级等级标识定义5很高非常重要，其安全属性破坏后可能对组织造成非常严重的损失4高重要，其安全属性破坏后可能对组织造成比较严重的损失3中比较重要，其安全属性破坏后可能对组织造成中等程度的损失2低不太重要，其安全属性破坏后可能对组织造成较低的损失1很低不重要，其安全属性破坏后对组织造成导很小的损失，甚至忽略不计威胁分类威胁种类威胁描述软硬件故障由于设备硬件故障、通讯链路中断、系统本身或软件Bug导致对业务高效稳定运行的影响物理环境威胁断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等环境问题和自然灾害无作为或操作失误由于应该执行而没有执行相应的操作，或无意地执行了错误的操作，对系统造成影响管理不到位安全管理无法落实，不到位，造成安全管理不规范，或者管理混乱，从而破坏信息系统正常有序运行恶意代码和病毒具有自我复制、自我传播能力，对信息系统构成破坏的程序代码越权或滥用通过采用一些措施，超越自己的权限访问了本来无权访问的资源；或者滥用自己的职权，做出破坏信息系统的行为黑客攻击技术利用黑客工具和技术，例如侦察、密码猜测攻击、缓冲区溢出攻击、安装后门、嗅探、伪造和欺骗、拒绝服务攻击等手段对信息系统进行攻击和入侵物理攻击物理接触、物理破坏、盗窃泄密机密泄漏，机密信息泄漏给他人篡改非法修改信息，破坏信息的完整性抵赖不承认收到的信息和所作的操作和交易网络安全相关法律LAWSRELATEDTONETWORKSECURITYPARTFOUR国际和国内信息安全标准和法规BS7799/ISO17799SSE-CMM英国国家标准协会,信息安全管理机制

.uk/

系统安全工程能力成熟度模型,http://www.Sse-cmm.org/ISO7498-2ISO15408信息技术安全技术信息技术安全性评估准则ISO13335我国GB安全标准GB17859-1999计算机信息系统安全保护等级划分准则我国安全法规中华人民共和国计算机信息系统安全保护条例计算机信息网络国际联网安全保护管理办法ISO13335-1:IT安全管理概念和模块ISO13335-2:管理和制定IT安全ISO13335-3:IT安全管理方法安全体系结构国际立法情况美国和日本是计算机网络安全比较完善的国家，一些发展中国家和第三世界国家的计算机网络安全方面的法规还不够完善。欧盟为了正常地