新一代信息技术导论（微课版）课件 龚啓军第3、4章 安全第一-信息安全、张弛有度-IT项目管理

第3章安全第一—信息安全第3章安全第一——信息安全CONTENTS目录3.1信息安全概述3.2信息安全技术信息安全概述3.13.1.1安全攻击事件安全攻击事件信息安全特征信息安全的主要威胁军事禁区档案馆博物馆网络安全编号行业安全事件影响1巴基斯坦央行网络服务器攻击服务中断2格拉芙勒索病毒数据泄露3俄罗斯银行DDoS攻击系统宕机4日本加密货币交易所Liquid网络攻击加密货币被窃取，值9400万美元5巴西国库勒索软件及时补救，未造成太大损失6奥迪大众黑客攻击车主个人信息在地下论坛被售卖7美国医院勒索软件医院系统瘫痪，病人紧急转移2021年的部分重大网络安全事件个人信息窃密3.1.2信息安全特征信息安全之所以重要，不仅因为大到国家安全，还因为小到个人的生活起居都与之相关。目前网络上的个人信息窃取事件频发。不仅仅在计算机上，在智能手机和各种智能化嵌入式系统等设备上都涉及个人信息。在信息安全等级保护工作中，根据信息系统的保密性（Confidentiality）、完整性（Integrity）、可用性（Availability）来划分信息系统的安全等级，三个性质简称CIA，如图3.4所示。我们的个人信息在传输和使用中，需要满足如下几个特征。信息安全特征关键需要保密的信息，在产生、处理、传输和使用过程中不被未授权实体或者用户查看。保密性关键信息在产生、处理、传输和使用的过程中不被未授权的实体或者用户篡改，同时合法用户不进行不合理的更改。完整性允许合法用户按照自己拥有的权限随时使用自己信息，而不被拒绝或者因为其他原因不能使用。可用性信息所有者可以授权其他用户和实体进行处理，除此之外还有其他管理权限，如实施安全监管等。可控性又称不可否认性，指数据传输、使用和处理者，可通过某些特征识别出行为发起者，一旦出现安全事件可以追溯到源头。不可抵赖性0103020504信息安全的特征3.1.3信息安全的主要威胁社会工程攻击利用人的心理弱点进行诈骗盗取重要信息，例如钓鱼邮件，利用邮件接收者的好奇心理进行攻击等。逻辑炸弹程序代码中的恶意代码段，在后台悄悄运行窃取和破坏相应的个人信息。信息安全威胁物理安全01应用系统安全04通信链路安全02管理系统安全05操作系统安全03信息安全06物理安全设备硬件故障、自然灾害、供电问题、电磁辐射等。环境、设备和媒体等。信息安全威胁威胁表现通信链路安全错误路由会把信息发送给攻击者而造成的安全问题。窃听、电磁干扰、线路故障、错误路由等。信息安全威胁威胁表现操作系统安全操作系统的安全威胁较为常见，网络是病毒传输的重要途径。各种病毒、非法访问、系统漏洞、后门等。信息安全威胁威胁表现应用系统安全信息安全威胁面向用户一层的应用网站、APP等都存在安全威胁。威胁钓鱼网站、跨站脚本攻击、网页木马等。表现信息安全威胁管理系统安全黑客利用技术手段攻击获取权限，或使得管理系统不能使用。威胁服务器、防火墙、数据库等。表现信息安全信息安全威胁信息安全破坏，信息使用者的习惯和公司的管理方式手段等。威胁篡改、窃取、删除、虚假、假冒等。表现有效防范威胁根据危害程度处理信息安全技术3.2信息安全三原则信息安全保护技术3.2.1信息安全三原则最小化原则分权制衡原则安全隔离原则信息安全原则信息安全原则最小化原则在合法合规的前提下，给予信息使用者满足其使用需求的最小权限。分权制衡原则各方权力主体相互监督制约，共同保障信息系统的安全。安全隔离原则受保护的信息需要与访问主体隔离开来，另外需要将物理环境危害降到最低。3.2.2信息安全保护技术1.加密技术明文指可以直接查看知道内容。对称加密使用的加密和解密密钥是一样的，常见算法如DES何AES等。密文指经过保密处理的信息，不能直接读出所表示内容。非对称加密使用两种不同密钥，解密密钥为私钥不能公开，而加密密钥可以公开，例如RSA等。1.加密技术生成密钥的一种口令强口令+定期更换HashHash函数实现信息的完整性校验，消息认证码是利用HTash函数和密钥实现源认证和完整性认证。Hash函数是一种通过特殊算法将任意长度的消息输出为固定长度摘要的函数，输出的称之为消息摘要。MAC基于密钥的消息验证码，添加MAC的目的是为了实现消息源认证。2.哈希MAC技术单向性抗弱碰撞抗强碰撞共享的对称密钥K数字签名技术3.数字签名技术数字签名技术将摘要信息用发送者的私钥加密，与原文一起传送给接收者接收者家用发送者的公钥解密被加密的摘要信息用Hash函数对接收到的原文产生一个摘要信息，与解密的摘要信息对比如二者相同，则收到的信息是完整的，传输过程中没有被篡改校验传送解密对比4.访问控制技术为了解决什么样的用户可以访问什么样的资源以及可以做什么事情的问题。01将信息相应的权限授予合法用户02在访问过程中验证用户的合法身份和相应的权限4.访问控制技术认证和授权访问策略基于合法用户，对相应信息资源权限进行定义访问者主体表示访问者，可以访问信息资源访问控制类型自主访问控制(DAC)强制访问控制(MAC)基于角色访问控制(RBAC)4.访问控制技术隐蔽性编制者在计算机程序中插入的损坏计算机功能或损坏计算机数据，影响计算机正常使用并且能够自我复制的一组计算机指令或程序代码。5.防病毒技术计算机病毒

ComputerVirus

破坏性潜伏性传染性自我复制网络病毒文件型病毒引导性病毒计算机病毒木马病毒蠕虫病毒漏洞邮件型病毒寄生病毒覆盖病毒连接病毒磁盘引导系统主引导5.防病毒技术病毒防御病毒检测病毒清除收集病毒感染起作用的某些特征并建立规则库,以便后面进行预防对比，预先阻止病毒进入磁盘分区和系统。病毒防御5.防病毒技术病毒防御病毒检测病毒清除病毒防御磁盘引导区保护加密可执行程序读写控制技术系统监控技术5.防病毒技术病毒防御病毒检测病毒清除病毒检测技术根据病毒的关键字、特征程序段、病毒特征、传染方式、软硬件症状等进行检测，如常用的杀毒软件会扫描各个分区。5.防病毒技术病毒防御病毒检测病毒清除技术利用杀毒软件处理病毒。病毒清除信息安全技术融合多种安全技术的安全工具人工智能自学习规则和云端协助Windows个人防火墙设置3.3并根据报文所属协议的不同，归属同一会话的报文，从会话角度进行报文检测和状态跟踪。Windows系统下的个人防火墙属于有状态包过滤防火墙，结合操作系统进行访问控制，包括基本和高级两种形式。基本的配置方式即允许那些应用程序通过防火墙而不接受检查，高级的配置方式则允许用户自定义规则。本节我们带领大家学习Windows系统防火墙的高级设置（自定义防火墙规则），以帮助大家更好地理解防火墙技术从而保护个人计算机信息安全。Windows个人防火墙设置3.3.1实验环境和自定义防火墙规则介绍实验环境和自定义防火墙规则介绍实验环境：Windows10家庭中文版。Windows防火墙规则分为入站规则和出站规则，可以将规则应用于一组程序、端口或者服务，也可以应用于所有程序或者特定程序。Windows防火墙可以阻止某个软件的所有连接，允许所有连接或者只允许安全连接（使用加密来保护通过该连接数据的安全性），可以为入站和出站流量设置互联网协议（InternetProtocd，IP）地址等。3.3.2防火墙的设置防火墙的设置（1）通过按组合键“Win+R”打开“运行”对话框，输入命令“Control”并执行，进入控制面板，单击“系统和安全”就可以看见Windows下的个人防火墙了，如图3.18所示。防火墙的设置（2）单击“WindowsDefender防火墙”，进入防火墙内，然后单击“高级设置”，进入自定义规则设置窗口，如图3.19所示。其中公用、专用和域配置文件针对不同类别的网络接口，例如域可以指本机连向一个企业组成的域时的进出站规则。需要说明的是，防火墙默认阻止不匹配任何规则的入站流量，出站流量如果不匹配任何规则则允许通过。单击“WindowsDefender防火墙属性”，可以查看和修改各个配置文件的详细信息，如图3.20所示。我们可以修改配置文件的出站规则为阻止。防火墙的设置（3）单击“入站规则”列表项，显示所有已经配置好的入站规则，如图3.21所示。选中规则，单击鼠标右键，可以禁用规则和查看属性。选中规则并单击右上角的“新建规则”就可以新建规则了，如图3.22所示。此处有4种不同的规则，分别是基于程序、基于端口、基于预定义和自定义的规则，而自定义规则又是基于端口和程序名进行设置的。防火墙的设置（3）单击“入站规则”列表项，显示所有已经配置好的入站规则，如图3.21所示。选中规则，单击鼠标右键，可以禁用规则和查看属性。选中规则并单击右上角的“新建规则”就可以新建规则了，如图3.22所示。此处有4种不同的规则，分别是基于程序、基于端口、基于预定义和自定义的规则，而自定义规则又是基于端口和程序名进行设置的。防火墙的设置（4）此处我们单击“自定义”，单击“下一步”按钮，打开“程序”界面，如图3.23所示。可以选择“所有程序”，也可以选择程序文件的可执行文件指定单个文件，比如此处我们选择“QQ音乐”。单击“下一步”按钮，进入“协议和端口”界面，如图3.24所示。防火墙的设置（4）此处我们单击“自定义”，单击“下一步”按钮，打开“程序”界面，如图3.23所示。可以选择“所有程序”，也可以选择程序文件的可执行文件指定单个文件，比如此处我们选择“QQ音乐”。单击“下一步”按钮，进入“协议和端口”界面，如图3.24所示。防火墙的设置（5）在“协议类型”中选择该规则对应的协议类型，这里选择TCP下拉选项。在“本地端口”和“远程端口”下拉列表中选择“所有端口”或“特定端口”，实例中的选择（注意分隔号为英文逗号）。外部主机只允许通过我们选择的端口连接QQ音乐这个软件的端口。单击“下一步”按钮进入“作用域”界面，如图3.25所示。防火墙的设置（6）在作用域中，可以设置将此规则应用于那些本地IP地址、接口类型（自定义接口类型里可以选择所有接口类型或局域网、远程访问和无线3种类型）和远程IP地址。此处我们都选择适用于任何IP地址。单击“下一步”按钮，打开“操作”界面，如图3.26所示。防火墙的设置（7）在这里操作类型包括“允许连接”“只允许安全连接”和“阻止连接”。这里我们选择“只允许安全连接”，单击“自定义”并且选择第一项“只允许经过身份验证和完整性保护的连接”，报文的匹配规则更严密，安全性也更高。接下来，单击“下一步”按钮，进入“用户”界面，再单击“下一步”按钮进入“计算机”界面，在这里我们可以添加授权的用户和计算机连接“QQ音乐”。这里我们暂不设置。（8）添加完授权用户和计算机后我们可以单击“下一步”按钮，进入“配置文件”界面，如图3.27所示。在这里设定规则的适用网络接口，此处我们勾选所有复选框，表示适用所有接口。最后单击“下一步”按钮，在“名称”界面中我们给规则起一个名字，这里命名为“QQ音乐Inrule”。结束配置，刷新之后我们可以像查看其他规则一样查看，也可以进一步配置它。课后习题：1．安全的通信和信息需要满足哪5大安全特征？2．试列举一些对信息本身的威胁和通信传输过程中的威胁。3．本章按照分门别类的方式对信息安全对应的威胁和相应的技术进行分类，这样有助于我们逻辑清晰地归类掌握知识。请你拓展一下，调研目前主流网络安全设备的技术特征和应对的安全问题。第3章安全第一—信息安全第4章张弛有度——IT项目管理CONTENTS目录4.1项目管理概述4.2项目管理内容4.3项目管理要素项目管理概述4.1项目管理概述项目管理要素项目管理内容项目管理项目项目经理IT项目的特点中国项目管理研究委员会项目是一个特殊的将被完成的有限任。它是在一定时间内，满足一系列特定目标的多项相关工作的总称项目的含义在既定的资源和要求的限制下，为实现某种目标而相互联系的一次性的工作任务明确的目标独特性时限性项目和运营的不同之处项目可以在达到目标或者终止项目时结束项目规模可大可小项目时间可长可短项目的价值项目具有明示和潜在的功能能满足利益相关方明示和潜在的需求展现组织和个人的业绩和工作能力IT项目包括使用硬件、软件或者网络来创造一件产品、一项服务或者一种结果渐进性高风险性IT项目涉及的因素较多，管理也较复杂创新性智力密集型性范围时间成本平衡冲突的目标项目管理的含义将知识、技能、工具和技术应用到项目活动中，以达到组织的要求管理活动一种有意识地按照项目的特点和规律，对项目进行组织和管理的活动管理学科项目管理是以项目管理活动为研究对象的一门学科，是探究项目活动、科学组织和管理的理论和方法全球化多元化专业化实现项目管理可以在项目的生命周期内不断进行资源的配置和协调，不断做出科学决策，从而使项目执行的全过程处于最佳的运行状态，为企业创造巨大的价值项目管理的另一个重要价值：知识积累项目管理知识领域描述了项目经理必须具备的关键能力项目集成管理会影响其他知识领域并受其他知识领域的影响涉及确定并管理成功完成项目所需的所有工作项目范围管理项目时间管理包括估算完成项目所需的时间，建立可接受的项目进度计划，以及保证项目的按时完成项目质量管理确保项目满足各方明确表述的或隐含的需求项目成本管理包括制定并管理项目预算核心知识领域关注如何有效利用项目涉及的人员项目人力资源管理项目沟通管理包括生成、收集、分发和储存项目信息项目采购管理指从实施项目的组织外部获取和购进产品、服务项目风险管理包括对项目相关风险的识别、分析，以及如何应对辅助知识领域项目经理项目经理必须具备所有9个知识领域中的知识和技能在管理项目方面发挥着重要的作用，也更能促使组织走向成功为达到项目目标而与项目发起人、项目团队以及其他与项目相关的人一起工作，定义特定项目的成功标准花时间去了解项目发起人的期望基于重要的成功标准来衡量项目绩效优秀的项目经理利益相关者项目发起人项目团队效率范围成本时间质量必须促进整个过程以满足项目活动涉及者或影响者的需求和期望进度质量费用财务能力项目成功率学习能力客户满意度增长指数项目经理所有的项目经理应该不断丰富自己在项目管理、一般管理、软技能（或者称为人际关系技能）和所在行业所需的知识和经验IT项目经理必须自愿学习更多的技术技能，以便成为高效率的团队成员和成功的项目经理商业技能+软技能项目的定义项目的3个基本特征项目的9个知识领域项目经理必备的技能项目管理内容4.2项目管理方法项目管理组织项目生命周期项目管理方法如果项目经理独立地开展一个项目，项目则不能真正满足组织的需求两个全面的视角理解项目与组织的联系项目必须在一个大的组织环境中进行，项目经理可对项目进行思考系统方法描述了在一个组织的环境下开展项目的系统观点产生于20世纪50年代，用于描述一种在解决复杂问题时所需的整体性和分析性的方法系统哲学系统哲学系统哲学系统的含义为实现某种目的而在同一个环境中工作的一系列相互影响的部分系统哲学的含义指将事情作为系统考虑的整体模型系统管理的含义用来解决与系统的创建、维持和变更相联系的业务上、技术上和组织上的问题系统分析的含义是一种解决问题的方法。该方法需要明确系统的范围，将其分解为各个组成部分，然后识别和估计其问题、机会、限制和需求。完成这些工作后，系统分析者随之为改进现有情况审视替代方案，识别最优或至少合格的解决方案或行动计划，并且检查针对整个系统的计划高层管理者和项目经理1遵循系统哲学，从而理解项目与整个组织是如何联系在一起的2使用系统分析的方法来满足解决问题的需求3应用系统管理识别与相关的关键业务上、技术上和组织上的问题项目管理组织项目管理的系统方法要求项目经理在一个超越项目本身的、更大的组织环境中去看待他们的项目。理解组织人的因素组织人力资源结构政治标志组织结构的类型项目型职能型矩阵型职能型组织结构职能型组织结构是一个层级结构。职能经理或负责专业部门的副总裁都对首席执行官(ChiefExecutiveOfficer，CEO)负责。他们各自的人员都具备各自领域的专业技能总经理部门经理部门经理部门经理职员职员职员职员职员职员职员职员职员项目协调项目型组织结构项目经理直接对CEO负责。他们手下的人员具有完成特定项目所需的各种技能。采用这种组织结构的组织主要依照合同来为其他组织做项目，并通过此种途径来获得收入。总经理项目经理项目经理项目经理职员职员职员职员职员职员职员职员职员项目协调矩阵型组织结构介于职能型组织结构和项目型组织结构之间。公司员工通常既要向职能经理汇报，又要向至少一位以上的项目经理汇报。矩阵型组织结构中的项目经理拥有来自不同职能部门的项目人员。总经理部门经理部门经理主管职员职员职员职员职员职员职员职员项目经理项目协调根据项目经理管理权限的不同，矩阵型组织结构可能表现为：弱矩阵型强矩阵型均衡矩阵型组织文化刻画组织机能的一系列共享的假设、价值观和行为通常包含结构、人力资源、政治和标志这四个框架许多公司存在问题的潜在原因在于组织文化同一组织具有不同的亚文化一些组织文化可使组织更易于管理项目通俗含义定义了每个阶段需要进行的工作、产出可交付的成果、何时产出和各个阶段所需的人员项目生命周期项目生命周期是一系列项目阶段的集合。一些组织设定一系列的生命周期以将其应用于所有的项目，而另外一些组织则依据项目类型选择遵循行业相应的惯例一项产品或服务资源需求通常最低但不确定水平最高。在这期间，项目利益相关者最有可能影响项目最终产品、服务或成果的特征早期阶段随着项目的推进，完成项目的确定性也随着提高，有关项目需求和目标的信息更加丰富，并且比项目早期阶段或晚期阶段需要更多的资源中间阶段要变更项目付出的代价太大。项目晚期阶段的重点是确保满足项目需求，并确保项目发起人认可项目的完成晚期阶段项目阶段项目阶段划分根据项目和行业的不同而不同定义开发实施收尾项目管理过程组启动计划实施监控收尾定义开发实施收尾项目阶段主要工作：制定计划项目可行性阶段主要工作：开展实际工作项目获取阶段定义阶段经理通常要对项目进行简要的描述，为项目编制高水平的总体计划，并通过这个计划来描述项目的必要性和一些基本的概念。在这一阶段，还要对项目做一个前期的大致成本估算，并对所涉及的工作进行一个整体描述。开发阶段在开发阶段，项目团队要编制出更详细的项目计划，并给出更准确的成本估算和更详细的WBS。这种分阶段的方法可以减少在不适合的项目方案上投入的时间和财力。项目要想发展到下一阶段，就必须通过定义阶段这一关。实施阶段项目团队要给出具体要做的工作任务和最终准确的成本估算，并向利益相关者提交绩效报告。项目团队的大部分工作和支出通常都集中发生在项目实施阶段。撰写总结报告交流项目的经验教训项目整体的验收工作项目管理方法项目管理组织项目生命周期项目的阶段划分各个阶段的具体工作项目管理要素4.3项目集成管理项目范围管理项目时间管理项目成本管理项目质量管理项目人力资源管理项目沟通管理项目风险管理项目采购管理项目集成管理涉及整个项目的生命周期中协调所有其他项目管理的知识领域这种集成确保了项目的所有因素能在正确的时间聚集在一起成功地完成项目制定项目章程创建初步的项目范围说明书制定项目管理计划指导和管理项目实施监控项目工作整体变更控制项目收尾项目范围管理指界定和控制项目中应包括什么和不包括什么的过程确保了项目团队和项目的利益相关者对项目的可交付成果以及生产这些可交付成果所进行的工作达成共识范围规划范围定义创建WBS范围验证范围控制项目时间管理定义确保项目按时完成所需的过程活动定义活动排序活动资源估计活动工期估计项