信息安全技术与应用 工业和信息化普通高等教育“十二五”规划教材 教学课件 作者 彭新光 王峥 第1章 信息安全概述.pptVIP

《信息安全技术与应用》 教学目的 全面了解信息安全基本概念及国家信息安全保护相关政策、法津、法规和标准； 初步掌握信息安全基础理论、工作原理与工程技术应用； 根据信息安全保护等级需求，综合利用信息安全知识和技术构建安全解决方案，具备选择、集成、配置、评估、维护、管理和开发信息安全保障系统的工程技能 《信息安全技术与应用》 教学要求 在成本、环境、风险及技术等约束条件下； 依据国家信息安全保护相关政策、法津、法规和标准； 综合应用信息安全知识和技术； 分析、构造、设计、实施和运行信息安全保障系统的工程技能。 第1章 信息安全概述 1.1 信息安全基本概念 信息安全定义 信息安全是为防范计算机网络硬件、软件、数据偶然或蓄意破环、篡改、窃听、假冒、泄露、非法访问和保护网络系统持续有效工作的措施总和； 信息安全保护范围 信息安全、网络安全、计算机系统安全和密码安全涉及的保护范围不同； 信息安全保护范围 信息安全侧重点 研究 关注从理论上采用数学方法精确描述安全属性； 工程技术 成熟的信息安全解决方案和新型信息安全产品； 评估与测评 关注信息安全测评标准、安全等级划分、安全产品测评方法与工具、网络信息采集以及网络渗透技术； 网络或信息安全管理 关心信息安全管理策略、身份认证、访问控制、入侵检测、网络与系统安全审计、信息安全应急响应、计算机病毒防治等安全技术； 信息安全侧重点 公共安全 熟悉熟悉国家和行业部门颁布的常用信息安全监察法律法规、信息安全取证、信息安全审计、知识产权保护、社会文化安全等技术 军事 关心信息对抗、信息加密、安全通信协议、无线网络安全、入侵攻击、网络病毒传播等信息安全综合技术； 信息安全目标 最终目标 通过各种技术与管理手段实现网络信息系统的可靠性、必威体育官网网址性、完整性、有效性、可控性和拒绝否认性； 可靠性指信息系统能够在规定的条件与时间内完成规定功能的特性； 可控性指信息系统对信息内容和传输具有控制能力的特性； 拒绝否认性指通信双方不能抵赖或否认已完成的操作和承诺； 必威体育官网网址性 必威体育官网网址性 指信息系统防止信息非法泄露的特性，信息只限于授权用户使用； 必威体育官网网址性主要通过信息加密、身份认证、访问控制、安全通信协议等技术实现； 信息加密是防止信息非法泄露的最基本手段。 完整性和有效性 完整性 指信息未经授权不能改变的特性； 完整性强调信息在存储和传输过程中不能被偶然或蓄意修改、删除、伪造、添加、破坏或丢失； 信息在存储和传输过程中必须保持原样； 只有完整的信息才是可信任的信息。 有效性 指信息资源容许授权用户按需访问的特性 信息安全模型 安全解决方案 一个涉及法律、法规、管理、技术和教育等多个因素的复杂系统工程； 安全只具有相对意义； 绝对的安全只是一个理念； 任何安全模型都不可能将所有可能的安全隐患都考虑周全； 理想的信息安全模型不存在。 PPDR 信息安全模型 信息安全策略 信息安全策略是保障机构信息安全的指导文件； 信息安全策略包括总体安全策略和安全管理实施细则； 总体安全策略包括分析安全需求、分析安全威胁、定义安全目标、确定安全保护范围、分配部门责任、配备人力物力、确认违反策略的行为和相应的制裁措施； 安全管理细则规定了具体的实施方法和内容； 信息安全策略总则 均衡性原则 在安全需求、易用性、效能和安全成本之间保持相对平衡； 时效性原则 影响信息安全的因素随时间变化，信息安全问题具有显著的时效性； 最小化原则 系统提供的服务越多，安全漏洞和威胁也就越多； 关闭安全策略中没有规定的网络服务； 以最小限度原则配置满足安全策略定义的用户权限； 安全策略内容 硬件物理安全 网络连接安全 操作系统安全 网络服务安全 数据安全 安全管理责任 网络用户安全责任 1.2 信息安全漏洞与威胁 软件漏洞 指在设计与编制软件时没有考虑对非正常输入进行处理或错误代码而造成的安全隐患; 软件漏洞是任何软件存在的客观事实; 软件产品通常在正式发布之前，一般都要相继发布α版本、β版本和γ版本供反复测试使用，目的就是为了尽可能减少软件漏洞 软件漏洞与攻击事件趋势 网络协议漏洞 指网络通信协议不完善而导致的安全隐患； Internet使用的TCP/IP协议族所有协议都发现存在安全隐患； 截止到2012年6月，专门从事安全漏洞名称标准化的公共漏洞披露机构CVE（common vulnerability and exposures）已发布了53623个不同的安全漏洞； 新的安全漏洞仍在不断披露 安全管理漏洞 安全技术只是保证信息安全的基础； 信息安全管理才是发挥信息安全技术的根本保证； 信息安全问题不是一个纯技术问题； 从安全管理角度看，信息安全首先是管理问题； 如常见的系统缺省配置、脆弱性口令和信任关系转移等； 信息安全是相对的，是建立在信