3+信息安全概述(精品·公开课件).ppt

* * 强制保护级： 适用于涉及国家安全、社会秩序、经济建设和公共利益的重要信息和信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成严重损害。 * * 专控保护级： 适用于涉及国家安全、社会秩序、经济建设和公共利益的重要信息和信息系统的核心子系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成特别严重损害。 * * 主要的安全考核指标有 身份认证 自主访问控制 数据完整性 审计 隐蔽信道分析 对象重用 强制访问控制 安全标记 可信路径和可信恢复 国内安全标准、政策制定和实施情况 * * 信息安全模型 P M R R D 安全模型 MP2DRR 访问控制机制 入侵检测机制 安全响应机制 备份与恢复机制 管理 P 安全策略 * * 信息安全要素 审计 管理 加密 访问控制 用户验证 安全策略 * * 审计 主动式审计（IDS部署） 被动式审计（日志监控） * * 加密 对称加密:使用同一个字符串加密和解密数据 非对称加密：使用一对密钥加密解密数据 HASH散列算法：用HASH函数把信息混杂，使其 不可恢复原状 * * 访问控制 访问控制列表：ACL 执行控制列表：ECL * * 认证 认证方法： 密码认证 智能卡 生物特征（指纹、面部扫描、视网 膜扫描、语音分析） 位置认证（IP，反向DNS） * * 安全策略 安全策略是描述企业如何 实施网络安全的文件 策略 实现安全性的途径： 管理策略 技术策略 物理策略 * * 安全分类级别（矩阵法则） X(资源） Y(重要性) a b * * 安全策略参考 安全策略原则 网络规划安全策略 网络管理员安全策略 访问服务网络安全策略 远程访问服务安全策略 系统用户的安全策略 上网用户的安全策略 远程访问用户的安全策略 直接风险控制安全策略 自适应网络安全策略 智能网络系统安全策略 适应性原则 动态性原则 简单性原则 系统性原则 最小授权原则 安全策略的制定 * * 创建策略和过程的指导方针 创建清晰、简明扼要的策略 为每个策略创建简明的实施步骤 获得各管理层的支持 确保用户能够查找和使用策略 确保策略不影响正常的业务运转 尽可能通过技术强制策略的实施 对违反策略的行为要有适当的处罚措施 制定出遵守策略的奖励措施 * * 策略失败的常见原因 没有强制实施 可读性差，难以理解 难以查找 策略过时 策略过于含糊 策略过于严格 管理层不支持 * * 安全策略实施（一） 资源优先级划分 定义可接受和不可接受活动 管理安全策略 将策略应用到资源上 * * 安全策略的实施（二） 重要的商务信息和软件的备份应当存储在受保护、限制访问且距离源地点足够远的地方，这样备份数据就能逃脱本地的灾害 需要给网络外围设置打上必威体育精装版的补丁 * * 安全服务、机制与技术 安全服务包括 数据机密性服务 访问控制服务 数据完整性服务 对象认证服务 防抵赖服务 安全服务 * * 安全服务、机制与技术 安全机制包括: 安全机制 加密机制 认证交换机制 数字签名机制 防业务流分析机制 路由控制机制 访问控制机制 * * 安全服务、机制与技术 安全技术包括: 安全技术 加密技术 防火墙技术 鉴别技术 病毒防治技术 审计监控技术 数字签名技术 * * 安全工作目的（一） 安全工作的目的就是为了在安全法律、法规、政策的支持与指导下，通过采用合适的安全技术与安全管理措施，完成以下任务 使用访问控制机制，阻止非授权用户进入网络，即“进不来”，从而保证网络系统的可用性。 使用授权机制，实现对用户的权限控制，即不该拿走 的“拿不走”，同时结合内容审计机制，实现对网络资 源及信息的可控性。 * * 安全工作目的（二） 使用加密机制，确保信息不暴漏给未授权的实体或进程，即“看不懂”，从而实现信息的必威体育官网网址性。 使用数据完整性鉴别机制，保证只有得到允许的人才能修改数据，而其它人“改不了”，从而确保信息的完整性。 使用审计、监控、防抵赖等安全机制，使得攻击者、破坏者、抵赖者“走不脱”，并进一步对网络出现的安全问题提供调查依据和手段，实现信息安全的可审查性。 谢谢大家！ * * * 进入我们新的空间 fdq? 2010信息学院 fdq? 2010信息学院 LinYi Normal University 网络连着你我他 计算机网络 傅德谦 2010.9 信息安全概述 、安全标准与安全策略  信息的定义 一般认为，信息是关于客观事实的可通讯的知识。 第一，信息是客观世界各种事物的特征的反映。这些特征包括事物的有关属性状态，如时间